close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Opened 7 years ago

Closed 7 years ago

#3332 closed Verbesserung (im Image)

Schüler-Login im Lehrernetz unterbinden

Reported by: Rüdiger Kupper Owned by: Rüdiger Kupper
Priority: schnell erledigen Milestone: Image „Humane Henrike”
Component: Software: Ubuntu Severity: beeinträchtigt den Unterricht vieler Lehrer
Keywords: Cc: bau

Description

Als ich vorhin geschrieben habe, dass Schüler die Lehrerrechner nicht verwenden dürfen, fiel mir ein, dass man das sicher auch mit wenig Aufwand erzwingen kann. Dem PAM-auth-Mechanimus kann man sicher mitteilen, dass sich nur Nutzer der Gruppe teachers einloggen dürfen.

Change History (10)

comment:1 by Rüdiger Kupper, 7 years ago

Cc: bau added
Status: new → accepted

comment:2 by Rüdiger Kupper, 7 years ago

Der Vorgang ist zB. hier beschrieben:
​https://www.cyberciti.biz/tips/howto-deny-allow-linux-user-group-login.html

Hier eine andere Methode (aber vielleicht veraltet?)
​https://linuxconfig.org/how-to-restrict-users-access-on-a-linux-machine

comment:3 by Rüdiger Kupper, 7 years ago

Milestone: Schuljahr 2019/20 → Image "Humane Henrike"

comment:4 by Rüdiger Kupper, 7 years ago

Priority: gering → hoch
Severity: unkritisch → kritisch

comment:5 by Rüdiger Kupper, 7 years ago

Per postsync im Lehrernetz erzwingen!

comment:6 by lehm, 7 years ago

Ist das noch aktuell?

comment:7 by Rüdiger Kupper, 7 years ago

Ja, und soll am besten noch ins aktuelle Image.

comment:8 by Rüdiger Kupper, 7 years ago

Resolution: → im Image
Status: accepted → closed

Implementiert per /etc/security/access.conf (wird im Lehrernetz vom Postsync-Skript gepatcht).

comment:9 by Rüdiger Kupper, 7 years ago

Resolution: im Image
Status: closed → reopened

Ah, nun durfte der Systemnutzer "gdm" auch nicht mehr auf sein Account zugreifen, daher startetet der Login-Bildschirm nicht mehr.
War wohl doch keine ganz gute Idee, die PAM-Direktive in "common-auth" unterzubringen.
–> ändern und manuell eintragen in "login", "sshd" und "gdm3-login".

comment:10 by Rüdiger Kupper, 7 years ago

Resolution: → im Image
Status: reopened → closed

Leicht andere Lösung:
steht jetzt in "common-auth" (als auth-Direktive). Das wird von allen eingelesen. Und bezieht sich nur auf die Authentifizierung, nicht auf den Zugang auf das Account an sich.
Und Systemnutzer (wie z.B. gdm) müssen ja nie authentifiziert werden.

Note: See TracTickets for help on using tickets.