NSLCD 仅在调试模式下连接到 LDAP 服务器

Question 1

这就是我们在自己的盒子上所做的，因此请注意，它可能不适用于您的设置。

一些注意事项：

ldap_tls_cacert我们的服务器有一个有效的 CA 签名证书，如果您的服务器有一个自签名证书（无论如何这都是不好的 (tm)），请务必进行修改。
我们使用 LDAP 来提供 sudo 规则，如果您不需要它，可以将其省略。
您可能还想设置ldap_group_search_base和ldap_search_base，以将的搜索限制sssd为仅有效用户/组。也同样如此ldap_sudo_search_base。
确保设置ldap_user_member_of为与用户端的目录服务器的组成员身份属性相匹配。（适用groupmembership于 eDirectory）
确保设置ldap_access_filter为限制对您系统的访问。否则所有有效用户都可以登录到您的系统。
在查找登录过程的sssd某一侧的错误之前，请检查用户的 LDAP 数据。PAM
确保已/etc/sssd/sssd.conf设置权限0600。

在我们的例子中，我的用户为 LDAP 登录设置了以下属性：

objectClass: posixAccount
groupMembership: cn=group1,...
groupMembership: cn=group2,...
uid: fuero
uidNumber: 10000
gidNumber: 19999
homeDirectory: /home/fuero

/etc/sssd/sssd.conf

[domain/default]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
chpass_provider = ldap
sudo_provider = ldap
ldap_uri = ldaps://your.ldap-server.tld:636
ldap_tls_cacert = /etc/pki/tls/certs/ca-bundle.crt
ldap_tls_reqcert = demand
ldap_default_bind_dn = cn=your-bind-user
ldap_default_authtok_type = obfuscated_password
ldap_default_authtok = your_password_hash
ldap_schema = rfc2307bis
cache_credentials = false
enumerate = false

[sssd]
services = nss, pam, ssh, sudo
config_file_version = 2
domains = default

[nss]

[pam]

[sudo]

[autofs]

[ssh]

设置nsswitch.conf使用方法sssd：

# grep sss /etc/nsswitch.conf
passwd:     files sss
shadow:     files sss
group:      files sss
services:   files sss
netgroup:   files sss
sudoers: files sss

核实：

# id fuero
uid=100000(fuero) gid=19999(users) groups=20000(group1),20000(group2)

设置PAM /etc/pam.d/system-auth-ac：

#%PAM-1.0
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
**auth        sufficient    pam_sss.so use_first_pass**
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
**account     [default=bad success=ok user_unknown=ignore]    pam_sss.so**
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
**session optional        pam_sss.so
session required        pam_mkhomedir.so        umask=0077**

Answer

这就是我们在自己的盒子上所做的，因此请注意，它可能不适用于您的设置。

一些注意事项：

ldap_tls_cacert我们的服务器有一个有效的 CA 签名证书，如果您的服务器有一个自签名证书（无论如何这都是不好的 (tm)），请务必进行修改。
我们使用 LDAP 来提供 sudo 规则，如果您不需要它，可以将其省略。
您可能还想设置ldap_group_search_base和ldap_search_base，以将的搜索限制sssd为仅有效用户/组。也同样如此ldap_sudo_search_base。
确保设置ldap_user_member_of为与用户端的目录服务器的组成员身份属性相匹配。（适用groupmembership于 eDirectory）
确保设置ldap_access_filter为限制对您系统的访问。否则所有有效用户都可以登录到您的系统。
在查找登录过程的sssd某一侧的错误之前，请检查用户的 LDAP 数据。PAM
确保已/etc/sssd/sssd.conf设置权限0600。

在我们的例子中，我的用户为 LDAP 登录设置了以下属性：

objectClass: posixAccount
groupMembership: cn=group1,...
groupMembership: cn=group2,...
uid: fuero
uidNumber: 10000
gidNumber: 19999
homeDirectory: /home/fuero

/etc/sssd/sssd.conf

[domain/default]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
chpass_provider = ldap
sudo_provider = ldap
ldap_uri = ldaps://your.ldap-server.tld:636
ldap_tls_cacert = /etc/pki/tls/certs/ca-bundle.crt
ldap_tls_reqcert = demand
ldap_default_bind_dn = cn=your-bind-user
ldap_default_authtok_type = obfuscated_password
ldap_default_authtok = your_password_hash
ldap_schema = rfc2307bis
cache_credentials = false
enumerate = false

[sssd]
services = nss, pam, ssh, sudo
config_file_version = 2
domains = default

[nss]

[pam]

[sudo]

[autofs]

[ssh]

设置nsswitch.conf使用方法sssd：

# grep sss /etc/nsswitch.conf
passwd:     files sss
shadow:     files sss
group:      files sss
services:   files sss
netgroup:   files sss
sudoers: files sss

核实：

# id fuero
uid=100000(fuero) gid=19999(users) groups=20000(group1),20000(group2)

设置PAM /etc/pam.d/system-auth-ac：

#%PAM-1.0
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
**auth        sufficient    pam_sss.so use_first_pass**
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
**account     [default=bad success=ok user_unknown=ignore]    pam_sss.so**
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
**session optional        pam_sss.so
session required        pam_mkhomedir.so        umask=0077**

Question 2

罪魁祸首似乎是 systemd。尝试自己运行 nslcd 就会发现它有效。

当您使用 systemctl 启动 nslcd 时，它会在您尝试查询 nslcd 时生成一个新进程。在消息中我看到：

Dec  3 19:53:33 myhostname nslcd[2227]: [8b4567] <passwd="myuser"> problem closing server socket (ignored): Bad file descriptor
Dec  3 19:53:33 myhostname nslcd[2227]: [8b4567] <passwd="myuser"> version 0.8.13 bailing out

我还不明白根本原因，但 systemctl 与此有关。

我有另一个在该系统之前设置并且正在运行的系统，systemctl 是 systemd-208-11.el7_0.2.x86_64，而新的无法运行的系统是 systemd-208-11.el7_0.4.x86_64。

Answer

罪魁祸首似乎是 systemd。尝试自己运行 nslcd 就会发现它有效。

当您使用 systemctl 启动 nslcd 时，它会在您尝试查询 nslcd 时生成一个新进程。在消息中我看到：

Dec  3 19:53:33 myhostname nslcd[2227]: [8b4567] <passwd="myuser"> problem closing server socket (ignored): Bad file descriptor
Dec  3 19:53:33 myhostname nslcd[2227]: [8b4567] <passwd="myuser"> version 0.8.13 bailing out

我还不明白根本原因，但 systemctl 与此有关。

我有另一个在该系统之前设置并且正在运行的系统，systemctl 是 systemd-208-11.el7_0.2.x86_64，而新的无法运行的系统是 systemd-208-11.el7_0.4.x86_64。

Question 3

我解决了这个问题

我刚刚进入/etc/selinux/config并通过设置禁用了 selinuxSELINUX=disabled

我快速重启了一下，就可以登录了，没问题

Answer

我解决了这个问题

我刚刚进入/etc/selinux/config并通过设置禁用了 selinuxSELINUX=disabled

我快速重启了一下，就可以登录了，没问题

NSLCD 仅在调试模式下连接到 LDAP 服务器

答案1

答案2

答案3

相关内容