User remote sperren

[01011970]

Hallo,
ich hoffe Ihr könnt mir sagen, wie ich es schaffe normale User für ein remote login zu sperren.
Wie ich root sperren kann, ist mir klar, aber normale User?
Ich möchte, dass sich User erst mal mit Ihrem Account anmelden und erst dann auf einen anderen User ( z.B. ein Gruppenuser) switchen können.
Besten Dank
Karl

[Ten Little Indyans]

ich hoffe Ihr könnt mir sagen, wie ich es schaffe normale User für ein remote login zu sperren.
Wie ich root sperren kann, ist mir klar, aber normale User?
Ich möchte, dass sich User erst mal mit Ihrem Account anmelden und erst dann auf einen anderen User ( z.B. ein Gruppenuser) switchen können.

Auf was für einem System denn?

Bei Solaris gibt es seit Version 8 die Role-Based Access Control (RBAC). Da würde man die Gruppenuser nicht als User sondern als Rolle anlegen, dann ist kein direkter Login möglich. (Disclaimer: Kenne nur die Theorie, hab damit keine praktischen Erfahrungen.)

http://www.sun.com/software/whitepapers/wp-rbac/wp-rbac.pdf


Einer unserer Kunden verwendet Keon bzw. BoKS von Fox Technologies. Da kann man haarklein einstellen welcher User wann und wie auf das System drauf darf und zu welchen anderen Usern er wann wechseln darf. Ist aber wahrscheinlich für kleinere Firmen und Privatleute absolut übertrieben und viel zu teuer.


Ansonsten würde ich das Ganze am "remote login" aufhängen. Eigentlich sollte hier nur SSH in Frage kommen da RSH und Telnet nicht sicher sind. Dem SSH-Server kann man über die Konfigurationsdatei beibringen nur bestimmte User reinzulassen, oder andere (= Gruppenuser) draussen zu lassen. Siehe AllowUsers bzw. DenyUsers in sshd_config(5).

Gruß,
Andrew.

[01011970]

Hi Ten Little Indyans,

vielen Dank erst mal.
Ich verwende HP-UX 11.23 . An das mit dem ssh habe ich auch schon gedacht, aber ich möchte natürlich auch die grafische Anmeldung unterbinden. Und das in zwei Dateien zu machen finde ich nicht so schön.
Gibt es nicht eine systemweite Möglichkeit? Bei AIX geht das doch auch...
Ach so, natürlich sind alle r-Dienste gesperrt.

Karl

[unkraut]

Vielleicht die login shell auf /bin/false oder etwas aehnliches stellen ?

[madze]

Das dachte ich erst auch, aber dann geht ja auch der lokale login nimmer. Oder irre ich mich da?

[truerasp]

Das dachte ich erst auch, aber dann geht ja auch der lokale login nimmer. Oder irre ich mich da?

noe ... ne shell wechselst du auf den user nimmer mit /bin/false . das macht man fuer systemdienste die von irgendeinem daemon ohne login gestartet werden.

[01011970]

Wenn ich die login shell auf /bin/false stelle, dann kann ich doch auch nicht mehr per su auf den User wechseln, oder?

Edit: Das hat ja Madze auch schon gesagt... sorry...

[Fleedwood]

Wenn ich die login shell auf /bin/false stelle, dann kann ich doch auch nicht mehr per su auf den User wechseln, oder?

su geht, aber kein su -, hat ja auch keine Login Shell.

Thomas.

[01011970]

hmmmm... das nützt mir leider nicht viel, da ich einige Umgebungsvariablen des Users brauche.

[Fleedwood]

war auch nicht meine Idee, daß das hilft.

Unter Linux könnte man sowas mit PAM realisieren (Module pam_listfile.so). Das scheint aber wohl das HPUX PAM nicht zu kennen.

Beim googlen bin ich auf http://docs.hp.com/en/5992-2395/5992-2395.pdf gestoßen. Ich habs nur kurz überflogen und vom Thema
paßts. Ein direkte Lösung hat mich allerdings nicht angesprungen.

Thomas.

[unkraut]

mit sudo sh wuerde man die login shell umgehen.

[truerasp]

mit sudo sh wuerde man die login shell umgehen.

aber damit wechselst du nicht auf irgendeinen user oder ?

ich habe bei einem datacenter betreiber mal gesehen dass die dafuer extra login server gestrickt haben, die dann datenbank gesteuert bestimmte remote sessions zugelassen haben oder eben nicht.

das ist bisschen mit kannonen auf spatzen geschossen aber vermutlich hats was damit zu tun dass das lokal sehr schlecht einfach zu loesen ist.

mir faellt auch beim besten willen fuer hpux keine lokale loesung ein

[Fleedwood]

mit sudo sh wuerde man die login shell umgehen.

aber damit wechselst du nicht auf irgendeinen user oder ?

das schon, aber müßte dann den ganzen Enviroment Kram per Hand sourcen...

Thomas.