[sisyphus] ldap/kerberos домен

[sisyphus] ldap/kerberos домен

[Gleb Kulikov]

Джентльмены,

а можно в 2 словах, какая сейчас ситуация с настройкой ldap/kerberos? 

Что-то столько пришлось руками править, чтобы просто slapd завёлся --- это же 
не должно быть так?!

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru		(telephony)
skype://gleb_kulikov.tomsk	(telephony)

Re: [sisyphus] ldap/kerberos домен

[Андрей Черепанов]

27.02.2015 10:58, Gleb Kulikov пишет:
> 
> Джентльмены,
> 
> а можно в 2 словах, какая сейчас ситуация с настройкой ldap/kerberos? 
> 
> Что-то столько пришлось руками править, чтобы просто slapd завёлся --- это же 
> не должно быть так?!
alterator-net-domain ?
http://altlinux.org/Домен

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

Re: [sisyphus] ldap/kerberos домен

[alexei]

----- Исходное сообщение -----
> От: "Андрей Черепанов" <cas@altlinux.ru>
> Кому: sisyphus@lists.altlinux.org
> Отправленные: Пятница, 27 Февраль 2015 г 22:22:47
> Тема: Re: [sisyphus] ldap/kerberos домен

> 27.02.2015 10:58, Gleb Kulikov пишет:
>> 
>> Джентльмены,
>> 
>> а можно в 2 словах, какая сейчас ситуация с настройкой ldap/kerberos?
>> 
>> Что-то столько пришлось руками править, чтобы просто slapd завёлся --- это же
>> не должно быть так?!
> alterator-net-domain ?
> http://altlinux.org/Домен

Для внутреннего потребления пересобрал самбу из сизифа с %def_with dc. Kerberos и
LDAP от самбы. С виндой в режиме AD вполне работает. Пришлось потанцевать с бубном
в плане скрещивания DHCP+BIND. 

Re: [sisyphus] ldap/kerberos домен

[Gleb Kulikov]

В письме от Пятница 27 февраля 2015 23:57:45 пользователь alexei@taf.ru 
написал:

> Для внутреннего потребления пересобрал самбу из сизифа с %def_with dc.
> Kerberos и LDAP от самбы. С виндой в режиме AD вполне работает. 

Здорово!

К сожалению, мне сейчас нужна работа без самбы

> Пришлось
> потанцевать с бубном в плане скрещивания DHCP+BIND.

Я использую dnsmasq, для небольших сетей -- самое то, и скакать с бубном не 
надо. Хотя для самбы + AD, как я слышал, это работать не будет?


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] ldap/kerberos домен

[Вадим Илларионов]

4 марта 2015 19:52:19 от Gleb Kulikov поступило следующее:
> Я использую dnsmasq, для небольших сетей -- самое то, и скакать с бубном не
> надо. Хотя для самбы + AD, как я слышал, это работать не будет?

Есть те, кто считает иначе; http://edoceo.com/howto/samba4

Сам в настоящий момент перетаскиваю виндовый домен на самбу-4 (правда, от 
сернета - устал ждать чего-либо столь же вменяемого от альта). И статья по 
ссылке весьма обнадёживает.
-- 
_______________________________
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

Re: [sisyphus] ldap/kerberos домен

[Андрей Черепанов]

05.03.2015 06:00, Вадим Илларионов пишет:
> 4 марта 2015 19:52:19 от Gleb Kulikov поступило следующее:
>> Я использую dnsmasq, для небольших сетей -- самое то, и скакать с бубном не
>> надо. Хотя для самбы + AD, как я слышал, это работать не будет?
> 
> Есть те, кто считает иначе; http://edoceo.com/howto/samba4
> 
> Сам в настоящий момент перетаскиваю виндовый домен на самбу-4 (правда, от 
> сернета - устал ждать чего-либо столь же вменяемого от альта). И статья по 
> ссылке весьма обнадёживает.
http://altlinux.org/SambaAD ?

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

Re: [sisyphus] ldap/kerberos домен

[Вадим Илларионов]

В письме от 5 марта 2015 10:28:42 пользователь Андрей Черепанов написал:
> >> Я использую dnsmasq, для небольших сетей -- самое то, и скакать с бубном не
> >> надо. Хотя для самбы + AD, как я слышал, это работать не будет?
> > 
> > Есть те, кто считает иначе; http://edoceo.com/howto/samba4
> > 
> > Сам в настоящий момент перетаскиваю виндовый домен на самбу-4 (правда, от 
> > сернета - устал ждать чего-либо столь же вменяемого от альта). И статья по 
> > ссылке весьма обнадёживает.

> http://altlinux.org/SambaAD ?
Читал, но - нет. Пока предпочту https://download.sernet.de/packages/samba/4.1/debian

-- 
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

[sisyphus] [[SambaAD]] (было: ldap/kerberos-поместье)

[Michael Shigorin]

On Thu, Mar 05, 2015 at 11:00:01AM +0800, Вадим Илларионов wrote:
> Есть те, кто считает иначе; http://edoceo.com/howto/samba4
> Сам в настоящий момент перетаскиваю виндовый домен на самбу-4
> (правда, от сернета - устал ждать чего-либо столь же вменяемого
> от альта). И статья по ссылке весьма обнадёживает.

Вообще-то
http://www.altlinux.org/SambaAD
http://fly.osdn.org.ua/~mike/iso/test/
http://packages.altlinux.org/ru/p7/srpms/alterator-auth/changelog
-- но до p8/branch это действительно наброски, а не часть продухта.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [sisyphus] [[SambaAD]] (было: ldap/kerberos-поместье)

[Вадим Илларионов]

В письме от 5 марта 2015 18:31:52 пользователь Michael Shigorin написал:
> Вообще-то
> http://www.altlinux.org/SambaAD
> http://fly.osdn.org.ua/~mike/iso/test/
> http://packages.altlinux.org/ru/p7/srpms/alterator-auth/changelog
> -- но до p8/branch это действительно наброски, а не часть продухта.

Вот. А мне танцы с бубном плясать не дадут, мне в продакшн.
А через пару месяцев результат должен быть включён в лес группы компаний.

-- 
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

Re: [sisyphus] ldap/kerberos домен

[Gleb Kulikov]

В сообщении от [5 марта 2015 Вадим Илларионов] написал:

> 4 марта 2015 19:52:19 от Gleb Kulikov поступило следующее:
> > Я использую dnsmasq, для небольших сетей -- самое то, и скакать с бубном
> > не надо. Хотя для самбы + AD, как я слышал, это работать не будет?
> 
> Есть те, кто считает иначе; http://edoceo.com/howto/samba4
> 
> Сам в настоящий момент перетаскиваю виндовый домен на самбу-4 (правда, от
> сернета - устал ждать чего-либо столь же вменяемого от альта). И статья по
> ссылке весьма обнадёживает.

Э... почитал.

Там действительно [home] не автомонтируется?
Тогда зачем оно надо? Это же СТОП большими буквами. Нет?


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] ldap/kerberos домен

[Gleb Kulikov]

В письме от Пятница 27 февраля 2015 17:22:47 пользователь Андрей Черепанов 
написал:

> > Что-то столько пришлось руками править, чтобы просто slapd завёлся --- это
> > же не должно быть так?!
> 
> alterator-net-domain ?
> http://altlinux.org/Домен

Да, конечно, так и действовал.
Однако, из того, что помню:

A) "сервер":

/etc/sysconfig/ldap:
Пришлось дополнить пробелами строку 
	SLAPDURLLIST=" ldap://localhost/ ldaps:/// "
и поставить на файл атрибут immutable, чтобы запуск альтератора не приводил к 
удалению пробелов из строки и соотв., к невозможности запуска slapd
	
/etc/openldap/ldap.conf:
Пришлось заменить tls_reqcert    never ->  ALLOW, без этого были проблемы с 
подключением 

rpc.gssd //  rpc.svcgssd // rpc.idmapd, непонятно, почему службы не стартуют 
(systemd), пришлось дёргать руками // /etc/init.d/gssd|idmapd

Б) клиент,

acc: домен нашёл и аутентификацию настроил автоматически, отлично.
При попытке входа: не работает. 
Пришлось руками править /etc/krb5.conf с указанием домена // realm

Заработало.

Ну и попытка подойти к снаряду nfs4+kerberos провалилиась с грохотом (прошу 
помощи клуба!), тут, очевидно, моё непонимание, как у нас устроены эти 
механизмы



-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] ldap/kerberos домен

[Gleb Kulikov]

В письме от Пятница 27 февраля 2015 17:22:47 пользователь Андрей Черепанов 
написал:
> 27.02.2015 10:58, Gleb Kulikov пишет:
> > Джентльмены,
> > 
> > а можно в 2 словах, какая сейчас ситуация с настройкой ldap/kerberos?
> > 
> > Что-то столько пришлось руками править, чтобы просто slapd завёлся --- это
> > же не должно быть так?!
> 
> alterator-net-domain ?
> http://altlinux.org/Домен

А,да. Ещё в openldap пришлось разрешать недостающие схемы, уже не помню, что 
именно не хватало.

Система на сервере: февральский стартеркит, обновлённый до текущего Сизифа. 

Alterator-openldap 0.8.1-alt1
Openldap 2.4.32-alt2.1.1
Openldap-clients 2.4.32-alt2.1.1
Openldap-servers 2.4.32-alt2.1.1

Alterator-net-domain 0.4-alt19

По-моему, была закомментирована /etc/openldap/schema/kerberos.schema :O
-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)