Dotaz: nsswitch.conf směsice

[fauzner]

Prijemne dopoledne,

potreboval bych nakonfigurovat nsswitch.conf, aby hledal ve smesici zdroju.

Uvedu priklad: mam skupinu admin v ldap a na lokalni stanici. Na lokalni stanici mam ve skupine admin uzivatele lokalni a v ldap mam v teze skupine uzivatele vzdaleny. Potreboval bych to nejak v nsswitch.conf namixovat, aby system vedel, ze ve skupine admin je jak lokalni tak vzdaleny. Lze to nejak provest nebo uz chci moc?

Odpovědi

[Filip Jirsák]

Řekl bych, že už chcete moc, protože skupiny ve skutečnosti fungují tak, že nenastavujete uživateli, ve kterých je skupinách, ale naopak nastvujete skupině, kteří uživatelé jsou členy. A NSS funguje tak, že porhledává postupně „databáze“ v tom pořadí, v jakém jsou uvedeny v konfiguračním souboru. První databáze, kde je daný objekt nalezen, pak nastaví údaje.

Můžete tedy zkusit

group:          compat [SUCCESS=continue] ldap

Ale podle mne to fungovat nebude, protože třeba pro passwd nebo shadow to vůbec nedává smysl (připojovat k sobě údaje z různých DB). Podle mne tohle bude fungovat tak, že se compat prostě vždy přeskočí.

Ještě se zkuste podívat, co vlastně dělá netgroup, jestli to není to, co potřebujete.

[fauzner]

Ja chci, aby se nejdrive hledali lokalni uzivatele a skupiny a potom sitove. Neco jako "passwd: compat ldap". Problem ale nastava, kdyz uzivatel neexistuje v compat, ale v ldap, tak se mu to automaticky snazi priradit skupiny z compat jestlize jsou v /etc/group stejne skupiny jako v ldap, coz je potreba. Pokud mate jiny napad jak tohle vyresit, sem s nim.

[Filip Jirsák]

Ale ti uživatelé se tak hledají. Problém je v tom, že mapování uživatelů a skupin je takové, že je každá skupina má přiřazen seznam uživatelů, kteří jsou v té skupině. Neexistuje žádná souvislost mezi tím, v jaké databázi byl nalezen uživatel, a kde se prohledává seznam skupin – pokaždé se jede podle pořadí, jak je napsané v konfiguračním souboru. Vaše mapování by muselo fungovat tak, že se načtou skupiny ze všech databází a ty seznamy se pak sloučí.

[fauzner]

A neslo by to udelat v ramci nejake "jine vrstvy"? Ze bych mel v nsswitch.conf group: compat_ldap_mix, za cimz by se skryvalo neco co by to spojovalo.

[Michal Kubeček]

To byste si takový NSS modul musel napsat.

[fauzner]

Bych předpokládal že už to napadlo někoho přede mnou, kdo umí programovat.

[fauzner]

Tak netgroup neprošlo. Ani getent ty skupiny nevidí. Až bude čas vyzkoušít to s tím continue.