[devel] hasher + ldap

[devel] hasher + ldap

[Peter V. Saveliev]

...

Есть подозрение, что hasher некорректно отрабатывает ситуацию

hasher-useradd <username>

, если информация о <username> хранится в ldap:


[root@kehlisaari root]# hasher-useradd peet
id: peet_a: No such user
usermod: cannot lock shadow password file
hasher-useradd: error updating groups for user peet

Первая строчка понятна:

[root@kehlisaari root]# service nscd stop
Stopping nscd service:                               [ DONE ]
[root@kehlisaari root]# hasher-useradd peet
usermod: cannot lock shadow password file
hasher-useradd: error updating groups for user peet

А вот дальше - есть мысль, что он пытается что-то сделать с группами
пользователя peet, а они у меня в ldap, как и passwd, и shadow всех
несистемных пользователей.

Может, всё же не так жёстко обходиться с теми, кто не пользует tcb, а
просто написать в README, как создавать этих satellite users? Ведь, помимо
ldap, есть ещё и radius, и nis... Всех не упомнишь, а универсального
подхода сделать не получится, скорее всего. По крайней мере, если в ldap
пользователя добавить сравнительно легко, то вот в radius... Он ведь его
хоть из oracle брать может.


-- 
Sincerely, Peter V. Saveliev

E-mail: peet@altlinux.ru
Jabber: peet@jabber.ru

Re: [devel] hasher + ldap

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1458 bytes --]

On Tue, Oct 14, 2003 at 04:20:27PM +0400, Peter V. Saveliev wrote:
> Есть подозрение, что hasher некорректно отрабатывает ситуацию
> 
> hasher-useradd <username>
> 
> , если информация о <username> хранится в ldap:
> 
> [root@kehlisaari root]# hasher-useradd peet
> id: peet_a: No such user
> usermod: cannot lock shadow password file
> hasher-useradd: error updating groups for user peet
> 
> Первая строчка понятна:
> 
> [root@kehlisaari root]# service nscd stop
> Stopping nscd service:                               [ DONE ]
> [root@kehlisaari root]# hasher-useradd peet
> usermod: cannot lock shadow password file
> hasher-useradd: error updating groups for user peet
> 
> А вот дальше - есть мысль, что он пытается что-то сделать с группами
> пользователя peet, а они у меня в ldap, как и passwd, и shadow всех
> несистемных пользователей.

hasher-useradd просто-напросто делает useradd/usermod.

Возможно, что shadow-utils не поддерживают ldap или, наоборот, ldap не
поддерживает shadow-utils.

> Может, всё же не так жёстко обходиться с теми, кто не пользует tcb, а
> просто написать в README, как создавать этих satellite users? Ведь, помимо
> ldap, есть ещё и radius, и nis... Всех не упомнишь, а универсального
> подхода сделать не получится, скорее всего. По крайней мере, если в ldap
> пользователя добавить сравнительно легко, то вот в radius... Он ведь его
> хоть из oracle брать может.

Может, лучше shadow-utils усовершенствовать?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] hasher + ldap

[Alexander Bokovoy]

On Wed, Oct 15, 2003 at 10:48:28PM +0400, Dmitry V. Levin wrote:
> > А вот дальше - есть мысль, что он пытается что-то сделать с группами
> > пользователя peet, а они у меня в ldap, как и passwd, и shadow всех
> > несистемных пользователей.
> 
> hasher-useradd просто-напросто делает useradd/usermod.
> 
> Возможно, что shadow-utils не поддерживают ldap или, наоборот, ldap не
> поддерживает shadow-utils.
> 
> > Может, всё же не так жёстко обходиться с теми, кто не пользует tcb, а
> > просто написать в README, как создавать этих satellite users? Ведь, помимо
> > ldap, есть ещё и radius, и nis... Всех не упомнишь, а универсального
> > подхода сделать не получится, скорее всего. По крайней мере, если в ldap
> > пользователя добавить сравнительно легко, то вот в radius... Он ведь его
> > хоть из oracle брать может.
> 
> Может, лучше shadow-utils усовершенствовать?
Надо бы. И не только shadow-utils, но и всю цепочку. A shadow-utils не
использует PAM для изменения учетных записей?

-- 
/ Alexander Bokovoy
---
Nobody ever died from oven crude poisoning.

Re[2]: [devel] hasher + ldap

[Volkov Serge]

Hello Alexander,

Wednesday, October 15, 2003, 10:55:24 PM, you wrote:

AB> On Wed, Oct 15, 2003 at 10:48:28PM +0400, Dmitry V. Levin wrote:
>> > А вот дальше - есть мысль, что он пытается что-то сделать с группами
>> > пользователя peet, а они у меня в ldap, как и passwd, и shadow всех
>> > несистемных пользователей.
>> 
>> hasher-useradd просто-напросто делает useradd/usermod.
>> 
>> Возможно, что shadow-utils не поддерживают ldap или, наоборот, ldap не
>> поддерживает shadow-utils.
>> 
>> > Может, всё же не так жёстко обходиться с теми, кто не пользует tcb, а
>> > просто написать в README, как создавать этих satellite users? Ведь, помимо
>> > ldap, есть ещё и radius, и nis... Всех не упомнишь, а универсального
>> > подхода сделать не получится, скорее всего. По крайней мере, если в ldap
>> > пользователя добавить сравнительно легко, то вот в radius... Он ведь его
>> > хоть из oracle брать может.
>> 
>> Может, лучше shadow-utils усовершенствовать?
AB> Надо бы. И не только shadow-utils, но и всю цепочку. A shadow-utils не
AB> использует PAM для изменения учетных записей?

Может имеет смысл использовать pwdutils и дорабоать их до совместимости с
нашим tcb.

http://www.thkukuk.de/pam/pwdutils/

pwdutils is a collection of utilities to manage the passwd and shadow user
information. The difference to the shadow suite is that these utilities can
also modify the information stored in NIS, NIS+, or LDAP. PAM is used for user
authentication and changing the pasword. It contains passwd, chage, chfn,
chsh, and a daemon for changing the password on a remote machine over a secure
SSL connection. The daemon also uses PAM so that it can change passwords
independent of where they are stored.

Version 2.3.96 is a development snapshot. useradd, userdel, groupadd, groupdel
and vipw were added. Extended attributes are now preserved (for example ACLs
and security attributes used by SELinux) and SELinux support was added. This
versions can add/delete/modify user accounts and group entries in local files
or stored in LDAP.


-- 
Best regards,
 Volkov                            mailto:vserge@altlinux.ru

Re: [devel] hasher + ldap

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2286 bytes --]

On Fri, Oct 17, 2003 at 01:50:52AM +0400, Volkov Serge wrote:
> Hello Alexander,
> Wednesday, October 15, 2003, 10:55:24 PM, you wrote:
> AB> On Wed, Oct 15, 2003 at 10:48:28PM +0400, Dmitry V. Levin wrote:
> >> > А вот дальше - есть мысль, что он пытается что-то сделать с группами
> >> > пользователя peet, а они у меня в ldap, как и passwd, и shadow всех
> >> > несистемных пользователей.
> >> 
> >> hasher-useradd просто-напросто делает useradd/usermod.
> >> 
> >> Возможно, что shadow-utils не поддерживают ldap или, наоборот, ldap не
> >> поддерживает shadow-utils.
> >> 
> >> > Может, всё же не так жёстко обходиться с теми, кто не пользует tcb, а
> >> > просто написать в README, как создавать этих satellite users? Ведь, помимо
> >> > ldap, есть ещё и radius, и nis... Всех не упомнишь, а универсального
> >> > подхода сделать не получится, скорее всего. По крайней мере, если в ldap
> >> > пользователя добавить сравнительно легко, то вот в radius... Он ведь его
> >> > хоть из oracle брать может.
> >> 
> >> Может, лучше shadow-utils усовершенствовать?
> AB> Надо бы. И не только shadow-utils, но и всю цепочку. A shadow-utils не
> AB> использует PAM для изменения учетных записей?
> 
> Может имеет смысл использовать pwdutils и дорабоать их до совместимости с
> нашим tcb.
> 
> http://www.thkukuk.de/pam/pwdutils/
> 
> pwdutils is a collection of utilities to manage the passwd and shadow user
> information. The difference to the shadow suite is that these utilities can
> also modify the information stored in NIS, NIS+, or LDAP. PAM is used for user
> authentication and changing the pasword. It contains passwd, chage, chfn,
> chsh, and a daemon for changing the password on a remote machine over a secure
> SSL connection. The daemon also uses PAM so that it can change passwords
> independent of where they are stored.
> 
> Version 2.3.96 is a development snapshot. useradd, userdel, groupadd, groupdel
> and vipw were added. Extended attributes are now preserved (for example ACLs
> and security attributes used by SELinux) and SELinux support was added. This
> versions can add/delete/modify user accounts and group entries in local files
> or stored in LDAP.

Боюсь, что замена shadow-utils на что-то другое - это неподъёмная работа.
Но посмотреть стоит.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re[2]: [devel] hasher + ldap

[Volkov Serge]

Hello Dmitry,

Friday, October 17, 2003, 2:20:08 AM, you wrote:

DVL> On Fri, Oct 17, 2003 at 01:50:52AM +0400, Volkov Serge wrote:
>> Hello Alexander,
>> Wednesday, October 15, 2003, 10:55:24 PM, you wrote:
>> AB> On Wed, Oct 15, 2003 at 10:48:28PM +0400, Dmitry V. Levin wrote:
>> >> > А вот дальше - есть мысль, что он пытается что-то сделать с группами
>> >> > пользователя peet, а они у меня в ldap, как и passwd, и shadow всех
>> >> > несистемных пользователей.
>> >> 
>> >> hasher-useradd просто-напросто делает useradd/usermod.
>> >> 
>> >> Возможно, что shadow-utils не поддерживают ldap или, наоборот, ldap не
>> >> поддерживает shadow-utils.
>> >> 
>> >> > Может, всё же не так жёстко обходиться с теми, кто не пользует tcb, а
>> >> > просто написать в README, как создавать этих satellite users? Ведь, помимо
>> >> > ldap, есть ещё и radius, и nis... Всех не упомнишь, а универсального
>> >> > подхода сделать не получится, скорее всего. По крайней мере, если в ldap
>> >> > пользователя добавить сравнительно легко, то вот в radius... Он ведь его
>> >> > хоть из oracle брать может.
>> >> 
>> >> Может, лучше shadow-utils усовершенствовать?
>> AB> Надо бы. И не только shadow-utils, но и всю цепочку. A shadow-utils не
>> AB> использует PAM для изменения учетных записей?
>> 
>> Может имеет смысл использовать pwdutils и дорабоать их до совместимости с
>> нашим tcb.
>> 
>> http://www.thkukuk.de/pam/pwdutils/
>> 
>> pwdutils is a collection of utilities to manage the passwd and shadow user
>> information. The difference to the shadow suite is that these utilities can
>> also modify the information stored in NIS, NIS+, or LDAP. PAM is used for user
>> authentication and changing the pasword. It contains passwd, chage, chfn,
>> chsh, and a daemon for changing the password on a remote machine over a secure
>> SSL connection. The daemon also uses PAM so that it can change passwords
>> independent of where they are stored.
>> 
>> Version 2.3.96 is a development snapshot. useradd, userdel, groupadd, groupdel
>> and vipw were added. Extended attributes are now preserved (for example ACLs
>> and security attributes used by SELinux) and SELinux support was added. This
>> versions can add/delete/modify user accounts and group entries in local files
>> or stored in LDAP.

DVL> Боюсь, что замена shadow-utils на что-то другое - это неподъёмная работа.
DVL> Но посмотреть стоит.
уже смотрю, он пока не собирается у меня :((




-- 
Best regards,
 Volkov                            mailto:vserge@altlinux.ru