[sisyphus] Аутентификация пользователей через ldap

[sisyphus] Аутентификация пользователей через ldap

[Krasavin Andrey]

Добрый день!

Помогите, пожалуйста, с настройкой аутентификации через ldap.
Поставил необходимые пакеты nss_ldap и pam_ldap, прочитал статьи
по настройке, вроде ничего сложного, да не выходит. После всех
настроек пытаюсь залогиниться, ввожу имя пользователя, пароль, а
меня обратно выкидывает на login, при этом в логи сыпятся
сообщения от slapd.conf и смущает, что там есть строка bind
dn="", т.е. подозрение, что какая-та служба не может
приконектиться к серверу ldap (могу ошибаться, поправьте если что).

Однако при init 1 я под рутом логинюсь, делаю service network
start, service slapd start и все на первый взгляд в порядке. ldap
работает: проверял, заведя в ldap тестового юзера pupkin и по
команде id pupkin выдается информация, которая введена в лдапе.

Возможно просто где-то закралась синтаксическая ошибка, поэтому
посмотрите, пожалуйста свежим взглядом на мои настройки:

cat /var/ftp/incoming/nsswitch.conf | egrep -v "^#|^;|^$|^ *$"
passwd:     files ldap nisplus nis
shadow:     tcb files ldap nisplus nis
group:      files ldap nisplus nis
hosts:      files nisplus nis dns
ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files
bootparams: nisplus [NOTFOUND=return] files
netgroup:   nisplus
publickey:  nisplus
automount:  files nisplus
aliases:    files nisplus

cat /var/ftp/incoming/nss_ldap.conf | egrep -v "^#|^;|^$|^ *$"
 @(#)$Id: ldap.conf,v 2.42 2005/05/20 05:33:55 lukeh Exp $
 host 127.0.0.1
 base dc=komitex,dc=ru
 rootbinddn cn=negber,dc=komitex,dc=ru
 scope one
 pam_filter objectclass=posixAccount
 pam_login_attribute uid
 pam_member_attribute gid
 pam_password crypt
 nss_base_passwd ou=People,dc=komitex,dc=ru?one
 nss_base_shadow ou=People,dc=komitex,dc=ru?one
 nss_base_group ou=Groups,dc=komitex,dc=ru?one

cat /var/ftp/incoming/pam_ldap.conf | egrep -v "^#|^;|^$|^ *$"
host 127.0.0.1
base dc=komitex,dc=ru
rootbinddn cn=negber,dc=komitex,dc=ru
scope one
pam_filter objectclass=posixAccount
pam_login_attribute uid
pam_member_attribute gid
pam_password crypt
nss_base_passwd ou=People,dc=komitex,dc=ru?one
nss_base_shadow ou=People,dc=komitex,dc=ru?one
nss_base_group ou=Groups,dc=komitex,dc=ru?one

cat /var/ftp/incoming/system-auth | egrep -v "^#|^;|^$|^ *$"
auth     sufficient     /lib/security/pam_ldap.so use_first_pass
auth     required       pam_tcb.so shadow fork prefix=$2a$
count=8 nullok
account  sufficient /lib/security/pam_ldap.so
account  required       pam_tcb.so shadow fork
account  required       pam_mktemp.so
password required       pam_passwdqc.so min=disabled,24,12,8,7
max=40 passphrase=3 match=4 similar=deny random=42 enforce=users
retry=3
password sufficient /lib/security/pam_ldap.so use_authtok
password required       pam_tcb.so use_authtok shadow fork
prefix=$2a$ count=8 nullok write_to=tcb
session  sufficient /lib/security/pam_ldap.so
session  required       pam_tcb.so
session  required       pam_limits.so
session required /lib/security/pam_mkhomedir.so
skel=/etc/skel.ru_RU.CP1251

cat /var/ftp/incoming/system-auth-use_first_pass | egrep -v
"^#|^;|^$|^ *$"
auth     sufficient     pam_tcb.so shadow fork prefix=$2a$
count=8 nullok use_first_pass
auth     required /lib/security/pam_ldap.so     use_first_pass
password sufficient /lib/security/pam_ldap.so use_authtok
password required       pam_tcb.so use_authtok shadow fork
prefix=$2a$ count=8 nullok write_to=tcb

Может я еще чего забыл поднастроить? Буду признателен, если
кто-нибудь отправит свои работающие конфиги.

-- 
WBR, Krasavin Andrey

Re: [sisyphus] Аутентификация пользователей через ldap

[Alexey Shabalin]

не забудьте про nscd.
и для поиска я использовал не "one", а "sub" - т.к. в OU использовал
вложеные OU.


--
Alexey Shabalin

Re: [sisyphus] Аутентификация пользователей через ldap

[Krasavin Andrey]

On Monday,  3 October 2005 at  9:58:09 +0400, Alexey Shabalin wrote:
> не забудьте про nscd.

А что с ним делать? Ведь как я уже сказал при init 1 я запускаю
только два дополнительных сервиса: network и slapd. nscd я не
запускал.

-- 
WBR, Krasavin Andrey

Re: [sisyphus] Аутентификация пользователей через ldap

[Alexey Shabalin]

> > не забудьте про nscd.
> А что с ним делать? Ведь как я уже сказал при init 1 я запускаю
> только два дополнительных сервиса: network и slapd. nscd я не
> запускал.
Я конечно могу ошибатся, но раньше он был нужен для коректной
работы(даже в faq описывали).
Сейчас может времена изменились.
а это вы смотрели?
http://www.freesource.info/wiki/ALTLinux/Dokumentacija/OpenLDAP?v=v2k

--
Alexey Shabalin

Re: [sisyphus] Аутентификация пользователей через ldap

[Krasavin Andrey]

On Monday,  3 October 2005 at 10:28:41 +0400, Alexey Shabalin wrote:
> Сейчас может времена изменились.
> а это вы смотрели?
> http://www.freesource.info/wiki/ALTLinux/Dokumentacija/OpenLDAP?v=v2k

Конечно, смотрел, по ней практически и делал. Вот что сейчас
обнаружил. Зашел снова через init 1. Сделал service nscd start, а
в логах вот что:

nscd: cannot create /var/db/nscd/passwd: no persistent databased
used
nscd: cannot create /var/db/nscd/group no persistent databased
used
nscd: cannot create /var/db/nscd/hosts: no persistent databased
used

Чего ему не хватает?

-- 
WBR, Krasavin Andrey

Re: [sisyphus] Аутентификация пользователей через ldap

[Krasavin Andrey]

Есть кто-нибудь кто на Сизифе настроил аутентификацию через лдап?
Очень надо. Никак не получается настроить.

-- 
WBR, Krasavin Andrey

Re: [sisyphus] Аутентификация пользователей через ldap

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 756 bytes --]

On Mon, Oct 03, 2005 at 10:45:25AM +0400, Krasavin Andrey wrote:
> On Monday,  3 October 2005 at 10:28:41 +0400, Alexey Shabalin wrote:
> > Сейчас может времена изменились.
> > а это вы смотрели?
> > http://www.freesource.info/wiki/ALTLinux/Dokumentacija/OpenLDAP?v=v2k
> 
> Конечно, смотрел, по ней практически и делал. Вот что сейчас
> обнаружил. Зашел снова через init 1. Сделал service nscd start, а
> в логах вот что:
> 
> nscd: cannot create /var/db/nscd/passwd: no persistent databased
> used
> nscd: cannot create /var/db/nscd/group no persistent databased
> used
> nscd: cannot create /var/db/nscd/hosts: no persistent databased
> used
> 
> Чего ему не хватает?

https://bugzilla.altlinux.ru/show_bug.cgi?id=7973


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: Аутентификация пользователей через ldap

[Michael Shigorin]

On Mon, Oct 03, 2005 at 02:04:56PM +0400, Krasavin Andrey wrote:
> Есть кто-нибудь кто на Сизифе настроил аутентификацию через лдап?
> Очень надо. Никак не получается настроить.

Да, но оба коллеги сейчас больны.  Водятся
в http://lists.osdn.org.ua/wws/info/openldap

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/