ユーザーに複数のコンピューターで単一のIDを提供するソフトウェアを調べています。つまり、ユーザーは各コンピューターで同じアクセス許可を持っている必要があり、ユーザーは各コンピューターのすべてのファイル（ローミングホームディレクトリ）にアクセスできる必要があります。この一般的なアイデアには多くの解決策があるようですが、私は自分に最適なものを決定しようとしています。要件と一緒にいくつかの詳細があります：
- マシンのネットワークは、Ubuntuを実行するAmazon EC2インスタンスです。
- SSHを使用してマシンにアクセスします。
- このLAN上の一部のマシンでは用途が異なる場合がありますが、ここでは特定の用途（マルチテナンシープラットフォームを実行している）のマシンについてのみ説明します。
- システムは必ずしも一定数のマシンを備えているとは限りません。
- 実行中のマシンの数を永続的または一時的に変更する必要がある場合があります。これが、認証/ストレージの集中管理を検討している理由です。
- この効果の実装は安全なものでなければなりません。
- ユーザーがシェルに直接アクセスできるかどうかはわかりませんが、ユーザーのソフトウェアはシステムで（もちろん制限されたLinuxユーザー名の下で）実行される可能性があり、直接シェルアクセスと同じくらい優れています。
- 彼らのソフトウェアがセキュリティのために潜在的に悪意のあるものであると仮定しましょう。
私の目標を達成するためにいくつかのテクノロジー/コンビネーションを聞いたことがありますが、それぞれの影響についてはよくわかりません。
- 以前のServerFaultの投稿ではNFSとNISが推奨されていましたが、Symantecによるこの古い記事によると、この組み合わせにはセキュリティの問題があります。この記事はNIS +への移行を提案していますが、このWikipediaの記事は古くなっているため、SunによるNIS +からのトレンドを示唆する声明を引用しています。推奨される代替品は、私が聞いた別のことです...
- LDAP。LDAPを使用して、ユーザー情報をネットワーク上の集中管理された場所に保存できるようです。「ローミングホームフォルダー」の要件をカバーするためにNFSを使用する必要がありますが、それらの参照が一緒に使用されているのがわかります。シマンテックの記事はNISとNFSの両方でセキュリティの問題を指摘しているので、NFSを置き換えるソフトウェアはありますか、それともロックダウンするためのその記事の提案に注意する必要がありますか？私たちのアーキテクチャーのもう1つの基本的な部分であるRabbitMQにはLDAP用の認証/許可プラグインがあるため、私はLDAPを使用する傾向があります。RabbitMQはシステム上のユーザーに制限された方法でアクセスできるようになるので、できればセキュリティシステム同士を結びつけたいと思います。
- Kerberosは、私が聞いたもう1つの安全な認証プロトコルです。私は数年前に暗号学のクラスでそれについて少し学びましたが、それについてあまり覚えていません。私は、いくつかの方法で LDAP と組み合わせることができるという提案をオンラインで見ました。これは必要ですか？KerberosなしのLDAPのセキュリティリスクは何ですか？カーネギーメロン大学が開発した別のソフトウェアでKerberosが使用されていることも覚えています...
- Andrew File System、またはAFS。OpenAFSは使用可能ですが、セットアップは少し複雑に見えます。私の大学では、AFSが両方の要件を提供しています...どのマシンにもログインでき、「AFSフォルダー」はいつでも利用できます（少なくともAFSトークンを取得するとき）。
どのパスを調べるべきかについての提案に加えて、特に役立つガイドはありますか？太字のテキストが指摘しているように、LDAPが最良の選択のように見えますが、セキュリティに関して実装の詳細（Keberos？NFS？）に特に興味があります。