☰

id 命令未显示次要组

tag-icon • tag-icon centos openldap sssd nsswitch.conf
id 命令未显示次要组

最近几天我一直在研究 LDAP 集成。现在，在配置了几乎所有我需要的东西之后，我遇到了最后一道障碍：需要使用从 LDAP 服务器获取的辅助组。

行为：

[root@sr-servicesLin ~]# id hmr
uid=2956(hmr) gid=10000(ldapusers) groups=10000(ldapusers)

[root@sr-servicesLin ~]# getent group repo
repo:*:25958:

[root@sr-servicesLin ~]# groups hmr
hmr : ldapusers

repo 组的内容（它是一个 LDAP 组）：

[root@sr-dns ~]# ldapsearch -x -H ldaps://ldap.eibind.iss -b "dc=eibind,dc=iss" "(&(objectclass=posixGroup)(cn=repo)(gidNumber=*))"
# extended LDIF
#
# LDAPv3
# base <dc=eibind,dc=iss> with scope subtree
# filter: (&(objectclass=posixGroup)(cn=repo)(gidNumber=*))
# requesting: ALL
#

# repo, Groups, eibind.iss
dn: cn=repo,ou=Groups,dc=eibind,dc=iss
objectClass: posixGroup
objectClass: top
cn: repo
memberUid: hmr
memberUid: jcontreras
memberUid: hectoriss
gidNumber: 25958

# search result
search: 2
result: 0 Success

场景：

操作系统：Centos 6.7

软件包：
· 使用 ssl 运行 ldap
· 安装了 sssd
· nss-pam-ldapd

问题是：

当我使用id命令时，我没有获得每个用户的次要组，而只是主要组（来自 LDAP，因此存在连接）。

我要粘贴主配置文件，我认为我把所有东西都放在了正确的位置。在浏览网站时，我读到不建议同时配置 sssd 和 nsswitch，就像配置ldap和sss“解析”来自服务器的所有所需数据一样，这可能会使服务器陷入混乱或类似情况。尽管如此，我还是将 ldap 和 sss 写入数据源。

nsswitch.conf

#
# /etc/nsswitch.conf
#

passwd:     files ldap sss
shadow:     files ldap sss
group:      files ldap sss

#hosts:     db files nisplus nis dns
hosts:      files dns

bootparams: nisplus [NOTFOUND=return] files

ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files ldap sss

netgroup:   files ldap sss

publickey:  nisplus

automount:  files ldap sss
aliases:    files ldap nisplus

如您所见，我正在向 ldap 和 sss (sssd) 询问密码、影子和组。结合此配置，我还有 sssd.conf 文件，如下所示：

sssd.conf

[sssd]
config_file_version = 2
services = nss, pam, autofs
domains = default

[nss]
filter_users = root,ldap,named,avahi,haldaemon,dbus,radiusd,news,nscd

[pam]

[domain/default]
ldap_tls_reqcert = allow
auth_provider = ldap
ldap_schema = rfc2307bis
krb5_realm = eibind.iss
ldap_search_base = dc=eibind,dc=iss
ldap_group_member = uniqueMember
id_provider = ldap
ldap_id_use_start_tls = True
chpass_provider = ldap
ldap_uri = ldaps://ldap.eibind.iss/

#ldap_user_object_class = user
#ldap_group_object_class = group

#ldap_group_search_base = OU=Groups,DC=eibind,DC=iss
#ldap_group_search_scope = one
#ldap_group_object_class = group

ldap_chpass_uri = ldaps://ldap.eibind.iss/
krb5_kdcip = ldap.eibind.iss
cache_credentials = True
ldap_tls_cacertdir = /etc/openldap/cacerts
entry_cache_timeout = 600
ldap_network_timeout = 3
krb5_server = ldap.eibind.iss
autofs_provider = ldap
[autofs]

这里我们可以看到我正在使用ldap_schema = rfc2307bis和ldap_group_member = uniqueMember。

我这样说是因为我在网上发现我应该换成ldap_schema = rfc2307bis但ldap_schema = rfc2307它仍然不起作用。

另外，还有一些注释行我之前尝试过但没有成功。

最后，我要粘贴nslcd配置文件。在这里我只是遵循了这个教程：https://arthurdejong.org/nss-pam-ldapd/setup，所以我的配置文件是加上以下几行：

# This comment prevents repeated auto-migration of settings.
uri ldap://ldap.eibind.iss/
base dc=eibind,dc=iss
uid nslcd
gid nslcd

我肯定遗漏了一些东西，一些值，一些愚蠢的配置。我可能花了大约 3-4 天的时间查看这个，所以任何帮助我都会非常感激。

提前致谢。

答案1

我很困惑，您的群组使用“memberuid: $username”，它是 RFC2307，那么为什么您的配置要指定 rfc2307bis 和 uniqueMember？

我建议使用 rfc2307（默认设置），如果不起作用，则启动调试并查看对 LDAP 服务器进行了哪些查询。

答案2

当您替换默认值时：

ldap_schema = rfc2307

和

ldap_schema = rfc2307bis

在你的sssd.conf文件中，你需要按照SSSD 常见问题解答：

SSSD 支持三种 LDAP 模式类型：RFC 2307、RFC 2307bis 和 IPA（最后一种是 RFC 2307bis 的扩展，包括 memberOf 反向链接）。

默认情况下，SSSD 将使用更常见的 RFC 2307 模式。RFC 2307 和 RFC 2307bis 之间的区别在于在 LDAP 服务器中存储组成员的方式。在 RFC 2307 服务器中，组成员存储为多值属性，memberuid其中包含成员用户的名称。在 RFC2307bis 服务器中，组成员存储为多值属性成员（或有时为uniqueMember），其中包含属于此组的用户或组的 DN。RFC2307bis 还允许维护嵌套组。

因此，当您遇到这种情况时，首先要尝试设置ldap_schema = rfc2307bis、删除/var/lib/sss/db/cache_DOMAINNAME.ldb并重新启动 SSSD。如果这仍然不起作用，请添加ldap_group_member = uniqueMember、删除缓存并再次重新启动。如果这仍然不起作用，是时候提交错误了。

相关内容