sssd：有没有办法强制某些组成员使用特定的外壳？

Question

上下文

我想限制一些 AD 用户使用特定脚本，限制他们在这台特定机器上可以做什么。

因此，与其将它们与/bin/bash（例如）连接起来，我想强制它们使用/path/to/my/script. 这些用户位于特定的 AD 组中。

其他人应该能够使用真正的shell。

经典的方式

如果那些用户是本地用户，我只会更改 .bashrc 中的 shell 字段/etc/passwd。

sssd方式

有没有办法只为该组的成员提供不同的 shell 值？

如果不是，你会怎么做？

Answer 1

实现此目标的一种方法是声明多个域，将第一个域限制为仅给定组的成员。

[sssd]
config_file_version = 2
services = nss, pam
domains=DOMAIN_GROUP1,DOMAIN_GROUP2,DOMAIN

[nss]
default_shell = /bin/bash

[domain/DOMAIN_GROUP1]
id_provider = ad
# Domain
ad_domain = domain.local
# Servers
ad_server = dc01.domain.local,dc02.domain.local,dc03.domain.local
# Restrict to group members
ldap_user_search_base = DC=domain,DC=local?subtree?(memberOf=CN=group1,OU=Groups,DC=domain,DC=local)
# Shell
override_shell = /shell/path/for/group1
# Homedir
override_homedir = /home/%u

[domain/DOMAIN_GROUP2]
id_provider = ad
# Domain
ad_domain = domain.local
# Servers
ad_server = dc01.domain.local,dc02.domain.local,dc03.domain.local
# Restrict to group members
ldap_user_search_base = DC=domain,DC=local?subtree?(memberOf=CN=group2,OU=Groups,DC=domain,DC=local)
# Shell
override_shell = /shell/path/for/group2
# Homedir
override_homedir = /home/%u


[domain/DOMAIN]
id_provider = ad
# Domain
ad_domain = domain.local
# Servers
ad_server = dc01.domain.local,dc02.domain.local,dc03.domain.local
# Homedir
override_homedir = /home/%u

会员group1使用/shell/path/for/group1，会员group2使用/shell/path/for/group2，其他所有DOMAIN用户使用/bin/bash

缺点是如果用户是两个组的成员：它将始终属于第一个“域”DOMAIN_GROUP1。

编辑：使用 ofldap_user_search_base而不是已弃用的ldap_user_search_filter. 它应该适用于较新版本的 sssd。