Связать Linux с Active Directory, используя Kerberos

Question

Связать Linux с Active Directory, используя Kerberos

Мы пытаемся связать Linux-машину (debian 4.0) с W2k3 AD. Мы правильно настроили Kerberos, чтобы мы могли получать TGT. И пользователи аутентифицируются должным образом. Тем не менее, PAM кажется липкой калиткой. Например, когда мы пытаемся подключиться по SSH к машине linux в качестве одного из пользователей AD, аутентификация проходит успешно (согласно auth.log), но я никогда не получаю shell. Среда по умолчанию настроена правильно, и PAM даже правильно создает Homedir. В качестве ссылки мы слабо следовали:

https://help.ubuntu.com/community/ActiveDirectoryHowto

4

active-directory ldap kerberos pam

Источник

07 окт '08 в 13:58

4 ответа

Другие вопросы по тегам active-directory ldap kerberos pam

user23483 08 окт '08 в 09:09 2008-10-08 09:09 · Answer 1 · 2008-10-08 09:09

Если вы уверены, что все, но PAM работает правильно, я предлагаю передать параметр отладки в pam_krb5.so, чтобы увидеть, дает ли это ключ к пониманию того, что происходит.

Я также предложил бы проверить, что nss-ldap настроен правильно, используя

getent passwd avalidusername

user224478 04 дек '09 в 04:02 2009-12-04 04:02 · Answer 2 · 2009-12-04 04:02

Учетные записи POSIX требуют, чтобы в учетной записи пользователя была установлена оболочка vaild. При использовании LDAP на это ссылается атрибут loginShell. Вам нужно использовать PAM и сопоставить соответствующий атрибут с loginShell в вашей конфигурации или активными службами MS для UNIX на DC, что расширит схему AD для включения необходимых атрибутов POSIX.

См. http://www.ietf.org/rfc/rfc2307.txt в качестве ссылки на RFC2307, который определяет это для LDAP.

user299336 22 мар '10 в 20:00 2010-03-22 20:00 · Answer 3 · 2010-03-22 20:00

Простое решение.. проект pam_krb5+ldap

Вилка модуля pam_krb5 PAM, которая обеспечивает очень простую в использовании конфигурацию для использования аутентификации клиента linux на существующем домене Active Directory и / или сервере OpenLDAP.

0

Источник

user299336 22 мар '10 в 20:00

user19839 17 ноя '08 в 17:01 2008-11-17 17:01 · Answer 4 · 2008-11-17 17:01

Я использовал аналогично, чтобы сделать что-то подобное на наших серверах. Вот процесс, который мы используем для его настройки:

Установите также:

$ sudo apt-get update
$ sudo apt-get install likewise-open

Присоединиться к домену (при условии, что домен "domain.local")

$ sudo domainjoin-cli join domain.local Administrator
$ sudo update-rc.d likewise-open defaults
$ sudo /etc/init.d/likewise-open start

Предполагая, что вы используете sudo И хотите, чтобы пользователи AD могли иметь полномочия sudoer, вам нужно отредактировать файл sudoers. Это можно сделать с помощью следующей команды:

$ sudo visudo

затем добавьте следующее в конец файла (предполагается, что домен "DOMAIN" и все пользователи, которые должны иметь sudo, находятся в группе с именем "linux_admin" в активном каталоге):

%DOMAIN\\linux_admin ALL=(ALL) ALL