[Comm] /etc/passwd -> LDAP: pam_tcb -> pam_ldap?

[Eugene Prokopiev <john@rmts.donpac.ru>]

Здравствуйте!

Чуть раньше о том же самом я уже писал. Но ситуация изменилась, 
пользователи LDAP в сам LDAP уже заходят :)

Имеем:

$ ldapsearch -LLL -H ldap://localhost -b 
"dc=myserver,dc=myprovider,dc=ru" -D 
"cn=vasya,cn=Users,dc=myserver,dc=myprovider,dc=ru" -w "1"
dn: dc=myserver, dc=myprovider, dc=ru
objectClass: top

dn: cn=Users, dc=myserver, dc=myprovider, dc=ru
objectClass: top

dn: cn=vasya, cn=Users, dc=myserver, dc=myprovider, dc=ru
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: vasya
uid: vasya
uidNumber: 1000
gidNumber: 10
homeDirectory: /home/vasya
loginShell: /bin/bash
userPassword:: e1NTSEF9M2J1TWFKQ2I4WEpSbFVKTjRPWDVhRjZCVmttYlhxNXg=

Т.е. Васю в LDAP пускают (а не пускали из-за неправильного вызова 
ldapsearch - не те ключи использовал).

Остальное без особых изменений:

# grep ^[a-z] /etc/ldap.conf
host 127.0.0.1
base dc=myserver,dc=myprovider,dc=ru
bindpw secret
rootbinddn cn=manager,dc=myserver,dc=myprovider,dc=ru

# grep ^[a-z] /etc/nsswitch.conf | grep ldap
passwd:     files ldap nisplus nis
shadow:     tcb ldap files nisplus nis
group:      files ldap nisplus nis

Т.е. в духе того, что написано в Руководстве администратора. И id у меня 
  действительно работает так, как там описано:

# id vasya
uid=1000(vasya) gid=10(wheel) groups=10(wheel)

А вот следующий шаг не работает:

$ su - vasya
Password:
su: Authentication failure
Apr 17 09:15:06 john-ws pam_tcb[30339]: su: Authentication failed for 
vasya from john(uid=501)

А почему pam_tcb, а не pam_ldap? По словам pam_tcb и ldap нашел в 
search.altlinux.ru два обсуждения, в которых люди сталкивались с 
проблемами, но проблемы были другими и дело было не на ALM22.

Выяснилось, что для нормальной работы необходимо еще что-то прописывать 
в /etc/pam.d. Пытался делать по аналогии, но добавление pam_ldap 
приводило только к Segmentation fault при su - vasya.

Собственно вопрос: как все-таки на ALM22 сделать это правильно? 
Поделитесь, пожалуйста, работающими конфигами.

-- 
С уважением, Прокопьев Евгений