Управление пользователями

Описание

Учетная запись пользователя по умолчанию fakel, а также вновь создаваемые учетные записи пользователей имеют все возможности для настройки системы. Все учетные записи имеют права sudo и, следовательно, могут работать в системе в качестве привилегированного пользователя.

Поддерживаются как локально администрируемые, так и удаленно администрируемые учетные записи RADIUS.

В крупных инсталляциях нецелесообразно настраивать каждого пользователя отдельно на каждой системе. ПО Факел поддерживает использование серверов RADIUS для аутентификации пользователей.

Аутентификация на основе ключа

Настоятельно рекомендуется использовать аутентификацию по ключу SSH. По умолчанию существует только один пользователь fakel, которому можно назначить любое количество ключей. Создать ssh-ключ можно с помощью команды ssh-keygen на локальной машине, которая (по умолчанию) сохранит его в файле ~/.ssh/id_rsa.pub.

Каждый SSH-ключ состоит из трех частей:

ssh-rsa AAAAB3NzaC1yc2EAAAABAA...VBD5lKwEWB username@host.example.com.

Используются только тип ssh-rsa и ключ AAAB3N.... Обратите внимание, что длина ключа обычно составляет несколько сотен символов, и его придется копировать и вставлять. Некоторые эмуляторы терминалов могут случайно разбить его на несколько строк. Будьте внимательны при вставке, чтобы он вставлялся только в одну строку. Третья часть является просто идентификатором и служит для справки.

Настройка

Пример настройки

В следующем примере и User1, и User2 смогут подключаться к ПО Факел по SSH под именем пользователя fakel, используя свои собственные ключи. User1 имеет ограничение на подключение только с одного IP адреса.

Список команд для настройки:

set system login user fakel authentication public-keys 'User1' key "AAAAB3Nz...KwEW"
set system login user fakel authentication public-keys 'User1' type ssh-rsa
set system login user fakel authentication public-keys 'User1' options "from="192.168.0.100""
set system login user fakel authentication public-keys 'User2' key "AAAAQ39x...fbV3"
set system login user fakel authentication public-keys 'User2' type ssh-rsa

Список команд

Основные настройки

•  system login user <name> full-name “<string>”

Создает нового системного пользователя с именем пользователя <name> и реальным именем, заданным в поле <string>.

• system login user <name> authentication plaintext-password <password>

Устанавливает пароль пользователя <name> в открытом виде для данной системы. Пароль в открытом виде будет автоматически переведен в защищенный хэшированный пароль и нигде не будет сохранен в открытом виде.

• system login user <name> authentication encrypted-password <password>

Устанавливает зашифрованный пароль для заданного имени пользователя <name>. Это удобно для переноса хэшированного пароля из системы в систему.

Настройки аутентификации на основе ключей

• system login user <username> authentication public-keys <identifier> key <key>

Назначает связку открытых ключей SSH <key>, идентифицированную по ключу <identifier>, локальному пользователю <username>.

• system login user <username> authentication public-keys <identifier> type <type>

Каждая часть открытого ключа SSH, на которую ссылается <identifier>, требует настройки <type> используемого открытого ключа. Этот тип может быть любым из:

  • ecdsa-sha2-nistp256

  • ecdsa-sha2-nistp384

  • ecdsa-sha2-nistp521

  • ssh-dss

  • ssh-ed25519

  • ssh-rsa

Примечание

Вы можете назначить несколько ключей одному и тому же пользователю, используя уникальный идентификатор для каждого SSH-ключа.

• system login user <username> authentication public-keys <identifier> options <options>

Задает параметры для данного открытого ключа <identifier>.

Настройка авторизации через RADIUS

• set system login radius server <address> key <secret>

Устанавливает <address> пользователя RADIUS-сервера с секретом pre-shared-secret, заданным в поле <secret>. Можно указать несколько серверов.

• set system login radius server <address> port <port>

Определяет порт <port>, через который можно связаться с сервером RADIUS <address>. По умолчанию это значение равно 1812.

• set system login radius server <address> timeout <timeout>

Установите <timeout> в секундах при запросе к серверу RADIUS <address>.

• set system login radius server <address> disable

Временно отключает определенный сервер RADIUS <address>.

• set system login radius source-address <address>

Серверы RADIUS могут быть усилены путем разрешения подключения только определенных IP адресов. Для этого можно настроить адрес источника каждого запроса RADIUS. Если этот параметр не задан, то входящие соединения с сервером RADIUS будут использовать ближайший адрес интерфейса, указывающий на сервер, что приводит к ошибкам в сетях OSPF, например, при отказе канала связи и использовании резервного маршрута.

Подсказка

Если вы хотите, чтобы пользователи-администраторы проходили аутентификацию через RADIUS, необходимо отправить атрибут Cisco-AV-Pair shell:priv-lvl=15. Без этого атрибута вы получите только обычных, непривилегированных пользователей системы.

Настройка баннера входа в систему

Вы можете установить баннер с сообщением после или перед входом в систему для отображения определенной информации для данной системы.

• set system login banner pre-login <message>

Устанавливает сообщение <message>, которое будет показано при подключении по SSH и перед входом пользователя в систему.

• set system login banner post-login <message>

Устанавливает сообщение <message>, которое будет показано после входа пользователя в систему.

Примечание

Чтобы создать новую строку в сообщении для входа в систему, необходимо экранировать символ новой строки с помощью \\\n.