GravityZone VA — 4-р хэсэг: Active Directory бүлгийн эрх, filesystem шалгалт

← GravityZone VA

Active Directory бүлгийн хэрэглэгчдэд эрх ахиулалтыг идэвхжүүлэх (Enable privilege escalation for users belonging to an Active Directory group)

Active Directory хэрэглэгчид тохиргооны интерфэйсэд root эрхээр нэвтрэхийг зөвшөөрөхөөр GravityZone appliance-ийг тохируулах алхмууд доор байна.

Appliance-ийн hostname болон домэйн нэрийг тохируулах

Active Directory (AD) технологи нь зөв DNS нэрээс хамаардаг. Иймд GravityZone virtual appliance-ийн hostname болон домэйн нэр зөв тохирсон эсэхийг шалгаарай.

Hostname-ийн тохиргоог хийх алхам:

1. 1
   Виртуалчлалын удирдлагын хэрэгслээсээ (жишээ нь vSphere Client) GravityZone virtual appliance-ийн консолд хандана.
2. 2
   Үндсэн цэснээс Configure Hostname Settings-ийг сонгоно.
3. 3
   Appliance-ийн hostname болон Active Directory домэйны нэрийг оруулна.
4. 4
   Өөрчлөлтийг хадгалахын тулд OK-г сонгоно.
5. 5
   Тохируулсны дараа appliance-ийг дахин ачаална.

Шаардлагатай багцуудыг суулгах

Энэ журам нь Active Directory нэгтгэлийг идэвхжүүлэхэд Samba ашигладаг. Иймд эдгээр багцуудыг суулгах хэрэгтэй:

# apt-get install krb5-user winbind samba ntp

Kerberos-ийг тохируулах

/etc/krb5.conf файлыг доорх жишээний дагуу өөрчилнө:

[logging]
        default = FILE:/var/log/krb5.log

[libdefaults]
        default_realm = EXAMPLE.LOCAL
        kdc_timesync = 1
        ccache_type = 4
        forwardable = true
        proxiable = true

[realms]
        EXAMPLE.LOCAL = {
                kdc = adserver.example.local
                admin_server = adserver.example.local
                default_domain = EXAMPLE.LOCAL
        }

[domain_realm]
        .adserver.example.local = EXAMPLE.LOCAL
        adserver.example.local = EXAMPLE.LOCAL
        .kerberos.server = EXAMPLE.LOCAL
[login]
        krb4_convert = true
        krb4_get_tickets = false

Samba-г тохируулах

/etc/samba/smb.conf файлыг доорх жишээний дагуу өөрчилнө:

[global]
        log file = /var/log/samba/log.%m
        max log size = 1000
        security = ADS
        realm = EXAMPLE.LOCAL
        password server = 192.168.1.2
        workgroup = EXAMPLE
        idmap uid = 10000-20000
        idmap gid = 10000-20000
        winbind enum users = yes
        winbind enum groups = yes
        template homedir = /home/%D/%U
        template shell = /bin/bash
        client use spnego = yes
        client ntlmv2 auth = yes
        encrypt passwords = true
        winbind use default domain = yes
        restrict anonymous = 2

Name Service Switch-ийг тохируулах

/etc/nsswitch.conf файлыг доорх жишээний дагуу өөрчилнө:

passwd:         compat  winbind
group:          compat  winbind
shadow:         compat

hosts:          files dns
networks:       files

protocols:      db files
services:       db files
ethers:         db files
rpc:            db files

netgroup:       nis

NTP daemon-ийг тохируулах

Цагийн синхрончлолын серверийг AD сервер болгон өөрчилнө. /etc/ntp.conf файлыг доорх жишээний дагуу өөрчилнө:

...
server dc.example.local
...

NTP daemon-ийг зогсооно:

# service ntp stop

Цагийн синхрончлолыг албадан хийнэ:

# ntpdate dc.example.local

NTP daemon-ийг дахин эхлүүлнэ:

# service ntp start

PAM-ийг тохируулах

Ubuntu 12.04 LTS болон түүнээс сүүлийн хувилбаруудад winbind багц ихэнх тохиргооны ажлыг гүйцэтгэдэг. Гэхдээ нэвтрэхэд тус болох анхдагч бус зарим сонголт байх ёстой.

Эдгээр сонголтыг тохируулахын тулд /etc/pam.d/common-session болон /etc/pam.d/sshd хоёр файлын аль алинд дараах мөрийг нэмнэ:

session    required    pam_mkhomedir.so    skel=/etc/skel/ umask=0022

winbind-ийг дахин эхлүүлэх

service winbind restart

Appliance-ийг домэйнд нэгтгэх

# net ads join -U Administrator@EXAMPLE.LOCAL

SSH daemon-ийг дахин тохируулах

SSH daemon root-ээс бусад бүх хэрэглэгчийг нэвтрэхийг зөвшөөрч байгаа эсэхийг шалгана:

...
# Authentication:
LoginGraceTime 120
PermitRootLogin no
StrictModes yes
...

Энэ нь bdadmin-д тавьсан хязгаарлалтыг бас идэвхгүй болгоно.

sudo-г тохируулах

visudo командыг ашиглан тодорхой бүлэгт эрх ахиулалтыг идэвхжүүлнэ. Жишээ нь:

%vcservicesadmin ALL=(ALL) ALL

Одоо та домэйн хэрэглэгчээр GravityZone appliance руу SSH-ээр холбогдож болно:

$ ssh EXAMPLE\\jdoe@gz.example.local

Хэрэглэгч зөв бүлэгт хамаарах бол нүүр (home) хавтас автоматаар үүсч, хэрэглэгч root эрх авах боломжтой болно.

GravityZone Virtual Appliance дээр filesystem шалгалт хийх (Run filesystem check)

Filesystem check (fsck) үйлдлийг Linux-ийн файлын системийг шалгаж, засахад ашиглаж болно. Жишээ нь таны GravityZone Virtual Appliance (VA) instance ачаалахгүй байх, эсвэл төгсгөлгүй ачаалалд гацсан үед энэ үйлдлийг ашиглаж болно.

Эх хуудсанд дэлгэцийн зүүн дээд талд байгаа цэснээс ашиглах аргаа сонгох боломжтой. Энд offline аргыг тайлбарлав.

GravityZone Virtual Appliance дээр offline filesystem check хийх

Урьдчилсан нөхцөл

• GravityZone virtual appliance-ийн виртуал машины консолын түвшний хандалт (таны hypervisor удирдлагын програм хангамжаар олгогдоно).
• Ubuntu 24.04 (desktop-ийн live ISO image). Эх хуудсанд байгаа холбоосоос татаж авч болно.
• Таны hypervisor удирдлагын програм хангамж дахь GravityZone Virtual Appliance-д холбосон (mounted) Ubuntu 24.04 Live image.

Mounted Ubuntu 24.04 image-ээс offline filesystem check хийх

1. 1
   Hypervisor удирдлагын програм хангамжаа нээнэ.
2. 2
   GravityZone Virtual Appliance-ийг унтраана (shut down).
3. 3
   GravityZone VA-ийн snapshot (агшин зуурын хуулбар) үүсгэнэ.
4. 4
   Ubuntu 24.04 Live image-ийг GravityZone VA-д холбоно (mount).
5. 5
   GravityZone VA-г Ubuntu image-ээс ачаалж, асуух үед Try or Install Ubuntu-г сонгоно. Ubuntu ачаална.
6. 6
   Ubuntu desktop дээр дэлгэцийн дээд талын хайлтын мөрийг дарж terminal гэж бичиж эхэлнэ.
7. 7
   Terminal-ийг нээж дараах командуудыг ажиллуулна:

   sudo su
   ls /dev/mapper

   Хуулах
8. 8
   GravityZone VA-ийн системийн дискийг тодорхойлно. Дараах нэрсийг хайж болно: gzva-root, gzva-data, gz-data эсвэл gz-root.
9. 9
   Filesystem шалгалт хийхийн тулд дараах командыг ажиллуулна:

   fsck –f -y /dev/mapper/gzva-root

   Хуулах

   Энэ жишээнд эх хуудсан дахь дэлгэцийн зурагт харуулснаар gzva-root-ийг ашигласан.

10. 10
    Энэ үйлдлийн үеэр алдаа гарвал баталгаажуулах диалог гарна. fsck-ийн бүх асуултад yes гэж сонгоно.
11. 11
    Filesystem шалгалт дууссаны дараа GravityZone VA-г Ubuntu image-гүйгээр дахин ачаалж, appliance амжилттай ачаалж байгаа эсэхийг шалгана.

Filesystem шалгалт алдааг засаж чадахгүй бол GravityZone Virtual Appliance-ээ мэдээллийн сангийн нөөцөөс сэргээхийг зөвлөж байна. Дэлгэрэнгүйг Restore a database backup хэсгээс үзнэ үү.