Dotaz: ldap a změna userova hesla přes passwd

[LD]

Chci, aby šlo změnit heslo přes passwd, ale furt mi to nadává:

passwd: Authentication information cannot be recovered

Mám ubuntu, tak jsem upravil soubory /etc/ldap/ldap.conf, /etc/ldap/ldap.secret a nalinkoval je raději do /etc. Jinak postupoval jsem podobně jako v tomto návodu:http://spatium.org/ldap//index.html. Na straně ldap serveru problém není, tam je to všechno ok(na 100%). Co mám kde špatně nebo kde mám hledat závadu?

log:
Jun  7 12:51:56 host passwd[6355]: (pam_unix) unrecognized option [authok]
Jun  7 12:51:56 host passwd[6355]: (pam_unix) unrecognized option [use_nullok]
Jun  7 12:51:56 host passwd[6355]: (pam_unix) user "host" does not exist in /etc/passwd or NIS
Jun  7 12:51:59 host passwd[6355]: (pam_unix) unrecognized option [authok]
Jun  7 12:51:59 host passwd[6355]: (pam_unix) unrecognized option [use_nullok]

Odpovědi

[bitguard]

/etc/nsswitch.conf

[Arno3t]

Za zmenu hesla v LDAP je zodpovedny tento radek v souborech v adresari /etc/pam.d password sufficient pam_ldap.so. Nevim z hlavy, jak vypada struktura tohoto adresare v Ubuntu, ale obecne je v ruznych distribucich ruzna a soubor system.auth z navodu nemusi byt ten spravny pro zmenu, spis to bude common-password. Najdi si neco o PAM na siti, protoze budes muset vyladit slova "sufficient" a "required".

[LD]

Já myslel, že to nemá co s PAMem dělat. Pam knihovny jsem podle toho návodu zrovna nedělal, protože je to dost podobný: common-password mám sufficient jako provní pro unix a jako druhý pro ldap a na třetím řádku pam_deny.so. Kde poznám, co se to snaží dělat a kde to vázne?

[VSi]

Pro změnu hesla je třeba mít správně nakonfigurovaný PAM pro LDAP. Alespoň v Ubuntu 6.10 to bylo v souboru /etc/pam_ldap.conf nikoli /etc/ldap/ldap.conf.

Passwd se při změně hesla na LDAP binduje jako daný uživatel, takže ani nemusí být nastaveno root heslo do LDAP v /etc/ldap.secret.

[LD]

Jasně díky, brzy odzkouším, právě jsem narazil na googlu na něco podobnýho. Bylo mi divný, že mám na klientu soubor ldap.conf, tak jsem to rval tam.

[Arno3t]

Ten podadresar /etc/ldap/ misto /etc pro ldap.conf jsem uplne prehlidnul, ale kdyby to jeste k necemu bylo, v konfigurakach pro pam v pam.d lze na kriticke radky dat na konec parametr debug, ktery pam ucini trochu ukecanejsi do logu.

[LD]

Tak jsem si pomohl jen v tom, že teď se to snaží přihlásit jako správný uživatel ale tím to končí:

conn=2 op=0 BIND dn="cn=os,dc=moje,dc=cz" method=128
conn=2 op=0 BIND dn="cn=os,dc=moje,dc=cz" mech=SIMPLE ssf=0
conn=2 op=0 RESULT tag=97 err=0 text=
conn=2 op=1 SRCH base="dc=moje,dc=cz" scope=2 deref=0 filter="(uid=host)"
<= bdb_equality_candidates: (uid) index_param failed (18)
conn=2 op=1 SEARCH RESULT tag=101 err=0 nentries=1 text=
conn=2 op=2 UNBIND
conn=2 fd=13 closed

Co s tím, podle i debianích návodů mám všechno dobře.. Dělá to, ať do souboru /etc/pam_ldap.secret či /etc/ldap.secret napíšu cokoliv.

[LD]

Jen bych ještě mohl mít heslo ve špatné formě. Uživatelé mají v ldapu hesla v md5, os user má heslo v ldapu ve cleartextu a v souborech *.secret je taky ve cleartextu. Má to tak být? O tomhle se v těch návodech jaksi zapomněli zmínit.

[LD]

Na klientovi je při změně hesla

(pam_unix) user "host" does not exist in /etc/passwd or NIS

[LD]

Tak jsem se mrknul na http://mcwhirter.com.au/node/25, upravil pam soubory, vykašlal se na *.secret soubory a přidal atributu userpassword právo pro self write v ldap a už to jede.

[LD]

Ale pořád mi tam nějak mému oku nehoví v ldapu:

bdb_equality_candidates: (uid) index_param failed (18)

Co s tím?

[VSi]

Přidejte si do slapd.conf index pro pole uid.

Asi takhle:

index           cn,sn,uid,displayName           pres,sub,eq
index           uidNumber,gidNumber             eq
index           sambaSID                        eq
index           sambaPrimaryGroupSID            eq
index           objectClass                     pres,eq

Něco z toho už tam budete mít. Řekne se tím LDAP serveru aby si dělal indexy podle určitých polí a tím se pak urychlí vyhledávání.