Dotaz: ldap autentikace v slackware

[Petr Hoffmann]

Zdravim,

 

pouzivam na nekolika pocitacich slackware. Vyvstala potreba jednotne autentikace uzivatelu, a to pres LDAP server (to jde mimo me, takze s tim nehnu). Patral jsem na webu a nasel dve mozna reseni:

 

- vyuzit PAM - bohuzel, slackware PAM v zakladu nepodporuje a do instalace se mi po precteni ruznych diskusi zrovna dvakrat nechce

 

- vyuzit nss_ldap - to jsem nainstaloval. Bohuzel, pak jsem zjistil, ze vyzaduje pristup k userPassword polozce, kterou mi spravce LDAP serveru nechce zpristupnit (ne ze bych se mu divil..) a tvrdi, ze to neni potreba (v tom ma pravdu).

 

Jestli tomu spravne rozumim, existuji dva pristupy:

 

- pri autentikaci se pouzije BIND na LDAP server, cimz se zjisti, jestli uzivatel zadal spravne heslo - bohuzel, tohle nss_ldap nedela (nebo to tak aspon vypada - nikde jsem nenasel navod, jak ho k necemu takovemu prinutit, a ze jsem hledal pilne..)

 

- pri autentikaci se stahne userPassword polozka z LDAP serveru a porovna se s heslem - to je cesta, ktera je pro me nedostupna.

 

Nenapada vas, jak z toho ven? Uz se pomalu smiruju s tim, ze dam protentokrat memu oblibenemu slackware papa

 

Diky,

 

Petr

Odpovědi

[pol128]

Predpokladám, že by bolo možné nejako synchronizovať /etc/passwd a /etc/shadow s ldapom. Ale to je na googlenie...

[Petr Hoffmann]

Bohuzel, to mi asi neprojde, tak jako tak by to pri napadeni klientske stanice znamenalo zpristupneni (hashu) hesel, to by mi uz rovnou mohli povolit cist ten userPassword

[pht]

autentikace

autentizace

Jinak máte pravdu. NSS je pouze databázová služba, která může nebo nemusí obsahovat heslo. PAM je autentizační řetězec, který jde v nejhorším degradovat na chování bez PAM -- heslo je v NSS.

Samotná instalace PAM by nemusela být tak složitá jak vypadá. Spíš je problém pak narvat použití PAM do všech služeb, kde jej chcete využít.

Přístup k položce userPassword zas tak strašný není, jelikož heslo stejně v dobrém případě získáte zahashované (aspoň myslím, že by se s tím měl umět systém poprat.)

Jako obvykle přidávám odkaz na můj mikro tutorial, jak to rozchodit, když budete mít splněny podmínky (zejména se hodí při boji s PAM).

Jinak ten přístup asi bude potřeba pro zápis, budete-li kdy chtít, aby vám passwd změnilo LDAPovské heslo.