ALT Linux Team development discussions
 help / color / mirror / Atom feed
* [devel] Q: sssd + AD
@ 2017-11-06 16:41 Konstantin Lepikhov
  2017-11-06 19:02 ` Andrey Cherepanov
  2017-11-06 19:24 ` Vitaly Lipatov
  0 siblings, 2 replies; 17+ messages in thread
From: Konstantin Lepikhov @ 2017-11-06 16:41 UTC (permalink / raw)
  To: ALT Linux Devel Mailing List

Привет!

А у нас есть какие-то специфические вещи которые нужно включать в sssd
чтобы использовать AD авторизацию?

Спрашиваю, потому что весь день сегодня пытался это настроить используя
магические команды, которые работают в CentOS/RHEL, но не работают у нас:

1) realm join -U <user> <domain> падает с ошибкой "невозможно создать
записи хоста", та же команда отрабатывает нормально в centos7. Да, я знаю,
что у меня возможно нет админских привилегий чтобы создать запись хоста в
AD, но мне это и не нужно, просто пусть создадутся конфиги для krb5/sssd.

2) Даже если скопировать конфигурацию /etc/krb5.conf и /etc/sssd/sssd.conf
из centos7, поменять system-auth на sss, проавторизоваться не получается,
в логах только странные записи вида

nov 06 17:26:01 comp-core-i7-7500u-36b400 su[18648]:
pam_keyinit(su:session): OPEN 1
nov 06 17:26:01 comp-core-i7-7500u-36b400 su[18648]:
pam_keyinit(su:session): Unable to look up user
"konstantin.lepikhov@<domain>"
nov 06 17:26:01 comp-core-i7-7500u-36b400 su[18648]:
pam_systemd(su:session): Failed to get user data.
nov 06 17:26:01 comp-core-i7-7500u-36b400 su[18648]:
pam_systemd(su:session): Failed to get user data.
nov 06 17:26:01 comp-core-i7-7500u-36b400 su[18648]:
pam_mkhomedir(su:session): User unknown.
nov 06 17:26:01 comp-core-i7-7500u-36b400 su[18648]:
pam_xauth(su:session): error determining target user's UID


В тоже время на тестовой машине с centos7 все работает:

Nov 06 17:33:30 centos7.test.domain su[10525]: (to
konstantin.lepikhov@<domain>) root on pts/0
Nov 06 17:33:30 centos7.test.domain su[10525]: pam_unix(su-l:session):
session opened for user konstantin.lepikhov@<domain> by
konstantin.lepikhov@<domain>(uid=0)
Nov 06 17:33:30 centos7.test.domain su[10525]: pam_lastlog(su-l:session):
username too long, output might be inaccurate

Из того что я заметил:

- kinit/klist работают.
- sssd успешно отрабатывает запрос на авторизацию, падает что-то дальше.
- в altlinux realm использует --membership-software=adcli по-умолчанию, а
  centos использует samba.
- в altlinux в sssd включен ad_gpo_access_control, в centos его нет (или
  вывод от него заглушен).

Я могу создать багу, но хотелось бы перед этим услышать еще отзывы от
пользователей этих продуктов в altlinux, как они все настраивали.

-- 
WBR et al.


^ permalink raw reply	[flat|nested] 17+ messages in thread

end of thread, other threads:[~2017-11-25  1:03 UTC | newest]

Thread overview: 17+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2017-11-06 16:41 [devel] Q: sssd + AD Konstantin Lepikhov
2017-11-06 19:02 ` Andrey Cherepanov
2017-11-06 20:22   ` Konstantin Lepikhov
2017-11-07  7:49     ` Andrey Cherepanov
2017-11-07 10:02       ` Konstantin Lepikhov
2017-11-07 10:38           ` Konstantin Lepikhov
2017-11-07 10:52             ` Yuri Sedunov
2017-11-07 11:09               ` Konstantin Lepikhov
2017-11-07 10:53             ` Andrey Cherepanov
2017-11-07 13:13               ` Konstantin Lepikhov
2017-11-07 13:25                 ` [devel] git.alt - Disk quota exceeded Oleg Solovyov
2017-11-07 13:46                   ` Dmitry V. Levin
2017-11-25  1:03                     ` Dmitry V. Levin
2017-11-07 19:57                   ` [devel] Q: sssd + AD Konstantin Lepikhov
2017-11-08 19:31         ` Vitaly Lipatov
2017-11-09  5:29           ` Andrey Cherepanov
2017-11-06 19:24 ` Vitaly Lipatov

ALT Linux Team development discussions

This inbox may be cloned and mirrored by anyone:

	git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git

	# If you have public-inbox 1.1+ installed, you may
	# initialize and index your mirror using the following commands:
	public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \
		devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru
	public-inbox-index devel

Example config snippet for mirrors.
Newsgroup available over NNTP:
	nntp://lore.altlinux.org/org.altlinux.lists.devel


AGPL code for this site: git clone https://public-inbox.org/public-inbox.git