Dotaz: Ldap login - lokální přihlášení při nedostupnosti serveru

[lnf]

Jak nastavím, aby když je zrovna ldap server nedostupný, ho systém nehledal a rovnou koukal do lokální databáze uživatelů respektivě to bude asi v pam knihovnách. V těch se moc nevyznám a vše co jsem doposud našel dělalo to, že se koukalo po ldap serveru a až pak po lokálních účtech nebo nejdřív po lokálních účtech ale potom stejně ještě po ldapu. Chtěl bych, aby to fungovalo tak, že když mám lokální účet a podaří se mi se přihlásit aby to po ldapu vůbec nekoukalo, jinak aby to pak hledalo účet na ldap serveru. /etc/nsswitch.conf mám v pořadí files ldap. Pam konfiguráky pro login jsou v mé distribuci v souborech common-auth, common-account, common-session, common-password. Jak to do těch konfiguráků zapsat?

Odpovědi

[lnf]

Tak v /etc/nsswitch.conf je compat ldap, možná je roblém v tom compat, dá se to nahradit za files? Co znamená to compat?

[pasmen]

/etc/nsswitch.conf neres, problem je urcite v konfiguraci PAM. Pokud je LDAP server nedostupny a chces se prihlasit, musis bud pouzit cachovaciho daemona (nscd), nebo se overit proti lokalnimu uctu. V tom pripade musi byt konfiguraku PAM neco jako

auth sufficient pam_unix.so
auth required pam_ldap.so

(neni to uplne presne, nemuzu se ted napichnout na server kde to mam presne).

[Inf]

A teď jsem zjistil, že pokud není dostupný server ldap a v nsswitch.conf mám ldap a i když to ldap v pamu neuvedu, systém se startuje asi 15 minut, vyhledává ldap server, protože pokud to tam to ldap n tom konfigu není, systém naběhne ok. Jak to řešit?

[pasmen]

Posli cely /etc/nsswitch.conf. Jinak pokud mas v nsswitch.conf LDAP napr. i pro passwd a group apod., pak je jasne, ze se ceka, protoze tyhle zakladni funkce musi byt dostupne. Jde to obejit napr. pomoci

passwd: ldap [UNAVAIL=continue] files

a podobne.

[lnf]

V tom konfigu mam:

passwd:         compat ldap
group:          compat ldap
shadow:         compat ldap

[Oto Petřík]

nepomůže změnit bind_policy v /etc/libnss-ldap.conf na bind_policy soft ?

[Filip Jirsák]

Myslím, že je to z toho důvodu, že si NSS udržuje spojení k LDAP serveru – zřejmě se tedy pokouší hned na začátku nějaké spojení navázat. Zkuste v /etc/ldap.conf nastavit bind_policy soft, ať se při neúspěchu nepokouší připojovat stále dokola, a snižte bind_timelimit. Teoreticky by mohlo pomoci i nss_connect_policy oneshot.

[lnf]

A co tohle neni to lepsi?

auth sufficient pam_unix.so
auth sufficient pam_ldap.so
auth required pam_deny.so

[Inf]

Ale [UNAVAIL=continue] stejně nepomůže.