Citrix XenServer Free: PAM और RBAC के साथ हाइपरविजर सख्त

अच्छे दिन, सहकर्मियों।
ज़ेनसर्वर इस समय सबसे लोकप्रिय हाइपरवेयर्स में से एक है।
इस तथ्य के कारण कि यह अच्छी कार्यक्षमता देता है "मुफ्त"।
इसलिए, एंटरप्राइज़ सुविधाओं के बिना नि: शुल्क संस्करण पर कई निर्णय किए जाते हैं।
और "भुगतान" चिप्स की संख्या में उपयोगकर्ता अधिकारों को अलग करने की क्षमता के साथ LDAP का उपयोग करके प्राधिकरण शामिल है।
जी हां, आपने सही सुना। मुफ्त XenServer में, सभी उपयोगकर्ता समान हैं। यही है, उनके पास पूल प्रशासन की भूमिका है।
आइए यह पता लगाने की कोशिश करें कि हम मुफ्त संस्करण में हाइपरवाइजर को "कैसे" संरक्षित कर सकते हैं?




Citrix की नीति के अनुसार, XenServer संस्करण जिन्हें फ्री और एडवांस्ड कहा जाता है, अनिवार्य रूप से एकल-उपयोगकर्ता हैं। यही है, सिस्टम के किसी भी उपयोगकर्ता को एक्सएनएपीआई द्वारा पूलएडमिन भूमिका वाले उपयोगकर्ता के रूप में माना जाएगा। जो सूचना सुरक्षा के संदर्भ में हाइपरवाइजर की सेवा की प्रक्रिया को नकारात्मक रूप से प्रभावित करता है।
एंटरप्राइज संस्करण खरीदे बिना इस समस्या को हल करने के कम से कम दो तरीके हैं।
आइए पहले से शुरू करें, अधिक सरल और समझने योग्य।

हम एक्सएएनएपीआई तक पहुंच वाले सिस्टम के उपयोगकर्ताओं के सर्कल को सीमित करेंगे।
ऐसा करने के लिए, पहले एक फ़ाइल बनाएँ:

[ रूट @ xctorver / ] # सीडी / आदि /
[ रूट @ xctorver आदि ] # vi xapi_allow

इसमें हम हाइपरवाइजर के प्रबंधन के लिए अनुमत उपयोगकर्ताओं को सूचीबद्ध करेंगे।

जड़
admin1
admin2
admin3

XenSource के लोगों के लिए धन्यवाद कि उन्होंने क्या किया: यह हाइपवाइज़र तक पहुँच को नियंत्रित करने के लिए xapi PAM मॉड्यूल है। लेकिन डिफ़ॉल्ट रूप से, यह सिस्टम में हमारी ज़रूरत से थोड़ा अलग तरीके से उपयोग किया जाता है।
इसलिए, हम इसमें से सभी प्रविष्टियाँ हटा देंगे, और नई जोड़ देंगे:

[ रूट @ xctorver / ] # cd /etc/pam.d/
[ रूट @ xctorver pam.d ] # vi xapi

#% PAM-1.0
सैद्धांतिक आवश्यक pam_env.so
सामान्य आवश्यक pam_listfile.so आइटम = उपयोगकर्ता अर्थ = फ़ाइल की अनुमति दें = / etc / xapi_allow
प्रामाणिक पर्याप्त pam_unix.so try_first_pass nullok
सैद्धांतिक आवश्यक pam_deny.so

खाता आवश्यक pam_unix.so

पासवर्ड आवश्यक pam_cracklib.so try_first_pass पुनर्प्रयास = 3
पासवर्ड पर्याप्त pam_unix.so try_first_pass use_authtok nullok md5
पासवर्ड आवश्यक pam_deny.so

सत्र वैकल्पिक pam_keyinit.so निरस्त करें
सत्र आवश्यक pam_limits.so
सत्र [ सफलता = 1 डिफ़ॉल्ट = अनदेखा ] pam_succeed_if.so crond में सेवा का उपयोग शांत_युड
सत्र आवश्यक pam_unix.so

अब, उपयोगकर्ता को XenAPI से कनेक्ट करने के लिए, यह आवश्यक है कि उसके बारे में रिकॉर्ड xapi.lo फ़ाइल में निहित हो। अब यह इस फ़ाइल तक पहुँच को प्रतिबंधित करने के लायक है:

[ रूट @ xctorver / ] # chmod ६०० / आदि / xapi_allow

बहुत बढ़िया! अब हम सिस्टम के उन उपयोगकर्ताओं को "रोक" सकते हैं जिन्हें हम हाइपरवाइजर को नियंत्रित नहीं करना चाहते हैं। नि: शुल्क / उन्नत लाइसेंस के तहत, शायद यह सब किया जा सकता है।
लेकिन, आप आगे जा सकते हैं। आप RBAC सिस्टम के उपयोग को सक्षम कर सकते हैं। ऐसा करने के लिए, हमें सिस्टम में बाहरी प्रमाणीकरण सक्षम करने की आवश्यकता है। यहां हम लाइसेंस प्रतिबंध में भाग लेते हैं, और LDAP से कनेक्ट नहीं हो सकते। लेकिन कोई भी हमें PAM के माध्यम से ऐसा करने के लिए परेशान नहीं करता है।

[ रूट @ xctorver / ] # xe पूल-सक्षम-बाहरी-बाहरी वस्तु -प्रकार = PAM सेवा-नाम = pam

अब हमें अपने उपयोगकर्ताओं को भूमिकाएँ सौंपने की आवश्यकता है।
लेकिन, अफसोस, नि: शुल्क / उन्नत लाइसेंस इसकी अनुमति नहीं देता है।
ठीक है, चलो लाइसेंस का उल्लंघन किए बिना ऐसा करने की कोशिश करें।

आरंभ करने के लिए, सभी वर्चुअल मशीनों को बंद करें। इसके बाद के हेरफेर उन्हें नुकसान पहुंचा सकते हैं।
अब आपको अपने सर्वर पर भूमिकाओं की वर्तमान सूची का पता लगाना होगा।

[ रूट @ xctorver / ] # xe भूमिका-सूची
uuid ( RO ) : 7955168d-7bec-10ed-105f-c6a7e6e63249
name ( RO ) : vm-power-admin
विवरण ( RO ) : VM पावर प्रशासक की भूमिका में VM और टेम्पलेट प्रबंधन की पूरी पहुँच है और यह चुन सकता है कि VM को कहाँ से शुरू किया जाए और डायनेमिक मेमोरी कंट्रोल और VM स्नैपशॉट सुविधाओं का उपयोग करें


uuid ( RO ) : aaa00ab5- 7340 -bfbc-0d1b-7cf342639a6e
name ( RO ) : vm-admin
विवरण ( RO ) : VM प्रशासक की भूमिका VM और टेम्पलेट्स का प्रबंधन कर सकती है


uuid ( RO ) : fb8d4ff9-310c-a959-0613-54101535d3d5
name ( RO ) : vm- ऑपरेटर
विवरण ( RO ) : VM ऑपरेटर भूमिका VMs का उपयोग कर सकती है और VM कंसोल के साथ सहभागिता कर सकती है


uuid ( RO ) : 7233b8e3-eacb-d7da-2c95-f2e581cdbf4e
नाम ( RO ) : केवल-पढ़ने के लिए
विवरण ( RO ) : रीड-ओनली भूमिका मूल रीड-ओनली एक्सेस के साथ लॉग इन कर सकती है


uuid ( RO ) : b9ce9791-0604-50cd-0649-09b3284c7dd
नाम ( RO ) : पूल-ऑपरेटर
विवरण ( RO ) : पूल संचालक की भूमिका मेजबान- और पूल-वाइड संसाधनों का प्रबंधन करती है, जिसमें भंडारण स्थापित करना, संसाधन पूल बनाना और पैच प्रबंधन, उच्च उपलब्धता ( एचए ) और कार्यभार संतुलन ( डब्ल्यूएलबी ) शामिल हैं।


uuid ( RO ) : 0165f154-ba3e-034e-6b27-5d271af109ba
नाम ( RO ) : पूल-व्यवस्थापक
विवरण ( RO ) : पूल प्रशासक की भूमिका में सभी सुविधाओं और सेटिंग्स तक पूर्ण पहुंच है, जिसमें DOM0 तक पहुंचना और विषयों, भूमिकाओं और बाहरी प्रमाणीकरण का प्रबंधन करना शामिल है।

ये ऐसी भूमिकाएं हैं जिनका उपयोग आप अपने सर्वर पर कर सकते हैं।
अब उपयोगकर्ता संस्थाओं को जोड़ें।

[ रूट @ xctorver / ] # xe विषय-जोड़ें विषय-नाम = व्यवस्थापक १
932d3540-d08c-bbf8-adf8-03c0f9aaaf43

और सुनिश्चित करें कि सब कुछ सही ढंग से किया गया है और आपके नए विषय को डिफ़ॉल्ट रूप से पूल-व्यवस्थापक अधिकार प्राप्त हुए हैं।

[ रूट @ xctorver / ] # xe विषय-सूची
uuid ( RO ) : 932d3540-d08c-bbf8-adf8-03c0faaaa43
विषय-पहचानकर्ता ( RO ) : u501
अन्य-विन्यास ( MRO ) : विषय-नाम: admin1; विषय-यूआईडी: u501; विषय-जीआईडी: जी 501; विषय-जीकोस:; विषय-प्रदर्शन का नाम: admin1; विषय-दर-समूह: असत्य ; विषय-खाता-अक्षम: गलत ; विषय-खाता-अवधि समाप्त: गलत ; विषय-खाता-लॉक: गलत ; विषय-पासवर्ड-समय सीमा समाप्त: गलत
भूमिकाएँ ( SRO ) : पूल-व्यवस्थापक

अब हमें उसे आवश्यक अधिकार निर्धारित करने की आवश्यकता है। इसके लिए उपकरण, दुर्भाग्य से, एक लाइसेंस द्वारा अवरुद्ध हैं। लेकिन कोई भी राज्य .bb डेटाबेस फ़ाइल को संपादित करके यह "मैन्युअल रूप से" करने के लिए परेशान नहीं करता है।
एक सुविधाजनक विधि के रूप में, मैं वर्णित के समान "मिनी" कार्यक्रमों का उपयोग करने की सलाह देता हूं
यहां
अब मैं यह वर्णन करूंगा कि इसे मैन्युअल रूप से कैसे किया जाए। सबसे पहले, XenAPI को रोकें।

[ रूट @ xctorver / ] # /etc/init.d/xapi रोकें

अब अपने पसंदीदा संपादक में फ़ाइल /var/xapi/state.db खोलें:

[ रूट @ xctorver / ] # vi /var/xapi/state.db

अब "admin1" फ़ाइल (आपके द्वारा जोड़ा गया उपयोगकर्ता का नाम) खोजें। हम इन पंक्तियों में रुचि रखते हैं:

other_config = "(('विषय-नाम' 'admin1') (" विषय-uid '' u501 ') ("विषय-gid' 'g501') ('विषय-gecos' '") (' subjec)
t-displayname '' admin1 ') (' सब्जेक्ट-इस-ग्रुप '' false ') (' सब्जेक्ट-अकाउंट-डिसेबल्ड '' false ') (' सब्जेक्ट-अकाउंट-एक्सपायर्ड '' false ') (' सब्जेक्ट-अकाउंट-) बंद '
'गलत') ('सब्जेक्ट-पासवर्ड-एक्सपायर्ड' 'गलत')) " subject_identifier = " u501 " uuid = " 932d3540-d08c-bbf8-adf8-03c0f9af43 " रोल्स = "

जैसा कि आप देखते हैं, आप "भूमिका =" अनुभाग में भूमिकाएं मैन्युअल रूप से बदल सकते हैं। हमारे उपयोगकर्ता भूमिका को "पूल-व्यवस्थापक" से "केवल पढ़ने के लिए" में बदलें:

भूमिकाएँ = "('अपारदर्शी: 7233b8e3-eacb-d7da-2c95-f2e581cdbf4e')"

ठीक है! अब XenAPI वापस चलाएं और परिणाम देखें:

[ रूट @ xctorver / ] # /etc/init.d/xapi प्रारंभ
Xapi शुरू करना: .... पूरा दिन शुरू करना। [ ठीक है ]
[ रूट @ xctorver / ] # xe विषय-सूची
uuid ( RO ) : 932d3540-d08c-bbf8-adf8-03c0faaaa43
विषय-पहचानकर्ता ( RO ) : u501
अन्य-विन्यास ( MRO ) : विषय-नाम: admin1; विषय-यूआईडी: u501; विषय-जीआईडी: जी 501; विषय-जीकोस:; विषय-प्रदर्शन का नाम: admin1; विषय-दर-समूह: असत्य ; विषय-खाता-अक्षम: गलत ; विषय-खाता-अवधि समाप्त: गलत ; विषय-खाता-लॉक: गलत ; विषय-पासवर्ड-समय सीमा समाप्त: गलत
भूमिकाओं ( एसआरओ ) : केवल-पढ़ने के लिए

वह सब है। आप वर्चुअल मशीन वापस शुरू कर सकते हैं।
इस प्रकार, लाइसेंस का उल्लंघन किए बिना, हम PAM के माध्यम से प्रमाणीकरण के साथ RBAC का उपयोग करने में सक्षम थे।
सभी को नमस्कार, आपके ध्यान के लिए धन्यवाद।