Есть ли способ использовать IAM в качестве метода аутентификации для PAM?

В частности, запустить цепочку из postfix, dovecot и nginx, чтобы предоставить «хорошую» почтовую службу (не так много) пользователям. Все службы совместно используют подключаемый модуль аутентификации (PAM) в качестве возможного метода аутентификации. В настоящее время системная база данных «passwd» снова используется для аутентификации через PAM.

Управление идентификацией и доступом AWS (IAM) является жестким требованием. Поэтому любые другие услуги (например, duosecurity) не подходят. Прежде чем я начну программировать модуль PAM, я прошу вашего опыта — как бы вы это сделали? Спасибо!


authentication security amazon-iam pam
person jitter    schedule 20.08.2013    source источник

Ответы (1)


arrow_upward
7
arrow_downward

Это может быть не то, что вы ищете, но, безусловно, подходит как способ использования IAM в качестве «метода» аутентификации для PAM:

Денис Михалкин (denismo) aws-iam-ldap-bridge периодически заполняет расположение каталога LDAP пользователями, группами и ролями из AWS IAM, что, в свою очередь, позволяет использовать libpam-ldap или libpam-ldapd и тем самым неявно аутентифицировать пользователей Linux в AWS IAM, используя их секретные ключи AWS IAM в качестве паролей.

Обратите внимание на следующие довольно существенные оговорки:

  1. В настоящее время для подключаемого модуля требуется пользовательская версия ApacheDS, поэтому ручная настройка маловероятна — см. Настройка существующего сервера ApacheDS LDAP
  2. Конфигурация по умолчанию НЕЗАЩИЩЕНА, однако вы можете изменить ее в соответствии со своими требованиями — см. Примечания по безопасности

Личная оценка

В то время как встроенная интеграция IAM PAM была бы отличной (а также позволяла бы использовать расширенные варианты использования, такие как многофакторная аутентификация AWS (MFA)), мне нравится прагматичный подход, заключающийся в том, чтобы просто упростить широко используемую интеграцию LDAP, но я определенно предпочел бы решение, которое идеально работает с любым совместимым сервером LDAP или, по крайней мере, со стандартным ApacheDS, чтобы упростить установку, обслуживание и оценку безопасности.

person Steffen Opel    schedule 20.08.2013