当前位置：首页 > news >正文

Linux 统一身份与权限管理

news 2025/10/1 0:59:16

Linux 统一身份与权限管理
部署文档（FreeIPA 方案，支持：登录 + sudo 权限管理）

适用：CentOS 7/8、Rocky 8/9、RHEL 8/9、Ubuntu 20/22

目标：

用一套密码登录所有 Linux 主机
sudo 权限精确到「张三只能在 web-01 上 sudo，李四在所有 db 主机上 login」
加人 / 回收 / 审计全部在 一台 IPA Server 完成，业务机零文件维护

1 架构总览

        ┌--------------------┐│   FreeIPA Server   │  1 台│   LDAP+Kerberos+CA │  统一账号、密码、sudo、HBAC└--------┬-----------┘│┌-------------┴-------------┐│                           		 │
web-01  web-02  db-01 ...  (N 台业务机)
↑ ipa-client-install           ↑ ipa-client-install
↑ 自动配置 PAM/NSS/Kerberos    ↑ 自动配置 sudo/sssd

2 服务器端（IPA Server）部署

2.1 准备

主机名：ipa.example.org（FQDN，必须可解析）
IP：192.168.10.10
系统：Rocky 9 / CentOS 8 Stream

2.2 安装

dnf install -y freeipa-server freeipa-server-dns   # DNS 可选
# 若用 Ubuntu
# apt install -y freeipa-server freeipa-server-dns

2.3 一键初始化

ipa-server-install \--hostname ipa.example.org \--realm EXAMPLE.ORG \--domain  example.org \--admin-password  'RedHat123' \--ds-password     'DirMgr123' \--setup-dns --auto-forwarders

完成后：

Web UI: https://ipa.example.org
CLI: kinit admin

2.4 防火墙

firewall-cmd --permanent --add-service={http,https,ldap,ldaps,kerberos,dns}
firewall-cmd --reload

3 客户端（所有业务机）加入域

3.1 安装

dnf install -y freeipa-client
# Ubuntu: apt install freeipa-client

3.2 加入

ipa-client-install \--server ipa.example.org \--domain example.org \--realm EXAMPLE.ORG \--principal admin \--password 'RedHat123' \--mkhomedir

完成后：

/etc/sssd/sssd.conf 自动生成
/etc/krb5.conf 指向 IPA
sudo 规则由 LDAP 下发

4 创建用户

在 IPA Server 上执行：

# 创建用户
ipa user-add alice --first=Alice --last=Li --password
# 再次确认密码
kinit alice@EXAMPLE.ORG

5 主机注册（可选但推荐）

让每台业务机在 IPA 中有对象，方便后续 HBAC / sudo：

# 在 ipa server 或 client
ipa host-add web-01.example.org --force

6 精确 sudo 权限配置

6.1 建 sudo 规则（示例：alice 在 web-01 可 sudo 所有命令）

# 1. 建命令组
ipa sudocmdgroup-add ALL
ipa sudocmd-add ALL --runasuser=root# 2. 建规则
ipa sudorule-add web01_alice_sudo
ipa sudorule-add-user    web01_alice_sudo --users=alice
ipa sudorule-add-host    web01_alice_sudo --hosts=web-01.example.org
ipa sudorule-add-allow-command web01_alice_sudo --sudocmdgroups=ALL
ipa sudorule-mod        web01_alice_sudo --runasuser=root

6.2 批量场景（所有 db* 主机 + devs 组）

# 建主机组
ipa hostgroup-add dbservers
ipa hostgroup-add-member dbservers --hosts=db-01.example.org --hosts=db-02.example.org# 建用户组
ipa group-add devs --posix
ipa group-add-member devs --users=alice --users=bob# 建 sudo 规则
ipa sudorule-add devs_db_sudo
ipa sudorule-add-user    devs_db_sudo --groups=devs
ipa sudorule-add-host    devs_db_sudo --hostgroups=dbservers
ipa sudorule-add-allow-command devs_db_sudo --sudocmdgroups=ALL

6.3 生效检查
在业务机上：

# 立即刷新
sss_cache -E
sudo -l -U alice

应看到仅对该机生效的 sudo 条目。

7 登录权限（HBAC）精确到单台主机

7.1 默认规则
IPA 预置 allow_all 规则，可先禁用：

ipa hbacrule-disable allow_all

7.2 建规则（示例：alice 只能登录 web-01）

ipa hbacrule-add login_web01
ipa hbacrule-add-user    login_web01 --users=alice
ipa hbacrule-add-host    login_web01 --hosts=web-01.example.org
ipa hbacrule-add-service login_web01 --hbacsvcs=sshd

7.3 批量场景（devs 组可登录所有 webservers）

ipa hbacrule-add login_webservers
ipa hbacrule-add-user    login_webservers --groups=devs
ipa hbacrule-add-host    login_webservers --hostgroups=webservers
ipa hbacrule-add-service login_webservers --hbacsvcs=sshd

8 日常运维速查

任务	IPA 命令	立即生效？
新建用户	`ipa user-add bob …`	✅
给用户 sudo 权限	`ipa sudorule-add-user <rule> --users=bob`	✅
禁止用户登录某机	`ipa hbacrule-remove-user <rule> --users=bob`	✅
查看某机谁能登录	`ipa hbactest --host=web-01 --service=sshd --user=alice`	—
审计	Web UI → Identity / HBAC / Sudo → Audit	—

9 备份 & 恢复

全库备份：
ipa-backup --data-only → 每天 cron
恢复：
ipa-restore <tar>

10 故障排查

客户端登录失败：
sssctl user-checks alice
ipa hbactest --host=web-01 --service=sshd --user=alice
sudo 无效：
sssctl sudo-checks alice
查看 /var/log/sssd/sudo.log