redangel (./39) :
Moi qui pensait que Kerberos était une techno microsoft... pardon.
getent passwd renvoie exactement la même chose que cat /etc/passwd. La seule chose qui ressemble à de l'ad là-dedans, c'est sssd: "sssd:x:112:117
SSD system user,,,:/var/lib/sss:/usr/sbin/nologin"
Dans ce cas, à chaque fois qu'un nouvel utilisateur se connecte, un nouvel utilisateur local va être créé. Il y aura des uid différents sur chaque machine : ça peut poser des problèmes si tu utilises un stockage partagé.
De la même façon, les groupes ne seront pas récupérés par l'AD. Ça doit être nslcd qui doit être configuré pour ça, de mémoire.
flanker (./38):
Y a pas moyen de faire de l'authentification LDAP plutôt ? Avec une authentification par bind, tant qu'à faire.
Du coup ça veut dire activer la fonctionnalité ldap côté AD ? Je pensais (bêtement) que ça serait moins sécurité et plus obsolète comme manière de faire.
Non, si tu fais bien du LDAPS (ou du LDAP + startTLS, ce qui revient au même). Les TGT ne traîneraient plus sur les VM, mais à part ça c'est la même chose.
Ah ?! Ca m'intéresse et me surprend beaucoup. Je suis pas expert en sécu, mais à HPE on jurait beaucoup par ça, avec une (ou plusieurs dépendamment du nombre d'utilisateurs) vm point d'entrée, tout désactivé par défaut, et avec uniquement les flux en destination concernant tel ou tel projet. Si tu as de la littérature là-dessus, ça m'intéresse, car on pensait faire ça partout (quand on aura le temps...) dans ma nouvelle boîte.
Mais si l'ordi d'un des administrateurs est piégé, il va piéger les rebonds et à partir de là, le rebond va permettre de récupérer les accès de tous les admins.
Par contre, je n'ai pas des masses de littérature. Perso, comme je n'ai aucune légitimité en sécurité informatique, je me base sur le site de l'ANSSI et j'ai quelque contacts (kissiconnaissent) quand j'ai des questions.
https://www.ssi.gouv.fr/entreprise/bonnes-pratiques/https://www.ssi.gouv.fr/administration/bonnes-pratiques/
Je comprends pas trop ton point : si la VM est chiffrée, comment tu récupères les credentials de tout le monde ? Qui doivent être hashés par ailleurs (selon les technos bien sûr). Par ailleurs, ça me paraît plus facile de sécuriser un point sur le réseau (firewall tout activé, aucune fonctionnalité, un antivirus virulent, toutes les limitations possibles... le truc calvaire sur un laptop) que les machines de chacun.
Même si ton rebond est blindé, si c'est le poste d'admin lui-même qui est piégé, c'est mort d'avance dans la mesure où celui qui s'y connecte est administrateur.
L'idée est que la propagation d'un malware va globalement suivre les flux légitimes. Si tu as un flux qui va de A vers R puis vers S (ton poste d'admin vers ton rebond puis le serveur), un malware pourra facilement le suivre et se propager de A à R puis S, plus difficilement de R vers A (mais pas impossible : il y avait récemment une faille dans Ansible qui permettait de corrompre le poste d'admin à partir du serveur configuré par Ansible).
[quoteTu parles d'une machine physique ? Comment tu gères multi-utilisateurs ? Simultané ? Si ces personnes sont pas au même étage ?[/quote]
Les bonnes pratiques recommandent d'avoir des postes séparés (et des réseaux distincts) pour l'administration et les autres activités (bureautique, mail, surf, …). Au pire des VM distinctes sur un même poste.
).
SSD system user,,,:/var/lib/sss:/usr/sbin/nologin"
