如何确保NIS主目录是私有的？

Question

我想知道在保持主目录隐私的同时，使用集中身份验证和从任何Linux机器访问用户主目录的选项是什么。

现在，我面临着NFS共享的NIS设置，任何对其中一台机器具有根访问权限的人都可以读取所有用户的主目录。

怎样的设置才能防止这种情况的发生？我也对涉及AD的建议持开放态度，因为我们在一个混合的环境中运行。

要求

• 用户必须能够在某些机器上进行根访问。
• 用户不应该能够读取对其他主目录的访问。

Answer 1

NFS允许使用root_squash选项导出共享。这将root映射到用户nobody。这样，用户就可以在本地机器上扎根，而不能以root用户的身份访问共享上的文件。

但是，如果您是本地机器上的根用户，则可以模拟任何人(使用您选择的UID创建一个新用户，更改本地密码等等)。没有办法阻止别人这样做。

Answer 2

浏览umask的使用、文件/文件夹权限、可能使用sudo (每个用户提升的权限)，或者如果您希望使用LDAP模块的组合支持NIS、KRB5和LDAP。