The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Авторизация в squid по группам AD
Возникла необходимость разделять доступ пользователей сквид по группам AD. 
Утилита wbinfo_group.pl, идущая со сквидом при большом числе запросов валила сквид 
и были проблемы с кешированием данных. Возникла идея написать скрипт, 
который через rpc запрос забирал членов необходимых доменных групп и скидывал их в текстовые файлы 
на сервере, одновременно определяя изменения в них и при необходимости перегружая squid.

#!/usr/bin/perl -w

use Text::Diff;

$login="testlogin";
$password="secret_password";
$domain="MYDOMAIN";
$dc="dc.domain.ru";
$path="/usr/local/etc/squid/acl";
$reload_squid_cmd="/usr/local/sbin/squid -k reconfigure";
@ADgroups = ("inet_users","inet_vip","inet_sluz","inet_block");

foreach $group (@ADgroups)
    {
    @group_check= sort `/usr/local/bin/net rpc group MEMBERS $group -U $login%$password -S $dc`;
    @group_check = grep {/^$domain\\/} @group_check;
    $col=@group_check;   
    my $diff = diff \@group_check,  "$path/$group.acl";
        if ($diff and $col) {
            open (GROUPFILE, ">$path/$group.acl") or die "Can't create $group.acl: $!";
            print GROUPFILE @group_check;
            $reconfigure++;
        }
    close GROUPFILE;
}
system("$reload_squid_cmd") if ($reconfigure);


Данный скрипт вешается в cron и запускается раз в 5 минут


Доработанная версия, изменения:

-поддержка пользователей и групп из доверенных доменов
-поддержка вложенных груп(т.е групп, содержащих в себе другие группы)
-возможность указания более одного контроллера домена
-отправка уведомлений по почте администратору о изменениях в группах

#!/usr/bin/perl -w

use Text::Diff;

$login="mylogin";
$password="cool_password";
$samba_prefix="/usr/local";
$winbind_separator="\\";
@group_domain = ("DOMAIN1\\inet_users","DOMAIN1\\inet_vip","DOMAIN2\\inet_sluz");
%domain_dc = (
            'DOMAIN1' => [ 'dc.domain1.ru','bdc.domain1.ru' ],
            'DOMAIN2'  => [ 'ad1.domain2.ru','ad2.domain2.ru' ]
             );
$acl_path="/usr/local/etc/squid/acl";
$reload_squid_cmd="/usr/local/sbin/squid -k reconfigure";

sub IsGroup
{
    my $item = shift;
    foreach $dc_group (@dc_groups) {
        return 1 if ($item =~ /^\Q$dc_group\E$/i);
    }
#    print "$item\n";
    return 0;
}

sub extractusers
{
    my $group = shift;
    my @group_sostav;
    (my $domain, $group) = split(/\Q$winbind_separator\E/, uc($group), 2);
#    print "$domain $group\n";
    foreach $dc (@{ $domain_dc{$domain} }) {
#       print "$dc\n";
        @group_sostav = `$samba_prefix/bin/net rpc group MEMBERS "$group" -U $login%$password -S $dc`;
        chomp(@group_sostav);
        @group_sostav = grep { /^\w+\\.+/i } @group_sostav;
        @group_sostav = grep { !/.+\$$/i } @group_sostav;
#       print "@group_sostav\n";
        last if @group_sostav;
    }
    foreach my $login (@group_sostav)   {
        $login =~ s/(\w+)\\(.+)/\L$1$winbind_separator$2\E/o;
        my $isgroup = IsGroup($login);
        extractusers($login) if $isgroup;
        push (@users,"$login\n") if !$isgroup;
    }
}

@dc_groups = `$samba_prefix/bin/wbinfo -g`;
chomp(@dc_groups);

foreach $group (@group_domain)
{
    local @users;
    extractusers($group);
    my %Users = ();
    my @unique = sort {uc($a) cmp uc($b)} grep{!$Users{$_}++}@users;
    my $count = @unique;
    my $diff = diff "$acl_path/$group.acl", \@unique;
    if ($diff and $count) {
        print "Internet acl group <$group> change:\n";
        print "$diff\n" if $diff;;
        open (GROUPFILE, ">$acl_path/$group.acl") or die "Can't create $group.acl: $!";
        print GROUPFILE @unique;
        close GROUPFILE;
        $reconfigure++;
    }
}

system("$reload_squid_cmd") if ($reconfigure);
 
10.04.2006 , Автор: boombax
Ключи: squid, ldap, auth / Лицензия: CC-BY
Раздел:    Корень / Администратору / Сетевые сервисы / Прокси сервер Squid / ACL, ограничения трафика и пользователей

Обсуждение [ RSS ]
  • 2, quadrik (?), 15:44, 01/12/2006 [ответить]  
  • +/
    у меня в сети второй скрипт заставить работать так и не смог.
    Я не силен в перое, но тем не менее, переделал ваш первый скрипт и сделал нечто среднее между первыйм и вторым =) вот что у меня получилось:
    #!/usr/bin/perl -w

    use Text::Diff;

    # логин для общения с контроллером домена у всех одинаков
    $login="null";
    $password="c00l_password";

    # главный домен
    $domain0="DOMAIN";
    $dc0="192.168.200.3";
    # дочерний домен
    $domain4="OF4";
    $dc4="192.168.200.204";
    # тут параметры для других дочерних доменов
    # .....
    $path="/etc/squid/acl";
    $reload_squid_cmd="/etc/init.d/squid reload";
    $InetGroup="inet-full_access";

    $i=0;

    # 0-е отделение
    # Нужно убрать префикс "DOMAIN\" впереди т.к. клиенты головного его не используют
    @group_check= sort '/usr/bin/net rpc group MEMBERS $InetGroup -U $login%$password -S $dc0';
    @group_check = grep {/^$domain0\\/} @group_check;
    foreach $gc (@group_check)
    {
        $gc =~ s/DOMAIN\\//;
            $new_group_check[$i] = $gc;
    # print "$new_group_check[$i]";
    # print "  - $i\n";
            $i++;
    }
    # 4-е отделение - дочерний домен OF4.DOMAIN.RU
    # Заменять \ на +. с \ слишком много мароки
    @group_check= sort '/usr/bin/net rpc group MEMBERS $InetGroup -U $login%$password -S $dc4';
    @group_check = grep {/^$domain4\\/} @group_check;
    foreach $gc (@group_check)
    {
        $gc =~ tr/\\/+/s;
            $new_group_check[$i] = $gc;
    # print "$new_group_check[$i]";
    # print "  - $i\n";
            $i++;
    }
    # тут секции для других дочерних доменов. я не стал делать лишних циклов
    # .....

    # Проверка на изменение и запись в файл
    $col=@new_group_check;
    #print "$col\n";
    my $diff = diff \@new_group_check,  "$path/$InetGroup.acl";
            if ($diff and $col) {
                open (GROUPFILE, ">$path/$InetGroup.acl") or die "Can't create $InetGroup.acl: $!";
                print GROUPFILE @new_group_check;
                $reconfigure++;
            }
        close GROUPFILE;

    system("$reload_squid_cmd") if ($reconfigure);

     
  • 3, vvlad (ok), 19:55, 02/11/2009 [ответить]  
  • +/
    Первый скрипт не учитывает вариант с пустой группой...
     


     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:




    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру