System centralnej autentykacji użytkowników - wdrożenie i administrowanie na klastrze komputerowym WCSS.

Bartłomiej Balcerek, Wrocławskie Centrum Sieciowo-Superkomputerowe

25 października 2003


Spis treści
1. Założenia i cele wdrożenia
2. System PAM-LDAP
3. Procedura wdrożenia
4. Administrowanie systemem
4.1. Narzędzia
4.2. Procedury administrowania
5. Propozycje rozwoju
6. Wykorzystane materiały

1. Założenia i cele wdrożenia

W skład klastra komputerowego UKŁAD Wrocławskiego Centrum Sieciowo-Superkomputerowego wchodzą 32 komputery: 1 serwer dostępowy, plików i usług, 22 węzły liczące (typu PC i Intel Itanium), wszystkie w postaci typu "rack", zamontowane w szafie, oraz 9 węzłów liczących PC, wolnostojących, wyposażonych w karty wspomagające grafikę 3D, monitory 19" i konsole. Węzły te, prócz funkcji obliczeniowych, stanowią laboratorium multimedialne i mogą być wykorzystane do prowadzenia zajęć, warsztatów lub prezentacji. Powszechnie znajdują też zastosowanie jako terminale dostępowe użytkowników do wszystkich zasobów działu Komputerów Dużej Mocy (KDM). Założeniem obowiązującym od chwili powstania klastra jest, by dostęp do każdej z maszyn UKŁADu byl identyczny, tj. aby każdy użytkownik miał konto o takiej samej nazwie, haśle dostępu i innych parametrach na każdym z komputerów klastra. Założenie to pierwotnie realizowane było poprzez standardowy system autentykacji użytkowników w systemach uniksowych, oparty na danych o kontach przechowywanych w plikach tekstowych: nazw użytkowników (/etc/passwd), haseł (/etc/shadow) oraz grup (/etc/group). Dotychczasowe rozwiązanie zastosowane w klastrze UKŁAD polegało na replikowaniu takiej bazy danych, utrzymywanej i zarządzanej na serwerze dostępowym, na wszystkie węzły klastra z zadaną częstotliwością (przyjęte zostało 30 minut). Rozwiązanie to posiadało istotne wady, m.in.:

Głównym celem wdrożenia nowego rozwiązania miało być wyeliminowanie powższych niedogodności. W lipcu 2003 zaproponowane zostalo wdrożenie systemu autentykacji użytkowników opartego na jednej, centralnej bazie danych, pozbawionego wymienionych wad i spełniającego założenie o zunifikowanym dostępie.