Dotaz: PAM, LDAP a expirace hesla

[kubik]

Snažím se rozjet autentizaci klienta s Debianem Jessie pomocí PAM modulu k LDAP serveru (pravděpodobně OpenLDAP). Skoro všechno klape, kromě nesmyslné hlášky, která se objevuje během přihlašování (je jedno, jestli z KDM nebo z konzole):

pam_ldap(su:account): password expired 6106 days ago

To číslo se každý den zvýší. Účet vznikl asi před 150 dni a nepomůže ani změna hesla (která se povede).

Dříve si dokonce každé přihlášení vynucovalo změnu hesla. To už jsme potlačil v /etc/pam.d/common-account (aspoň myslím, že to byl zrovna tento soubor) změnou z new_authtok_reqd=done na new_authtok_reqd=ignore.

Na stanici s Kubuntu 13.?, Windows XP nebo MAC OS X se nic takového neobjevuje.

Nevíte prosím někdo, jak se toho zbavit? Stačilo by mi, kdyby se to neobjevovalo při přihlašování z KDM. Děkuji předem za všechny náměty.

---

---

Odpovědi

[ewew]

Podľa ktorého návodu si to skúšal ? Pozri si tento návod

[kubik]

Podle jiných, třeba podle tohoto. Takhle od pohledu mám pocit, že jsou tam trochu jiné konfigurační soubory /etc/pam.d/common*. Přesně to zjistím až zítra v práci. Díky za tip.

Po pravdě řečeno ty konfiguráky PAMu jsou pro mě dost nepřehledné, navíc v různých zdrojích jsou popisovány různě. A trochu se bojím s tím nahodile experimentovat, abych to moc nerozsekal.

[ewew]

Presne neviem čo spôsobuje danú hlášku ale predpokladám, že tam nemáš udaj o čase vytvorenia konta. Používaš su po logine ?

[kubik]

To su z toho logu je tam proto, že jsem to zkoušel po lokálním přihlášení k lokálnímu účtu a následně se v terminálu přehlásit na LDAPového uživatele. Stejně to dopadne při přihlašování k LDAPovému účtu rovnou z KDM.

[kubik]

Jo, a kde bych měl mít údaj o čase vytvoření konta? Na serveru? Do toho já zasahovat moc nemůžu. A proč to nevadí Kubuntu? Těch 6000 dní je přes 16 let, to ten server myslím ani neexistoval.

[ewew]

Urob si založne kopie súborov a pokiaľ možno nereštartuj system alebo si zadefinuj v pam aby pri UID=0 preskočilo ldap. To znamená mať lokálného roota. Lepšie riešenie je dať ďalší PC na ktorom nemáš dôležite data.

[kubik]

Zkusím. Lokálního roota mám. S daty taky není moc problém, akorát by se mi to nechtělo instalovat znovu.

[kubik]

Vyřešeno:

apt-get install libnss-ldapd libpam-ldapd (nscd a nslcd je patrně v závislostech, pokud ne, tak zkontrolujte)

Je velmi důležité, aby to byly balíčky s D na konci. Dále jsem doinstaloval ještě balíčky apt-get install libpam-winbind libpam-mount libnss_winbind libnss-hostname, i když si nejsem jistý, jestli je opravdu potřebuju (kromě toho libpam_mount). Budu rád, pokud to tu někdo vysvětlí.

Všechny konfigurace se provedou během instalace, ale je asi lepší zopakovat příkazem: dpkg-reconfigure libpam-ldapd Mám za to, že při tom proběhne více otázek.

Nakonec jsem přidal do /etc/pam.d/common-session řádek:
session required pam_mkhomedir.so skel=/etc/skel/ umask=0077
Je nutné to dát před řádek s pam_mount a kontrolovat při každé aktualizaci nebo rekonfiguraci PAM modulů. Jiný ruční zásah do /etc/pam.d/* jsem nedělal.

Aby fungovalo připojování síťové složky při přihlášení (PAM modul pam_mount), je nutné mít ještě zeditovaný soubor /etc/secret/pam_mount.conf.xml. Stačí přidat řádek:
<volume user="*" fstype="cifs" server="IP nebo název stroje" path="cesta na stroji/%(DOMAIN_USER)" mountpoint="/někam/%(DOMAIN_USER)/Disk_P" options="sec=ntlm,nodev,nosuid" />
Místo user="*" je lepší dát filtr na skupinu sgrp="Domain User", poněvadž to jinak vytváří homedir také pro systémové a lokální uživatele, chce to pro ně hesla a prostě se to na tom zastavuje.

Pro jistotu ještě uvádím, že je nutné mít zanesený LDAP v /etc/nsswitch.conf:
passwd: file ldap
group: file ldap
shadow: file ldap

Možná je potřeba upravit /etc/ldap/ldap.conf, případně /etc/ldap.conf ale bez záruky, nemám teď možnost to ověřit:
BASE dc=example,dc=com
URI ldap://ldaps1.example.com/

Uvítám jakékoliv další rady, náměty na vylepšení, případně vysvětlení.