Si applica a SUSE Linux Enterprise Server 15 SP2

22 Gestione utenti con YaST #

Durante l'installazione è possibile creare un utente locale per il sistema in uso. Con il modulo YaST User and Group Management è possibile aggiungere altri utenti o modificare quelli esistenti. È inoltre possibile configurare il sistema per l'autenticazione con un server di rete.

22.1 Finestra di dialogo Amministrazione utenti e gruppi #

Per amministrare utenti o gruppi, avviare YaST e fare clic su Sicurezza e utenti › Gestione utente e gruppi. In alternativa, avviare direttamente la finestra di dialogo Gestione utente e gruppi eseguendo sudo yast2 users & da una riga di comando.

Figura 22.1: Amministrazione utenti e gruppi con YaST #

A ciascun utente viene assegnato un ID a livello di sistema (UID). Oltre agli utenti che possono eseguire il login al computer, esistono anche vari utenti di sistema riservati all'utilizzo interno. Ciascun utente viene assegnato a uno o più gruppi. Oltre agli utenti di sistema, sono disponibili anche gruppi di sistema per uso interno.

La finestra di dialogo principale visualizza varie schede (utenti locali, utenti di rete, utenti di sistema), a seconda del gruppo di utenti che si sceglie di visualizzare o modificare. che consentono di eseguire i compiti seguenti:

Gestione dei conti utente: Aprire la scheda Utenti per creare, modificare o eliminare temporaneamente account utente, come descritto nella Sezione 22.2, «Gestione dei conti utente». Ulteriori informazioni su opzioni avanzate quali applicazione delle policy sulle password, utilizzo di home directory cifrate o gestione delle quote del disco, sono disponibili nella Sezione 22.3, «Opzioni aggiuntive per gli account utente».
Modifica delle impostazioni di default: Gli account utenti locali sono creati secondo le impostazioni definite nella scheda Default per nuovi utenti. Ulteriori informazioni sulla modifica dell'assegnazione del gruppo di default o del percorso di default e dei permessi di accesso alle home directory sono disponibili nella Sezione 22.4, «Modifica delle impostazioni di default per utenti locali».
Assegnazione di utenti a gruppi: Ulteriori informazioni sulla modifica delle assegnazioni ai gruppi per i singoli utenti sono disponibili nella Sezione 22.5, «Assegnazione di utenti a gruppi».
Gestione dei gruppi: Nella scheda Gruppi è possibile aggiungere, modificare o eliminare i gruppi esistenti. Per informazioni su come effettuare questa operazione, vedere la Sezione 22.6, «Gestione dei gruppi».
Modifica UAM (User Authentication Method): Se il computer è collegato a una rete che fornisce metodi di autenticazione utente come NIS o LDAP, è possibile scegliere uno dei numerosi metodi di autenticazione nella scheda Impostazioni di autenticazione. Per ulteriori informazioni, fare riferimento alla Sezione 22.7, «Modifica UAM (User Authentication Method)».

La finestra di dialogo fornisce funzionalità simili per la gestione di utenti e gruppi. Scegliendo la scheda corretta nella parte superiore della finestra, è possibile passare facilmente dalla vista di amministrazione di utenti a quella di amministrazione di gruppi e viceversa.

Le opzioni del filtro consentono di definire il set di utenti e gruppi da modificare: nella scheda Utenti o Gruppo, fare clic su Imposta filtro per visualizzare e modificare utenti o gruppi. Questi sono elencati in base a determinate categorie, come Utenti locali o Utenti LDAP, se applicabili. Con Imposta filtro › Personalizza filtro è possibile impostare e personalizzare un filtro.

Le opzioni e funzioni disponibili nella finestra di dialogo dipendono dal filtro scelto.

22.2 Gestione dei conti utente #

YaST consente di creare, modificare, eliminare o disabilitare temporaneamente account utente. Gli account utente devono essere modificati solo dagli utenti esperti o dall'amministratore.

Nota: modifica degli ID utente di utenti esistenti

La proprietà del file è legata all'ID utente e non al nome utente. Dopo una modifica dell'ID utente, i file nella home directory vengono automaticamente modificati per riflettere tali cambiamenti. In seguito alla modifica dell'ID, però, l'utente non è più proprietario dei file che ha creato in altre ubicazioni del file system, a meno che la proprietà di tali file non sia modificata manualmente.

Di seguito, viene illustrato come configurare account utente di default. Per ulteriori opzioni, fare riferimento alla Sezione 22.3, «Opzioni aggiuntive per gli account utente».

Procedura 22.1: Aggiunta o modifica di account utente #

Aprire la finestra di dialogo Amministrazione utenti e gruppi di YaST e fare clic sulla scheda Utenti.
Con Imposta filtro definire il set di utenti che si desidera gestire. Nella finestra di dialogo sono elencati gli utenti del sistema e i gruppi a cui appartengono.
Per modificare le opzioni per un utente esistente, selezionare una voce e fare clic su Modifica.
Per creare un nuovo account utente, fare clic su Aggiungi.
Immettere i dati utente corretti nella prima scheda, ad esempio, Nome utente (utilizzato per il login) e Password. Questi dati sono sufficienti per la creazione di un nuovo utente. Se si fa clic su OK ora, il sistema assegnerà automaticamente un ID utente e imposterà tutti gli altri valori secondo il default.
Attivare Ricevi posta di sistema per ricevere qualsiasi tipo di notifica di sistema nella casella postale dell'utente specificata. In tal modo si crea un alias di posta per root e l'utente può leggere la posta del sistema senza dover eseguire prima il login come root.
Le e-mail inviate dal sistema sono memorizzate nella casella postale locale /var/spool/mail/USERNAME, doveUSERNAME è il nome di login per l'utente selezionato. Per leggere la posta è possibile utilizzare il comando mail.
Per modificare ulteriori dettagli quali ID utente o il percorso della home directory dell'utente, eseguire tali operazioni nella scheda Dettagli.
Se fosse necessario spostare la home directory di un utente esistente, immettere il percorso della nuova directory e spostare i contenuti della home directory corrente con Sposta nella nuova ubicazione. In caso contrario, verrà creata una nuova home directory che non conterrà nessun dato esistente.
Per forzare gli utenti a modificare regolarmente la password o a impostare altre opzioni per la password, passare a Impostazioni Password e modificare le opzioni. Per ulteriori informazioni, fare riferimento alla Sezione 22.3.2, «Implementazione delle norme sulle password».
Se tutte le opzioni sono state impostate come desiderato, fare clic su OK.
Fare clic su OK per chiudere la finestra di dialogo di amministrazione e salvare le modifiche. Un utente appena aggiunto potrà eseguire il login al sistema utilizzando il nome di login e la password creati.
In alternativa, per salvare tutte le modifiche senza chiudere la finestra di dialogo Amministrazione utenti e gruppi, fare clic su Opzioni avanzate › Scrivi modifiche ora.

Suggerimento: ID utente corrispondenti

È utile far corrispondere l'ID utente (locale) con quello nella rete. Ad esempio, un nuovo utente (locale) su un computer portatile deve essere integrato in un ambiente di rete con lo stesso ID utente. Questo garantisce che la proprietà dei file creati dall'utente «offline» sia uguale a quella risultante nel caso in cui i file vengano creati direttamente in rete.

Procedura 22.2: Disabilitazione o eliminazione di account utente #

Aprire la finestra di dialogo Amministrazione utenti e gruppi di YaST e fare clic sulla scheda Utenti.
Per disabilitare temporaneamente un account utente senza eliminarlo, selezionare l'utente dall'elenco e fare clic su Modifica. Attivare Disabilita Login Utente. L'utente non sarà in grado di eseguire il login nel computer finché non si abilita nuovamente l'account.
Per eliminare un account utente, selezionarne il nome nell'elenco e fare clic su Elimina. Scegliere se si desidera eliminare anche la home directory dell'utente o se si desidera conservare i dati.

22.3 Opzioni aggiuntive per gli account utente #

Oltre alle impostazioni per un account utente di default, in SUSE® Linux Enterprise Server sono disponibili ulteriori opzioni. Ad esempio, opzioni per applicare nuove policy password, utilizzare home directory cifrate o definire quote del disco per utenti e gruppi.

22.3.1 Login automatico e senza password #

Se si utilizza l'ambiente desktop GNOME, è possibile configurare il login automatico per alcuni utenti e il login senza password per tutti gli utenti. Il login automatico esegue automaticamente il login di un utente nell'ambiente desktop all'avvio. Questa funzionalità può essere attivata solo per un utente alla volta. Il login senza password consente a tutti gli utenti di eseguire il login nel sistema dopo aver immesso il proprio nome utente nel manager login.

Avvertimento: rischi di sicurezza

L'abilitazione di Login automatico o di Login senza password su un computer accessibile da più persone rappresenta un rischio per la sicurezza. Senza la necessità di eseguire l'autenticazione, qualsiasi utente potrà accedere al sistema e ai dati. Se il sistema contiene dati confidenziali, non utilizzare questa funzionalità.

Per attivare il login automatico o senza password, accedere a queste funzioni dalla finestra di dialogo Amministrazione utenti e gruppi di YaST scegliendo Opzioni avanzate › Impostazioni di login.

22.3.2 Implementazione delle norme sulle password #

In un sistema con più utenti è consigliabile implementare almeno le norme di base per la sicurezza delle password. Gli utenti dovrebbero cambiare regolarmente le password e utilizzare password sicure che non siano facilmente identificabili. Per gli utenti locali, procedere come indicato di seguito:

Procedura 22.3: Configurazione delle impostazioni delle password #

Aprire la finestra di dialogo Amministrazione utenti e gruppi di YaST e selezionare la scheda Utenti.
Selezionare l'utente per il quale si desidera modificare le opzioni della password e fare clic su Modifica.
Passare alla scheda Impostazioni password. In questa scheda è indicata l'ultima modifica della password effettuata dall'utente.
Per far in modo che l'utente modifichi la password al login successivo, attivare Forza modifica password.
Per costringere la rotazione delle password, impostare i valori di Numero massimo di giorni per la stessa password e Numero minimo di giorni per la stessa password.
Per ricordare all'utente di modificare la password prima della scadenza, specificare Quanti giorni prima della scadenza della password mostrare l'avviso.
Per limitare il periodo di tempo dopo il quale l'utente può eseguire il login in seguito alla scadenza della password, modificare il valore del Numero di giorni per i quali è ancora ammesso il login dopo la scadenza della password.
È anche possibile specificare una determinata data di scadenza per l'account completo. Immettere la Data di scadenza nel formato AAAA-MM-GG. Tenere presente che questa impostazione non è collegata alla password, ma è applicabile all'account.
Per ulteriori informazioni sulle opzioni e sui valori di default, fare clic su Aiuto.
Applicare le modifiche con OK.

22.3.3 Gestione delle quote #

Per evitare che le capacità del sistema si esauriscano senza preavviso, gli amministratori di sistema possono configurare quote per utenti o gruppi. È possibile definire le quote per uno o più file system, nonché limitare la quantità di spazio su disco utilizzabile e il numero di inode (nodi indice) che è possibile creare. Gli inode sono strutture di dati su un file system che memorizzano informazioni di base su un file normale, directory o altri oggetti del file system. Memorizzano tutti gli attributi di un oggetto del file system (quali proprietà di utenti e gruppi e permessi di lettura, scrittura o di esecuzione) tranne nome file e contenuti.

SUSE Linux Enterprise Server consente l'utilizzo di quote relative e assolute. Inoltre, possono essere definiti intervalli aggiuntivi che consentono agli utenti o ai gruppi di violare temporaneamente le quote per un determinato valore.

Quota relativa: Definisce una soglia di avvertimento che informa gli utenti quando stanno raggiungendo il limite. Gli amministratori esorteranno gli utenti a eseguire la pulizia e a ridurre i dati presenti sulla partizione. Il limite di quota relativa generalmente più basso del limite di quota assoluta.
Quota assoluta: Definisce il limite raggiunto il quale le richieste di scrittura vengono rifiutate. Quando si raggiunge la quota assoluta, non è più possibile memorizzare dati e le applicazioni potrebbero bloccarsi.
Periodo di tolleranza: Definisce l'intervallo di tempo tra l'overflow della quota relativa e l'emissione di un avviso. Viene generalmente impostato su un valore abbastanza basso, da una a diverse ore.

Procedura 22.4: Abilitazione del supporto quota per una partizione #

Per configurare le quote per determinati utenti e gruppi, è innanzitutto necessario abilitare il supporto delle quote per le rispettive partizioni in Partizionatore avanzato di YaST.

Nota: quote partizioni Btrfs

Le quote per le partizioni Btrfs vengono gestite in modo diverso. Per ulteriori informazioni, vedere il Section 1.2.5, “Btrfs Quota Support for Subvolumes”.

In YaST, selezionare Sistema › Partizionatore e fare clic su Sì per continuare.
In Partizionatore avanzato, selezionare la partizione per la quale abilitare le quote e fare clic su Modifica.
Fare clic su Opzioni di fstab e attivare Abilita supporto quota. Se il pacchetto quota non è ancora installato, verrà installato quando si conferma il messaggio relativo conSì.
Confermare le modifiche e abbandonare la finestra Partizionatore avanzato.
Verificare che il servizio quotaon sia in esecuzione immettendo il seguente comando:
```
tux > sudo systemctl status quotaon
```
Dovrebbe essere contrassegnato come attivo. In caso contrario, avviarlo usando il comando systemctl start quotaon.

Procedura 22.5: Impostazione quote per utenti o gruppi #

Ora è possibile definire quote relative o assolute per utenti specifici o gruppi e impostare periodi di tempo come intervalli aggiuntivi.

Nella finestra di dialogo Amministrazione utenti e gruppi di YaST, selezionare l'utente o il gruppo per il quale si desidera impostare le quote e fare clic su Modifica.
Nella scheda Plug-in selezionare la voce Gestisci quota utente e fare clic su Lancia per aprire la finestra di dialogo Configurazione quota.
In File system, selezionare la partizione alla quale applicare la quota.
In Limiti alle dimensioni, limitare la quantità di spazio su disco. Immettere il numero di blocchi da 1 KB che l'utente o il gruppo può avere sulla partizione. Specificare un valore per il Limite relativo e per il Limite assoluto.
Inoltre, è possibile limitare il numero di inode posseduti dall'utente o dal gruppo nella partizione. In Inodes Limits (Limiti inode), immettere un Limite relativo e un Limite assoluto.
È possibile definire intervalli aggiuntivi se l'utente o il gruppo ha già superato il limite relativo specificato per le dimensioni o inode. In caso contrario, le caselle di testo relative al tempo non saranno attivate. Specificare il periodo di tempo per il quale all'utente o al gruppo è consentito superare i limiti di tempo impostati in precedenza.
Confermare le impostazioni premendo OK.
Fare clic su OK per chiudere la finestra di dialogo di amministrazione e salvare le modifiche.
In alternativa, per salvare tutte le modifiche senza chiudere la finestra di dialogo Amministrazione utenti e gruppi, fare clic su Opzioni avanzate › Scrivi modifiche ora.

SUSE Linux Enterprise Server viene inoltre fornito con strumenti a riga di comando come repquota o warnquota. Gli amministratori di sistema possono servirsi di questi strumenti per controllare l'uso del disco o inviare notifiche e-mail agli utenti che superano le rispettive quote. Con l'utilizzo di quota_nld, gli amministratori possono anche inoltrare messaggi kernel relativi al superamento delle quote al D-BUS. Per ulteriori informazioni, consultare le manpage di repquota, warnquota e quota_nld.

22.4 Modifica delle impostazioni di default per utenti locali #

YaST utilizza numerose impostazioni di default durante la creazione di nuovi utenti locali. Tali impostazioni comprendono, ad esempio, i gruppi primari e secondari a cui appartiene l'utente oppure le autorizzazioni di accesso alla home directory dell'utente. È possibile modificare queste impostazioni di default per soddisfare i requisiti:

Aprire la finestra di dialogo Amministrazione utenti e gruppi di YaST e selezionare la scheda Default per nuovi utenti.
Per cambiare il gruppo primario al quale i nuovi utenti dovrebbero automaticamente appartenere, selezionare un altro gruppo in Gruppo predefinito.
Per modificare i gruppi secondari per i nuovi utenti, aggiungere o modificare i gruppi in Gruppi secondari. I nomi dei gruppi devono essere separati da virgole.
Se non si desidera utilizzare /home/USERNAME come percorso di default per le nuove home directory degli utenti, modificare Prefisso del percorso per la directory home.
Per modificare le modalità di autorizzazione di default per le home directory appena create, modificare il valore umask in Umask per la directory home. Per ulteriori informazioni su unmask, consultare Chapter 19, Access Control Lists in Linux e la manpage di umask.
Per informazioni sulle singole opzioni, fare clic su Aiuto.
Applicare le modifiche con OK.

22.5 Assegnazione di utenti a gruppi #

Gli utenti locali sono assegnati a vari gruppi a seconda delle impostazioni di default alle quali è possibile accedere tramite la finestra di dialogo Amministrazione utenti e gruppi, nella scheda Default per nuovi utenti. Di seguito, viene illustrato come modificare la singola assegnazione di un gruppo di utenti. Se si necessita modificare le assegnazioni del gruppo di default per i nuovi utenti, consultare Sezione 22.4, «Modifica delle impostazioni di default per utenti locali».

Procedura 22.6: Modifica dell'assegnazione di un gruppo di utenti. #

Aprire la finestra di dialogo Amministrazione utenti e gruppi di YaST e fare clic sulla scheda Utenti. Vengono elencati gli utenti e i gruppi a cui appartengono.
Fare clic su Modifica e passare alla scheda Dettagli.
Per modificare il gruppo primario al quale l'utente appartiene, fare clic su Gruppo predefinito e selezionare il gruppo dall'elenco.
Per assegnare l'utente a ulteriori gruppi secondari, selezionare le caselle di controllo corrispondenti nell'elenco Gruppi aggiuntivi.
Fare clic su OK per applicare le modifiche.
Fare clic su OK per chiudere la finestra di dialogo di amministrazione e salvare le modifiche.
In alternativa, per salvare tutte le modifiche senza chiudere la finestra di dialogo Amministrazione utenti e gruppi, fare clic su Opzioni avanzate › Scrivi modifiche ora.

22.6 Gestione dei gruppi #

Con YaST è anche possibile aggiungere, modificare o eliminare gruppi facilmente.

Procedura 22.7: Creazione e modifica di gruppi #

Aprire la finestra di dialogo Gestione utente e gruppi di YaST e fare clic sulla scheda Gruppi.
Con Imposta filtro definire il set di gruppi che si desidera gestire. Questa finestra di dialogo elenca i gruppi presenti nel sistema.
Per creare un nuovo gruppo, fare clic su Aggiungi.
Per modificare un gruppo esistente, selezionare il gruppo e fare clic su Modifica.
Nella seguente finestra di dialogo immettere o modificare i dati. L'elenco a destra mostra una panoramica di tutti gli utenti disponibili e degli utenti di sistema che possono essere membri del gruppo.
Per aggiungere utenti ad un nuovo gruppo, sceglierli da un elenco di possibili Membri gruppo selezionando la casella corrispondente. Per rimuoverli dal gruppo, disattivare la casella.
Fare clic su OK per applicare le modifiche.
Fare clic su OK per chiudere la finestra di dialogo di amministrazione e salvare le modifiche.
In alternativa, per salvare tutte le modifiche senza chiudere la finestra di dialogo Amministrazione utenti e gruppi, fare clic su Opzioni avanzate › Scrivi modifiche ora.

È possibile eliminare un gruppo solo se non contiene alcun membro. Per eliminare un gruppo, selezionarne il nome nell'elenco e fare clic su Elimina. Fare clic su OK per chiudere la finestra di dialogo di amministrazione e salvare le modifiche. In alternativa, per salvare tutte le modifiche senza chiudere la finestra di dialogo Amministrazione utenti e gruppi, fare clic su Opzioni avanzate › Scrivi modifiche ora.

22.7 Modifica UAM (User Authentication Method) #

Quando il computer è connesso a una rete, è possibile modificare il metodo di autenticazione. Sono disponibili le seguenti opzioni:

NIS: Gli utenti vengono amministrati a livello centrale su un server NIS per tutti i sistemi della rete. Per informazioni, vedere la Chapter 3, Using NIS.
SSSD: System Security Services Daemon (SSSD) consente di memorizzare localmente nella cache i dati utente e di utilizzarli anche se il servizio di directory è (temporaneamente) irraggiungibile. Per informazioni, vedere Section 4.2, “SSSD”.
Samba: L'autenticazione SMB viene spesso utilizzata in reti miste Linux/Windows. Per informazioni, vedere il Chapter 34, Samba.

Per modificare il metodo di autenticazione, procedere come indicato di seguito:

Aprire la finestra di dialogo Amministrazione utenti e gruppi di YaST.
Fare clic sulla scheda Impostazioni di autenticazione per visualizzare una panoramica dei metodi di autenticazione disponibili e delle impostazioni correnti.
Per modificare il metodo di autenticazione, fare clic su Configura e selezionare il metodo di autenticazione che si desidera modificare. Verrà aperto direttamente il modulo di configurazione client in YaST. Per informazioni relative alla configurazione del client corretto, consultare le sezioni successive:
NIS: Section 3.2, “Configuring NIS Clients”
LDAP: Section 4.1, “Configuring an Authentication Client with YaST”
Samba: Section 34.5.1, “Configuring a Samba Client with YaST”
SSSD: Section 4.2, “SSSD”
Dopo aver accettato la configurazione, ritornare alla panoramica Amministrazione utenti e gruppi.
Fare clic su OK per chiudere la finestra di dialogo di amministrazione.

22.8 Utenti di sistema di default #

Per default, i nomi utente creati in SUSE Linux Enterprise Server sono impossibili da eliminare. Di norma, tali utenti vengono definiti in Linux Standard Base. Nell'elenco seguente sono riportati i nomi utente comuni e il rispettivo scopo:

Nomi utente comuni installati per default #

/bin, daemon: Utente esistente, incluso ai fini della compatibilità con le applicazioni esistenti. Per le nuove applicazioni non si deve utilizzare più questo nome utente.
gdm: Utilizzato da GDM (GNOME Display Manager) per fornire login grafici e gestire visualizzazioni locali e remote.
lp: Utilizzato dal daemon della stampante per CUPS (Common Unix Printing System).
posta: Utente riservato per programmi di posta come sendmail o postfix.
man: Utilizzato da man per accedere alla documentazione man.
messagebus: Utilizzato per accedere aD-Bus (Desktop Bus), un bus software per la comunicazione tra processi. Il daemon è dbus-daemon.
nobody: Utente che non detiene alcun file e non appartiene ad alcun gruppo con privilegi. Oggigiorno, il suo uso è limitato ed è consigliato da Linux Standard Base per fornire un account utente separato per ciascun daemon.
nscd: Utilizzato dal daemon NSCD (Name Service Caching Daemon), un servizio di ricerca che consente di migliorare le prestazioni con NIS e LDAP. Il daemon è nscd.
polkitd: Utilizzato dal framework di autorizzazione PolicyKit con il quale si definiscono e si gestiscono le richieste di autorizzazione per i processi senza privilegi. Il daemon è polkitd.
postfix: Utilizzato dal programma di posta Postfix.
pulse: Utilizzato dal server audio Pulseaudio.
root: Utilizzato dall'amministratore di sistema che fornisce tutti i privilegi appropriati.
rpc: Utilizzato dal comando rpcbind, un mapper di porte RPC.
rtkit: Utilizzato dal pacchetto rtkit che fornisce un servizio di sistema D-Bus per la modalità di pianificazione in tempo reale.
salt: Utente per l'esecuzione remota parallela fornito da Salt. Il daemon è denominato salt-master.
scard: Utente per la comunicazione con smart card e lettori. Il daemon è denominato pcscd.
srvGeoClue: Utilizzato dal servizio D-Bus GeoClue per fornire informazioni sull'ubicazione.
sshd: Utilizzato dal daemon SSH (Secure Shell) per assicurare comunicazioni protette e cifrate in una rete non protetta.
statd: Utilizzato dal protocollo NSM (Network Status Monitor), implementato nel daemon rpc.statd, per ascoltare le notifiche relative al riavvio.
systemd-coredump: Utilizzato dal comando /usr/lib/systemd/systemd-coredump per acquisire, salvare ed elaborare dump della memoria.
systemd-timesync: Utilizzato dal comando /usr/lib/systemd/systemd-timesyncd per sincronizzare l'orologio del sistema locale con un server NTP (Network Time Protocol) remoto.