Интеграция с сервисами Linux

Многие команды и сервисы Linux могут использовать механизм подключаемых модулей аутентификации (Pluggable Authentication Module, PAM). Отдельные модули PAM могут перенаправлять запросы аутентификации от таких целевых ресурсов (команд и сервисов) к внешним службам аутентификации, причем для каждого из таких ресурсов использование PAM можно настроить индивидуально. Один из таких модулей – это pam_radius, который отправляет запросы аутентификации на серверы RADIUS.

Так как в составе Secure Authentication Server присутствует агент для FreeRADIUS, сервер аутентификации SAS можно использовать для обработки запросов от различных целевых ресурсов, поддерживающих механизм PAM. При этом модифицировать программный код этих ресурсов не требуется, и интеграция сводится к:
• установке и настройке агента для FreeRADIUS;
• установке и настройке модуля pam_radius на системах с целевыми ресурсами;
• настройке отдельных целевых ресурсов для аутентификации в SAS.

Примеры в этой статье относятся к операционной системе Astra Linux 1.8. Команды, их ключи и аргументы в других дистрибутивах Linux могут отличаться.

Установка агента для FreeRADIUS

Установите и настройте агент для FreeRADIUS (FRA) в соответствии с документом «Secure Authentication Server. Интеграция по протоколу RADIUS».

Настройка узлов аутентификации

Чтобы сервер аутентификации SAS мог обрабатывать запросы на аутентификацию от команд и сервисов Linux, необходимо указать эти серверы (или агенты FRA, через которые будут приходить эти запросы) как узлы аутентификации для SAS. Каждому виртуальному серверу можно назначить свой набор узлов аутентификации, тем самым можно задать, какие машины с Linux будут доступны учетным записям из этого виртуального сервера. Каждому узлу аутентификации соответствует свой IP-адрес. Когда пользователь запускает команду или подключается к серсису, агент FRA, на который пришел запрос от этого сервера, обращается к сервису аутентификации, тот определяет по IP-адресу узел аутентификации и направляет запрос к нужному виртуальному серверу. Этот запрос будет обрабатываться в соответствии с политиками, заданными на этом виртуальном сервере.

Чтобы добавить новый узел аутентификации для машин с Linux или изменить текущий:

Войдите в консоль с учетными данными оператора виртуального сервера.
Выберите на вкладке Виртуальные серверы нужный.
Выберите вкладку второго ряда Настройки.
Раскройте панель Узлы аутентификации.
Нажмите кнопку Добавить или Изменить.
Введите или измените условное имя узла аутентификации и его IP-адрес.
Нажмите кнопку Сохранить.

Если между узлом аутентификации и сервером аутентификации используется трансляция сетевых адресов (NAT), то в качестве IP-адреса узла аутентификации нужно указывать интерфейс маршрутизатора NAT, через который приходят запросы на сервер аутентификации.

Если нужно «пробросить» IP-адрес VPN-сервера, то эту функцию нужно включить как на сервере аутентификации (в общих настройках), так и на агенте (в частности, агенте RADIUS). При этом нужно добавить в узлы аутентификации запись с IP-адресом этой машины Linux.

Установка и настройка pam_radius

1. Обновите операционную систему:

{$co}

2. Установите пакет PAM RADIUS:

# apt-get install libpam-radius-auth

3. Добавьте в файл /etc/pam_radius_auth.conf одну или несколько строк c именами (адресами) шлюзов RADIUS, общими секретами и тайм-аутами (в секундах):

radius1	$Secret1	5
radius2	$Secret2	5

Настройка SSH

1. Добавьте, измените или раскомментируйте в файле конфигурации SSH /etc/ssh/sshd_config строки:

PasswordAuthentication yes
PermitEmptyPasswords no
ChallengeResponseAuthentication yes
UsePAM yes

2. Перезапустите службу sshd, чтобы применить эти настройки:

# systemctl restart sshd

3. Добавьте в конец файла с настройками PAM для SSH /etc/pam.d/sshd строку:

auth	required	pam_radius_auth.so prompt=Enter OTP force_prompt

Рекомендуется перед изменениями создать резервную копию этого файла.

Если в параметре prompt (приглашении) есть пробелы, то они должны быть неразрывными – их можно скопировать из этого примера или набрать в редакторе Ctrl+Shift+Пробел.

Настройка SSH

1. Добавьте в конец файла с настройками PAM для графического интерфейса Fly /etc/pam.d/fly-dm строку:

Рекомендуется перед изменениями создать резервную копию этого файла.

Рекомендуется перед изменениями создать резервную копию этого файла.

Если в параметре prompt (приглашении) есть пробелы, то они должны быть неразрывными – их можно скопировать из этого примера или набрать в редакторе Ctrl+Shift+Пробел.

Настройка команды sudo

1. Добавьте в конец файла с настройками PAM для графического интерфейса Fly /etc/pam.d/fly-dm строку:

auth	required	pam_radius_auth.so prompt=Enter OTP force_prompt

Рекомендуется перед изменениями создать резервную копию этого файла.

Если в параметре prompt (приглашении) есть пробелы, то они должны быть неразрывными – их можно скопировать из этого примера или набрать в редакторе Ctrl+Shift+Пробел.

Настройка login

1. Добавьте в конец файла с настройками PAM для sudo /etc/pam.d/login строку:

auth	required	pam_radius_auth.so prompt=Enter OTP force_prompt

Рекомендуется перед изменениями создать резервную копию этого файла.

Если в параметре prompt (приглашении) есть пробелы, то они должны быть неразрывными – их можно скопировать из этого примера или набрать в редакторе Ctrl+Shift+Пробел.

]]>