Создание домашней директории ДО первого логина пользователя по LDAP

Нужно продолжать использовать LDAP, наколхозив AuthorizedKeysCommand, выгребающую ключ из каталога.

как добиться создания домашней директории при добавлении пользователя в LDAP

никак. создание пользователя в ЛДАП может быть с одного сервера, а его (пользователя) логин на другом сервере.

юзай ansible который и в ЛДАП запись сделает и на нужных серверах homedir

Может это сгодится. Не тестировал, просто первый ответ от гугла на «openldap openssh schema»
https://github.com/AndriiGrytsenko/openssh-ldap-publickey/

Нужно продолжать использовать LDAP, наколхозив AuthorizedKeysCommand, выгребающую ключ из каталога.

Ок, выглядит как решение. Пока только не очень понятно будет ли SSH демон смотреть в уже существующие authorized_keys или принимать только ключи из каталога. Спасибо в любом случае.

юзай ansible который и в ЛДАП запись сделает и на нужных серверах homedir

За ansible у нас стреляют в упор

Обоснуй, обоснуй?

мракобесы потомучто ну и в добавок ansible интегратором не предлагался, а значит в организации не сертифицирован и ненужен.

СМК, регламенты, ISO?))

СМК, регламенты, ISO?))

Не, не настолько все плохо, но пока мы сидим на гарантии интегратора, то обязаны пользоваться его решениями и гайдами, где ldap и openssh есть, а вот ansible нету.

ну это уже неплохо. что эти есть.

Варианты:

1. Хранить ключи в LDAP
2. Все хомяки подвинуть на NFS. При логине автоматически монтировать хомяк через autofs. В качестве бонуса пользователь получает один и тот же хомяк на всех серверах.
3. Поднять Kerberos. Пусть логинятся по Kerberos-тикету. Почти то же самое, что ключ.

Пока только не очень понятно будет ли SSH демон смотреть в уже существующие authorized_keys

Ну вроде man прямо говорит, что будет, поэтому стоит выкинуть AuthorizedKeysFile вообще - нечего им локально валяться.

4. Ключи не обязательно должны лежать в хомяке. Ты сам в sshd_config указываешь, где их искать. В одном месте, где я когда-то работал, ключи лежали в /SSH_keys/$USER/authorized_keys. Специально, чтобы пользователь не мог их поменять.

Ключи не обязательно должны лежать в хомяке. Ты сам в sshd_config указываешь, где их искать. В одном месте, где я когда-то работал, ключи лежали в /SSH_keys/$USER/authorized_keys. Специально, чтобы пользователь не мог их поменять.

Кстати тоже вариант интересный, совсем без скриптоты при создании пользователей не получится, но тут вроде совсем без фанатизма. Спасибо!

Ключ может хранится в ldap и братья оттуда.

Кстати тоже вариант интересный

Ползать по серверам при каждой потребности обновить/удалить васин ключ - так себе интерес.

Ползать по серверам при каждой потребности обновить/удалить васин ключ - так себе интерес.

Нене, для нашего конкретного случая это в чем-то получше чем хранение ключа в лдапе.

Посмотри в сторону ssh сертификатов.

Там не надо класть ничего в ~/.ssh