[sisyphus] openldap , samba3, pam_ldap, nss_ldap

[sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Oleg Frolkov]

Здравствуйте.

Есть сизиф, от 30 июня 2004. Хочу авторизовать самбу через LDAP, но
что-то лыжи не едут :(

У кого-нибудь есть рабочие конфиги - чтобы посмотреть и выяснить где
лыжи не едут?

Нужны:

/etc/openldap/slapd.conf
/etc/openldap/ldap.conf
/etc/ldap.conf
/etc/samba/smb.conf
/etc/nsswitch.conf
/etc/pam.d/system-auth
/etc/pam.d/system-auth-use_first_pass

Вышлите пожалуйста мылом, не дайте погибнуть в борьбе с
samba3,ldap,pam :( - нашел пару мануалов, но что-то они не
совсем помогли.

И еще если можно скелет вашей базы и кратенько о том, как создавали:
ручками или с помощью smbldap-tools?


-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re: [sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Oleg Frolkov]

Здравствуйте, Oleg.

Вы писали 12 июля 2004 г., 11:47:27:

OF> Есть сизиф, от 30 июня 2004. Хочу авторизовать самбу через LDAP, но
OF> что-то лыжи не едут :(
    Ну что-же.... буду считать что задал вопрос неправильно.

    Теперь попытаюсь конкретизировать проблему.

Дистрибутив у меня ALT Linux sisyphus с пакетами:
samba-3.0.3-alt1.1
openldap-2.1.30-alt3
nss_ldap-220-alt1
pam_ldap-169-alt1

Нашел свежую статью описывающую интеграцию samba 3 и openldap
http://samba.idealx.org/smbldap-howto.fr.html и настроил все как там
описано.

Авторизация как в системе так и в самбе работает, файлы создаваемые
от пользователя прописанного в ldap получают нужный uid/gid заведенный
в LDAP, однако при попытке включить компьютер с WINDOWS-XP SP1
в домен получаем вопрос про пользователя имеющего права на
включение в домен - так вот если ввести пользователю Administrator
неправильный пароль то Виндовая машина сообщает: Имя пользователя или
пароль не опознаны. Если ввожу правильный пароль то сообщает: Не
найдено имя пользователя.

В логе на линуксе имею:
Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Problem
   during the LDAP search: LDAP error: invalid DN (Invalid DN syntax)
Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Query was:
   ou=Groups,dc=rcc,dc=com,dc=ru", (&(objectClass=sambaGroupMapping)(gidNumber=512))

При этом:
ldapsearch -LLL -x -D 'cn=samba,ou=DSA,dc=rcc,dc=com,dc=ru' -w
sambasecretpasswd -b 'ou=Groups,dc=rcc,dc=com,dc=ru'
'(&(objectClass=sambaGroupMapping)(gidNumber=512))'

Возвращает:

dn: cn=Domain Admins,ou=Groups,dc=rcc,dc=com,dc=ru
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 512
cn: Domain Admins
memberUid: Administrator
description: Netbios Domain Administrators
sambaSID: S-1-5-21-3675520625-2731205987-3948704194-512
sambaGroupType: 2
displayName: Domain Admins

т.е. все как-бы нормально :(

Есть какие-нибудь мысли по этому поводу? Куда еще посмотреть можно?

-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re: [sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Vladimir Lettiev]

Oleg Frolkov wrote:
> Дистрибутив у меня ALT Linux sisyphus с пакетами:
> samba-3.0.3-alt1.1
> openldap-2.1.30-alt3
> nss_ldap-220-alt1
> pam_ldap-169-alt1
> 
> В логе на линуксе имею:
> Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Problem
>    during the LDAP search: LDAP error: invalid DN (Invalid DN syntax)
> Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Query was:
>    ou=Groups,dc=rcc,dc=com,dc=ru", (&(objectClass=sambaGroupMapping)(gidNumber=512))
> 
Покажите вывод команды:
$ grep "ldap "  /etc/samba/smb.conf


-- 
С уважением, Владимир Леттиев aka crux <crux@syktsu.ru>

Re[2]: [sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Oleg Frolkov]

Здравствуйте, Vladimir.

Вы писали 13 июля 2004 г., 18:59:05:

VL> Oleg Frolkov wrote:
>> Дистрибутив у меня ALT Linux sisyphus с пакетами:
>> samba-3.0.3-alt1.1
>> openldap-2.1.30-alt3
>> nss_ldap-220-alt1
>> pam_ldap-169-alt1
>> 
>> В логе на линуксе имею:
>> Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Problem
>>    during the LDAP search: LDAP error: invalid DN (Invalid DN syntax)
>> Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Query was:
>>    ou=Groups,dc=rcc,dc=com,dc=ru", (&(objectClass=sambaGroupMapping)(gidNumber=512))
>> 
VL> Покажите вывод команды:
VL> $ grep "ldap "  /etc/samba/smb.conf
    Показать-то я покажу.... только я не понимаю эффекта производимого
    вводом правильного/неправильного пароля :( - юзера-то оно видит.

ldap passwd sync = yes
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=admin,dc=rcc,dc=com,dc=ru
ldap suffix = "dc=rcc,dc=com,dc=ru"
ldap group suffix = ou=Groups
ldap user suffix = ou=Users
ldap machine suffix = ou=Computers
ldap idmap suffix = ou=Users
ldap ssl = off
 add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
 add user script = /usr/local/sbin/smbldap-useradd -m "%u"
# delete user script = /usr/local/sbin/smbldap-userdel "%u"
ldap delete dn = Yes
add group script = /usr/local/sbin/smbldap-groupadd -p "%g"
#delete group script = /usr/local/sbin/smbldap-groupdel "%g"
add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u"

До кучи еще:

ldapsearch -LLL -x -D 'cn=admin,dc=rcc,dc=com,dc=ru' \
  -w supersecretpassword -b 'dc=rcc,dc=com,dc=ru' 'uid=Administrator'

dn: uid=Administrator,ou=Users,dc=rcc,dc=com,dc=ru
objectClass: inetOrgPerson
objectClass: sambaSamAccount
objectClass: posixAccount
homeDirectory: /opt/samba/home
sambaLogonTime: 0
sambaLogoffTime: 2147483647
sambaKickoffTime: 2147483647
sambaHomePath: \\fs\homes
sambaHomeDrive: Z:
sambaProfilePath: \\fs\profiles\
sambaPrimaryGroupSID: S-1-5-21-3675520625-2731205987-3948704194-512
sambaSID: S-1-5-21-3675520625-2731205987-3948704194-2996
loginShell: /bin/false
gecos: Netbios Domain Administrator
uidNumber: 0
sambaPwdMustChange: 2147483647
sambaLMPassword: 14D45AF99322F92DD8F4A79B1E28032B
sambaNTPassword: 3C24B3363D7A78B36C834E2F5C6A3D6C
sambaAcctFlags: [U          ]
sn: Administrator
cn: Administrator
uid: Administrator
gidNumber: 512
sambaPwdCanChange: 1089724691
sambaPwdLastSet: 1089724691
userPassword:: e1NNRDV9bU1JNlI2NzhwQ0h0OUlNbkVGM2QzOHAyRnlVPQ==

Все как-бы нормально, но не работает :(

-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re: [sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Vladimir Lettiev]

Oleg Frolkov wrote:
>>>В логе на линуксе имею:
>>>Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Problem
>>>   during the LDAP search: LDAP error: invalid DN (Invalid DN syntax)
>>>Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Query was:
>>>   ou=Groups,dc=rcc,dc=com,dc=ru", (&(objectClass=sambaGroupMapping)(gidNumber=512))
> 
> VL> Покажите вывод команды:
> VL> $ grep "ldap "  /etc/samba/smb.conf
>     Показать-то я покажу.... только я не понимаю эффекта производимого
>     вводом правильного/неправильного пароля :( - юзера-то оно видит.
> 
> ldap passwd sync = yes
> passdb backend = ldapsam:ldap://127.0.0.1/
> ldap admin dn = cn=admin,dc=rcc,dc=com,dc=ru
> ldap suffix = "dc=rcc,dc=com,dc=ru"
                 ^^^^^^^^^^^^^^^^^^^^^
Уберите кавычки.
Кто-то мне уже описывал схожую ситуацию, вылечилось именно так...

> ldap group suffix = ou=Groups
> ldap user suffix = ou=Users
> ldap machine suffix = ou=Computers
> ldap idmap suffix = ou=Users
> ldap ssl = off


-- 
С уважением, Владимир Леттиев aka crux <crux@syktsu.ru>

Re[2]: [sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Oleg Frolkov]

Здравствуйте, Vladimir.

Вы писали 13 июля 2004 г., 18:59:05:

VL> Oleg Frolkov wrote:
>> Дистрибутив у меня ALT Linux sisyphus с пакетами:
>> samba-3.0.3-alt1.1
>> openldap-2.1.30-alt3
>> nss_ldap-220-alt1
>> pam_ldap-169-alt1
>> 
>> В логе на линуксе имею:
>> Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Problem
>>    during the LDAP search: LDAP error: invalid DN (Invalid DN syntax)
>> Jul 13 11:34:31 fs smbd[26373]:   ldapsam_search_one_group: Query was:
>>    ou=Groups,dc=rcc,dc=com,dc=ru", (&(objectClass=sambaGroupMapping)(gidNumber=512))
>> 
VL> Покажите вывод команды:
VL> $ grep "ldap "  /etc/samba/smb.conf

    Мало того... у меня в группе Users есть пользователь. Если я с той
    машины не заходя в домен создаю каталог или файл на шаре -
    владельцем этого файла становится тот юзер, т.е. с поиском
    пользователя и его авторизацией у меня все в порядке :(
    А вот машину в домен добавить не могу :(
    
---
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re[2]: [sisyphus] openldap , samba3, pam_ldap, nss_ldap

[Oleg Frolkov]

Здравствуйте, Vladimir.

Вы писали 13 июля 2004 г., 18:59:05:

VL> Покажите вывод команды:
VL> $ grep "ldap "  /etc/samba/smb.conf
    И еще:

    #net groupmap list

[2004/07/14 14:12:43, 0] passdb/pdb_ldap.c:ldapsam_setsamgrent(2239)
  ldapsam_setsamgrent: LDAP search failed: Invalid DN syntax
[2004/07/14 14:12:43, 0] passdb/pdb_ldap.c:ldapsam_enum_group_mapping(2304)
  ldapsam_enum_group_mapping: Unable to open passdb



-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru