[Comm] compact 2.3 + идентификация через LDAP

[Comm] compact 2.3 + идентификация через LDAP

[Gleb Kulikov]

Добрый вечор, сообщество.

Кому-нибудь удавалось заставить заработать идентификацию через ldap на
компакте? пытаясь поднять идентификацию в учебном классе, убил несколько дней, 
по всем факам и рекомендациям. Бесполезно.
Точнее, работает, если дописать пользователя в /etc/passwd (?!!), но и
 только. Без этого действа, идентификация не проходит (не срабатывает login). 
А вот при внесении *вручную*(!) пользователя в /etc/passwd, *всё*, в том 
числе, обсуждавшийся здесь ssh, работает нормально... бред какой-то... 

На стороне клиента:

ldap.conf:

host 192.168.1.1
base dc=myasd,dc=ru
rootbinddn cn=manager,dc=myasd,dc=ru
#port 389
scope sub
#scope one
#pam_filter objectclass=posixAccount
#pam_login_attribute uid
#pam_member_attribute gid
#pam_template_login_attribute uid
#nss_base_passwd dc=myasd,dc=ru?sub?objectClass=posixAccount
#nss_base_shadow dc=myasd,dc=ru?sub?objectClass=posixAccount
#nss_base_group  dc=myasd,dc=ru?sub?objectClass=posixGroup
ssl no
debug -1
#pam_password crypt

----------------------------------
/etc/pam.d/system-auth:

#%PAM-1.0

#ldap ----------------[
auth 	sufficient	/lib/security/pam_ldap.so
#ldap ----------------]

auth     required	pam_tcb.so shadow fork prefix=$2a$ count=8 nullok 
use_first_pass



#ldap ----------------[
account  sufficient	/lib/security/pam_ldap.so debug
account required	pam_access.so	use_first_pass

#ldap ----------------]
account  required	pam_tcb.so shadow fork

#ldap ----------------[
password sufficient	/lib/security/pam_ldap.so
#ldap ----------------]

password required	pam_passwdqc.so min=disabled,24,12,8,7 max=40 passphrase=3 
match=4 similar=deny random=42 enforce=users retry=3 use_first_pass
password required	pam_tcb.so use_authtok shadow fork prefix=$2a$ count=8 
write_to=tcb

session  required	pam_tcb.so
session  required	pam_limits.so

#ldap ----------------[
session required	pam_mkhomedir.so skel=/etc/skel umask=0026
#ldap ----------------]



--
						Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
netmail: 2:5005/78

-------------------------------------------------------

-- 
						Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
netmail: 2:5005/78

Re: [Comm] compact 2.3 + идентификация через LDAP

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 901 bytes --]

В сообщении от Среда 25 Август 2004 08:26 Gleb Kulikov написал(a):
> Добрый вечор, сообщество.
>
> Кому-нибудь удавалось заставить заработать идентификацию через ldap на
> компакте? пытаясь поднять идентификацию в учебном классе, убил несколько
> дней, по всем факам и рекомендациям. Бесполезно.
> Точнее, работает, если дописать пользователя в /etc/passwd (?!!), но и
>  только. Без этого действа, идентификация не проходит (не срабатывает
> login). А вот при внесении *вручную*(!) пользователя в /etc/passwd, *всё*,
> в том числе, обсуждавшийся здесь ssh, работает нормально... бред
> какой-то...

> /etc/pam.d/system-auth:
в это не вникал, но его недостаточно.
надо еще /etc/nsswitch.conf
(только ldap ставить _после_ files!!)

-- 
Regards, Nick S. Grechukh
NSG1-UANIC
network administrator at many places :-)

=== ALT Linux fortune: ========================
Score: +1, кунать.
  -- mike in devel@

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] compact 2.3 + идентификация через LDAP

[Gennadiy Redko]

Nick S. Grechukh пишет:
> В сообщении от Среда 25 Август 2004 08:26 Gleb Kulikov написал(a):
> 
>>Добрый вечор, сообщество.
>>
>>Кому-нибудь удавалось заставить заработать идентификацию через ldap на
>>компакте? пытаясь поднять идентификацию в учебном классе, убил несколько
>>дней, по всем факам и рекомендациям. Бесполезно.
>>Точнее, работает, если дописать пользователя в /etc/passwd (?!!), но и
>> только. Без этого действа, идентификация не проходит (не срабатывает
>>login). А вот при внесении *вручную*(!) пользователя в /etc/passwd, *всё*,
>>в том числе, обсуждавшийся здесь ssh, работает нормально... бред
>>какой-то...
> 
> 
>>/etc/pam.d/system-auth:
> 
> в это не вникал, но его недостаточно.
> надо еще /etc/nsswitch.conf
> (только ldap ставить _после_ files!!)
> 
> 
Эх! Вот бы инструкцию к этой интересной теме.
Уж больно актуально...

Re: [Comm] compact 2.3 + идентификация через LDAP

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 1575 bytes --]

В сообщении от Вторник 31 Август 2004 16:11 Gennadiy Redko написал(a):
> Nick S. Grechukh пишет:
> > В сообщении от Среда 25 Август 2004 08:26 Gleb Kulikov написал(a):
> >>Добрый вечор, сообщество.
> >>
> >>Кому-нибудь удавалось заставить заработать идентификацию через ldap на
> >>компакте? пытаясь поднять идентификацию в учебном классе, убил несколько
> >>дней, по всем факам и рекомендациям. Бесполезно.
> >>Точнее, работает, если дописать пользователя в /etc/passwd (?!!), но и
> >> только. Без этого действа, идентификация не проходит (не срабатывает
> >>login). А вот при внесении *вручную*(!) пользователя в /etc/passwd,
> >> *всё*, в том числе, обсуждавшийся здесь ssh, работает нормально... бред
> >> какой-то...
> >>
> >>
> >>/etc/pam.d/system-auth:
> >
> > в это не вникал, но его недостаточно.
> > надо еще /etc/nsswitch.conf
> > (только ldap ставить _после_ files!!)
>
> Эх! Вот бы инструкцию к этой интересной теме.
> Уж больно актуально...
вы удивитесь насколько все просто на самом деле  :-). 

если не лень читать по английски - см. idealx smb-ldap-howto. там как раз (как 
побочный эффект) описывается использование ldap для системных пользователей. 
можно даже просто nsswitch.conf читать и понимать что в ldap можно засунуть 
вообще все включая hosts, services и sudoers (а оно нам надо?)

ЗЫ. будет время - попытаюсь написать кратко. 

-- 
Regards, Nick S. Grechukh
NSG1-UANIC
network administrator at many places :-)

=== ALT Linux fortune: ========================
Я не улавливаю, зачем про каждый новый пакет спрашивать incoming@?
  -- ldv in devel@

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] compact 2.3 + идентификация через LDAP

[Gennadiy Redko]

Nick S. Grechukh пишет:
>>>в это не вникал, но его недостаточно.
>>>надо еще /etc/nsswitch.conf
>>>(только ldap ставить _после_ files!!)
>>
>>Эх! Вот бы инструкцию к этой интересной теме.
>>Уж больно актуально...
> 
> вы удивитесь насколько все просто на самом деле  :-). 
> 
> если не лень читать по английски - см. idealx smb-ldap-howto. там как раз (как 
> побочный эффект) описывается использование ldap для системных пользователей. 
> можно даже просто nsswitch.conf читать и понимать что в ldap можно засунуть 
> вообще все включая hosts, services и sudoers (а оно нам надо?)
Не лень. Почитаю
> 
> ЗЫ. будет время - попытаюсь написать кратко. 
> 
Ок

Re: [Comm] compact 2.3 + идентификация через LDAP

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 357 bytes --]

В сообщении от Вторник 31 Август 2004 17:57 Gennadiy Redko написал(a):
> > ЗЫ. будет время - попытаюсь написать кратко.
> Ок
уже пишу.

-- 
Regards, Nick S. Grechukh
NSG1-UANIC
network administrator at many places :-)

=== ALT Linux fortune: ========================
В целом, нужно стремиться к точным алгоритмам, а это сложнее, чем хаки.
  -- at in devel@

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] compact 2.3 + идентификация через LDAP

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 352 bytes --]

> > ЗЫ. будет время - попытаюсь написать кратко.
вот, собственно... первый набросок, типа

gns-linux.narod.ru/ldap-about.html

-- 
Regards, Nick S. Grechukh
NSG1-UANIC
network administrator at many places :-)

=== ALT Linux fortune: ========================
Если у кого возникнут светлые мысли -- не стесняйтесь вешать
сразу в BTS.
  -- mike in devel@

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

[Comm] Re: compact 2.3 + идентификация через LDAP

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 492 bytes --]

On Tue, Aug 31, 2004 at 07:36:59PM +0300, Nick S. Grechukh wrote:
> > > ЗЫ. будет время - попытаюсь написать кратко.
> вот, собственно... первый набросок, типа
> gns-linux.narod.ru/ldap-about.html

welcome to openldap на lists.osdn.org.ua (если проблемы с
подпиской -- пинать меня; веб-подписка сейчас практически не
работает, mailto:sympa@lists.osdn.org.ua?subject="sub openldap")

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Re: compact 2.3 + идентификация через LDAP

[Slava Dubrovskiy]

Michael Shigorin пишет:

>>вот, собственно... первый набросок, типа
>>gns-linux.narod.ru/ldap-about.html
>>    
>>
>
>welcome to openldap на lists.osdn.org.ua (если проблемы с
>подпиской -- пинать меня; веб-подписка сейчас практически не
>работает, mailto:sympa@lists.osdn.org.ua?subject="sub openldap")
>  
>
Да, не работает. :-(

С уважением,
Дубровский Вячеслав.