LFCS 사용자 환경·limits·ACL·LDAP 실습

cat > /etc/profile.d/lfcs-tools.sh <<'PROFILE'
export EDITOR=vim
case ":$PATH:" in
  *:/opt/tools/bin:*) ;;
  *) export PATH="/opt/tools/bin:$PATH" ;;
esac
PROFILE
chmod 644 /etc/profile.d/lfcs-tools.sh
bash -n /etc/profile.d/lfcs-tools.sh
runuser -l lfcsuser -c 'printf "EDITOR=%s\nPATH=%s\n" "$EDITOR" "$PATH"'

같은 검증 명령을 다시 실행해 /opt/tools/bin이 한 번만 있는지 확인한다.

getent passwd batch >/dev/null || useradd -m -s /bin/bash batch
cat > /etc/security/limits.d/batch.conf <<'LIMITS'
batch soft nofile 4096
batch hard nofile 8192
LIMITS
chmod 644 /etc/security/limits.d/batch.conf
runuser -l batch -c 'printf "soft="; ulimit -Sn; printf "hard="; ulimit -Hn'

예상값이 나오지 않으면 PAM stack에서 pam_limits.so가 적용되는지 확인한다. systemd가 시작한 서비스라면 다음처럼 effective 값을 별도로 본다.

systemctl show example.service -p LimitNOFILE

getent passwd analyst >/dev/null || useradd -m -s /bin/bash analyst
install -d -o root -g root -m 0750 /srv/reports
test -e /srv/reports/existing-report.txt || printf 'existing report\n' > /srv/reports/existing-report.txt
chmod 0640 /srv/reports/existing-report.txt
getfacl -R /srv/reports > /root/reports-acl.before
setfacl -m u:analyst:rx /srv/reports
setfacl -m d:u:analyst:rx /srv/reports
setfacl -m u:analyst:r /srv/reports/existing-report.txt
getfacl /srv/reports
touch /srv/reports/new-report.txt
getfacl /srv/reports/existing-report.txt /srv/reports/new-report.txt
runuser -u analyst -- test -r /srv/reports/existing-report.txt && echo existing-readable
runuser -u analyst -- test -r /srv/reports/new-report.txt && echo readable

파일 내용까지 읽어야 한다면 owner가 만든 파일의 mode와 default ACL mask를 함께 확인한다.

Rocky/RHEL 계열 VM에 필요한 client 구성 요소를 설치하고 로컬 복구 계정을 확인한다.

dnf install -y sssd sssd-ldap sssd-tools openldap-clients oddjob-mkhomedir
getent passwd lfcsadmin
id lfcsadmin

연결과 directory 조회를 먼저 확인한다.

getent hosts ldap.lab.example
timedatectl status
openssl s_client -connect ldap.lab.example:636 \
  -servername ldap.lab.example \
  -verify_hostname ldap.lab.example \
  -verify_return_error \
  -CAfile /etc/openldap/certs/lab-ca.pem </dev/null
LDAPTLS_CACERT=/etc/openldap/certs/lab-ca.pem \
  ldapsearch -H ldaps://ldap.lab.example -b dc=lab,dc=example '(uid=alice)' dn uid

s_client 출력의 Verify return code: 0 (ok)까지 확인한 뒤 LDAP 조회로 넘어간다.

익명 조회가 허용된 연습 서버의 최소 형태 예시다. 실제 서버의 schema와 TLS 요구사항에 맞게 조정한다.

# /etc/sssd/sssd.conf
[sssd]
services = nss, pam
domains = lab

[domain/lab]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldaps://ldap.lab.example
ldap_search_base = dc=lab,dc=example
ldap_tls_cacert = /etc/openldap/certs/lab-ca.pem
ldap_tls_reqcert = demand
cache_credentials = true

Rocky/RHEL 계열 예:

chown root:root /etc/sssd/sssd.conf
chmod 600 /etc/sssd/sssd.conf
sssctl config-check
authselect current
authselect select sssd with-mkhomedir --force
systemctl enable --now oddjobd sssd
getent passwd alice
id alice
sssctl user-checks alice
journalctl -u sssd -b --no-pager

--force는 현재 authselect profile을 새 선택으로 바꾸므로, 복구 가능한 실습 VM이나 변경이 승인된 서버에서만 사용한다. 출력해 둔 authselect current 결과와 콘솔 접속 경로가 되돌리기 기준이다.

마지막으로 기존 관리자 session을 닫지 않은 채 콘솔의 별도 TTY 또는 이미 준비된 원격 로그인 경로에서 alice로 새 로그인한다. 로그인 성공과 홈 생성은 NSS 조회 성공과 별개로 확인한다.

# alice의 새 로그인 session에서
id
getent passwd alice
test -d "$HOME" && ls -ld "$HOME"

Debian/Ubuntu 계열에서는 NSS·PAM 통합 도구와 홈 생성 설정 경로가 다르므로 해당 배포판 문서를 따른다. 조회 성공 뒤 별도 새 session에서 실제 인증과 홈 생성 결과를 확인한다.