привязать Linux к Active Directory с помощью kerberos - PullRequest
Новая
       84

привязать Linux к Active Directory с помощью kerberos

4 голосов
/ 07 октября 2008

Мы пытаемся связать Linux-машину (debian 4.0) с W2k3 AD. Мы правильно настроили Kerberos, чтобы мы могли получать TGT. И пользователи аутентифицируются должным образом. Тем не менее, PAM кажется липкой калиткой. Например, когда мы пытаемся подключиться по SSH к машине linux как один из пользователей AD, аутентификация проходит успешно (согласно auth.log), но я никогда не получаю shell Среда по умолчанию настроена правильно, и PAM даже правильно создает Homedir. Для справки мы слабо следовали:

https://help.ubuntu.com/community/ActiveDirectoryHowto

Ответы [ 4 ]

1 голос
/ 08 октября 2008

Если вы уверены, что все, кроме PAM, работает правильно, я предлагаю передать параметр отладки в pam_krb5.so, чтобы посмотреть, дает ли это ключ к пониманию происходящего.

Я бы также предложил проверить правильность установки nss-ldap с помощью 

getent passwd avalidusername
0 голосов
/ 22 марта 2010

Простое решение .. pam_krb5 + ldap project

Вилка модуля PAM pam_krb5, которая обеспечивает очень простую в использовании конфигурацию для использования аутентификации клиента linux на существующем домене Active Directory и / или сервере OpenLDAP.

0 голосов
/ 04 декабря 2009

Учетные записи POSIX требуют, чтобы в учетной записи пользователя была установлена ​​оболочка vaild. При использовании LDAP на это ссылается атрибут loginShell. Вам нужно использовать PAM и сопоставить соответствующий атрибут с loginShell в вашей конфигурации или активными службами MS для UNIX на DC, что расширит схему AD для включения необходимых атрибутов POSIX.

См. http://www.ietf.org/rfc/rfc2307.txt как ссылку на RFC2307, который определяет это для LDAP.

0 голосов
/ 17 ноября 2008

Я использовал аналогично, чтобы сделать что-то подобное на наших серверах. Вот процесс, который мы используем для его настройки:

Установить аналогично: 

$ sudo apt-get update
$ sudo apt-get install likewise-open

Присоединиться к домену (Предположим, домен "domain.local") 

$ sudo domainjoin-cli join domain.local Administrator
$ sudo update-rc.d likewise-open defaults
$ sudo /etc/init.d/likewise-open start

Если вы используете sudo И хотите, чтобы пользователи AD могли иметь полномочия sudoer, вам нужно отредактировать файл sudoers. Это можно сделать с помощью следующей команды: 

$ sudo visudo

затем добавьте следующее в конец файла (предполагается, что домен «DOMAIN» и все пользователи, которые должны иметь sudo, находятся в группе с именем «linux_admin» в активном каталоге): 

%DOMAIN\\linux_admin ALL=(ALL) ALL
...