Newsgroup: it.comp.os.linux.sys
Titolo: Autentificazione utenti linux su LDAP

Sistema da far funzionare:
Samba
LDAP
configurato come da istruzione sito IDEALX.
Funziona tutto alla perfezione, però gli utenti linux non si autenticano
su ldap.
smbldap-useradd -a -m pippo
smbldap-passwd pippo (inserisco poi le pasw)
ora accedo da un qualunque client microsoft al server, con utente pippo,
ma non accede.
Nei log trovo
Mar 30 17:54:46 smbkaiman smbd[1330]: [2005/03/30 17:54:46, 0]
auth/auth_sam.c:check_sam_security(306)
Mar 30 17:54:46 smbkaiman smbd[1330]:   check_sam_security:
make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'
Mi sembra di capire che c'è un problema sull'autentificazione degli
utenti linux, perchè se aggiungo un utente pippo con
useradd pippo
passwd pippo
poi riesco ad accedere al client ...
Ovvio che l'albero ldap è popolato in modo corretto (almeno credo)
Io ho modificato il file /etc/ldap.conf
host 			127.0.0.1
base 			dc=dominio,dc=local
rootbinddn 		cn=nssldap,ou=DAS,dc=dominio,dc=local
nss_base_passwd         ou=Users,dc=dominio,dc=local?one
nss_base_shadow         ou=Users,dc=dominio,dc=local?one
nss_base_group          ou=Group,dc=dominio,dc=local?one
il file /etc/pam.d/system_auth
auth        required      /lib/security/$ISA/pam_env.so
auth        sufficient    /lib/security/$ISA/pam_unix.so likeauth nullok
auth        sufficient    /lib/security/$ISA/pam_ldap.so use_first_pass
auth        required      /lib/security/$ISA/pam_deny.so
account     required      /lib/security/$ISA/pam_unix.so
account     sufficient    /lib/security/$ISA/pam_ldap.so
password    required      /lib/security/$ISA/pam_cracklib.so retry=3 type=
password    sufficient    /lib/security/$ISA/pam_unix.so nullok use_authtok md5
shadow
password    sufficient    /lib/security/$ISA/pam_ldap.so use_authtok
password    required      /lib/security/$ISA/pam_deny.so
session     required      /lib/security/$ISA/pam_limits.so
session     required      /lib/security/$ISA/pam_unix.so
session     optional      /lib/security/$ISA/pam_ldap.so
Ho creato il file /etc/ldap.secret con la passwd dell'utente nssldap
il file /etc/nswitch.conf
passwd:     files ldap   
shadow:     files ldap
group:      files ldap
Non capisco ancora cosa mi manchi ...
Ciao
-- 
------------------------------------------
Togliere aldruz- per rispondermi via e-mail
------------------------------------------

 su ldap.
Io ti consiglio di installarti GQ (un browser ldap) per vedere 
graficamente i tuoi utenti.
Il problema per me è che il tuo database degli utenti non ha aggangiato
il tuo data base ldap.
Se lanci:
# getent passwd
vedi tra i tuoi utenti gli utenti ldap ?
(questa è una condizione necessaria)
Se non li vedi il problema è li' e probabilmente nella
configurazione di /etc/ldap.conf
Se ti può essere utile ecco il mio ldap.conf:
host 127.0.0.1
base dc=xtc,dc=it
ldap_version 3
binddn cn=Manager,dc=xtc,dc=it
bindpw password
timelimit 240
bind_timelimit 300
pam_password md5
ssl no


Per me questa parte non ti serve se ti vuoi autenticare strettamente su 
samba con utenti ldap, ti serve se ti vuoi autenticare alla login della 
tua linuxbox, ed in questo caso i tuoi utenti DEVONO avere la object class
posixAccount.
La object class di samba richiede attributi come il sid, uid ma non 
attributi comme per esempio userPassword e loginShell, e senza questi
non ti puoi "loggare" dalla tua linuxbox su questi utenti creati su 
ldap, ma ripeto, al fine della validazione con samba non sono importanti.
Spero di esserti stato utile
Ciao
Simone ;-)



Gli utenti in ldap creati da Samba hanno le object class posixAccount ....
in effetti non mi interessa che gli utenti si loggino in console, anche
perchè ho messo come default la shell /sbin/nologin ....


 
Effettivamente mettendo
binddn cn=Manager,dc=xtc,dc=it
bindpw password
però io volevo evitare di avere il rootdn visibile, e mi sarebbe piaciuto
avere usare un utente alternativo
rootbinddn cn=nssldap,ou=DSA,dc=dominio,dc=local
con il file /etc/ldap.secret ....
poterebbe essere un problema di permessi ACL su slapd.conf????


 
Penso proprio che i problemi siano causati dai permessi in splapd.conf,
infatti facendo delle modifiche, ora vedo anche gli utenti ldap con il
comando
getent passwd
Ma quando cerco di accedere alla risorsa condivisa con i client windows
continua a non farmi accedere e nei log compare sempre 
Mar 31 21:07:27 smbkaiman smbd[1123]: [2005/03/31 21:07:27, 0] auth/auth_sam.c:
check_sam_security(306)
Mar 31 21:07:27 smbkaiman smbd[1123]:   check_sam_security:
make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'
Io faccio altre prove, poi se qualcuno ha idee ....


A_U_T_E_N_T_I_C_A_Z_I_O_N_E
-- 
Daniele Orlandi

 A_U_T_E_N_T_I_C_A_Z_I_O_N_E
Hai ragione, ma ormai lo avevo già spedito .... micca si può tornare
indietro ....


>
Io per non far vedere la password uso la direttiva in
slapd.conf
rootpw         {SSHA}omncNWpf29kLEx7wDZu/I/MR5OKEs7m+
per avere la stringa SSHA uso il comando:
slappasswd -h {SSHA} -s password
Forse la stessa cosa funziona in ldap.con con la direttiva
bindpw
