Возникла необходимость разделять доступ пользователей сквид по группам AD.
Утилита wbinfo_group.pl, идущая со сквидом при большом числе запросов валила сквид
и были проблемы с кешированием данных. Возникла идея написать скрипт,
который через rpc запрос забирал членов необходимых доменных групп и скидывал их в текстовые файлы
на сервере, одновременно определяя изменения в них и при необходимости перегружая squid.#!/usr/bin/perl -w
use Text::Diff;
$login="testlogin";
$password="secret_password";
$domain="MYDOMAIN";
$dc="dc.domain.ru";
$path="/usr/local/etc/squid/acl";
$reload_squid_cmd="/usr/local/sbin/squid -k reconfigure";
@ADgroups = ("inet_users","inet_vip","inet_sluz","inet_block");
foreach $group (@ADgroups)
{
@group_check= sort `/usr/local/bin/net rpc group MEMBERS $group -U $login%$password -S $dc`;
@group_check = grep {/^$domain\\/} @group_check;
$col=@group_check;
my $diff = diff \@group_check, "$path/$group.acl";
if ($diff and $col) {
open (GROUPFILE, ">$path/$group.acl") or die "Can't create $group.acl: $!";
print GROUPFILE @group_check;
$reconfigure++;
}
close GROUPFILE;
}
system("$reload_squid_cmd") if ($reconfigure);
Данный скрипт вешается в cron и запускается раз в 5 минут
Доработанная версия, изменения:
-поддержка пользователей и групп из доверенных доменов
-поддержка вложенных груп(т.е групп, содержащих в себе другие группы)
-возможность указания более одного контроллера домена
-отправка уведомлений по почте администратору о изменениях в группах
#!/usr/bin/perl -w
use Text::Diff;
$login="mylogin";
$password="cool_password";
$samba_prefix="/usr/local";
$winbind_separator="\\";
@group_domain = ("DOMAIN1\\inet_users","DOMAIN1\\inet_vip","DOMAIN2\\inet_sluz");
%domain_dc = (
'DOMAIN1' => [ 'dc.domain1.ru','bdc.domain1.ru' ],
'DOMAIN2' => [ 'ad1.domain2.ru','ad2.domain2.ru' ]
);
$acl_path="/usr/local/etc/squid/acl";
$reload_squid_cmd="/usr/local/sbin/squid -k reconfigure";
sub IsGroup
{
my $item = shift;
foreach $dc_group (@dc_groups) {
return 1 if ($item =~ /^\Q$dc_group\E$/i);
}
# print "$item\n";
return 0;
}
sub extractusers
{
my $group = shift;
my @group_sostav;
(my $domain, $group) = split(/\Q$winbind_separator\E/, uc($group), 2);
# print "$domain $group\n";
foreach $dc (@{ $domain_dc{$domain} }) {
# print "$dc\n";
@group_sostav = `$samba_prefix/bin/net rpc group MEMBERS "$group" -U $login%$password -S $dc`;
chomp(@group_sostav);
@group_sostav = grep { /^\w+\\.+/i } @group_sostav;
@group_sostav = grep { !/.+\$$/i } @group_sostav;
# print "@group_sostav\n";
last if @group_sostav;
}
foreach my $login (@group_sostav) {
$login =~ s/(\w+)\\(.+)/\L$1$winbind_separator$2\E/o;
my $isgroup = IsGroup($login);
extractusers($login) if $isgroup;
push (@users,"$login\n") if !$isgroup;
}
}
@dc_groups = `$samba_prefix/bin/wbinfo -g`;
chomp(@dc_groups);
foreach $group (@group_domain)
{
local @users;
extractusers($group);
my %Users = ();
my @unique = sort {uc($a) cmp uc($b)} grep{!$Users{$_}++}@users;
my $count = @unique;
my $diff = diff "$acl_path/$group.acl", \@unique;
if ($diff and $count) {
print "Internet acl group <$group> change:\n";
print "$diff\n" if $diff;;
open (GROUPFILE, ">$acl_path/$group.acl") or die "Can't create $group.acl: $!";
print GROUPFILE @unique;
close GROUPFILE;
$reconfigure++;
}
}
system("$reload_squid_cmd") if ($reconfigure);
URL:
Обсуждается: https://www.opennet.ru/tips/info/1007.shtml
