Thema: identity
-
Lokale Benutzer und Gruppen richtig verwalten: useradd, Systemkonten, Passwortalterung und die Falle bei usermod -aG
useradd -m -s legt einen interaktiven Benutzer mit Home-Verzeichnis und Shell an; --system mit einer nologin-Shell ist die passende Form für ein Dienstkonto. usermod -G ohne -a ersetzt die ergänzenden Gruppen eines Benutzers, statt welche hinzuzufügen – einer der am häufigsten gemeldeten Fehler bei lokalen Konten.
-
Linux-Host mit realmd und SSSD in Active Directory einbinden
Mit realm discover und realm join übernimmt realmd die detaillierte Kerberos-, LDAP- und SSSD-Konfiguration, sodass sssd.conf nicht von Hand bearbeitet werden muss. realm permit schränkt anschliessend ein, welche AD-Konten sich tatsächlich anmelden dürfen, und sssctl bietet eine zentrale Stelle, um den aktuellen Zustand von SSSD zu prüfen.
-
Active-Directory-Benutzer und -Gruppen mit PowerShell verwalten, ohne das gesamte Verzeichnis zu durchsuchen
Get-ADUser mit -Filter und -Properties, New-ADUser mit SecureString-Passwort, Add-ADGroupMember sowie Search-ADAccount/Unlock-ADAccount bei Kontosperrungen – und warum -Filter * in einem Verzeichnis mit zehntausenden Objekten eine Falle ist.
-
Nachverfolgen, welche Identitätsquelle für einen Benutzer antwortet: getent, id, nsswitch.conf und sss_cache
Ist ein Linux-Host einem Verzeichnis beigetreten, kann eine Benutzerabfrage von lokalen Dateien, von SSSD/LDAP oder von einem anderen Modul beantwortet werden, und zwar in der Reihenfolge, die nsswitch.conf vorgibt. getent und id zeigen die tatsächlich aufgelöste Antwort, und sss_cache -E zwingt SSSD, veraltete Cache-Einträge zu verwerfen.
Maschinenlesbar: JSON