Dotaz: Priorita totožných skupin (ldap vs. /etc/group)

[UFOUN]

Příjemné odpoledne,

mám rozběhané funkční přihlašování uživatelů pomocí ldapu. Používám pam a v nsswitch.conf mám u uživatelů a skupin: ldap files. Problém je v tom, že mám totožné skupiny(pouze jiné gid) na ldap serveru a na lokální stanici a systém bere ze skupin lokálních. Potřeboval bych ho přesvědčit, aby členství ve skupinách přednostně zjišťoval v ldapu. Jak na to?

Odpovědi

[Michal Kašpar]

Neměla by tohle být otázka pořadí jednotlivých "databází" v nsswitch.conf?

[UFOUN]

Měla, taky se divím, že mi to nešlape... Teď jsem to vyzkoušel i na ubuntu a tam taky nic. nsswitch.conf:

passwd:         ldap compat 
group:          ldap compat 
shadow:         ldap compat 

hosts:          files mdns4_minimal [NOTFOUND=return] dns mdns4
networks:       files

protocols:      db files
services:       db files
ethers:         db files
rpc:            db files

netgroup:       nis

[pasmen]

Kdy ti prislusnost ke skupinam nefunguje? Co nastaveni PAM?

[UFOUN]

No nemám vůbec přístup k souborům vlastnící daná skupina, getent group skupina vrací výpis skupiny z /etc/group....

[Michal Kašpar]

Ještě ten pam?

[UFOUN]

/etc/pam.d/common-account

account sufficient      pam_ldap.so
account required        pam_unix.so use_first_pass

.......................................................................

/etc/pam.d/common-auth

auth    sufficient      pam_ldap.so
auth    required        pam_unix.so nullok_secure use_first_pass

.......................................................................

/etc/pam.d/common-password

password        sufficient      pam_ldap.so
password        required   pam_unix.so nullok obscure min=4 max=8 md5

.......................................................................

/etc/pam.d/common-session

session required      pam_limits.so
session         sufficient      pam_ldap.so
session         required        pam_unix.so

[UFOUN]

To je problém v pamu?

[UFOUN]

Ještě dodám že používám nscd daemona a teď jsem něco dělal a na chvilku to fungovalo, potom už zas ale ne, nscd daemon ať je vyplý zaplý, reloadovaný, chová se to stejně.

[Filip Jirsák]

Občas je potřeba úplně ukončit shell a znovu se přihlásit. Jinak si shell při změnách nenatáhne nový konfigurační soubor NSS a zkoušíte to pořád nad starou konfigurací. Nějak to ovlivňuje i ze shellu pouštěné programy, takže ani getent neukáže údaje podle nové konfigurace, ale podle staré. Sice nechápu, proč tomu tak je, ale zkušenosti s rozcvičkami s NSS mám takové, že vystoupit a nastoupit do shellu pomáhalo. Takže jsem v jednom shellu editoval, a v druhém vystupoval, nastupoval a testoval

[UFOUN]

Tak mi připadá, že pokud je nsswitch.conf ve tvaru ldap files hned při startu, tak to ldap ignoruje, pokud ovšem toto pořadí nastavím až po naběhnutí systému, zdá se že to funguje jak jste říkal s těmi shely, není to zvláštní?

[Filip Jirsák]

Zvláštní mi to rozhodně připadá, ale když už se mi podařilo trojkombinaci Samba, NSS a LDAP rozchodit, radši jsem se toho znovu nedotýkal a smířil jsem se s tím, že možná nikdy nepřijdu na kloub tomu, jak to vlastně funguje. No ale nejspíš tuhle kombinaci budu zprovozňovat zase jinde, tak třeba už to konečně pochopím. To co jsem psal rozhodně není, jak to funguje, je to jenom, jaký jsem měl pocit, jak by to asi mohlo fungovat

[Michal Kašpar]

To je divné. Nevyprší jenom většinou někde (ldap.conf?) timeout na ten ldap? Pak by se to takhle (chvíli funguje, potom ne) chovat mohlo.

[UFOUN]

Timeouty mám docela drsně nastavené, protože mi jinak nestartuje udevd, pokud mám v nsswitch pořadí na prvním místě ldap.

[UFOUN]

Což tohle by zas vyřešilo, kdybych věděl, jak zapisovat na disk abych změnil nsswitch dřív než naběhne udev.