Dotaz: Nefunguje autentizace oproti windows active directory

[undo.redo]

Ahoj. Snažím se centos 6.0 přimět k tomu, aby se uživatelé autentizovali (ale i autorizovali) oproti windows active directory 2008r2. AD schéma jsem rozšířil o "NIS službu", takže mám možnost nastavovat i unixové atributy. Doména má název ORGANIZACE.dnsdomena.cz. V konfiguraci jsem postupoval podle několika návodů a dostal jsem se do fáze, kdy wbinfo vypisuje úspěšně uživatele i skupiny, ale getent ne. Rovněž se pomocí wbinfo -a "pokus"%"heslo" autentizuji. Ale normálně se autentizovat nemohu. Zřejmě nefunguje kerberos. Mým cílem je autentizovat uživatele a využívat přitom unixové atributy přítomné v AD stromu - tudíš nechci žádné přemapování UID a GID. (podle informací by to měla samba umět)

/var/log/secure:

Aug 18 18:45:38 pc1 login: pam_unix(login:auth): check pass; user unknown
Aug 18 18:45:38 pc1 login: pam_unix(login:auth): authentication failure; logname=LOGIN uid=0 euid=0 tty=tty2 ruser= rhost= 
Aug 18 18:45:38 pc1 login: pam_succeed_if(login:auth): error retrieving information about user pokus
Aug 18 18:45:40 pc1 login: FAILED LOGIN 2 FROM (null) FOR pokus, User not known to the underlying authentication module


smb.conf:
...
[global]
   workgroup = ORGANIZACE
   realm = ORGANIZACE.DNSDOMENA.CZ
   security = ads 
   idmap config ORGANIZACE:schema_mode = rfc2307
   idmap config ORGANIZACE:backend  = ad
   idmap config ORGANIZACE:readonly = yes
   template shell = /bin/bash
   winbind nss info = rfc2307
   winbind use default domain = true
   winbind offline logon = false
   winbind nested groups = yes
   encrypt passwords = yes
...


krb5.conf:

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = ORGANIZACE.DNSDOMENA.CZ
 dns_lookup_realm = true
 dns_lookup_kdc = true
 passwd_check_s_address = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 use_tcp_only = true
 ccache_type = 3
 forwardable = true

[domain_realm]
 .organizace.dnsdomena.cz = ORGANIZACE.DNSDOMENA.CZ
 organizace.dnsdomena.cz = ORGANIZACE.DNSDOMENA.CZ

[realms]


nsswitch.conf

...
passwd:     files winbind
shadow:     files winbind
group:      files winbind
...


/etc/pam.d/system-auth

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_fprintd.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_winbind.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_winbind.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_winbind.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     optional      pam_oddjob_mkhomedir.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so

Kde mám chybu?

Odpovědi

[undo.redo]

Tak samotná autentizace se mi podařila nějak rozchodit. Ale winbind nepoužívá unixové atributy, místo toho si to mapuje pomocí těch posledních SID čísel. Jak ho přinutit, aby využíval unixové atributy?

[global]
   workgroup = ORGANIZACE
   realm = ORGANIZACE.DNSDOMENA.CZ
   security = ads
   winbind nested groups = yes
   winbind use default domain = yes
   winbind nss info = rfc2307
   idmap config ORGANIZACE:backend = ad
   idmap config ORGANIZACE:default = yes
   idmap config ORGANIZACE:schema_mode = rfc2307
   template homedir = /home/%U
   template shell = /bin/bash
   winbind use default domain = true
   winbind offline logon = false

[none]

Ze jsem tak smely, proc nepouzijes SSSD?

[undo.redo]

Dočetl jsem se o připojení přímo LDAPem cituji:

But it doesn't take advantage of the DNS Service Location (SRV) records that Active Directory DCs publish, so you are forced to pick a specific set of DCs to authenticate to. It also doesn't provide a very intuitive way of managing expiring Active Directory passwords or, until recently, for proper group membership lookups.

Nicméně už mi to začlo fungovat.

   winbind nested groups = yes
   winbind use default domain = yes
   winbind nss info = rfc2307

   idmap backend = tdb
   idmap uid = 999999999 - 9999999990
   idmap gid = 999999999 - 9999999990



   idmap config ORGANIZACE : backend = ad
   idmap config ORGANIZACE : default = yes
   idmap config ORGANIZACE : schema_mode = rfc2307
   idmap config ORGANIZACE : range = 1-999999998

V logu je:

[undo.redo]

Jen tedy getent group a getent passwd nevrací údaje z AD, ale getent group/user záznam už údaj vrátí.