[solved] Systemd-Journal: Gruppe anderen Gruppen zuordnen

[musv]

Irgendwie bringt mich Google hier nicht weiter. Ich hab folgendes Problem:

Wir verwenden auf Arbeit Active Directory für die Nutzerverwaltung. Darin sind auch die Linux-Gruppen enthalten. Jetzt soll eine dieser Gruppen auf einem Rechner das Recht bekommen, journalctl zu nutzen.

In der Manpage dazu steht:

However, by default, only root and users who are members of a few special groups are granted access to the system journal and the journals of other users. Members of the the "systemd-journal", "adm", and "wheel" groups can read all journal files.

Heißt, damit ein User die System-Journals lesen darf:

Code: Select all

gpasswd -a user systemd-journal

Bei der Gruppe steh ich jetzt vor dem Problem, dass die Nutzer ja über die AD hinzugefügt werden. Ich müsste also hier alle User der AD-Gruppe auch in die Gruppe "systemd-journal" packen, was keine brauchbare Lösung ist.

Das Journal wird nicht zwangsläufig in einer Datei gespeichert. Es ist nur persistent, wenn /var/log/journal existiert. Ich kann das also nicht über ACLs oder Gruppenrechte regeln.

Damit enstehen die beiden logischen Ansätze:

• Gruppe meiner AD-Admins "irgendwie" mit der systemd-journal-Gruppe verknüpfen, d.h. eine Art Rolle
• Journald so konfigurieren, dass neben systemd-journal, adm und wheel auch noch meine AD-Gruppe die Logs lesen darf.

Bei beiden Ansätzen bin ich in der Umsetzung gescheitert. Wie könnte ich das noch realisieren?

[misterjack]

Ich kann das also nicht über ACLs oder Gruppenrechte regeln.

Laut Manpage (https://www.freedesktop.org/software/sy ... rvice.html) - Abschnitt "Access Control" - soll das jedoch per ACL funktionieren. Schon ausprobiert?

[schmidicom]

Ich würde dir eher raten die AD-User über pam_group den lokalen Gruppen zuzuordnen.
https://wiki.ubuntuusers.de/Samba_Winbi ... figuration

EDIT:
Leider habe ich meine eigene Konfiguration, die etwas genauer vorgegangen ist als das Beispiel von Ubuntu, "verlegt"...

EDIT2:
Das Forum hier hat wohl ein etwas längeres Gedächtnis als meine Festplatte.
https://forums.gentoo.org/viewtopic-t-9 ... ight-.html

[musv]

Laut Manpage (https://www.freedesktop.org/software/sy ... rvice.html) - Abschnitt "Access Control" - soll das jedoch per ACL funktionieren. Schon ausprobiert?

Danke. Scheint zu funktionieren.

Ich würde dir eher raten die AD-User über pam_group den lokalen Gruppen zuzuordnen.
https://wiki.ubuntuusers.de/Samba_Winbi ... figuration

Interessante Idee, die ich so noch gar nicht auf dem Schirm hatte. Danke. Werd ich mal testen.