Newsgroup: it.comp.os.linux.sys
Titolo: Re: ssh + kerberos/pam/winbind + active directory


Detta così il putty se ne sbatte del ticket kerberos.
Controlla se ne hai uno attivo.
Purtroppo (ma lo sai già) Putty non è nato per supportare Kerberos.
La versione che indichi tu promette di avere le patch per le gssapi, 
magari controlla se è vero con un bel dump.
Ho  usato 
http://www.centrify.com/resources/putty.asp
, potresti 
scaricare putty richiedendo la versione di valutazione del pacchetto 
(che è gratuita).

 entrare senza password)
e usando questa?
http://likewise.com/download/Likewise_PuTTY.zip

 samba+winbind e kerberos)?
Se hai già la macchina joinata e funzionante con AD credo ti rimanga
solo più da gestire i moduli PAM..
-> /etc/pam.d/common-account
account sufficient pam_winbind.so
account required pam_unix.so
account [success=2 new_authtok_reqd=done default=ignore]
pam_unix.so
account [success=1 new_authtok_reqd=done default=ignore]
pam_winbind.so
account requisite                       pam_deny.so
account required                        pam_permit.so
-> /etc/pam.d/common-auth
account sufficient pam_winbind.so
account required pam_unix.so use_first_pass
auth    [success=2 default=ignore]      pam_unix.so nullok_secure
auth    [success=1 default=ignore]      pam_winbind.so krb5_auth
krb5_ccache_type=FILE cached_login try_first_pass
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so
-> /etc/pam.d/common-passwd
password        [success=2 default=ignore]      pam_unix.so obscure
sha512
password        [success=1 default=ignore]      pam_winbind.so
try_first_pass
password        requisite                       pam_deny.so
password        required                        pam_permit.so
password        optional        pam_gnome_keyring.so
-> /etc/pam.d/common-session
account sufficient pam_winbind.so
account required pam_unix.so
session [default=1]                     pam_permit.so
session requisite                       pam_deny.so
session required                        pam_permit.so
session required        pam_unix.so
session optional                        pam_winbind.so
session optional                        pam_ck_connector.so nox11
-> /etc/pam.d/sshd
auth       required     pam_env.so # [1]
auth       required     pam_env.so envfile=/etc/default/locale
@include common-auth
account    required     pam_nologin.so
@include common-account
@include common-session
session    optional     pam_motd.so # [1]
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
@include common-password
A me così funziona il SSO sia per gdm che per sshd..
Alessandro

 metodo alternativo. voglio usare gssapi/kerberos ed entrare senza password)
Presente, mi autentico con kinit su AD e poi vado in ssh dove voglio.
Ho inizialmente creato il file keytab con
net ads -U administrator keytab create
(ho detto a samba di usare il file keytab di kerberos, dichiarato quindi in krb5.conf)
Niente likewise (mezza volta gli ho dato un'occhiata e mi pareva invasivo e sovradimensionato), solo
roba standard (samba e heimdal o MIT kerberos).
Se vuoi ulteriori dettagli, chiedi pure.

 chiedi pure.
non ci azzecca una pippa, ma volevo far notare all'anonimo veneziano "io 
ho fatto, rtfm" che questo è lo spirito di un ng. :-)
S.

 però continua a chiedere la password. 
Problema di stack pam, a occhio e croce.
Prova a spostare la riga relativa a pam_winbind in cima ed ad usare sufficient
come direttiva.

 Vide
Non ho cambiato nulla se non la direttiva per le "authorized keys"...
Ma non so se ho capito bene la domanda, tu vuoi connetterti via ssh
utilizzando un utente di AD, giusto? Se è cosi dovrebbe funzionarti la
configurazione...
fai un restart di smbd/winbind/nscd giusto per scrupolo...

 Sì, e senza che mi chieda password. Ci sono quasi p
L'output di
getent passwd
ti dà info sensate e ti restituisce anche gli utenti AD?

 però tu usi kerberos da pam direttamente, non hai winbind in mezzo.
Cosa ti ha portato a usare winbind invece di kerberos, esattamente?