3.2 KiB
fstab - Credentials sicher speichern
Zugangsdaten (Benutzername/Passwort) sollten nicht im Klartext in /etc/fstab stehen.
Credentials-Datei verwenden
Viele Treiber wie cifs oder smbfs unterstützen separate Credential-Dateien.
fstab-Eintrag
//server/share /mnt/share cifs credentials=/etc/samba/credentials,iocharset=utf8,uid=1000,gid=1000 0 0
Credentials-Datei erstellen
/etc/samba/credentials:
username=meinuser
password=meinpasswort
domain=meinedomain
Datei absichern
sudo chmod 600 /etc/samba/credentials
sudo chown root:root /etc/samba/credentials
Nur root kann die Datei lesen, /etc/fstab enthält keine Secrets.
Kernel Keyring nutzen
Für temporäre Mounts (z.B. bei CIFS):
cifscreds add -u meinuser servername
Dann kann der Mount in fstab ohne Passwort erfolgen - der Kernel holt die Daten aus dem Keyring.
Hinweis: Funktioniert hauptsächlich für interaktive Sessions, nicht für automatische Boot-Mounts.
Systemd-Units verwenden
Statt /etc/fstab kann man systemd .mount-Units mit Credentials nutzen.
Beispiel: /etc/systemd/system/mnt-share.mount
[Unit]
Description=SMB Share Mount
[Mount]
What=//server/share
Where=/mnt/share
Type=cifs
Options=credentials=/etc/samba/credentials,iocharset=utf8,uid=1000,gid=1000
[Install]
WantedBy=multi-user.target
Aktivieren:
sudo systemctl daemon-reload
sudo systemctl enable mnt-share.mount
sudo systemctl start mnt-share.mount
Kerberos-Authentifizierung
Für Netzwerke mit Active Directory oder Kerberos:
NFS mit Kerberos
server:/export /mnt/nfs nfs sec=krb5,rw 0 0
CIFS mit Kerberos
//server/share /mnt/share cifs sec=krb5,multiuser,rw 0 0
Keine Passwörter nötig - Authentifizierung über Kerberos-Tickets.
Secrets-Management-Systeme
Für Produktivumgebungen mit höheren Sicherheitsanforderungen:
- HashiCorp Vault - zentrales Secrets-Management
- AWS Secrets Manager - für Cloud-Umgebungen
- GPG-verschlüsselte Dateien - lokal verschlüsselt
Beispiel mit GPG:
# Credentials verschlüsselt speichern
echo "username=user\npassword=pass" | gpg -e -r you@example.com > /etc/samba/credentials.gpg
# In Mount-Skript entschlüsseln
gpg -d /etc/samba/credentials.gpg > /tmp/credentials
mount -t cifs -o credentials=/tmp/credentials //server/share /mnt/share
rm /tmp/credentials
Zusammenfassung
| Methode | Sicherheit | Komplexität | Anwendungsfall |
|---|---|---|---|
| Credentials-Datei | Gut | Niedrig | Standard für CIFS/SMB |
| Kernel Keyring | Mittel | Mittel | Interaktive Sessions |
| Kerberos | Sehr gut | Hoch | Enterprise/AD-Umgebungen |
| Systemd-Credentials | Sehr gut | Mittel | Moderne Systeme |
| Secrets Manager | Sehr gut | Hoch | Produktivumgebungen |
Empfehlung: Für den Alltag ist eine separate Credentials-Datei mit restriktiven Rechten (600) der beste Kompromiss aus Sicherheit und Einfachheit.
Siehe auch
- IT-Know-How/Linux/BASH Basics/Symlinks - Symbolische Links erstellen
- IT-Know-How/Linux/BASH Basics/Dateiberechtigungen - Dateien absichern mit chmod/chown
- IT-Know-How/Linux/BASH Basics/lsblk - Block-Geräte anzeigen