管理员如何在数百台 Linux 服务器上维护用户帐户？

Question

面对数百台RHEL服务器，如何维护本地root账号和网络用户账号？是否有一个活动目录类型的解决方案可以从一个中心位置管理这些？

Answer 1

Active Directory 的一个核心组件是 LDAP，它在 Linux 上以OpenLDAP和389DS（以及其他一些）的形式提供。此外，另一个主要组件 Kerberos 以MIT Kerberos和Heimdal的形式提供。最后，您甚至可以将您的机器连接到 AD。

Answer 2

您可以尝试使用 puppet 来管理用户：

为什么要使用 Puppet 来管理用户帐户？（而不是 NIS、LDAP 等）

在 puppet 中管理用户帐户的好处之一是它是去中心化的。每个用户帐户只是托管服务器上的普通用户帐户。除了它们是由 puppet 创建而不是由人工管理员创建的事实之外，puppet 创建的用户帐户没有什么特别之处。这样做的好处是，如果主主机死亡，我们不会丢失身份验证。这意味着我们的 puppetmaster 服务器（或 NIS/LDAP 服务器）不需要任何特殊的正常运行时间要求。如果发生紧急情况，我们可以专注于启动我们的生产服务器，并专注于“根据需要”启动 Puppetmaster。这样做的缺点是 puppet 不一定真正设计用于管理“普通”登录用户帐户（与系统帐户相反）。出现这种情况的最大方式是，虽然您可以在 puppet 中设置密码，但 puppet 会持续监控系统设置（良好），如果它注意到密码已更改，则会重置它。（坏）我不想在我们的网络上监控用户密码，所以需要有一种方法来设置密码并让 puppet 停止监控这个密码。幸运的是，一旦你弄清楚了诀窍，这实际上非常容易。但首先，让我们先了解一些定义。

http://docs.puppetlabs.com/pe/2.5/console_auth.html

Answer 3

正如 SvenW 所提到的，有 389DS 和 Kerberos。从 RHEL 6.2 开始，Red Hat 已经包含IPA在发行版中（因此在 CentOS 中也是如此）。这是一个完整的身份管理套件，其中包含 389DS 和 Kerberos，对身份验证和授权进行基于策略的控制，以及可选的 DNS。它甚至可以配置为与 Active Directory 进行单向或双向同步。

IPA 在 RHEL 主机上几乎需要 SSSD，但没有它也能工作。我什至测试过将 Solaris 10 连接到 IPA（有效，但有点繁琐）。为 RHEL 主机设置 IPA 非常简单。

这是基于FreeIPA项目。