ALT Linux Community general discussions
 help / color / mirror / Atom feed
* [Comm] LDAP и PAM: вопрос для повышения образованности
@ 2009-01-06  9:32 Денис Черносов
  2009-01-06  9:38 ` Dmitriy M. Maslennikov
  2009-01-06 10:13 ` Timur Batyrshin
  0 siblings, 2 replies; 6+ messages in thread
From: Денис Черносов @ 2009-01-06  9:32 UTC (permalink / raw)
  To: ALT Linux Community general discussions

Настраиваю Ldap по этой инструкции:
http://www.altlinux.org/OpenLDAP

Всё понятно, кроме одного момента: даже с TLS не хочется подключаться
к LDAP через какого-то прокси-юзера или разрешать всем анонимам читать
пароли юзеров. В первом случае дыра в безопасности, связанная с
хранением настроек прокси-юзера на каждой рабочей станции (которую
могут банально унести и прочитать файл с другой системы). Во втором -
дыра с доступом к OpenLDAP.

Есть ли какой-то способ заставить pam формировать binddn динамически,
в зависимости от проверяемого клиента?

Сейчас я вижу в логах сервера:

Jan  6 12:56:13 gate slapd[30060]: conn=478 fd=39 ACCEPT from
IP=<wks_ip>:52928 (IP=0.0.0.0:636)
Jan  6 12:56:13 gate slapd[30060]: conn=478 fd=39 TLS established
tls_ssf=256 ssf=256
->   Jan  6 12:56:13 gate slapd[30060]: conn=478 op=0 BIND dn="" method=128
Jan  6 12:56:13 gate slapd[30060]: conn=478 op=0 RESULT tag=97 err=0 text=
Jan  6 12:56:13 gate slapd[30060]: conn=478 op=1 SRCH
base="ou=People,<base_dn>" scope=1 deref=0
filter="(&(objectClass=posixAccount)(uid=admin))"
Jan  6 12:56:13 gate slapd[30060]: conn=478 op=1 SRCH attr=uid
userPassword uidNumber gidNumber cn homeDirectory loginShell gecos
description objectClass
Jan  6 12:56:13 gate slapd[30060]: conn=478 op=1 SEARCH RESULT tag=101
err=0 nentries=0 text=
Jan  6 12:56:15 gate slapd[30060]: conn=478 fd=39 closed (connection lost)


Можно сделать так:

->   Jan  6 12:56:13 gate slapd[30060]: conn=478 op=0 BIND
dn="cn=proxy-root,ou=People,<base_dn>" method=128


А хотелось бы видеть что-то типа:


>Jan  6 12:56:13 gate slapd[30060]: conn=478 op=0 BIND dn="cn=admin,ou=People,<base_dn>" method=128
...

Со всеми вытекающими.

Возможно ли это в принципе? Или может я зря этого хочу?

^ permalink raw reply	[flat|nested] 6+ messages in thread
end of thread, other threads:[~2009-01-09 10:01 UTC | newest]

Thread overview: 6+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2009-01-06  9:32 [Comm] LDAP и PAM: вопрос для повышения образованности Денис Черносов
2009-01-06  9:38 ` Dmitriy M. Maslennikov
2009-01-06  9:46   ` Денис Черносов
2009-01-06 10:16     ` Dmitriy M. Maslennikov
2009-01-06 10:13 ` Timur Batyrshin
2009-01-09 10:01   ` Денис Черносов

ALT Linux Community general discussions

This inbox may be cloned and mirrored by anyone:

	git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git

	# If you have public-inbox 1.1+ installed, you may
	# initialize and index your mirror using the following commands:
	public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
		mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
	public-inbox-index community

Example config snippet for mirrors.
Newsgroup available over NNTP:
	nntp://lore.altlinux.org/org.altlinux.lists.community


AGPL code for this site: git clone https://public-inbox.org/public-inbox.git