Newsgroup: it.comp.os.linux.sys
Titolo: Linux in Active directory

Devo piazzare un server linux con un programma di contabilità che
funziona in ssh all'interno di una rete controllata da un Windows 2003
server con active Directory.
Mi chiedono di fare in modo che l'accesso ssh al server Linux debba
essere controllata dal server 2003!
Quindi gli utenti non vanno creati nel passwd del server linux, ma
vanno creati (e gestiti) sul server 2003.
Sarà mai possibile?
Mi è venuta in mente solo una cosa:
Tiro su un server radius + ldap sincronizzato con AD, e poi dire al
server linux di usare l'autenticazione ldap
Che ne pensate?


Puoi benissimo metterlo nel dominio A.D., basta configurare
correttamente Samba.
Non è la cosa più facile del mondo, ma trovi un sacco di guide su come
riuscire a farlo

Davide wrote:

Likewise Open

 server linux di usare l'autenticazione ldap Che ne pensate?
Ci sono varie strade possibili.
Io mi sono ritrovato ad usare un backend AD su Win2k3 per auth-smtp
e mi sono quindi limitato ad usare il solo pam_winbind: saslauthd
utilizza quindi come backend di autenticazione pam, e il file di
configurazione specifico /etc/pam.d/smtp  è:
auth    required      pam_winbind.so debug
In realtà, a posteriori, posso dire che sarebbe stato meglio usare
pam_krb5.(*)
Per un'integrazione più "globale", è meglio installare i Windows
Services for Unix sull'AD 
http://technet.microsoft.com/it-it/interopmigration/bb380242.aspx
e utilizzare pam_krb5 per l'autenticazione e pam_ldap per il
resto (autorizzazioni eccetera), con l'aggiunta di pam_mkhomedir
per creare in automatico le homedir degli utenti autenticati da
AD al loro primo login.
(*)
Per chi volesse farsi due risate e capire perchè è meglio
usare pam_krb5, se proprio si è costretti a usare AD come
backend:
http://support.microsoft.com/kb/906305/en-us

 
http://support.microsoft.com/kb/906305/en-us
Non capisco il problema.
-- 
Vide

 Che ne pensate?
Che ti stai inutilmente complicando la vita. Oggigiorno è una cavolata fare 
autenticare un Linux su AD.
Personalmente per la mia esperienza i metodi più facili sono Samba (winbind) 
e Likewise Open
-- 
Vide

Il Fri, 20 Mar 2009 16:00:59 +0100, Vide scrisse:

Che, se non usi direttamente Kerberos, ogni qual volta farai
un cambio di password, avrai due password valide per circa 
un'ora, la vecchia e la nuova, a meno di non creare l'apposita
chiave di registro.

 e Likewise Open
Si ma a me non interessa rendere coerente la distrubuzione delle
risorse samba all'interno di AD
Io sto parlando di ssh/telnet
L'utente non deve stare in /etc/passwd ma lo deve reperire dall'Active
Directory

 risorse samba all'interno di AD
Anzi sarebbe perfetto se non potessi nemmeno contattarlo il server se
non abilitato da AD.
Quasi quasi..... masi..... faccio mettere una terza scheda di rete sul
server, ci collego il server linux, facci installare isa server con
una regola del firewall che permette il transito sulla terza scheda di
rete solo agli utenti autenticati che fanno parte di un certo gruppo.
Io di 2003 Server on ci capisco una mazza ma mi sa che una cosa simile
si puo' fare vero?

 Directory
man winbind 
-- 
Vide

 chiave di registro.
Ok.. può generare problemi di sicurezza nel caso la password vecchia sia 
stata persa... ma a sto punto disabiliterei il login per quell'utente per 
un'ora (così impara a farsi fregare la password)
-- 
Vide

 Che ne pensate?
PAURA!!!.
Iscrivi la macchina linux al dominio e tiri in piedi winbind in modo che tu 
possa vedere gli utenti di Windows.
Poi in sshd_config metti UsePAM a yes e in /etc/pam.d/sshd usi pam_winbind 
come detto da whippy (associato a pam_mkhome), e magari restringendo 
l'accesso solo ai membri di uno specifico gruppo.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 
http://support.microsoft.com/kb/906305/en-us
Ancora? Scusa ah.... ma non era già stato chiarito che molti LDAP ti 
fanno lo scherzetto al contrario, lasciandoti la vecchia password in giro 
su tuta la moltitudine di applicazioni sparse per la rete?
In una rete geografica, ad esempio, è una cosa inevitabile, perché 
probabilmente avrai LDAP remoti la cui sincronizzazione non è istantanea. 
poi si ... mi ricordo il resto della discussione: l'opzione è attiva per 
default e non si viene notificati di ciò. E questo è male.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

 un'ora (cosě impara a farsi fregare la password)
Ok per coloro che perdono la password, ma per coloro che la cambiano
magari per la naturale scadenza dopo un tot di giorni?
Enrico

 pam_krb5.(*)
Scusa se ne approfitto: come si inserisce likewise-open in tutto questo? 
E' solo un tool per semplificare le attivita` che hai descritto?

 E' solo un tool per semplificare le attivita` che hai descritto?
Non saprei, sinceramente.
Mai usato.

 magari per la naturale scadenza dopo un tot di giorni?
Funzionano entrambe...
-- 
Vide

 Funzionano entrambe...
Il senso della mia domanda era un altro: perche` dovrei bloccare
l'account di un utente solo perche` si e` accidentalmente perso la
password quando il problema e` a monte, ovvero vi e` un grosso problema
di sicurezza nella gestione delle password del sistema operativo?
Enrico

 di sicurezza nella gestione delle password del sistema operativo?
Tampone temporale?
-- 
Vide

 Tampone temporale?
Un Tampax? ;)
Seriamente, da quello che ho capito della storia e` possibile evitare
'sto schifo impostanto una voce nel registro. A questo punto e` di gran
lunga preferibile piuttosto creare un disservizio all'utente e
sicuramente e` meno problematica di qualsiasi altra soluzione (a meno
che non ci si voglia installare Kerberos)
Enrico

 Che ne pensate?
forse questo ti pu� interessare?
http://openskill.info/infobox.php?ID=863
si tratta in sostanza di iscrivere la macchina a dominio, e 
successivamente di cambiare le regole di PAM per fargli accettare la 
connessione all'AD e l'autenticazione tramite account di dominio.
Io l'ho fatto per la parte di dominio, ma non mi serviva l'accesso alla 
macchina per� usato le credenziali di dominio per mappare dischi su 
macchine windows a cui accedevo tramite pw di dominio