疯狂的企鹅系列 单点登录和企业目录（二）(4)

作者: Ti Leggett/黄永兵 译 出处:51CTO.com　2008-03-21 14:18　   砖    好    评论  条 　进入论坛

阅读提示：本文是一个关于保护企业目录以及单点登陆的系列文章，本文是第二部分。

OS X v10.4有一些非常细粒度的策略，它比标准的POSIX访问控制更适合操作系统，默认情况下，组admin下的成员有管理员权限，但是，这个组在存储在每个Netinfo目录中的机器的本地的，我曾经说过移除或重命名这个组是错误的，你也不能用一个叫做admin的LDAP组来覆盖这个组，因为查找时查找顺序始终是先查找本地Netinfo目录，要使用一个LDAP组来替换本地组角色，你需要编辑文件/etc/authorization，这是一个标准的Apple plist格式文件，它为不同的系统方面定义角色，你可以象下面这样修改它：

group
admin
to:
group
ldap-admins

使用不同的权限，你可以启用那些在ldap-admins组中的用户作为那个机器上的管理员，这些权限与sudo权限不同，sudo权限定义在/etc/sudoers中，这些权限控制完成如安装软件和修改系统参数的任务。

到此，我们应该能以用户leggett登陆了，Tiger的sshd支持GSSAPI机制gssapi和gssapi-with-mic，之前的OS X版本只支持gssapi，因此当登陆时或从一个OS X客户端连接时需要输入密码，sshd是开箱即支持SSO的，所以不需要再修改配置文件了。

如我前面叙述的那样，从10.4版本开始，几乎所有的OS X系统内置的服务和应用程序都支持Kerberos了，包括Apple的Mail.app，如果你正在运行你自己的CA或使用自行签名的证书，你需要导入你的CA证书到系统密钥链表（System keychain）中，因此Mail.app将不能连接到启用SSL的自签名的服务，如IMAP和SMTP，拷贝CA证书到OS X客户端，然后运行certtool：

sudo certtool i ci-cert.pem v \
k=/System/Library/Keychains/X509Anchors

现在你就准备好可以启动Mail.app了，在账号创建过程中启用GSSAPI的秘诀是输入用户名，但将密码留空，如果你还没有准备好一个有效的证书，它将提示你让你输入Kerberos密码，一旦这个账号创建好后，回去为IMAP启用SSL，默认情况下，它没有启用，mial.app在创建账号时不会给你选择的。

自从10.3版本以来所有的版本都提供了一个GUI工具来管理Kerberos证书，这个工具叫做kerberos.app（图4），但是它被埋藏在/System/Library/CoreServices下，你可以将这个工具添加到你的启动项，让其随系统启动而启动，当你的证书过期了它可以更新你的证书，并且可以显示你的证书的有效期是好长，当然还有其他有用的特征了。

图4 OS X Kerberos应用程序

许多Apple的服务和应用程序都完全支持Kerberos，包括Safari、VPN，Xgrid和AFP，使得在你的网络中你的Apple用户和管理员都是上等公民。

后记

到现在，你可能正在努力实现有巨大潜力的LDAP目录和Kerberos认证，你有一个强大的可伸缩的架构，所有客户端都能完全利用它，在我们下一篇文章中，我们将讨论如何集成不同类型的客户端，包括微软的windows系统，到那时，就可以享受你的劳动成果了。

资源

1、本文有关的配置文件: ftp.ssc.com/pub/lj/listings/issue141/8375.tgz

2、“使用Kerberos 5实现统一认证（一）” 作者Alf Wachs mann, LJ, February 2005: http://www.linuxjournal.com/article/7336

3、“无所不在的OpenLDAP” 作者Craig Swanson and Matt Lung, LJ, December 2002: http://www.linuxjournal.com/article/6266

4、Mac OS X Hacking工具: www.kernelthread.com/mac/osx/tools.html

5、“Introduction to Performing Privileged Operations With Authorization Services”: developer.apple.com/documentation/Security/Conceptual/authorization_concepts/index.html

【51CTO.COM 独家翻译，转载请注明出处及作者！】

【相关文章】

• 疯狂的企鹅系列 单点登录和企业目录（一）

• 疯狂的企鹅系列 单点登录和企业目录（三）

• 疯狂的企鹅系列 单点登录和企业目录（四）

共4页: 上一页 [1] [2] [3] 4

【内容导航】  第 1 页：Linux客户端配置（1）  第 2 页：Linux客户端配置（2）  第 3 页：Mac OS X客户端  第 4 页：资源