これはフォーラムの最初の質問なので、私の問題に関する重要な情報を見逃したとしても怒らないでください。
私はDebian 8を使用しており、SSSDに従ってActive Directoryドメイン（Windows Server 2012）に参加しました。このチュートリアル。
すべてがうまく機能し、私のADアカウントを使用してログインできます。また、サーバーへの接続を許可されているユーザーを収集するためにActive Directoryグループを作成しました。
次のコマンドを使用してこのグループを許可します。
realm permit -g [email protected]
これまでは、/home/domain/userActive Directoryアカウントを使用してLinuxサーバーに初めて接続したときにファイルが作成されました。
ただし、あるユーザーのサーバーへの接続権限を取り消したい場合（グループからアカウントを削除します）、そのフォルダはサーバーに残り、/home/domain/userrootアカウント（またはsudo権限を持つアカウント）は許可されていAccess Denied (ignored)ないユーザーに警告メッセージを表示します。一緒に接続できます。
最後に許可されていない唯一の方法は、su <deleted user>ADアカウントを削除することです（ただし、権限を取り消すたびにADアカウントを削除することはできません）。
私の考えでは、これは恐ろしいセキュリティ問題です。 ADアカウントの権限を取り消すと、Linuxサーバーからユーザー（およびそのフォルダ）を明示的に削除できますか？
ADとSSSD間の認証に関する情報を共有できますか？
以下の設定ファイルを参照してください。
コンテンツ/etc/nsswitch.conf:
passwd: compat sss
group: compat sss
shadow: compat sss
gshadow: files
hosts: files dns
networks: files
protocols: db files
services: db files sss
ethers: db files
rpc: db files
netgroup: nis sss
sudoers: files sss
コンテンツ/etc/sssd/sssd.conf:
[sssd]
domains = mydomain.com
config_file_version = 2
services = nss, pam
[domain/mydomain.com]
ad_domain = mydomain.com
krb5_realm = MYREALM.COM
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%d/%u
access_provider = simple
simple_allow_groups = MyGroupAllowed
SSSDを使用する前にWinbindを試してみましたが、同じ問題が発生しました。
答えてくれてありがとう。
ベストアンサー1
私の考えでは、これは恐ろしいセキュリティ問題です。
sudoそれでは、ユーザーがLinuxサーバーのアカウントに接続できるという事実はセキュリティ上の問題だと思いますか？sudo元のユーザーを含むこのアカウントを使用してユーザーが行ったすべての操作は、それに応じて記録されますsudo。
あなたができることは、デーモンがLDAPをポーリングしてアカウントを同期することです。接続できる限り、すべてのLinuxシステムにインストールする必要はありません。
編集：進むもう一つの方法は。kdestroyこのようにして、/etc/bash.bash_logoutユーザーができる唯一の「有害さ」はローカルであり、ルートはローカルですべてのことを行うことができるので、とにかくそれを行うことができます。
注：これは、ローカル管理者が簡単にローカルシステムになり、ローカルシステムが現在ログインしているユーザーを偽装し、ログアウト時にWindows偽装を使用するkdestroyなど、ローカルシステムですべての操作を実行できるという点で、Windowsと非常によく似ています。
それであなたの質問が私を驚かせました。実際、もっと悪いことは、Windowsで特定の監査ルールを設定しないと、ローカルシステムの偽装ユーザーを見ることができず、「現在何かを行うためにこのローカルシステムセッションを制御する」人も見ることがjdoeできないということです。