Gestion des utilisateurs

Administration des Systèmes UNIX

Noureddine GRASSAISET MAHDIA

Septembre 2009

2

© D

omin

ique

La

zure

Politiques de gestion des comptes

Comptes individuels➢ Responsabilisation➢ Sécurité➢ Personnalisation du service rendu➢ Cloisonnement des espaces

Comptes collectifs➢ Facilité de gestion (ouverture par lots)➢ Dangers multiples

3

© D

omin

ique

La

zure

Comptes systèmesComptes d'application

Souvent nécessaires, mais dangereux

Choisir (si possible) UID < 1024

Interdire le login :➢ Supprimer l'image cryptée (/etc/shadow) *➢ Limiter l'usage de su

Surveiller : ➢ Rediriger le mail par un alias (/etc/aliases)

4

© D

omin

ique

La

zure

Charte / Licence utilisateurs

Indispensable, se doit de traiter de :➢ Partage de compte, de données➢ Cadre des manipulations (fichier passwd)➢ Usurpation d'identité➢ Monopolisation de ressources➢ Exportation de données, image de l'entreprise➢ Respect des licences des logiciels installés➢ Respect des droits sur des données importées

(MP3,DivX…)➢ Respect du matériel➢ Activités illégales (fraude, diffamation, harcèlement)➢ Usage « en bon père de famille »

5

© D

omin

ique

La

zure

Choix du login

Seule contrainte : il est unique

Généralement 8 caractères (16 sous FreeBSD…)

Rester simple pour éviter les problèmes : ➢ pas de ponctuation➢ 8 caractères maximum (NIS, autre système…)➢ Pas de majuscules (sendmail)

Respecter une convention maison (expliquer !):➢ lazure, dlazure, lazured, lazure1, domi, chdom

6

© D

omin

ique

La

zure

Choix du passwd

Sensibiliser les utilisateurs

Règles usuelles :➢ Entre 6 et 8 caractères (PASS_MAX_LEN)➢ Majuscules, minuscules, chiffres et ponctuations➢ Pas dans un dictionnaire (initiales d'une phrase)

Aucune fiabilité :➢ crack

Imposer le changement de régulier ou événementiel

7

© D

omin

ique

La

zure

Crack de passwd

Divers outils libres et accessibles (crack, john...)

Principe : essais multiples sur /etc/passwd➢ Login / passwd / full name➢ Dictionnaires (brut et permutations).➢ Méthode glouton (infaillible)

Adminsys : ➢ les faire tourner préventivement➢ Précautions : avertir et faire preuve de discrétion

Cacher les images cryptées (/etc/shadow).

8

© D

omin

ique

La

zure

Péremption du passwd

Un des usages de /etc/login.defs :➢ PASS_MAX_DAYS➢ PASS_MIN_DAYS➢ PASS_WARN_AGE

En BSD : /etc/login.conf

Ne pas pratiquer le harcèlement

Intervention obligatoire après incident

9

© D

omin

ique

La

zure

Sniff de passwd

Nombreux logiciels efficaces disponibles (ethereal).

Prévenir en évitant les transits de passwd en clair (POP vs APOP)

Prévenir en évitant aussi les transits cryptés (voir précédemment)

Surveiller (promiscuous mode, brassage)

Sectionner le réseau (hub vs switch)

10

© D

omin

ique

La

zure

useradd

Commande de création d'un utilisateur

Évite l'édition des fichiers

À customiser suivant les besoins :➢ politique d'attribution des UID➢ des chemins➢ des quotas➢ Inclusion dans les alias mails

Lecture indispensable du scriptusermod

11

© D

omin

ique

La

zure

Champs divers à la création

Full-name (GECOS). Conventionnellement :➢ Nom complet (souvent la seule info présente)➢ Adresse➢ Téléphone

➢ Commande polo% chfn (si autorisation)polo% ypchfn

Shell de login (non-interactif) ➢ doit se trouver dans /etc/shells➢ Commande

polo% chsh (si autorisation)polo% ypchsh

12

© D

omin

ique

La

zure

Les fichiers d'initialisation

Dépendant du shell exécuté (man bash)

Pour l'environnement : .Xdefault

Pour les applications : .emacs

Squelette de création de compte : /etc/skel

13

© D

omin

ique

La

zure

Exemple : bash

Lancement en mode non-interactif (login), exécute dans l'ordre :

/etc/profile ~/.bash_profile (si invoqué par bash) ~/.bash_login (ignore si invoqué par sh) ~/.profile

➢ Lancement en mode interactif : ~/.bashrc

Quitte avec ~/.bash_logout

14

© D

omin

ique

La

zure

profile

➢ Exécuté par tous les utilisateurs :➢ Définition des variables communes (PATH)➢ Définition des prompts (distinguer root par `id -u`)➢ Définition d'alias courants :

alias rm /bin/rm -ialias ll ls -l

➢ Pour un utilisateur donné : ~/.profilealias rm /bin/mv -f -target_directory=/home/dushmol/.corbeille

15

© D

omin

ique

La

zure

.bashrc .cshrc .tcshrc …

Même modèle que précédent :➢ Fichier commun dans /etc/ZESHELLrc➢ Fichier individuel dans ~/.ZESHELLrc

Invocation interactive (vs login)

Source de beaucoup d'interventions

Factoriser les modifications dans le commun

16

© D

omin

ique

La

zure

.login .logout

Bonne blague réchauffée :dushmol@posecafé> echo logout > ~/.login

dushmol@posecafé> logout

17

© D

omin

ique

La

zure

/etc/skel

Répertoire squelette de création de compte➢ Copie récursive par adduser

Attention : ➢ fichiers communs avant adduser➢ Fichiers individuels après.

➢ Préférer modifier dans /etc/bashrc

18

© D

omin

ique

La

zure

Mail

Mailbox automatiquement créée /var/spool/mail

Paramétrer en fonction du mailer choisi

Aliaser le login par l'adresse mail :➢ Prenom.Nom@zesite.fr➢ Imposer des quotas sur les mailbox (cf quotas)

( cf cours JC Delépine )

19

© D

omin

ique

La

zure

Espace disque

Estimer les besoins du nouvel usager

Doubler l'estimation

Choisir intelligemment l'emplacement :➢ Eviter les encombrements du réseau➢ Centraliser l'administration (sauvegarde)➢ Penser à la confidentialité, la sécurité➢ Eventuellement, découper

(Cf cours « arborescence »)

20

© D

omin

ique

La

zure

Espace usager

Espace disque individuel par défaut:➢ Mailbox➢ Home-directory

Espaces accessibles directement :➢ /tmp➢ Home-directories ouvertes en écriture

Espaces accessibles indirectement :➢ Très variés (connaître les applis)➢ Espaces système (spooler mail, spooler at, …)

Cf chapitre « Gestion des ressources, quotas »

21

© D

omin

ique

La

zure

Usage Personnel

Reconnu par la jurisprudence : ~dushmol/Perso

Doit être précisé par la charte d'utilisation.

Bannir l'usage de matériel personnel.Fournir des consommables sûrs.

Non-engagement de l'entreprise (mail).Discrétion.

22

© D

omin

ique

La

zure

Suppression de compte

Souvent oublié dans la charte.Potentiellement délicat (départ involontaire)Proposer avec le futur ex-usager une méthode :

➢ Ne rien garder➢ Bande/CD-R de sauvegarde➢ Envoi par mail à son domicile, à son futur emploi

(propriété des données ?)

Commande userdel (find -uid)Vérifier les travaux différés (Impératif !)Délai de grâce (fermeture sans destruction)

23

© D

omin

ique

La

zure

Comptes invités / provisoires

Danger pour la sécurité et la confidentialité.➢ volontaire➢ involontaire (telnet, ftp, rcp…)

Isoler dans un espace / un domaine distinct.

Login/passwd temporaires (dans la minute)

Login/passwd à usage unique

24

© D

omin

ique

La

zure

Comptes anonymes / collectifs

Pas de responsabilisation de l'usager.

Isoler aussi de l'espace des usagers.

Gros problèmes (NFS) d'accès concurrents :➢ Environnements comme gnome➢ Mailbox➢ Cache du butineur…

A proscrire (si possible)

25

© D

omin

ique

La

zure

Voir aussi…

Tout ce qui concerne les groups➢ Concepts équivalents

D'autres cours en rapport :➢ NIS➢ quotas➢ Travaux différés➢ LDAP➢ …

26

© D

omin

ique

La

zure

Questions ?