使用Kerberos实现统一认证（二）(6)

作者: Alf Wachsmann 出处:51CTO.com　

 

用户网络组

用户网络组，它的成员是账号，典型地，被用于限制登陆计算机，用户网络组定义与主机网络组定义看起来只有一点点不同：

# Group of project user groups
u-projects \
        u-projectA \
        u-projectB \
        u-projectX

# Group of users in Project X
u-projectX \
        (-,jane,) \
        (-,joe,) \
        (-,nick,)

在名字中的前缀u-是区别用户网络组和主机网络组的约定。使用这些定义，现在你可以授权或限制登陆访问你的计算机，在这些计算机上编辑/etc/passwd文件，在passwd文件的末尾移除a+：

允许u-projects网络组中所有账号访问，其他的全部不允许：
+@u-projects
只允许u-projectX网络组中的成员访问，其他不允许：
+@u-projectX
允许属于u-projects但不属于u-projectX的每个人访问：
-@u-projectX
+@u-projects
这里顺序并不重要。
允许u-projectA中的每个人和账号nick访问：
+@u-projectA
+nick

关于nick的信息（home目录、登陆shell等）来自NIS passwd映射，最好避免在这里提交有冲突的账号名，因为这些条目的管理不是集中的。

要使+/-语法工作，在你的客户端/etc/nsswitch.conf文件中需要条目：
passwd:         compat

结论

一旦你克服了安装NIS服务器最初的困难和使得你的认证数据保持一致，你就可以开始享受集中统一管理的好处了，网络组允许从一个统一的地方管理复杂的和细粒度的访问控制。

资源

1、管理NFS和NIS 第二版 作者：Hal Stern, Mike Eisler and Ricardo Labiaga出版社：O'Reilly

2、关于Linux NIS有用的信息使NIS-HOWTO:

3、PADL Software Pty Ltd., NIS到LDAP的迁移工具: .