🗞️ 🏦 🔜 हजारों सर्वर पर उपयोगकर्ता प्राधिकरण प्रबंधन प्रणाली 🙈 👨‍👨‍👦‍👦 ✌🏾

कुछ बिंदु पर सर्वर (100 या अधिक) के बड़े बेड़े का प्रबंधन करते समय, नियमित कार्यों के प्रदर्शन को सरल बनाने पर सवाल उठता है।

ऐसी परिस्थितियों में मुख्य आवश्यकताओं में से एक व्यक्तिगत जिम्मेदारी के क्षेत्र में स्थित सर्वरों पर क्या और कब होता है, इसकी पूरी समझ है, लेकिन कम से कम कई दर्जन डेवलपर्स के पास उनकी पहुंच है।

आज हम MySQL डेटाबेस और कठपुतली एप्लिकेशन का उपयोग करके लिनक्स सर्वर पर उपयोगकर्ता प्राधिकरण के बारे में बात करेंगे।

सिस्टम आवश्यकताएँ और संभव समाधान

इसलिए, हमें सर्वर तक उपयोगकर्ता पहुंच को नियंत्रित करने के लिए एक केंद्रीकृत प्रणाली शुरू करने के कार्य का सामना करना पड़ा।

बेशक, हमारे पास पहले से ही ऐसी प्रणाली थी, और इसने काफी स्वीकार्य काम किया, इसके लिए सौंपे गए कार्यों को पूरा किया और, हमारी आवश्यकताओं को पूरा किया। प्रबंधन भी केंद्रीकृत था।

लेकिन समय के साथ, नई समस्याएं सामने आने लगीं, जो वर्तमान परिस्थितियों में समस्याग्रस्त हो गईं। और अधिक से अधिक बार हमने समझा: इस योजना में कुछ बदलने का समय आ गया है। अंत में, हमारी जरूरतों को पूरा करने के लिए वर्तमान प्रणाली को परिष्कृत करने का निर्णय लिया गया।

आईटी विभाग के कर्मचारियों के विचारों के परिणामस्वरूप, कई विचार प्रकट हुए:

विभिन्न रूपों में LDAP निर्देशिका का उपयोग करना।
एक स्थान पर उपयोगकर्ताओं की सूची बनाना, सभी सर्वरों पर यह सूची डालना (access.conf स्तर पर संभव अभिगम नियंत्रण)।
एलडीएपी को केर्बरोस के साथ जोड़ा गया।
आगे की स्थापना (उदाहरण के लिए, पैकेज अपडेट के रूप में) के साथ कुछ प्रकार के भंडारण के आधार पर संकुल का गठन (उदाहरण के लिए, आरपीएम)।

प्रत्येक विचार के अपने पक्ष और विपक्ष थे। उदाहरण के लिए, LDAP (या LDAP प्लस केर्बरोस) के मामले में, हमें अतिरिक्त सेवाओं का अध्ययन करना होगा, LDAP निर्देशिका में डेटा भंडारण के अनुकूलन की समस्याओं को हल करना होगा, मुख्य सर्वर पर लोड को कम करने के लिए अतिरिक्त LDAP परदे के पीछे स्थापित करें (क्योंकि हमारे पास वास्तव में बड़ा भार है)। जब विकल्प 2 और 4 चुनते हैं, तो हमें वही उपकरण मिलेगा, जो हमारी जरूरतों को पूरा करने के लिए तैयार है।

सोमवार को एक बार (पूरी तरह से आराम करने के बाद और एक अच्छे मूड के कारण), एक दिलचस्प विचार सामने आया: अपने काम में, हम कठपुतली एप्लिकेशन का उपयोग करते हैं, जिसमें उपयोगकर्ताओं को अधिकार और प्राधिकरण जारी करना शामिल है। तो क्यों नहीं इसे एक प्राथमिक उपकरण के रूप में उपयोग करें?

यहां सबसे दिलचस्प बात शुरू हुई: कोई तैयार समाधान नहीं था, लेकिन हमारे सिस्टम के लिए अनिवार्य आवश्यकताओं की एक सूची थी:

उपयोगकर्ता चुनते समय, उसके लिए उपलब्ध मेजबानों की सूची प्राप्त करें।
उपयोगकर्ता sudo विशेषाधिकार प्रदान करें, जो होस्ट के आधार पर भिन्न हो सकते हैं।
विशेषाधिकारों का तत्काल निरस्तीकरण और मांग पर पहुंच।
प्रबंधन (जोड़ना, हटाना, संपादित करना) आसान है।
नई सेवाओं और सेवाओं को बनाने की आवश्यकता नहीं है, जिन्हें बाद में अध्ययन, रखरखाव और रखरखाव करना होगा।
सर्वर को बाहरी प्राधिकरण स्रोतों से बाँधें नहीं, जैसा कि स्थानीय यूनिक्स प्राधिकरण का उपयोग करना अधिक विश्वसनीय है और पहले से ही समय के अनुसार परीक्षण किया गया है।

और बोनस के रूप में मैं निम्नलिखित प्राप्त करना चाहूंगा:

असीमित मात्रा में rsa, dsa कीज़ के लिए समर्थन;
ट्रैकिंग बदलें;
टेम्प्लेट समान कार्यों के लिए समर्थन करते हैं (बाद में लेख में बताया गया है कि यह क्यों आवश्यक है);
"सर्वर में नियमित पहुंच" के लिए समर्थन, जिसके लिए "एक्सेस" फ़ील्ड है;
समूह का समर्थन;
कोटा समर्थन।

नतीजतन, यह MySQL में डेटा संरचनाओं को संग्रहीत करने का निर्णय लिया गया था (डेटाबेस में संग्रहीत करने के लिए यह हमारे लिए सुविधाजनक लग रहा था। इसमें जो संरचना है उसे अन्य तरीकों से संग्रहीत किया जा सकता है।), कठपुतली की तरह दिखने वाले "स्व-लिखित" हैंडलर के साथ उत्पन्न करें, और सब कुछ "संलग्न" भी करें। यह सरल वेब यूआई है। आगे देखते हुए, मैं कहना चाहता हूं कि परिणाम हमारी अपेक्षाओं से अधिक है, क्योंकि लेखन चरण में महत्वपूर्ण और दिलचस्प बिंदु जोड़े गए।

विचार का क्रियान्वयन

तुरंत, हम ध्यान दें कि हमारे पास कई भौगोलिक रूप से दूरस्थ साइटें हैं जहां उपकरण स्थित है; इसके अलावा हम उन्हें "प्लेटफ़ॉर्म 1", "प्लेटफ़ॉर्म 2", आदि के रूप में नामित करेंगे। कृपया ध्यान दें कि नीचे दी गई डेटा संग्रहण संरचना को केवल एक उदाहरण के रूप में दिखाया गया है।

हमारे उदाहरण में सर्वर (नोड्स) में निम्नलिखित संकेतन होंगे:

www एक वेब क्लस्टर है जिसमें सभी नोड्स शामिल हैं, उदाहरण के लिए www1, www2 ... wwwN;
वेब क्लस्टर समूह में www134 एक विशिष्ट नोड है;
www [15-17] - ये वेब क्लस्टर समूह से www15, www16, www17 नोड्स हैं (इन्हें बदले में नहीं लिखा जाता है)।

डेटाबेस संरचना

1. उपयोगकर्ता तालिका मुख्य तालिका है जिसमें निम्नलिखित जानकारी है:

उपयोगकर्ता लॉगिन;
उपयोगकर्ता का पूरा नाम;
समूह जिसमें वह संबंधित है;
कमांड दुभाषिया (हमें कोई आपत्ति नहीं है कि उपयोगकर्ता उनके लिए जो सुविधाजनक है उसका उपयोग करते हैं);
सर्वर जिस पर उपयोगकर्ता की पहुंच होनी चाहिए;
सार्वजनिक कुंजी;
फ़ाइल सिस्टम कोटा (कुछ मेजबानों पर इसका उपयोग करने की आवश्यकता है);
उपयोगकर्ता के साथ जुड़े sudo टेम्पलेट के पहचानकर्ता।

2. UsersWigBigUid तालिका पिछले एक के समान है, लेकिन "आधिकारिक आवश्यकताओं के लिए उपयोगकर्ता" स्थापित करने के लिए उपयोग किया जाता है (उदाहरण के लिए, एक भौगोलिक रूप से दूरस्थ उपयोगकर्ता है जो कहीं भी दिखाई नहीं देता है, लेकिन एक विशिष्ट सर्वर, नोड या नोड्स तक पहुंच की आवश्यकता है)।

3. VpnOnlyUsers तालिका:

उपयोगकर्ता लॉगिन;
होस्ट करता है कि उपयोगकर्ता के पास वीपीएन कनेक्शन के माध्यम से पहुंच होनी चाहिए।

4. तालिका TmplSudoersRules एक विशेष टेम्पलेट में शामिल प्रत्येक सूडो नियम के विवरण के साथ।

5. TmplSudoers तालिका जिसमें सूडो -टेम्प्लेट के नाम और टिप्पणियां हैं।

6. सिस्टम यूजर्स टेबल लगभग साधारण उपयोगकर्ताओं के साथ तालिका के समान है, लेकिन असीमित एक्सेस अधिकारों के साथ उपयोगकर्ताओं को स्थापित करने के लिए उपयोग किया जाता है। तालिका में प्लेटफ़ॉर्म आइडेंटिफ़ायर के साथ एक अतिरिक्त फ़ील्ड होती है, जब उपयोगकर्ता को केवल नीचे की तरफ एक की आवश्यकता होती है।

7. सुडोर्स टेबल में उपयोगकर्ताओं के लिए व्यक्तिगत सूडो नियम हैं।

8. Hostaliases तालिका में सर्वर नामों के उपनाम होते हैं, जो कुछ मामलों में नामों की तुलना में अधिक सुविधाजनक होते हैं, उदाहरण के लिए, जब कई भूमिकाएं एक सर्वर को सौंपी जाती हैं। इस कार्यक्षमता का उपयोग करते हुए, हमें अमूर्तता का एक और स्तर मिलता है और हम नोड के नाम के बारे में परवाह नहीं करते हैं।

एक नया उपयोगकर्ता और उसका वेब इंटरफेस बनाना

1. उपयोगकर्ता के बारे में सामान्य जानकारी भरें।

2. हम सर्वर तक पहुंच प्रदान करते हैं।
नोट। फ़ील्ड्स * सर्वर - सर्वर नामों और (या) समूहों की अल्पविराम से अलग सूची। इन क्षेत्रों को भरने का एक उदाहरण:

% chars एक समूह है, उदाहरण के लिए, "www";
% chars% int एक विशिष्ट नोड है, उदाहरण के लिए, "www89";
% chars [% int-% int] एक विशेष समूह में नोड्स की सीमा है, उदाहरण के लिए, "www [17-29]"।

3. एक या अधिक sshpub कुंजियाँ जोड़ें।

4. उपयोगकर्ता के लिए sudo- अधिकार जोड़ें।

एक उपयोगकर्ता को जोड़ने और sudo- अधिकारों को निर्दिष्ट करने के बाद, एक्सेस कुछ ही मिनटों में सभी सर्वरों पर अपडेट हो जाएगा। यदि आवश्यक हो तो सर्वर पर एक उपयोगकर्ता की स्थापना को तेज किया जा सकता है।

आइए देखें कि वीपीएल के लिए एसीएल प्राप्त करने के लिए हमें क्या करने की आवश्यकता है। सब कुछ सरल से अधिक है:
1. एक उपयोगकर्ता का चयन करें।

2. वीपीएन टैब खोलें, "वीपीएन जेनरेट करें" चुनें। हमें नियम मिलता है कि आपको केवल RADIUS में जोड़ना होगा।

नोट। बेशक, डेटा स्वयं प्रकट नहीं होता है। हमारे मामले में, उन सर्वरों की सूची वाले फ़ील्ड जिनके लिए उपयोगकर्ता की पहुंच है, संसाधित होते हैं। इस डेटा के आधार पर, एक वीपीएन एक्सेस-लिस्ट बनाई जाती है। एक निश्चित लचीलापन यहां भी प्रदान किया गया है, अर्थात्। हम सबनेट और पूरे सबनेट में 1 नोड दोनों को एक्सेस दे सकते हैं। कोई दोहराव नहीं, अर्थात्। यदि आपके पास सबनेट 10.11.12.0/24 तक पहुंच है, तो यह " आईपी: इनक्ल # एन = परमिट आईपी जैसे किसी भी होस्ट 11.11.12.18 " को जोड़ने के लिए कोई मतलब नहीं है। हमारे उदाहरण में, प्राप्त डेटा को मैन्युअल रूप से वीपीएन प्राधिकरण कॉन्फ़िगरेशन में दर्ज किया जाना चाहिए (हम सुझाव देते हैं कि आप स्वतंत्र रूप से सोचते हैं कि यह कैसे किया जा सकता है - इसे एक तरह का "होमवर्क" होने दें)।

कुछ उदाहरण (कार्य - समाधान)

कार्य 1: सभी उपयोगकर्ता पहुँच को रद्द करें।
समाधान: उपयोगकर्ता के सर्वर के साथ फ़ील्ड को साफ़ करें, जिसके बाद वह स्वचालित रूप से सभी सर्वरों पर हटा दिया जाएगा (होम निर्देशिका को हटाया नहीं गया है)।

कार्य 2: किसी विशिष्ट सर्वर तक पहुंच रद्द करें।
समाधान: इस होस्ट को उपयोगकर्ता की सामान्य होस्ट सूची से हटा दें।

टास्क 3: एक विशिष्ट सर्वर तक पहुंच प्रदान करता है।
समाधान: उपयोगकर्ता द्वारा अनुमत लोगों के लिए आवश्यक होस्ट (एस) जोड़ें।

कार्य 4: व्यक्तियों के समूह को www-क्लस्टर में मशीनों पर nginx के पुनरारंभ को सक्षम करने के लिए।
समाधान:
एक। हम एक नया sudoers- टेम्पलेट शुरू करते हैं, इसे पर्याप्त नाम और टिप्पणी देते हैं।

INSERT INTO `tmplsudoers` (`tmplname`, `comments`) VALUES ('suwwwrun', 'su to wwwrun user and restart nginx if needed');

नोट। यह उदाहरण हमारे वेब इंटरफेस के विकल्प के रूप में दिया गया है।

ख। इस टेम्पलेट के लिए विशिष्ट नियम जोड़ें।

 INSERT INTO `tmplsudoersrules` (`tmplid`, `hostname`, `runas`, `commands`, `nopasswd`) VALUES (26, 'www[0-9]*', 'ALL', '/bin/su - wwwrun', 1); INSERT INTO `tmplsudoersrules` (`tmplid`, `hostname`, `runas`, `commands`, `nopasswd`) VALUES (26, 'www[0-9]*', 'ALL', '/etc/init.d/nginx *', 1);

सी। अब हमें इंटरफ़ेस में उपयोगकर्ता के लिए इस टेम्पलेट को जोड़ने की आवश्यकता है, जिसके बाद नियमों का पूरा सेट उसके लिए काम करेगा।
नोट। टेम्प्लेट नियमों के अलावा, हम अलग-अलग उपयोगकर्ताओं के लिए विशिष्ट नियम निर्धारित कर सकते हैं।

टास्क 5: सूदो के सुरक्षित जोड़ को सुनिश्चित करने के लिए, क्योंकि कुछ मामलों में, पहली नज़र में हानिरहित प्रतीत होता है, सूडो सुरक्षा क्षति का कारण बन सकता है (उदाहरण के लिए, कम, माउंट या rsync)। हेल्पडेस्क को कर्मचारियों को ये अधिकार देने की अनुमति दें।
समाधान: टेम्पलेट अनुभवी सिस्टम प्रशासक द्वारा बनाए जाते हैं, और हेल्पडेस्क कर्मचारी केवल उपयुक्त अंक डालते हैं।
हेल्पडेस्क कर्मचारियों को टेम्प्लेट असाइन करने की अनुमति दें, लेकिन उनके समायोजन पर प्रतिबंध लगा दें, साथ ही एक विशिष्ट उपयोगकर्ता के लिए अद्वितीय नियमों को जारी करने पर रोक लगा दें।

टास्क 6: सर्वर को बाधित न करने के लिए इस तरह से कॉन्फ़िगर करें, क्योंकि गलत सिंटैक्स और (या) HOSTALIASES निर्देशों के दोहराव की उपस्थिति के बुरे परिणाम हो सकते हैं।
समाधान:
एक। उपयोगकर्ता के लिए एक sudoers- फाइल को जोड़ने या बदलने से पहले, वाक्यविन्यास की जाँच की जाती है (त्रुटि के मामले में, एक अधिसूचना उत्पन्न होती है, उपयोगकर्ता के लिए sudoers फ़ाइल नहीं बदली जाती है)।
पायथन फ़ंक्शन उदाहरण:

 VISUDO ='/usr/sbin/visudo' def visudoCheck(filename,user): visudo_cmd = 'echo -ne "%s "; echo "%s" | %s -c -f -' % (user,filename,VISUDO) (visudo_status, visudo_output) = commands.getstatusoutput(visudo_cmd) if not visudo_status == 0: print "\n"+filename sys.stderr.write(visudo_output[:1024]) return visudo_status

ख। टेम्प्लेट अनुभवी सिस्टम प्रशासक द्वारा बनाए जाते हैं, और हेल्पडेस्क कर्मचारी केवल उपयुक्त अंक डालते हैं।

सी। "Host_Alias" तार बनाते समय, नकल से बचने के लिए निम्नलिखित नियमों का उपयोग किया जाता है:

यदि यह टेम्पलेट नहीं है, लेकिन "विशिष्ट-नियम" है, तो यह मुखौटा लिया जाता है: "STRING% USERNAME %% USERID%"
यदि यह एक टेम्पलेट है, तो निम्नलिखित मुखौटा लिया जाता है: "% USERNAME %% TMPLRULEID%", जहां% TMPLRULEID% नियम प्रविष्टि की आईडी है।

अन्य कार्यों को आसानी से हल किया जाता है, हम आपके प्रश्नों पर टिप्पणियों में चर्चा कर सकते हैं।

सर्किट के संचालन का सिद्धांत

डेटा इनपुट और / या परिवर्तन वेब उपयोगकर्ता इंटरफ़ेस के माध्यम से होता है।
क्रॉन ने एक ऐसा कार्य शुरू किया है, जो उस प्लेटफ़ॉर्म के लिए कठपुतली प्रकट करता है जिसकी हमें ज़रूरत है।
यदि दूसरे चरण में नियम में बदलाव होता है, तो Git रिपॉजिटरी को एक कमिट किया जाता है, जो डेटा को स्टोर करता है और सभी परिवर्तनों की रिपोर्ट करता है।
कठपुतली के साथ सर्वर पर, गिट रिपॉजिटरी की जांच की जाती है, और जैसे ही यह स्पष्ट हो जाता है कि अपडेट हैं और (या) परिवर्तन, एक नए कॉन्फ़िगरेशन के साथ प्राप्त किया गया है।

स्क्रिप्ट को केवल एक पैरामीटर के साथ लॉन्च किया जाता है - प्लेटफ़ॉर्म की पहचानकर्ता जिसके लिए नियम बनाए जाते हैं। निष्पादन के बाद हमें एक समान परिणाम मिलता है:

 class virtualusers { @group { "wwwaccess": gid => 1001, ensure => present } @user { "petek": ensure => $hostname ? { simplehostname1 => present, /hostgroup1(\d.*)$/ => present, / hostgroup2(\d.*)$/ => present, / hostgroup3(\d.*)$/ => present, … … default => absent, }, comment => Petek Petkovich', gid => '1001', home => '/home/petek', uid => '1018', password => '*', shell => '/bin/bash', } @virtualuser_key { "petek": group => '1001', name => 'petek', key =>"ssh-rsa dqwedqwedqwedqedqwedqwedqwedqwedqewdqwed=", require => User["petek"]; } @exec { "petek_quota": command => "/usr/sbin/setquota -u petek 5242880 5242880 0 0 -a /filesystem/", path => "/usr/sbin", onlyif => "/usr/bin/test `/usr/sbin/repquota -ua | /usr/bin/egrep '^petek\s*' | /usr/bin/awk {'print \$4'}` -ne \"5242880\"", } @file { "/etc/sudoers.d/1018_petek" : ensure => present, owner => 'root', mode => 0440, content => ''; } if $hostname =~ /^hostgroup1\d*$/ { realize (Virtualuser_key['petek','petek2'], File['/etc/sudoers.d/1018_petek', '/etc/sudoers.d/1020_petek2',]) realize (Exec['petek_quota']) } }

उदाहरण के लिए, और पठनीयता के लिए, केवल प्रकट का एक टुकड़ा बचा है। सच में, मैनिफ़ेस्ट की पठनीयता हमारे लिए बहुत अधिक रुचि की नहीं है, क्योंकि उनके बनने के तुरंत बाद, वाक्यविन्यास की जाँच की जाती है। यदि यह सही क्रम में है, तो कठपुतली मास्टर इसे पढ़ने में सक्षम है, जिस स्थिति में हमें प्रक्रिया में हस्तक्षेप करने की आवश्यकता नहीं है।

यहाँ वाक्यविन्यास जाँच का एक उदाहरण दिया गया है:

 PUPPET='/usr/bin/puppet' def puppetparsercheck(filename): puppet_cmd = '%s parser validate %s' % (PUPPET, filename) (puppetparser_status, puppetparser_output) = commands.getstatusoutput(puppet_cmd) print str(puppet_cmd) if not puppetparser_status == 0: sys.stderr.write(puppetparser_output[:1024]) return puppetparser_status

अतिरिक्त कार्यान्वयन लाभ

प्रत्येक व्यक्तिगत नोड पर, केवल उन सुडोल नियम जो इसके अनुरूप हैं; आप उन्हें sudo -l लिखकर देख सकते हैं।
उपयोगकर्ताओं को हटाने के लिए, आपको अलग-अलग कार्य करने की आवश्यकता नहीं है, क्योंकि यदि उपयोगकर्ता के पास पहुंच नहीं है, तो डिफ़ॉल्ट रूप से यह "सुनिश्चित करें> अनुपस्थित" (कठपुतली भाषा में) है।

इस प्रकार, हमें सर्वर तक उपयोगकर्ता की पहुंच को नियंत्रित करने का एक साधन प्राप्त हुआ जो हमारी सभी आवश्यकताओं को पूरा करता है। यह अपने लेखन से पहले मौजूद उपकरणों का उपयोग करता है (जो अपने आप में अद्भुत है), और अतिरिक्त सेवाओं के परिचय और समर्थन से भी हमें बचाया।

और सबसे महत्वपूर्ण बात, शायद, यह है कि "समर्थन की पहली पंक्ति" का कोई भी कर्मचारी (जो सरल उपयोगकर्ता अनुरोधों के साथ मदद करता है) ऐसी प्रणाली को संभाल सकता है।

हजारों सर्वर पर उपयोगकर्ता प्राधिकरण प्रबंधन प्रणाली