Dotaz: passwd+LDAP(+krb5) autentikacia a network-down-problem

[andree]

Ahoj,

riesim uz nejaku chvilu nasledujuci problem (asi to je zrejme z titulku, ale aj tak :)):

na strojoch v sieti mame nejake lokalne ucty (dolezity je hlavne root :)), vsetci uzivatelia sa ale standardne overuju oproti LDAP serveru (pripadne pomocou kerberos tokenu).

Problem ale nastava, ked dojde napr. k vypadku ldap serveru, alebo pri vypadnuti sietoveho spojenia - kym nie je spojenie obnovene, nemoze sa na stroj prihlasit nik. Teda ani useri z LDAPu (co by sa dalo bez cache ocakavat:) - ale hlavne ani root ani ini lokalni useri.

Konfiguracia /etc/pam.d/system-auth:

auth        required      /lib/security/$ISA/pam_env.so
auth        sufficient    /lib/security/$ISA/pam_unix.so likeauth nullok
auth        sufficient    /lib/security/$ISA/pam_ldap.so use_first_pass
auth        sufficient    /lib/security/$ISA/pam_krb5.so use_first_pass
auth        required      /lib/security/$ISA/pam_deny.so

account     required      /lib/security/$ISA/pam_unix.so broken_shadow
account     sufficient    /lib/security/$ISA/pam_succeed_if.so uid < 100 quiet
account     [default=bad success=ok user_unknown=ignore] /lib/security/$ISA/pam_ldap.so
account     [default=bad success=ok user_unknown=ignore] /lib/security/$ISA/pam_krb5.so
account     required      /lib/security/$ISA/pam_permit.so

password    requisite     /lib/security/$ISA/pam_cracklib.so retry=3
password    sufficient    /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow
password    sufficient    /lib/security/$ISA/pam_ldap.so use_authtok
password    sufficient    /lib/security/$ISA/pam_krb5.so use_authtok
password    required      /lib/security/$ISA/pam_deny.so

session     required      /lib/security/$ISA/pam_limits.so
session     required      /lib/security/$ISA/pam_unix.so
session     optional      /lib/security/$ISA/pam_ldap.so
session     optional      /lib/security/$ISA/pam_krb5.so

Skusal som nastavit account sufficient ...pam_unix... (aj pam_ldap, krb), ale nepomohlo to... Pri pokuse nalogovat sa ako LDAP user login prompt zamrzne uplne; ked sa chcem prihlasit ako lokalny user (root), opyta sa aj na heslo - ale aj ked zadam spravne, vyhodi "login incorrect".

Ak to pomoze - z toho co som skusal mi vychadza, ze sa pri prihlasovani lokalneho usera a odpojenej sieti nedojde k spusteniu /bin/login (co je asi ale normalne :))...

Googlim uz asi 3 hodiny, ale ziadne funkcne riesenie som nenasiel, takze dik za hociaku pomoc :)

Odpovědi

[Yeti]

treba doplnit authinfo_unavail=ignore do account pre ldap

account [default=bad success=ok user_unknown=ignore authinfo_unavail=ignore] /lib/security/$ISA/pam_ldap.so

[andree]

skusil som to, ale zatial to nepomohlo... mozno je problem este niekde, este to checknem.. v kazdom pripade dik moc aspon za nejaku radu :)