Dotaz: Kerberos - v loginu přes X se nevytovří lístek

[filbar]

Mám problém při loginu do X-ek. Ověření hesla sice proběhne přes Ldap+Kerbera, ale nevytvoří se mi Kerberos lístek. Musím jej udělat manuálně po přihlášení. Přitom při přihlášení přes CMDLine se mi lístek vytvoří. Obsah PAM je následující:

 cat /etc/pam.d/system-auth
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_krb5.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_krb5.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_krb5.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     optional      pam_mkhomedir.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_krb5.s

Nevíte, kde mám chybu?

Předem děkuji za rady,

---

---

Odpovědi

[filbar]

PS. poslední řádek system-auth je:

session     optional      pam_krb5.so

Nějak mi to poslední písmenko vypadlo při kopírování.

[arno3t]

Máte v adresáři /etc/pam.d správnou konfiguraci v souboru od okenního manažera xdm (g/kdm)? Přebírá nějak informace ze system-auth? Použití souboru system-auth mi není úplně jasné, protože skladba /etc/pam.d je částečně závislá na distribuci a ani v Debianu ani v OpenSUSE takový soubor nemám.

[filbar]

V /etc/pam.d/xdm mám:

 cat /etc/pam.d/xdm 
#%PAM-1.0
auth       required     pam_nologin.so
auth       include      system-auth
account    include      system-auth
password   include      system-auth
session    include      system-auth

a v /etc/pam.d/slim:

 cat /etc/pam.d/slim 
# File autogenerated by pamd_mimic in pam eclass


auth    include         system-auth
account include         system-auth
password        include         system-auth
session include         system-auth

Jako správce přihlášení používám právě slim.

[arno3t]

To vypadá dobře. Zkoušel jste dát parametr debug za pam_krb5.so u auth (a možná i u dalších) a porovnat logy při přihlášení z konzole a z X? Podle manualu je pam_krb5.so zodpovědný za uložení ticketu do cache, takže bych hledal chybu u tohoto modulu.

[Arno3t]

Omlouvám se, to porovnání z konzole a z X je blbost. Já jsem se mylně domníval, že při přihlášení z konzole vám to funguje, protože jsem si nepřečetl pořádně počáteční dotaz. V každém případě debug je dobré zkusit. Možná i použití try_first_pass misto use_first_pass by mohlo napovědět. Nemáte třeba uživatele včetně hesla definovaného i lokálně? Pak byste se přihlásil i bez ověření přes kerberos.

[filbar]

V konzoli mi to právě funguje. JEnom v Xkách ne.

[Arno3t]

Asi mám s tím čtením trochu vetší potíže . Jak vypadá /etc/pam.d/login (pro přihlášení z konzole)?

[filbar]

Tento soubor vypadá tak:

auth       required     pam_securetty.so
auth       required     pam_tally.so file=/var/log/faillog onerr=succeed
auth       required     pam_shells.so
auth       required     pam_nologin.so
auth       include      system-auth

account    required     pam_access.so
account    include      system-auth
account    required     pam_tally.so file=/var/log/faillog onerr=succeed

password   include      system-auth

session    required     pam_env.so
session    optional     pam_lastlog.so
session    optional     pam_motd.so motd=/etc/motd
session    optional     pam_mail.so

session    include      system-auth

[filbar]

Tak na první pohled tam není nic podstatného. Nicméně, ještě je možné, že máte starý SLiM. Mrkněte sem.

[filbar]

Díky, asi to tak je. Verze co je v Gentoo nepoužívá ten patch.