标签: authentication

感谢这个问题的答案，在过去的 5 年里我一直很高兴为 Scientific Linux 6 和 7 生成 Kickstart 文件。然而，我们现在开始使用 CentOS 8 构建一些测试系统，并遇到了一些问题。

尽管使用相同的方法来生成哈希值（或者实际上，重复使用完全相同的哈希值），但用户的密码设置不正确。我找不到任何表明 EL 7 和 8 之间发生变化的文档。

这是我在 Kickstart 文件中创建的测试用户：

user --homedir=/var/ftp --name=A3857275828 --password=$6$J52QJaSjIt8GGqRS$4YyusOJ5EtpikCdwgXJrorW7XyiLRCT.jjRZsHLv04ZV7ng8wTdrwFUF2u5QXGWiEmDgu/g9RpXxLKPoRD4Kh0 --iscrypted --shell=/usr/sbin/nologin --uid=5001 --gid=5001\n

密码应该是，9282759601013452但登录失败，直到我使用该passwd实用程序手动更改密码。我在创建的所有非特权帐户上看到相同的失败，但root 密码工作正常。基于密码的登录已使用 SSH 和 FTP（由 PAM 支持的 vsftpd）进行了测试。

/var/log/anaconda/journal.log在设置过程中没有显示任何有趣的内容：

Jun 26 20:52:17 test.test.local anaconda[1946]: program: Running... useradd -R /mnt/sysimage -g 5001 -d /var/ftp -M -s /usr/sbin/nologin -u 5001 A3857275828\nJun 26 20:52:17 test.test.local …

pam 如何根据用户是否通过 ssh、本地、串行控制台等登录来决定使用 /etc/pam.d 中的哪些文件？

我有一个基本系统，上面有几个（目前是两个）VM，都运行 Ubuntu Server。当我启动一个新的系统时，我必须不断在每个系统上添加我的用户帐户，并授予它 sudo 访问权限等，并且存在密码/私钥未自动同步等问题。

有没有一种简单的方法可以为所有这些用户帐户提供（一个或两个）共享登录？他们需要是具有主目录等的真实帐户。它们也已经存在，因此我需要将它们从普通用户帐户迁移到新解决方案。

LDAP 似乎比我真正需要的稍微（很多）复杂，而且我很难确定 NIS 是否是我想要的。我应该考虑哪些解决方案，以及如何开始？

你能指点一下通过 HTTP/HTTPS 设置 Mercurial 吗？我正在设置一个开发服务器 (Debian)，我想在其中创建一个 mercurial 存储库并将更改推送到服务器。我需要进行身份验证以防止任何不必要的访问。

提前致谢。

我正在尝试配置 Postfix，以便它接受来自外部经过身份验证的客户端的邮件$mynetworks。

当我尝试从配置为使用端口 25、SSL 和密码身份验证的 iPhone 发送测试电子邮件时，该邮件被 Postfix 拒绝。我得到以下内容/var/log/mail.info：

10 月 25 日 17:41:35 mailhost postfix/smtpd[6136]：警告：212.183.xx：主机名 host212-183-xx.uk.access.vodafone.net 验证失败：名称或服务未知

10 月 25 日 17:41:35 邮件主机 postfix/smtpd[6136]：从未知连接 [212.183.xx]

10 月 25 日 17:41:39 邮件主机 postfix/smtpd[6136]：NOQUEUE：拒绝：来自未知的 RCPT[212.183.xx]：554 5.7.1：客户端主机被拒绝：访问被拒绝；from=<aix@x.com> to=<aix@x.com> proto=ESMTP helo=<[10.25.xx]>

10 月 25 日 17:41:39 邮件主机 postfix/smtpd[6136]：与未知 [212.183.xx] 断开连接

以下是我所有main.cf与 SASL/TLS 相关的设置：

smtpd_tls_cert_file = /etc/ssl/certs/ssl-mail.pem
smtpd_tls_key_file = /etc/ssl/private/ssl-mail.key
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path …

我有几个客户端证书，我的 Apache httpd 服务器要求客户端拥有这些证书（使用http://www.garex.net/apache/ 上的说明制作）。我想要一个身份验证，它也进行身份验证并只允许客户端证书匹配用户名/密码组合。

举例来说，如果我有CN两个客户证书user1和user2和htpasswd文件

user1:passwordA
user2:passwordB

我想要类似的东西

SSLUserName %{SSL_CLIENT_S_DN_CN}
AuthName "Please enter your username and password"
AuthType Basic
AuthUserFile /path/.htpasswd
require valid-user

但是，尝试这样做会导致 500 个错误。我能做什么？

我们是一家电脑维修店。在客户端机器上工作时，我们将它们连接到我们的网络并映射驻留在我们域内的网络共享来存储硬盘驱动器的图像。直到昨天，当使用资源管理器映射网络驱动器时，我们总是自动出现用户名\密码提示。然而，截至今天，Windows 只映射共享，但显然我们得到了“拒绝访问”。尝试打开共享时出错，因为我们没有提供任何凭据。

关于为什么今天开始发生这种情况的任何想法？

我正在建立一个新的小型网络。大约 10 个服务器位于 3 个站点，总共只有 3 个用户。所有人都在运行 RHEL 6.1。我希望有集中的用户管理，尤其是有一个单一的密码，让我们的生活更轻松。简单是这里的目标。我们三个是没有系统管理员技能的开发人员。

有人向我指出了商业 Red Hat Directory Server。它看起来像我想要的那样，但它很昂贵，并且针对拥有数千台服务器和用户的公司。

我还发现了 IPA，Red Hat 最近（从 6.1 开始）将其集成为他们的“企业身份管理指南”的一部分，并且可以通过 yum 从他们的 repos 作为 ipa-server 获得。我认为这是删除了“免费”的 FreeIPA。这个产品也可能做我想做的。我的印象是它更新了，如果没有强大的商业支持，我担心它最终只会让我的生活更加艰难。

解决这个问题的老式方法似乎是对某种 LDAP + PAM + 任何系统进行管道录音。对于我们这个小而缺乏经验的团队来说，这听起来真的很混乱。

所以，问题是：任何有经验的人都可以比较和对比 RH 目录服务器与 IPA 吗？我的情况有明显的赢家吗？

基本上，我试图在访问子域的特定部分时启用身份验证模块，它们是dev.domain.com和pma.domain.com，它们都必须加载身份验证模块。我似乎无法弄清楚为什么我的 nginx 配置文件不起作用。

在第二个服务器块中，您可以看到带有身份验证模块的pma和dev，当我访问pma.domain.com或 时dev.domain.com，我没有看到浏览器中显示的身份验证模块，也没有存储任何错误日志。

无论如何，我只需要修复以启用对它们两个子域的身份验证，而不是完全重写我的 nginx 配置文件。

server {

    server_name domain.com;

    root            /var/www/domain.com/www;
    index           index.php index.htm index.html;
    error_page      404 /404.html;
    error_page      500 502 503 504  /50x.html;

    access_log      /var/www/domain.com/logs/access.log;
    error_log       /var/www/domain.com/logs/errors.log;

    error_page 404  /index.php;

    location ~ \.php$ 
    {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME /var/www/domain.com/www$fastcgi_script_name;
        include fastcgi_params;
    }
}

server {

    server_name ~^(.+)\.domain\.com$;

    set $file_path $1;

    root            /var/www/domain.com/www/$file_path;
    index           index.html index.php;

    access_log      /var/www/domain.com/logs/access.log;
    error_log       /var/www/domain.com/logs/errors.log;

    location /
    { …

我添加了一个充当“cgi-bin”的 PHP 脚本，
配置：

location ~^/cgi-bin/.*\.(cgi|pl|py|rb) {
    gzip  off;
    fastcgi_pass  127.0.0.1:9000;
    fastcgi_index cgi-bin.php;
    fastcgi_param SCRIPT_FILENAME    /etc/nginx/cgi-bin.php;
    fastcgi_param SCRIPT_NAME        /cgi-bin/cgi-bin.php;
    fastcgi_param X_SCRIPT_FILENAME  /usr/lib/$fastcgi_script_name;
    fastcgi_param X_SCRIPT_NAME      $fastcgi_script_name;
    fastcgi_param QUERY_STRING       $query_string;
    fastcgi_param REQUEST_METHOD     $request_method;
    fastcgi_param CONTENT_TYPE       $content_type;
    fastcgi_param CONTENT_LENGTH     $content_length;
    fastcgi_param GATEWAY_INTERFACE  CGI/1.1;
    fastcgi_param SERVER_SOFTWARE    nginx;
    fastcgi_param REQUEST_URI        $request_uri;
    fastcgi_param DOCUMENT_URI       $document_uri;
    fastcgi_param DOCUMENT_ROOT      $document_root;
    fastcgi_param SERVER_PROTOCOL    $server_protocol;
    fastcgi_param REMOTE_ADDR        $remote_addr;
    fastcgi_param REMOTE_PORT        $remote_port;
    fastcgi_param SERVER_ADDR        $server_addr;
    fastcgi_param SERVER_PORT        $server_port;
    fastcgi_param SERVER_NAME        $server_name;
    fastcgi_param REMOTE_USER        $remote_user;
}

PHP脚本：

<?php

$descriptorspec = array(
   0 …