Manchmal hat man den Wunsch, ein zentrales Benutzerverzeichnis über mehrere Server hinweg anzubieten. Bei solchen Szenarien fällt einem eigentlich sofort LDAP ein, allerdings kann es manchmal von Vorteil sein, eine datenbankbasierte Authentifikation durchzuführen. Nach ein wenig Recherche im großen Netz bin ich dann auf libnss-mysql gestoßen (zu meinem großen Bedauern hab ich kein libnss-pgsql für PostgreSQL gefunden…). Ich Copy&Paste hier im Wesentlichen nun einfach meine Ergebnisse und Configs, falls ihr jemand das Bedürfnis habt, ein ähnliches System aufzusetzen.
Der Server mit den Benutzerdaten ist ein “echter” Host, der irgendwo als physische Maschine rumsteht. Damit man sich nicht groß mit SSL, Verschlüsselung und Sicherheit rumschlagen muss habe ich kurzerhand auf Server und Client OpenVPN installiert. Wie genau die Einrichtung funktioniert entnehme man bitte der verlinkten Seite. Jedenfalls hatte ich so ein eigenes Netzwerk, welches sogar Verschlüsselung zwischen den einzelnen Knoten hat, damit sind (vorerst) die gröbsten Löcher gestopft.
Nun schnell MySQL umkonfigurieren, damit der DB-Dienst nicht an localhost sondern an meinem neuen virtuellen VPN-Interface lauscht. Dazu passt man einfach den Eintrag ‘bind-address’ in der Datei /etc/mysql/my.cnf an. Beispiel (unsichere Methode, lauscht überall):
bind-address = *
Außerdem muss man noch (per phpMyAdmin o. ä.) die Datenbank+Tabellen erstellen und, wenn man das System auch benutzen möchte, Daten einpflegen. Hier poste ich nun einfach mal meine Struktur der Tabellen
CREATE TABLE IF NOT EXISTS `sys_groupmembers` (
`uid` int(11) NOT NULL default ’0′,
`gid` int(11) NOT NULL default ’0′
) ENGINE=MyISAM DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci;
CREATE TABLE IF NOT EXISTS `sys_groups` (
`gid` int(11) NOT NULL auto_increment,
`groupname` varchar(30) character set latin1 NOT NULL,
`group_password` varchar(64) character set latin1 NOT NULL default ‘x’,
PRIMARY KEY (`gid`)
) ENGINE=MyISAM DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci AUTO_INCREMENT=1000;
CREATE TABLE IF NOT EXISTS `sys_users` (
`uid` int(11) NOT NULL auto_increment,
`username` varchar(50) character set latin1 NOT NULL,
`realname` varchar(32) character set latin1 NOT NULL default ”,
`shell` varchar(20) character set latin1 NOT NULL default ‘/bin/sh’,
`password` varchar(40) character set latin1 NOT NULL default ”,
`gid` int(11) NOT NULL default ’65534′,
`homedir` varchar(32) character set latin1 NOT NULL default ‘/bin/sh’,
`lastchange` varchar(50) character set latin1 NOT NULL default ”,
`min` int(11) NOT NULL default ’0′,
`max` int(11) NOT NULL default ’0′,
`warn` int(11) NOT NULL default ’7′,
`inact` int(11) NOT NULL default ‘-1′,
`expire` int(11) NOT NULL default ‘-1′,
PRIMARY KEY (`uid`)
) ENGINE=MyISAM DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci AUTO_INCREMENT=1000 ;
Auf dem Client installiert man nun die Pakete nscd und libnss-mysql (ich benutze eigentlich immer Debian/Ubuntu, da heißen die Pakete direkt so und die Installation ist mit apt-get install schnell erledigt. Bei anderen Distributionen bitte entsprechende Befehle verwenden oder die Pakete einfach von Hand installieren). Dann werden die entsprechenden Konfigurations-Dateien angepasst:
nsswitch.conf ist für das Betriebssystem ein Hinweis wo/wie überall nach Benutzern gesucht werden kann. nss-mysql.conf gibt an, wie man alle interessanten User-Details mit Ausnahme des Passworts bekommen kann. nss-mysql-root.conf füllt eben genau diese Lücke. Daher sollten für beide Configs verschiedene Benutzer verwendet werden, der Datenbankbenutzer der nss-mysql.conf – Config (also der, der nicht nach dem PW gefragt wird) sollte auch keine Rechte haben, auf die Passwort-Spalte in MySQL zuzugreifen. Außerdem verlangt libnss, dass die nss-mysql-root.conf nur von Benutzer root gelesen werden kann (also chmod 600), denn niemand außer root sollte generell an die System-Passwörter kommen, was man allerdings mit Hilfe des in dieser Datei notierten MySQL-Passworts doch erreichen könnte.
/etc/nsswitch.conf:
An das Ende der Zeilen, die mit “passwd”, “group” bzw. “shadow” anfangen, hängt man (mit einem Leerezeichen Abstand zum bisherigen letzten Wort) das Wörtchen “mysql” hintendran. So siehts dann aus:
passwd: compat mysql
group: compat mysql
shadow: compat mysql
/etc/nss-mysql.conf:
Ich gebe hier nur die Zeilen wieder, die kein Kommentar sind. Hostname, Datenbankname, Benutzername und Passwort sind erfunden und sollten den jeweiligen Bedingungen angepasst werden:
conf.version = 2;
users.host = inet:mein.server.tld:3306;
users.database = userdata;
users.db_user = nss-auth-normal;
users.db_password = 123geheim;
users.table = sys_users;
users.where_clause =;
users.user_column = sys_users.username;
users.password_column = sys_users.password;
users.userid_column = sys_users.uid;
users.uid_column = sys_users.uid;
users.gid_column = sys_users.gid;
users.realname_column = sys_users.realname;
users.homedir_column = sys_users.homedir;
users.shell_column = sys_users.shell;
groups.group_info_table = sys_groups;
groups.where_clause =;
groups.group_name_column = sys_groups.groupname;
groups.groupid_column = sys_groups.gid;
groups.gid_column = sys_groups.gid;
groups.password_column = sys_groups.group_password;
groups.members_table = sys_groupmembers;
groups.member_userid_column = sys_groupmembers.uid;
groups.member_groupid_column = sys_groupmembers.gid;
/etc/nss-mysql-root.conf:
Diese Konfiguration wird für den Abgleich von Passwörtern verwendet:
conf.version = 2;
shadow.host = inet:mein.server.tld:3306;
shadow.database = userdata;
shadow.db_user = nss-auth-root;
shadow.db_password = 124geheim;
shadow.table = sys_users;
shadow.where_clause =;
shadow.userid_column = sys_users.uid;
shadow.user_column = sys_users.username;
shadow.password_column = sys_users.password;
shadow.lastchange_column = sys_users.lastchange;
shadow.min_column = sys_users.min;
shadow.max_column = sys_users.max;
shadow.warn_column = sys_users.warn;
shadow.inact_column = sys_users.inact;
shadow.expire_column = sys_users.expire;
Das wars eigentlich. Nun noch alle betroffenen Dienste (nscd, mysql,openvpn) neustarten und der Spaß sollte funktionieren.
Was ich leider noch nicht geschafft habe, ist die Administration der in der Datenbank gespeicherten Benutzer und Gruppen per Kommandozeilen-Tools, ein erster Ansatz wäre z. B. schonmal passwd, aber selbst das klappt (noch) nicht… Sollte jemand wissen, wie das funktioniert: Da unten ist ein Kommentarfeld 
Ansonsten: Viel Erfolg bei euren Installationen, bei Fragen und Problemen einfach melden.