Подтвердить пользователя AD можно войти с помощью SSSD на SuSE

Question

У меня есть требование проверить, может ли данный пользователь войти в систему на компьютере. Я не знаю их пароль, но скрипт может подняться до root с помощью sudo, Все пользователи являются учетными записями AD, использующими SSSD.

Все, что я нашел, просто проверяет, действителен ли пользователь, например, используяid -u, дела sudo -lu не работает, если пользователь никогда не входил в систему, а показывает только sudo разрешения. Я также пытался использовать ldapsearch, но это только запрашивает сервер AD, чтобы увидеть, имеют ли они правильные профили, но не обязательно на этом сервере.

Answer 1

Создайте в домене группу с пользователями, которых вы хотите разрешить на машине, и используйте ее в ключе simple_allow_groups, описанном ниже.

В файле /etc/sssd/sssd.conf добавьте/измените следующие ключи:

      access_provider = simple # This will allow you to control who can log in the computer using the simple_allow_groups.
simple_allow_groups = groupname1, groupname2 # Domain groupnames allow you to limit the log on permission for just the members of the groups in this option.

Отредактируйте sudoers (используя visudo) и добавьте:

      %groupname1 ALL=(ALL)      NOPASSWD: ALL

Это позволит пользователю выполнить любую команду. Если вы хотите ограничить разрешенные команды, см. примеры в файле sudoers.