Unix ve Linux Bilgisayarlara Erişmek için Güvenlik Kimlik Bilgilerini Planlama

Bu makalede, BIR UNIX veya Linux bilgisayarda aracıları yüklemek, korumak, yükseltmek ve kaldırmak için gereken kimlik bilgileri açıklanmaktadır.

Operations Manager'da yönetim sunucusu UNIX veya Linux bilgisayarla iletişim kurmak için iki protokol kullanır:

• Secure Shell (SSH) ve Secure Shell File Transfer Protocol (SFTP)

  • Bu işlem, aracıları yüklemek, yükseltmek ve kaldırmak için kullanılır.

• Yönetim İçin Web Hizmetleri (WS-Management)

  • Tüm izleme işlemleri için kullanılır ve zaten yüklü olan aracıların keşfini içerir.

Kullanılan protokol yönetim sunucusu üzerinde istenen eylem veya bilgilere bağlıdır. Aracı bakımı, monitörler, kurallar, görevler ve kurtarmalar gibi tüm eylemler, ayrıcalıklı veya ayrıcalıksız bir hesap için ihtiyaçlarına göre önceden tanımlanmış profiller kullanacak şekilde yapılandırılır.

Operations Manager'da, sistem yöneticisinin artık UNIX veya Linux bilgisayarın kök parolasını yönetim sunucusuna sağlaması gerekmez. Artık yükseltme ile, ayrıcalıksız bir hesap UNIX veya Linux bilgisayarı üzerinde ayrıcalıklı bir hesabın kimliğini üstlenebilir. Yükseltme süreci UNIX su (süper kullanıcısı) ve yönetim sunucusunun sağladığı kimlik bilgilerini kullanan sudo programları tarafından gerçekleştirilir. SSH kullanan ayrıcalıklı aracı bakım işlemleri için (örneğin bulma, dağıtım, yükseltmeler, kaldırma ve aracı kurtarma), su ve sudo ayrıcalık yükseltmesi desteği ile SSH anahtar kimlik doğrulaması için destek (parolalı veya parolasız) sağlanır. Ayrıcalıklı WS-Management işlemleri (örneğin güvenli günlük dosyalarını görüntüleme) için, parola gerektirmeyen sudo yükseltme desteği eklenir.

Aracıları yüklemek için kimlik bilgileri

Operations Manager, bir aracı yüklemek için Secure Shell (SSH) protokolünü ve daha önce yüklenmiş aracıları bulmak için Yönetim için Web Hizmetleri'ni (WS-Management) kullanır. Yükleme için UNIX veya Linux bilgisayarda ayrıcalıklı bir hesap gereklidir. Bilgisayar ve Cihaz Yönetim Sihirbazıile alınan kimlik bilgileri hedeflenen bilgisayara iki şekilde sağlanabilir:

• Bir kullanıcı adı ve parola belirtin.

  SSH protokolü aracı yüklemek için parola veya aracının zaten imzalı bir sertifika ile yüklenmesi halinde WS-Yönetim protokolünü kullanır.

• Bir kullanıcı adı ve SSH anahtarı belirtin. Anahtar isteğe bağlı bir parola içerebilir.

Ayrıcalıklı bir hesabın kimlik bilgilerini kullanmıyorsanız, unix veya Linux bilgisayarda ayrıcalık yükseltme yoluyla hesabınızın ayrıcalıklı bir hesap haline gelmesi için ek kimlik bilgileri sağlayabilirsiniz.

Aracı doğrulanana kadar yükleme tamamlanmaz. Aracı doğrulama işlemi, aracıyı yüklemek için kullanılan ayrıcalıklı hesaptan ayrı olarak, yönetim sunucusunda tutulan kimlik bilgilerini kullanan WS-Yönetim protokolü tarafından gerçekleştirilir. Aşağıdakilerden birini yaptıysanız aracı doğrulaması için bir kullanıcı adı ve parola sağlamanız gerekir:

• Anahtar kullanılarak bir ayrıcalıklı hesap sağlandı.

• Anahtar ile sudo kullanılarak yükseltilecek ayrıcalıksız bir hesap sağlandı.

• Bulma Türü 'nü Sadece UNIX/Linux aracısının yüklendiği bilgisayarları bulolarak ayarlayarak sihirbazı çalıştırın.

Alternatif olarak, aracıyı sertifikasıyla birlikte UNIX veya Linux bilgisayara el ile olarak yükledikten sonra söz konusu bilgisayarı bulabilirsiniz. Bu yöntem en güvenli aracı yükleme yöntemidir. Daha fazla bilgi için bkz . Komut Satırını Kullanarak UNIX ve Linux Bilgisayarlara Aracı ve Sertifika Yükleme.

İzleme faaliyetleri ve temsilci bakımını gerçekleştirmek için kimlik bilgileri

Operations Manager, UNIX ve Linux bilgisayarlarını izlemek ve aracı bakımı gerçekleştirmek için kullanılacak önceden tanımlanmış üç profil içerir:

• UNIX/Linux eylem hesabı

  Bu profil, temel sistem durumu ve performans izlemesi için gerekli ayrıcalıksız bir hesap profilidir.

• UNIX/Linux ayrıcalıklı hesabı

  Bu profil, günlük dosyaları gibi korunan kaynakları izlemek için kullanılan ayrıcalıklı bir hesap profilidir.

• UNIX/Linux bakım hesabı

  Bu profil aracıları güncelleştirme ve kaldırma gibi ayrıcalıklı bakım işlemleri için kullanılır.

UNIX ve Linux yönetim paketlerinde, tüm kurallar, izleyiciler, görevler, kurtarmalar ve diğer yönetim paketi öğeleri bu profilleri kullanmak şekilde yapılandırılır. Bu nedenle, özel koşullar gerektirmediği sürece Farklı Çalıştır Profilleri Sihirbazı'nı kullanarak ek profiller tanımlama gereksinimi yoktur. Profiller kapsam içinde birikimli değildir. Örneğin, UNIX/Linux bakım hesabı profili, ayrıcalıklı bir hesap kullanılarak yapılandırıldığı için diğer profillerin yerine kullanılamaz.

Operations Manager'da, bir profil en az bir Farklı Çalıştır hesabıyla ilişkilendirilene kadar çalışamaz. UNIX veya Linux bilgisayarlara erişim kimlik bilgileri "Run As" hesaplarında yapılandırılır. UNIX ve Linux izlemesi için önceden tanımlı Çalıştırma Hesapları olmadığından, bunları sizin oluşturmanız gerekir.

Bir Farklı Çalıştır hesabı oluşturmak için, UNIX/Linux Farklı Çalıştır Hesabı Sihirbazı'nı çalıştırmalısınız. Bu sihirbaz, UNIX/Linux Hesapları'nı Yönetim çalışma alanında seçtiğinizde kullanılabilir. Sihirbaz, Farklı Çalıştır hesap türü seçimine göre bir Farklı Çalıştır hesabı oluşturur. İki Run As hesap türü vardır:

• İzleme hesabı

  WS-Yönetim kullanarak iletişim kurulan işlemlerde mevcut sistem durumu ve performans izlemesi için bu hesabı kullanın.

• Aracı destek hesabı

  SSH kullanılarak iletişim kurulan işlemler kapsamında güncelleme ve kaldırma gibi acente bakımı işlemleri için bu hesabı kullanın.

Bu 'Çalıştır Olarak' hesap türleri, verdiğiniz kimlik bilgilerine göre farklı erişim düzeyleri için yapılandırılabilir. Kimlik bilgileri, ayrıcalıksız veya ayrıcalıklı hesaplar ya da ayrıcalıklı hesaplara yükseltilebilecek ayrıcalıksız hesaplar olabilir. Aşağıdaki tablo, profiller, Farklı Çalıştır hesapları ve erişim düzeyleri arasındaki ilişkileri gösterir.

Profiller	Kimliğiyle Çalıştır hesap türü	İzin Verilen Erişim Seviyeleri
UNIX/Linux eylem hesabı	İzleme hesabı	- Ayrıcalıksız -Ayrıcalıklı - Ayrıcalıksız, ayrıcalıklıya yükseltilmiş
UNIX/Linux ayrıcalıklı hesabı	İzleme hesabı	-Ayrıcalıklı - Ayrıcalıksız, ayrıcalıklıya yükseltilmiş
UNIX/Linux bakım hesabı	Aracı destek hesabı	-Ayrıcalıklı - Ayrıcalıksız, ayrıcalıklıya yükseltilmiş

Not

Üç profil vardır, ancak yalnızca iki Olarak Çalıştır Hesabı türü vardır.

İzleme Çalıştırma Hesap Türünü belirttiğinizde, WS-Management protokolü tarafından kullanılmak üzere bir kullanıcı adı ve parola belirtmelisiniz. Aracı Bakımını Farklı Hesap ile Çalıştırma Türü belirttiğinizde, SSH protokolünü kullanarak kimlik bilgilerinin hedef bilgisayara nasıl sağlandığını belirtmelisiniz.

• Bir kullanıcı adı ve parola belirtin.

• Bir kullanıcı adı ve anahtar belirtin. İsteğe bağlı bir parola da ekleyebilirsiniz.

Farklı Çalıştır hesaplarını oluşturduktan sonra, oluşturduğunuz Farklı Çalıştır hesaplarıyla ilişkilendirmek için UNIX ve Linux profillerini düzenlemelisiniz. Ayrıntılı yönergeler için bkz UNIX ve Linux Erişimi için Çalıştırma Hesaplarını ve Profilleri Nasıl Yapılandırılır

Önemli güvenlik konuları

Operations Manager Linux/UNIX aracısı, Eylem Profili ve Ayrıcalık Profili'nde belirtilen kullanıcı adı ve parolanın kimliğini doğrulamak için Linux veya UNIX bilgisayarda standart PAM (Takılabilir Kimlik Doğrulama Modülü) mekanizmasını kullanır. PAM'nin kimlik doğrulaması yaptığı bir parolaya sahip herhangi bir kullanıcı adı, izleme verilerini toplayan komut satırlarını ve betikleri çalıştırma da dahil olmak üzere izleme işlevlerini gerçekleştirebilir. Bu tür izleme işlevleri her zaman söz konusu kullanıcı adı bağlamında gerçekleştirilir (sudo yükseltmesi bu kullanıcı adı için açıkça etkinleştirilmediği sürece), bu nedenle Operations Manager aracısı kullanıcı adının Linux/UNIX sisteminde oturum açmasından daha fazla özellik sağlamaz.

Ancak Operations Manager aracısı tarafından kullanılan PAM kimlik doğrulaması, kullanıcı adının bir etkileşimli kabuk ile ilişkilendirilmiş olmasını gerektirmez. Linux/UNIX hesap yönetimi uygulamalarınız bir hesabı sahte olarak devre dışı bırakmanın bir yolu olarak etkileşimli kabuğu kaldırmayı kapsıyorsa, bu tür kaldırma işlemleri hesabın Operations Manager aracısına bağlanmak ve izleme işlevlerini gerçekleştirmek için kullanılmasını engellemez. Bu gibi durumlarda, bu sahte devre dışı bırakılmış hesapların Operations Manager aracısında kimlik doğrulaması yapmadığından emin olmak için ek PAM yapılandırması kullanmanız gerekir.

Yükseltme ve kaldırma için aracı kimlik bilgileri

UNIX/Linux Aracı Yükseltme Sihirbazı ve UNIX/Linux Aracı Kaldırma Sihirbazı hedeflenen bilgisayarlara kimlik bilgileri sağlar. Sihirbazlar önce sizden yükseltilecek veya kaldırılacak hedeflenen bilgisayarları ardından hedeflenen bilgisayara kimlik bilgilerinin nasıl sağlanacağına dair seçenekleri seçmenizi ister:

• Mevcut ilişkili 'Run As' hesaplarını kullan

  UNIX/Linux eylem hesabı profili ve UNIX/Linux bakım hesabı profiliyle ilişkili kimlik bilgilerini kullanmak için bu seçeneği seçin.

  Sihirbaz, seçilen bilgisayarlardan birinin veya daha fazlasının gerekli profillerde ilişkili bir Farklı Çalıştır hesabı yoksa sizi uyarır. Bu durumda, geri dönüp ilişkili Farklı Çalıştır hesabı olmayan bilgisayarları temizlemeniz veya kimlik bilgilerini belirtmeniz gerekir.

• Kimlik bilgilerini belirtme

  Bir kullanıcı adı ve parola veya bir kullanıcı adı ve anahtar kullanarak Secure Shell (SS) kimlik bilgilerini belirtmek için bu seçeneği seçin. İsteğe bağlı olarak anahtar içeren bir parola verebilirsiniz. Kimlik bilgileri ayrıcalıklı bir hesap için değilse, UNIX su veya sudo yükseltme programlarını kullanarak bunları hedef bilgisayarda ayrıcalıklı bir hesaba yükseltebilirsiniz. 'su' komutu ile yükseltme bir parola gerektirir. sudo ayrıcalık yükseltmesi kullanıyorsanız, ayrıcalıksız bir hesap kullanarak aracı doğrulamak için sizden kullanıcı adı ve parola girmeniz istenir.