Newsgroup: it.comp.os.linux.sys
Titolo: Strano problema con LDAP

Ciao a tutti!
Abbiamo in ditta il DB utenti su LDAP e funziona bene.
Ovviamente root e gli altri accounts di sistema sono locali e non in LDAP
(casomai il demone morisse, almeno un login come root lo si puo' sempre
fare).
Per motivi a me ignoti e non comprensibili (ma non e' la prima volta che
certe decisioni marziane vengono prese!) e' necessario creare un account
chiamato lroot (l come LDAP) con uid=0 ma una password diversa da root.
Questo (secondo il deficente che ha avuto la pensata) per consentire ad
alcune persone un accesso "privilegiato" senza dare in giro la password di
root...
Sorvoliamo sul fatto che, se un utente ha uid=0, puo' cambiare tutte le
password senza chiedere niente a nessuno...
Veniamo dunque al problema: per qualche motivo strano, se un utente LDAP
ha uid=0 NON riesco a loggarmi via SSH (ma su, tanto per fare un esempio,
funziona benissimo).
Se cambio lo uid dell'utente LDAP (senza modificare NIENTE del resto),
allora e' possibile loggarsi.
Qualcuno ha un'idea del PERCHE' succede una cosa del genere e come posso
fare per risolvere il mio problema?
Grazie 1K
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
Abilitare "PermitRootLogin" nella configurazione di ssh.
/etc/sshd_config
Ciao
Giovanni
-- 
   A computer is like an air conditioner,
   it stops working when you open Windows.
   Registered Linux user #337974  < 
http://giovanni.homelinux.net/
 >

 /etc/sshd_config
Ovviamente e' GIA' abilitato...
Altrimenti non potremmo fare login come root...
Tra l'altro, noto ora che nemmeno piu' "su - lroot" funziona se lroot ha
un uid=0...
Idee?
Grazie


 Forse perche' hai 'RootLogin=no' nella configurazione di sshd?
No, PermitRootLogin e' a yes...
Altre idee?
Grazie


 hemmm ... e tu permetti il login come root direttamente?
Vedi la risposta all'altro tuo post...
Ho a che fare con gente che definire completamente idiota e' un
eufemismo...
Purtroppo la busta paga arriva da loro e, come si suol dire, devo
attaccare l'asino dove dice il mio capo...
Ciao


 quando cerchi di loggarti?
La password e' giusta. E, purtroppo, nel log di LDAP non vedo niente di
diverso dalla login di un utente con uid!=0...
Ma forse c'e' una speranza! Un barlume di intelligenza ha colpito SUSL!
Forse si possono costringere gli utenti ad usare sudo!!!
Vedremo... Adesso devo andare in riunione (sigh!) proprio per discutere le
problematiche legate a questo complessissimissimo programma (sudo!)
Ciao


 E niente info in /var/log/messages o secure o auth ?
Esatto! E' per quello che sto impazzendo...


 l'autenticazione, non e' che il sistema usa PAM per caso?
Si, certo!
Come fai a fare login usando LDAP senza PAM? Si puo'?
In ogni caso, anche questa viene dal SUSL di turno, quindi non si cambia...


 Mi stampi per cortesia il contenuto di /etc/pam.d/sshd ?
Ma certo!
#%PAM-1.0
auth     include        common-auth
auth     required       pam_nologin.so
account  include        common-account
password include        common-password
session  include        common-session
# Enable the following line to get resmgr support for
# ssh sessions (see /usr/share/doc/packages/resmgr/README)
#session  optional      pam_resmgr.so fake_ttyname


 Magari provare ad aggiungerlo?
Non va... In compenso, non riesco proprio piu' a loggarmi, con nessun
user... :(
E, anche in questo caso, il maledetto server NON mi logga niente...
Senti, che faccio? Cerco un esorcista? Nelle pagine gialle di Dresden non
l'ho trovato... Cerco in tutta la Germania?
Comunque, pare che l'opera di convincimento (sudo e' bello, sudo funziona,
sudo non ti inchiappetta a sangue il server, etc.) stia dando i suoi
frutti...
**FORSE** riusciamo a convincere il deficente che e' meglio usare sudo al
posto di utenti vari con uid=0


 root...
Mmm... e il gruppo wheel? Se non ricordo male era possibie configurarlo
in modo che coloro che vi appartenevano avevano accessi privilegiati
(oltre al fatto di potersi loggare come root). Se no, puoi sempre
cambiare il gruppo di appartenenza dei file che ti interessa condividere
con il resto del mondo (il gruppo staff esiste per questo)
Enrico