Dotaz: OpenLDAP a různá hesla

[spectrum]

Snažím se zprovoznit kde co a tak jsem přešel na správu uživatelů pomocí OpenLDAP. Uživatele spravuji pomocí webového rozhraní (LDAP Account Manager) a tak jsem koukal, že se u každého uživatele nastavuje jak heslo viditelné systémem, tak i heslo pro Sambu. Nyní jsem ovšem narazil -- které heslo je vlastně defaultní v okamžiku, kdy se na LDAP napojím nějakým webem nebo službou? A jde to nějak změnit?

Tzn. pokud uživatel bude používat heslo v sambě, je možné to samé heslo použít např. také v poště nebo v prostředí webové aplikace, případně tato hesla mezi sebou na serveru LDAP synchronizovat? Jinými slovy, teď jsem zrovna narazil, kdy mám uživatele přidané do samby a chtěl by se stejným přihlášením ověřovat i v e-learningu Moodle, ale při přihlášení do Moodle mi to bere heslo, které se používá pro přihlášení do Unixu.

Odpovědi

[timeos]

Vo vseobecnosti sluzby pouzivaju na autentifikaciu operaciu ldap_bind a ta autentifikuje uzivatela heslom ulozenym v atribute userPassword. Samba je v tomto pripade vynimka, ona operaciu bind nepouziva a miesto toho priamo cita atributy SambaNTPassword a SambaLMPassword, v ktorych su ulozene NTLM hashe hesla, ktore sa pri tejto autentifikacii pouzivaju. Totiz samba potrebuje poznat hesla v nesifrovanom tvare, preto by pripadny hash (MD5, SHA a pod) z atributu userPassword bol nafigu.

Avsak v sambe sa da aktivovat moznost synchronizacie hesiel pri kazdej zmene hesla cez windoracky kukuc. Pripadne pouzit nejaky skript, ktory dokaze zmenit hesla vo vsetkych troch atributoch (smbldap-passwd) a zakomponovat ho do weboveho portalu.

Ak by ste aj napriek tomu chceli autentifikovat len jednym z dvoch moznosti, tak v pripade pouzivania len sambackych hashov, bolo by nutne pouzit pam_winbind a autnetifikovat len cez tento modul. V pripade pouzivania len atributu userPassword problem az na spominanu sambu nieje ziadny. Snad keby bolo heslo v clear texte, tak je snad moznost nejak sambu donutit aby ho pouzivala, ale este som sa s tym nestretol.

[timeos]

Este ma napadla jedna OpenLDAP vychytavka: pouzitie smbk5pwd overlayu, ktory funguje ako trigger a ak zisti, ze sa vykonala zmena hesla v jednom z hesloidnych atributov, tak zmenu hesla automaticky upravi aj v atributoch ostatnych (dokonca aj v kerberosoidnom atribute (plati len pre heimdal verziu kerbera)). Takze ziadna synchronizacia v sambe nemusi byt zapnuta.

Ale pred realnym nasadenim odporucam riadne odskusat, lebo ja som mal s tymto overlayom problemy.

[spectrum]

Aha... Děkuji za vysvětlení.