[ Pobierz całość w formacie PDF ]
.W pliku konfiguracyjnym moesz poda uytkowników, którzy powinni zostawstpnie wpisani na list kontroli dostpu na poziomie udziau, uywajc opcjiusername, jak w poniszym przykadzie:[global]security = share[ksiegowosc1]path = /home/samba/ksiegowosc1guest ok = nowritable = yesusername = dawid, piotr, andrzejW takim przypadku, gdy uytkownik spróbuje poczy si z udziaem, Samba zwe-ryfikuje przesane haso w oparciu o wasn list uytkowników, a take o hasauytkowników dawid, piotr i andrzej.JeSli znajdzie pasujce haso, poczeniezostanie zatwierdzone i uytkownik uzyska dostp do udziau.W przeciwnym ra-zie poczenie z tym zasobem nie powiedzie si.Opcje zabezpiecze na poziomie udziauW tabeli 6.4 wymienione s opcje zwykle kojarzone z zabezpieczeniami na poziomieudziau.Tabela 6.4.Opcje kontroli dostpu na poziomie udziauOpcja Parametry Funkcja WartoS ZasigdomySlnaonly user WartoS OkreSla, czy jedynymi no Udzialogiczna dopuszczalnymi nazwamiuytkownika bd te okreSlonew opcji usernameusername acuch Podaje list uytkowników, Brak Udzia(user lub (lista nazw których hasa bd porównywaneusers) uytkowników) z hasem dostarczonym przezklientaonly userTa opcja okreSla, czy Samba zezwoli na poczenia z udziaem (jeSli wykorzystywa-ne s zabezpieczenia na poziomie udziau) tylko tym uytkownikom, którzy zostaliokreSleni w opcji username, a nie tym zgromadzonym na wewntrznej liScie Sam-by.DomySlna wartoS tej opcji to no.Moesz zmieni j dla kadego udziau z osob-na, jak w poniszym przykadzie:[global]security = share[dane]username = andrzej, piotr, weronikaonly user = yes Uwierzytelnianie uytkowników 159usernameOpcja ta wymienia uytkowników, których hasa Samba porówna z hasem dostar-czonym przez klienta.Zwykle uywa si jej po to, aby pozwoli klientom (korzy-stajcym z zabezpiecze na poziomie udziau) na poczenie si z konkretnym zaso-bem tylko na podstawie odpowiedniego hasa takiego, które odpowiada hasuokreSlonego uytkownika.[global]security = share[dane]username = andrzej, piotr, annaNie zalecamy uywania tej opcji, chyba e konfigurujesz serwer Samby do pracyz zabezpieczeniami na poziomie udziau.Zabezpieczenia na poziomie uytkownikaPreferowany model bezpieczestwa w Sambie to zabezpieczenia na poziomie uytkow-nika.W tym rodzaju zabezpieczenia kademu udziaowi przypisuje si uytkow-ników, którzy mog z niego korzysta.Kiedy uytkownik zada poczenia z udziaem,Samba uwierzytelnia go, porównujc jego nazw i haso z list autoryzowanychuytkowników w pliku konfiguracyjnym oraz z plikiem hase serwera Samby.Jakwspomniano wczeSniej w tym rozdziale, jednym ze sposobów ograniczenia dostp-noSci udziau jest uycie opcji valid users:[global]security = user[ksiegowosc1]writable = yesvalid users = robert, jacek, sylwiaKady z wymienionych uytkowników bdzie móg poczy si z udziaem, jeSlidostarczone przez niego haso bdzie odpowiada temu przechowywanemu w ba-zie hase serwera.JeSli wstpne uwierzytelnienie powiedzie si, uytkownik nie b-dzie musia ponownie wpisywa hasa, aby poczy si z udziaem, o ile nie usta-wiono opcji revalidate = yes.Hasa mog by przesyane do serwera Samby w postaci zaszyfrowanej lub nieza-szyfrowanej.JeSli w twojej sieci znajduj si systemy obu typów, powinieneS upew-ni si, e hasa poszczególnych uytkowników s przechowywane zarówno w tra-dycyjnej bazie hase, jak i w bazie zaszyfrowanych hase Samby.Dziki temu autory-zowani uytkownicy bd mogli uzyska dostp do swoich udziaów z klienta do-wolnego typu*.JeSli jednak zaley ci szczególnie na bezpieczestwie sieci, zalecamystosowanie hase zaszyfrowanych i rezygnacj z hase niezaszyfrowanych.W pod-rozdziale Hasa wyjaSnimy, jak uywa hase obu typów.* To, e w sieci mog znajdowa si zarówno klienty uywajce hase zaszyfrowanych, jak i niezaszyfro-wanych, jest jeszcze jednym powodem, dla którego Samba pozwala docza (lub nie) róne opcje do plikukonfiguracyjnego w zalenoSci od systemu operacyjnego klienta lub nazwy komputera. 160 Rozdzia 6: Uytkownicy, bezpieczestwo i domenyZabezpieczenia na poziomie serweraKontrola dostpu na poziomie serwera przypomina kontrol na poziomie uytkow-nika.Jednake w tym przypadku Samba deleguje uwierzytelnianie hase do serwerahase SMB, zwykle innego serwera Samby lub serwera Windows NT dziaajcegojako podstawowy kontroler domeny.Zauwa, e Samba nadal przechowuje swojlist udziaów i ich konfiguracji w pliku smb.conf.Kiedy klient próbuje nawizapoczenie z udziaem, Samba sprawdza, czy uytkownik jest rzeczywiScie upraw-niony do korzystania z udziau.Nastpnie próbuje zweryfikowa haso, czc siz serwerem hase SMB za poSrednictwem znanego protokou i przedstawiajc do za-twierdzenia nazw uytkownika i haso.JeSli haso zostanie zaakceptowane, Sambanawie sesj z klientem.Konfiguracj t przedstawia rysunek 6.2.Rysunek 6.2.Typowa konfiguracja zabezpiecze na poziomie serweraMoesz skonfigurowa Samb do wspópracy z serwerem hase (kiedy uywasz za-bezpiecze na poziomie serwera) za pomoc globalnej opcji password server, jakw poniszym przykadzie:[global]security = serverpassword server = FENIKS120 HYDRA134Zauwa, e w opcji password server moesz poda nazwy kilku komputerów.Samba bdzie czy si z kolejnym serwerem na liScie, jeSli pierwszy wybrany b-dzie niedostpny.Serwery w opcji password server okreSla si za pomoc nazwNetBIOS-owych, a nie nazw DNS lub równowanych im adresów IP.JeSli zaS którySz serwerów odrzuci podane haso, poczenie nie powiedzie si Samba nie bdzieczy si z nastpnym serwerem.Jedno zastrzeenie: mimo e korzystasz z tej opcji, nadal musisz mie konto reprezen-tujce uytkownika w serwerze Samby.A to dlatego, e Unix wymaga nazwy uyt-kownika podczas wykonywania rónych operacji wejScia-wyjScia.Aby omin tenproblem, najczSciej zakada si konto uytkownika w serwerze Samby i wyczahaso tego konta przez zastpienie go gwiazdk (*) w systemowym pliku hase (naprzykad /etc/passwd). Uwierzytelnianie uytkowników 161Zabezpieczenia na poziomie domenyKontrola dostpu na poziomie domeny przypomina kontrol na poziomie uytkow-nika.Jednake w tym wypadku Samba dziaa jako czonek domeny Windows.JakdowiedziaeS si w rozdziale 1, w kadej domenie znajduje si kontroler domeny zwykle serwer Windows NT Swiadczcy usugi uwierzytelniania hase.Dziki kon-trolerowi domeny grupa robocza dysponuje autorytatywnym serwerem hase [ Pobierz całość w formacie PDF ]