Administrace komentářů

Ahoj. Snažím se centos 6.0 přimět k tomu, aby se uživatelé autentizovali (ale i autorizovali) oproti windows active directory 2008r2. AD schéma jsem rozšířil o "NIS službu", takže mám možnost nastavovat i unixové atributy. Doména má název ORGANIZACE.dnsdomena.cz. V konfiguraci jsem postupoval podle několika návodů a dostal jsem se do fáze, kdy wbinfo vypisuje úspěšně uživatele i skupiny, ale getent ne. Rovněž se pomocí wbinfo -a "pokus"%"heslo" autentizuji. Ale normálně se autentizovat nemohu. Zřejmě nefunguje kerberos. Mým cílem je autentizovat uživatele a využívat přitom unixové atributy přítomné v AD stromu - tudíš nechci žádné přemapování UID a GID. (podle informací by to měla samba umět)

/var/log/secure:

Aug 18 18:45:38 pc1 login: pam_unix(login:auth): check pass; user unknown
Aug 18 18:45:38 pc1 login: pam_unix(login:auth): authentication failure; logname=LOGIN uid=0 euid=0 tty=tty2 ruser= rhost= 
Aug 18 18:45:38 pc1 login: pam_succeed_if(login:auth): error retrieving information about user pokus
Aug 18 18:45:40 pc1 login: FAILED LOGIN 2 FROM (null) FOR pokus, User not known to the underlying authentication module


smb.conf:
...
[global]
   workgroup = ORGANIZACE
   realm = ORGANIZACE.DNSDOMENA.CZ
   security = ads 
   idmap config ORGANIZACE:schema_mode = rfc2307
   idmap config ORGANIZACE:backend  = ad
   idmap config ORGANIZACE:readonly = yes
   template shell = /bin/bash
   winbind nss info = rfc2307
   winbind use default domain = true
   winbind offline logon = false
   winbind nested groups = yes
   encrypt passwords = yes
...


krb5.conf:

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = ORGANIZACE.DNSDOMENA.CZ
 dns_lookup_realm = true
 dns_lookup_kdc = true
 passwd_check_s_address = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 use_tcp_only = true
 ccache_type = 3
 forwardable = true

[domain_realm]
 .organizace.dnsdomena.cz = ORGANIZACE.DNSDOMENA.CZ
 organizace.dnsdomena.cz = ORGANIZACE.DNSDOMENA.CZ

[realms]


nsswitch.conf

...
passwd:     files winbind
shadow:     files winbind
group:      files winbind
...


/etc/pam.d/system-auth

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_fprintd.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_winbind.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_winbind.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_winbind.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     optional      pam_oddjob_mkhomedir.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so

Kde mám chybu?