مستخدمون محليون للصورة

تعيش سجلات المستخدم في os.users. تنشئ حسابات داخل الصورة؛ وهي غير مرتبطة بحسابات موقع OpenFactory أو أدوار المؤسسة.

الشكل القانوني

{
  "os": {
    "users": [
      {
        "username": "deploy",
        "full_name": "Deployment Operator",
        "groups": ["sudo"],
        "shell": "/bin/bash"
      }
    ]
  }
}

تتضمن الحقول المدعومة username، وpassword الاختياري، وfull_name، وgroups، وshell، وlevel خاصا بالهدف تستخدمه صور Elster/Vyatta. الأمثلة الأقدم التي تحتوي home أو comment لا تطابق النموذج القانوني وقد تُتجاهل.

أسماء المستخدمين والمجموعات مقيَّدة بأحرف حساب Linux الآمنة والطول. يجب أن يكون الصدفة مسارا مطلقا بلا مسافات بيضاء أو محارف صدفة خاصة.

سلوك كلمة المرور

ترك password دون تعيين ينشئ حسابا مقفولا بكلمة المرور. تلك الحالة المفضّلة للوصفة لـ SSH بالمفتاح فقط، أو الالتحاق عند الإقلاع الأول، أو تكامل الهوية وقت النشر.

إذا أُدرجت كلمة مرور نصا واضحا، تصبح مدخل بناء حسّاسا وقد تُكشف عبر الوصفات المحفوظة أو السجلات أو التصدير. لا تستخدم بيان اعتماد إنتاج حقيقي في وصفة. وصفات الهاتف يجب أن تجمع بيانات الاعتماد على الجهاز بدلا من تثبيتها في الصورة.

قبل تعطيل مصادقة كلمة مرور SSH، أكد وجود مفتاح عام معتمد أو طريقة وصول أخرى واختبارها. وإلا يمكن أن تصبح صورة مقوّاة بشكل صحيح غير قابلة للوصول.

المجموعات والامتياز

• يمكن لـ sudo وwheel منح سلطة إدارية حسب التوزيعة.
• يمنح docker عادة تحكما مكافئا للجذر عبر مقبس الخدمة الخلفية.
• يمنح kvm الوصول إلى أجهزة الافتراضية حيث توجد.
• يمكن لـ adm كشف سجلات حسّاسة.

عامل هذه مجموعات ذات امتياز وامنح فقط ما يحتاجه الحساب. أسماء المجموعات الخاصة بالتوزيعة ليست قابلة للنقل.

حسابات الخدمة

لحساب خدمة غير تفاعلي، اختر صدفة بلا تسجيل دخول متاحة على الهدف واحذف المجموعات الإدارية. أكد أن المولّد ووحدة الخدمة يحفظان الهوية المقصودة؛ قد يضيف افتراضي الوصفة sudo إذا حُذف groups، لذا قدّم قائمة مجموعات فارغة صريحة حيث يناسب.

التحقق

اختبر الخصائص الدقيقة التي تهم:

• وجود الحساب بنطاق UID المتوقع؛
• صحة المجموعات الأساسية والإضافية؛
• صحة صدفة تسجيل الدخول وحالة قفل كلمة المرور؛
• صحة المنزل وملكية الملفات، إن وُلدت في موضع آخر؛
• رفض وصول sudo والخدمة غير المصرح به؛ و
• نجاح مسار تسجيل الدخول أو الالتحاق المعتمد.

لا تستنتج أقل امتياز من إنشاء الحساب وحده.