使用LDAP认证

LDAP目录服务
LDAP：轻量级目录访问协议（Lightweight Directory Access Protocol）
Ø 由服务器来集中存储并向客户端提供的消息，存储方式类似于DNS分层结构
Ø 提供的信息包括：用户名、密码、通信录、主机名映射记录……

典型的LDAP工作模式
Ø LDAP服务器为一组客户机集中提供可登录的用户帐号
Ø 本地用户：用户名、密码信息存储/etc/passwd、/etc/shadow
Ø 网络用户:用户名、密码信息存储在 LDAP 服务端
Ø 这些客户机都须加入同一个LDAP域

如何加入LDAP域
加入LDAP需要的条件
1）服务端提供：
Ø LDAP服务器地址，基本DN名称
Ø 加密用的证书（若需要）
2）客户端准备：
Ø 用途：使用另一台服务器上的账号登录到本机
Ø 修改用户登录的验证方式，启用LDAP
Ø 正确配置LDAP服务器参数
Ø 软件包：sssd（与服务端沟通程序）、authconfig-gtk（图形化配置sssd程序）、
【Base DN、服务器地址、证书】

配置工具：
authconfig-gtk（图形工具）
authconfig-tui（字符界面）
系统服务（C）：sssd

ssh ldapuser0@server0.example.com 服务端Server：为其他机器提供某一种资源或功能的程序
客户端Client：使用其他机器提供的资源或功能的程序

如何加入LDAP域：
第一步：装包，yum -y install sssd authconfig-gtk
第二步：配置LDAP认证，图形：authconfig-gtk
输入LDAP服务器地址(即指定用户帐户数据库LDAP)，基本DN名称，加密用的证书
第三步：
1）查看服务状态：systemctl status sssd
2)重启sssd服务成功：systemctl restart sssd
3)设置服务开机自启：systemctl enable sssd
第四步：验证LDAP用户登录
#id ldapuser0
#su - ldapuser0

4A系统认证

原文：
4A系统是统一安全管理平台解决方案，指认证Authentication、账号Account、授权Authorization、审计Audit，中文名称为统一安全管理平台解决方案。即将身份认证、授权、审计和账号（即不可否认性及数据完整性）定义为网络安全的四大组成部分，从而确立了身份认证在整个网络安全系统中的地位与作用。

4A平台的管理功能包括：集中认证管理、集中账号管理、集中权限管理和集中审计管理，具体如下：

集中认证(authentication)管理：可以根据用户应用的实际需要，为用户提供不同强度的认证方式，既可以保持原有的静态口令方式，又可以提供具有双因子认证方式的高强度认证（一次性口令、数字证书、动态口令），而且还能够集成现有其它如生物特征等新型的认证方式。不仅可以实现用户认证的统一管理，并且能够为用户提供统一的认证门户，实现企业信息资源访问的单点登录。

集中帐号(account)管理：为用户提供统一集中的帐号管理，支持管理的资源包括主流的操作系统、网络设备和应用系统；不仅能够实现被管理资源帐号的创建、删除及同步等帐号管理生命周期所包含的基本功能，而且也可以通过平台进行帐号密码策略，密码强度、生存周期的设定。

集中权限(authorization)管理：可以对用户的资源访问权限进行集中控制。它既可以实现对B/S、C/S应用系统资源的访问权限控制，也可以实现对数据库、主机及网络设备的操作的权限控制，资源控制类型既包括B/S的URL、C/S的功能模块，也包括数据库的数据、记录及主机、网络设备的操作命令、IP地址及端口。

集中审计(audit)管理：将用户所有的操作日志集中记录管理和分析，不仅可以对用户行为进行监控，并且可以通过集中的审计数据进行数据挖掘，以便于事后的安全事故责任的认定。

主从账号概念：主账号即自然人使用的账号，目前主要是网络准入控制系统的账号。从账号即资源设备自身账号，主要是指自然人登录设备或应用系统时使用的账号。

●自然人：用户的真实姓名，在账号管理中手工进行录入。
●主账号：用户进行网络准入认证时使用的的账号，一般是一个自然人使用一个主账号，主账号可以进行第三方认证。
●源IP：自然人使用的终端IP。
●目的IP：自然人登录资源的IP。
●从账号：资源上的系统账号。
●审计事件：通过对原始审计信息进行分析处理后得到的审计结果。
●审计级别：自动给审计事件定级，一般分为高、中、低三个级别。
●会话回放：为了保证审计事件的完整性，形成一个完整的证据链条，对用户所有的输入和输出进行全部展现。