Nyílt forráskódú operációs rendszerek alkalmazási lehetőségei a köznevelési intézményekben

Tavaly ilyenkor rohammunkában készítettem tananyagot a fenti címmel. A feladatom az volt, hogy Linux-hoz nem értő iskolai rendszergazdáknak készítsek bevezetőt iskolai rendszerek üzemeltetéséről, ez a címben jelzett főprojekt egyik részeként valósult meg. Pár napja publikálták a cuccot, úgyhogy ide is elhelyezem a kapcsolódó linkeket.

A tananyag főleg Ubuntu 14.04 alapú, de a specifikáció miatt foglalkoztam OpenLab és SuliX rendszerrel is. A megrendelő csak nagyon kevés videót kért, de én jó sokat csináltam, és szerintem az a tanagyag legértékesebb része.

Maga a tananyag: http://moodle.sulinet.hu/course/view.php?id=142
A teljes projekt: http://hirmagazin.sulinet.hu/hu/s/opensulinet

És a videók:

OpenLDAP ACL három felhasználói csoportra

Ez a cikk sokat késet, de azért megérkezett. Nagyon hosszú időt ült félkész állapotban a piszkozatok között...

Múltkor végre sikerül elég bonyolultan megoldani azt, hogy az LDAP-on belül mindenki csak ahhoz férhessen hozzá, amihez szabad neki (legalábbis remélem:)).
Ma bonyolítom a helyzetet.

Bind users for PAM, Samba and Kerberos on Ubuntu 12.04

At this moment the ACL of our OpenLDAP server is the following (command in bold, rest is the output):

sudo ldapsearch -Q -LLL -Y EXTERNAL -b cn=config '(olcDatabase={1}hdb)' olcAccess
dn: olcDatabase={1}hdb,cn=config
olcAccess: {0}to attrs=userPassword by self write by anonymous auth by dn="cn=
 admin,dc=itthon,dc=cucc" write by * none
olcAccess: {1}to attrs=shadowLastChange,shadowMax by self write by dn="cn=admi
 n,dc=itthon,dc=cucc" write by * read
olcAccess: {2}to dn.base="" by * read
olcAccess: {3}to * by self write by dn="cn=admin,dc=itthon,dc=cucc" write by *
  read

The by * read does not look too nice. We changes this and others today.
(Ez a cikk magyarul is olvasható)

Kapcsolati felhasználók PAM-hoz, Samba-hoz és Kerberos-hoz Ubuntu 12.04-en

Jelen pillanatig az OpenLDAP-szerverünk ACL-je a következő (vastaggal a parancs, a többi a kimenet):

sudo ldapsearch -Q -LLL -Y EXTERNAL -b cn=config '(olcDatabase={1}hdb)' olcAccess
dn: olcDatabase={1}hdb,cn=config
olcAccess: {0}to attrs=userPassword by self write by anonymous auth by dn="cn=
 admin,dc=itthon,dc=cucc" write by * none
olcAccess: {1}to attrs=shadowLastChange,shadowMax by self write by dn="cn=admi
 n,dc=itthon,dc=cucc" write by * read
olcAccess: {2}to dn.base="" by * read
olcAccess: {3}to * by self write by dn="cn=admin,dc=itthon,dc=cucc" write by *
  read

A by * read nem olyan szép. Ezen és másokon változtatunk ma.
(You can read this article in English too.)

OpenLDAP Password Policy on Ubuntu 12.04-en - Part Six

Last time we managed to set up a policy handling almost every aspect of the passwords of the users stored in OpenLDAP. This means the minimal and maximal password length; the already used password which cannot be reused for a while and we arranged to get warned of the passwords about to expire.
This works more or less with Kerberos too with the exception of remembering the last passwords. The Kerberos man page says it does not work when using LDAP backend. And we happen to use one.

OpenLDAP jelszóházirend Ubuntu 12.04-en - hatodik rész

Az előző alkalommal odáig jutottunk, hogy az OpenLDAP-ban tárolt felhasználóink jelszavainak be tudjuk állítani szinte mindenét: minimális-maximális hosszát, eltárolt és egy darabig újból meg nem adható jelszavaik számát, és azt, hogy figyelmeztessen a rendszerünk, ha a jelszó lejáróban van.
Mindez többnyire megy a Kerberos-jelszavak esetében is, a kivételt a már használt jelszavak tárolása képezi, ami a Kerberos man-oldala szerint nem megy, ha LDAP-backendet használunk. Mi meg azt használunk.

OpenLDAP Password Policy on Ubuntu 12.04 - Part Five

Creating the password policy is about to get longer than a Brasilian TV-series. Last time we completed the work with the ppolicy overlay but smbkrb5pwd and Windows will cause headaches.

Today we try to solve the smbkrb5pwd problem. May I remark right here at the beginning that although I solved the problem more or less it was not by design.

OpenLDAP jelszóházirend Ubuntu 12.04-en - ötödik rész

A jelszóházirend megoldása lassan hosszabb, mint egy brazil tévésorozat. A múltkor megbeszéltük, hogy a ppolicy overlay a helyén van és működik, de az smbkrb5pwd és a Windows okoz még gondot.

Ma az smbkrb5pwd problémájának igyekszünk a végére járni. Előrebocsátom, hogy tiszta véletlen, hogy a dolog működik.

OpenLDAP Password Policy on Ubuntu 12.04 - Part Four

Today let me think about some new darknesses of policy making. A quick recap and the phrasing of the problem follows.

OpenLDAP jelszóházirend Ubuntu 12.04-en - negyedik rész

A házirendezés újabb sötét mélységei következnek ma. Következzék egy kis összefoglaló, meg némi problémafelvetés:

OpenLDAP Password Policy on Ubuntu 12.04 - Part Three

Last time we saw our shiny new ppolicy overlay working and we have a minimal password length and the accounts are locked if we fail to enter our password correctly. But hell we are not told whether our password is about to expire and even if we ask OpenLDAP to force a password chaneg we are still let in.

OpenLDAP jelszóházirend Ubuntu 12.04-en - harmadik rész

A múltkor ott hagytuk abba, hogy a frissen telepített ppolicy overlay működni kezdett, és már megy a minimális jelszóhossz, meg zárolódik a fiókunk, ha sokszor elrontjuk a jelszót. De az istenért nem értesülünk arról, ha le fog járni a jelszavunk, és hiába kérjük az OpenLDAP-ot, hogy kényszerüljön a felhasználó a jelszava megváltoztatására, nem megy még a dolog.

OpenLDAP Password Policy on Ubuntu 12.04 - Part Two

Last time we started implementing a password policy. The server side is more or less ready. Now let us do some testing.

OpenLDAP jelszóházirend Ubuntu 12.04-en - második rész

A múltkor nekiálltunk a jelszóházirend megvalósításának. A szerveroldallal kábé meg is vagyunk. Most egy kis tesztelgetés következik.

OpenLDAP Password Policy on Ubuntu 12.04 - Part One

From today on I publish some posts about how to make an Ubuntu system using OpenLDAP auth to act as defined in a password policy.
(Ez a cikk magyarul is olvasható.)
What is a password policy good for?
In my case it's three things:

• you can define the minimum length of the passwords
• passwords expire
• before the expiration the user gets a warning to change the password

OpenLDAP jelszóházirend Ubuntu 12.04-en - első rész

A mai naptól pár alkalommal arról írok, hogy miként vehető rá egy OpenLDAP-hitelesítésű Ubuntu jelszóházirend betartására.
Mire is használható egy jelszóházirend?
Számomra a következőkre jó:

• meghatározható a jelszó minimális hossza
• lejár a jelszó
• a lejárás előtt figyelmeztetést kapunk

Kerberos with LDAP Backend on Ubuntu 12.04 - Part Five

In the previous four posts we added the Kerberos-schema to our OpenLDAP-server, did the initial Kerberos setup and created the first principals, connected PAM and MIT-Kerberos first on the server then on a client. Today we set up the smbkrb5pwd overlay.
(Ez a cikk magyarul is olvasható.)

Kerberos LDAP backend-del Ubuntu 12.04-en - ötödik rész

Az előző négy alkalommal telepítettünk OpenLDAP-sémát a Kerberos számára, beköltöztünk a Kerberos-ba, és létrehoztuk az első principalokat, összekapcsoltuk a PAM-ot és az MIT-Kerberost, először a szerveren, majd egy kliensen. Ma munkába vetjük az smbkrb5pwd overlay-t.
(You can read this post in English too.)

Kerberos with LDAP Backend on Ubuntu 12.04 - Part Four

Last time we walked through the things you need to have a running Kerberos server (using LDAP backend). Today we set up a client.
(Ez a cikk magyarul is olvasható.)

Kerberos LDAP backend-del Ubuntu 12.04-en - negyedik rész

Múltkor megbeszéltük, hogy mi minden kell ahhoz, hogy az OpenLDAP backenddel bíró Kerberos menjen a szerveren. Ma klienst telepítünk mellé.
(You can read this post in English too.)