Newsgroup: it.comp.os.linux.sys
Titolo: RHEL5.2 Ldap+smbldap-tools+samba+PAM problemi di autenticazione

Ciao a tutti,
ho installato decine di server con rh e fedora con le stesse
configurazioni.
La configurazione che faccio solitamente e che funziona è un file server
in configurazione PDC con roaming profiles con autenticazione utente su
LDAP Ovviamente su LDAP non gestisco solo gli utenti samba, ma anche gli
utenti Linux, con accesso alla shell x alcuni ....
Bene, il riassunto è:
Utenti samba e dominio funzionano regolarmente.
getent passwd
getenet shadow
getenet group
mi fanno vedere sia gli utenti in LDAP che in /etc/passwd
ma se provo ad accedere via ssh o in console con un utente samba e unix
presente solo in LDAP non ho accesso. Idem se uso Dovecot o altri servizi
che richiedono l'autenticazione ... (la password di Unix l'ho creata su
LDAP)
Dopo svariate prove e log di backup trovo messaggi su ldap del tipo: 
access_allowed: no res from state (userPassword)
access_allowed: no res from state (shadowMax)
attribute userPassword value #0 not allowed
sembra quasi che ci sia un problema di riconoscimento della
password memorizzata nell'attributo userPassword .....
E' 2 gg che cerco su google .... ma non ho trovato nessun aiuto al
riguardo.
Con RH el 5.0 funziona tutto correttamente. Ovvio che ho provato anche ad
aprire un ticket sul sito della rh ... ma non mi hanno ancora risposto .....
Quindi approfitto della vostra sapienza con la speranza che qualcuno abbia
risolto il mistero.
Saluti e grazie x l'attenzione
-- 
------------------------------------------
Togliere aldruz- per rispondermi via e-mail
------------------------------------------

 Davide
Si, ho usato authconfig, ma selinux è disattivato! Quindi non credo che
possa essere lui il problema.
Ciao


 possibile che hai problemi con la configurazione di pam.
Ciao,
no uso openldap ... 
Ciao


 si ma il client usa PAM per arrivare a LDAP :)
Ciao,
non so cosa intendi per client, se un pc esterno e se la parte client di
ldap che acceda al server ldap.
Il problema è che sul server in cui gira openldap-server su cui è
installato anche samba con db utenti su ldap-server (quindi sempre stessa
macchina) non accetta le autenticazioni in locale su shell, quindi
login#: alle
pasword: ******
non ho accesso.
Ovvio che sia PAM a gestire l'autenticazione, e quindi PAM si prenderà
l'incarico di interpellare il server-ldap (tramite i moduli forniti nei
vati pacchetti), verificare l'utente (e ti assicuro che dai log di ldap
questo avviene) dopo aver verificato la presenza dell'utente ldap preleva
la password dall'attributo userPassword e lo restituisce a PAM (penso che
le cose vadano all'incirca così) In questa fase, l'attributo userPassword
restituisce questo warning:
access_allowed: no res from state(userPassword)
attribute userPassword value #0 not allowed
come specificato nella mail originale.
Non sono sicuro che questi msg siano la causa del problema, ma sono sicuro
che in rh el 5.0 senza aggiornarlo con le stesse configurazioni funziona
tutto, e non ho nei log ldap questi warning.
Che sia un bug tra le versioni di PAM e openldap installate sulla rh el5.2?
Non lo so ... non sono così esperto, ma se qualcuno di voi ne ha già le
prove .....


 Davide


 funzionamento tramite autenticazione locale.
.... la mia ignoranza non ha limiti .... 
il termine "ldap-aware" devo dire che mi confonde le idee .... visto che
non ne conosco il significato.
E la presenza di sudo nella tua frase ..... mi fa sudare ;-)
Proverò con google a cercare "ldap-aware" per capire dove devo dirigermi,
mentre x sudo .... beh, sapevo della sua esistenza, ma non mi ha mai dato
fastidio .... mi documenterò!
Nel frattempo reinstallo la rhel5.0 visto che con questa non ho mai
avuto noie .... 
Ciao


= 20 .... questo crea il problema visto che PAM in redhat è configurato
in queto modo
auth  required pam_env.so
auth sufficient pam_unix.so nullok try_first_pass
 --> auth  requisite pam_succeed_if.so uid >= 500 quiet <--
auth sufficient pam_ldap.so use_first_pass auth  required  pam_deny.so
e la riga
auth requisite pam_succeed_if.so uid >= 500 quiet
mi bloccava l'accesso ....
Ricostruendo il mio albero ldap il problema è sparito, nel senso che ora
gli utenti nuovi hanno un uid superiore a 1000 .....
Non mi spiego ancora la anomalia di prima, ma ritengo forse un errore mio
di battitura.
Ciao
