From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <john@rmts.donpac.ru>
Message-ID: <4080C12C.6010901@rmts.donpac.ru>
Date: Sat, 17 Apr 2004 09:31:24 +0400
From: Eugene Prokopiev <john@rmts.donpac.ru>
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.0; ru-RU;
	rv:1.5b) Gecko/20031007 Thunderbird/0.3a
X-Accept-Language: ru-ru, ru
MIME-Version: 1.0
To: community@altlinux.ru
Content-Type: text/plain; charset=KOI8-R; format=flowed
Content-Transfer-Encoding: 8bit
Subject: [Comm] /etc/passwd -> LDAP: pam_tcb -> pam_ldap?
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.1.4
Precedence: list
Reply-To: community@altlinux.ru
List-Id: Mailing list for ALT Linux users <community.altlinux.ru>
List-Unsubscribe: <http://lists.altlinux.ru/mailman/listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Archive: <http://lists.altlinux.ru/pipermail/community>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <http://lists.altlinux.ru/mailman/listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
X-List-Received-Date: Sat, 17 Apr 2004 05:29:21 -0000
Archived-At: <http://lore.altlinux.org/community/4080C12C.6010901@rmts.donpac.ru/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>

Здравствуйте!

Чуть раньше о том же самом я уже писал. Но ситуация изменилась, 
пользователи LDAP в сам LDAP уже заходят :)

Имеем:

$ ldapsearch -LLL -H ldap://localhost -b 
"dc=myserver,dc=myprovider,dc=ru" -D 
"cn=vasya,cn=Users,dc=myserver,dc=myprovider,dc=ru" -w "1"
dn: dc=myserver, dc=myprovider, dc=ru
objectClass: top

dn: cn=Users, dc=myserver, dc=myprovider, dc=ru
objectClass: top

dn: cn=vasya, cn=Users, dc=myserver, dc=myprovider, dc=ru
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: vasya
uid: vasya
uidNumber: 1000
gidNumber: 10
homeDirectory: /home/vasya
loginShell: /bin/bash
userPassword:: e1NTSEF9M2J1TWFKQ2I4WEpSbFVKTjRPWDVhRjZCVmttYlhxNXg=

Т.е. Васю в LDAP пускают (а не пускали из-за неправильного вызова 
ldapsearch - не те ключи использовал).

Остальное без особых изменений:

# grep ^[a-z] /etc/ldap.conf
host 127.0.0.1
base dc=myserver,dc=myprovider,dc=ru
bindpw secret
rootbinddn cn=manager,dc=myserver,dc=myprovider,dc=ru

# grep ^[a-z] /etc/nsswitch.conf | grep ldap
passwd:     files ldap nisplus nis
shadow:     tcb ldap files nisplus nis
group:      files ldap nisplus nis

Т.е. в духе того, что написано в Руководстве администратора. И id у меня 
  действительно работает так, как там описано:

# id vasya
uid=1000(vasya) gid=10(wheel) groups=10(wheel)

А вот следующий шаг не работает:

$ su - vasya
Password:
su: Authentication failure
Apr 17 09:15:06 john-ws pam_tcb[30339]: su: Authentication failed for 
vasya from john(uid=501)

А почему pam_tcb, а не pam_ldap? По словам pam_tcb и ldap нашел в 
search.altlinux.ru два обсуждения, в которых люди сталкивались с 
проблемами, но проблемы были другими и дело было не на ALM22.

Выяснилось, что для нормальной работы необходимо еще что-то прописывать 
в /etc/pam.d. Пытался делать по аналогии, но добавление pam_ldap 
приводило только к Segmentation fault при su - vasya.

Собственно вопрос: как все-таки на ALM22 сделать это правильно? 
Поделитесь, пожалуйста, работающими конфигами.

-- 
С уважением, Прокопьев Евгений