Skip to Content
Building OsNotendur á sníði

Notendur á sníði

Notendaskrár búa við os.users. Þær búa til reikninga innan sníðsins; þær tengjast ekki OpenFactory vefsvæðisreikningum eða hlutverkum í stofnun.

Stöðluð mynd

{
  "os": {
    "users": [
      {
        "username": "deploy",
        "full_name": "Deployment Operator",
        "groups": ["sudo"],
        "shell": "/bin/bash"
      }
    ]
  }
}

Studdir reitir eru username, valfrjáls password, full_name, groups, shell og markmiðssértækt level sem Elster/Vyatta sníð nota. Eldri dæmi með home eða comment passa ekki við stöðluðu líkanið og mega verða hunsað.

Notenda- og hópanöfn eru takmörkuð við örugg stafsetningu Linux reiknings og lengd. Shell verður að vera algilt slóð án bilanna eða shell stafsetningar.

Hegðun lykilorða

Ef password er ekki sett býst til lykilorðslæstur reikningur. Það er æskilegt ástand uppskriftar fyrir SSH aðeins með lykli, first-boot skráningu eða samþættingu auðkenna við dreifingu.

Ef hreintextalykilorð er innifalið verður það viðkvæmt build inntak og getur birst í gegnum vistaðar uppskriftir, annála eða útflutning. Notaðu ekki raunveruleg framleiðsluvottorð í uppskrift. Phone uppskriftir verða að safna vottorðum á tækinu í stað þess að baka þau inn í sníðið.

Áður en slökkt er á SSH lykilorðsauðkenningu skaltu staðfesta að samþykktur almenningslykill eða annar aðgangur sé til staðar og prófaður. Annars getur rétt harðnað sníð verið óaðgengilegt.

Hópar og réttindi

  • sudo og wheel geta veitt stjórnunarheimildir eftir dreifingu.
  • docker veitir oft jafngildi root stjórnunar í gegnum daemon socket.
  • kvm veitir aðgang að sýndarvélbúnaði þar sem hann er til staðar.
  • adm getur birt viðkvæma annála.

Farðu með þetta sem forgangshópa og veittu aðeins það sem reikningurinn þarf. Dreifingartengd hópanöfn eru ekki flytjanleg.

Þjónustureikningar

Fyrir ógagnvirkan þjónustureikning skaltu velja no-login shell sem er tiltækt á markinu og sleppa stjórnunarhópum. Staðfestu að generator og service unit varðveiti ætlað auðkenni; sjálfgefið uppskriftar gildi getur bætt við sudo ef groups vantar, svo gefðu skýrt tóman hópalista þar sem við á.

Sannprófun

Prófaðu nákvæmlega þá eiginleika sem skipta máli:

  • reikningur er til með væntanlegu UID bili;
  • aðal- og aukahópar eru réttir;
  • innskráningarshell og lykilorðslæsingarstaða eru rétt;
  • home og eignarhald skráa, ef búið til annars staðar, er rétt;
  • óheimilað sudo og þjónustuaðgangur er hafnað; og
  • samþykkt innskráningar- eða skráningarleið tekst.

Ekki draga ályktun um minnst réttindi einungis út frá stofnun reiknings.

RæsingarskriftirByrjun