Metode bagi pengguna untuk mengubah kata sandi Samba

Saya memiliki server Samba untuk sekitar 5 pengguna (keamanan = pengguna) dan saya ingin cara bagi para pengguna ini untuk mengubah kata sandi mereka tanpa keterlibatan saya sehingga saya memiliki ide berikut. Apakah ini aman? Apakah ada pendekatan yang lebih baik (seperti yang lebih sederhana). Kami dulu punya SWAT untuk ini tetapi tidak lebih.

Di server: buat pengguna terbatas (/ bin / rbash + PATH ke direktori tunggal)

$ sudo adduser --shell /bin/rbash pwchange

$ cat /etc/passwd
  pwchange:x:1001:1001:pwchange,,,:/home/pwchange:/bin/rbash

$ sudo vi /home/pwchange/.bashrc
  Add:
  export PATH=/usr/local/pwchange

$ sudo ln -s /usr/bin/smbpasswd /usr/local/pwchange/smbpasswd

Gagasan di sini adalah bahwa hanya perintah sambpasswd yang dapat dijalankan oleh pengguna pwchange. Akun unix untuk pengguna Samba tidak memiliki kata sandi (mis. Log masuk melalui akun ini tidak diizinkan). Pengguna samba hanya akan dapat menggunakan akun terbatas ini untuk perubahan kata sandi Samba layanan mandiri ... tidak menjelajahi server!

Klien: Ubah kata sandi Samba melalui Terminal atau Putty (Windows)

user1@A3700:~$ ssh pwchange@192.168.1.14

pwchange@V220:~$ smbpasswd -U user1
Old SMB password:
New SMB password:
Retype new SMB password:
Password changed for user user1

samba

— brucehohl
sumber

Tapi saya pikir smbpasswditu dimaksudkan untuk pengguna dan admin sama untuk mengubah kata sandi mereka ... Itukah yang Anda inginkan?

— George Udosen

Dalam hal ini akun Unix pengguna tidak memiliki kata sandi, oleh karena itu, pengguna1 tidak dapat masuk sebagai user1@192.168.1.14. Server Samba diatur sebagai "security = user" dan pembatasan file ditetapkan dalam smb.conf. Pengguna tidak diizinkan masuk Unix karena izin berkas Unix yang mendasarinya lebih permisif daripada kombinasi izin berkas Samba dan Unix (Unix extended ACL tidak digunakan.)

— brucehohl

Di kampus saya, kami memiliki portal yang melayani sendiri yang dapat digunakan pengguna dengan menggunakan verifikasi id dan sms, dan di latar belakang kami mengeluarkan perintah smbpasswd

— Rabin

Memberi mereka semua akses ke akun dummy yang sama tidak terdengar cerdas. Bahkan jika Anda menguncinya untuk memiliki akses ke NAMUN, smbpasswdmereka masih bisa mengubah kata sandi masing-masing. Dan selalu ada kemungkinan peningkatan serangan privilege privilege.

Pada dasarnya apa yang Anda inginkan adalah memungkinkan mereka untuk menjalankan HANYA smbpasswdperintah dari akun pengguna mereka sendiri sementara masih memiliki yang setara dengan nologinakun.

Ini dapat dilakukan dengan menggunakan opsi "ForceCommand" di sshd_config Anda.

Coba ini:

Berikan setiap pengguna dengan keanggotaan akun Samba ke grup yang sama. Sebagai contoh, katakanlah "sambaOnly":
```
#From Root
groupadd sambaOnly
usermod -a -G sambaOnly Joe
```

Selanjutnya, kami ingin mengubah file sshd_config kami untuk memiliki yang berikut:

#From Root
cat << EOF >> /etc/ssh/sshd_config
Match Group sambaOnly
    ForceCommand smbpasswd
EOF

Presto. Dari pemahaman saya (dan pengujian singkat) ini berarti ketika mereka masuk melalui SSH mereka akan secara otomatis smbpasswdmenjalankan perintah dan mereka akan diminta sesuai. Mereka tidak akan pernah mendapatkan kesempatan untuk memiliki akses shell. Setelah perintah selesai mereka secara otomatis terputus, sekali lagi tidak pernah mendapatkan kesempatan untuk memiliki akses shell.

Saya tidak 100% yakin ini menghapus semua akses ke mesin dari jarak jauh. Misalnya, jika Anda menjalankan server SSH yang berbeda pada mesin yang sama yang bukan milik ForceCommandmereka, maka mereka dapat masuk melalui itu tergantung pada konfigurasi kontrol aksesnya.

Juga, jika mereka memiliki kesempatan untuk akses fisik ke terminal, mereka dapat masuk.

Namun, saya pikir untuk sebagian besar situasi ini adalah kontrol akses yang cukup kuat.

— Geraden
sumber