语境
我这里有 2 台不同的机器，它们的主要区别在于一台运行 CentOS6，另一台运行 CentOS7。两台机器都运行最新的发行版 lib 版本：COS7 为 0.8.13，CentOS6 为 0.7.5 两台机器都运行“正常”配置的 nss-pam-ldapd：
/etc/nslcd.conf
uid nslcd
gid ldap
uri ldap://ldap.example.org/
base dc=example,dc=org
ssl no
tls_cacertdir /etc/openldap/cacerts
idle_timelimit 240
base group ou=groups,dc=example,dc=org
binddn cn=Readonly,dc=example,dc=org
bindpw **************
服务器的权限：
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=cube-net,dc=org" write by dn="cn=Readonly,dc=example,dc=org" none by anonymous auth by self write by * none
olcAccess: {1}to dn.base="cn=Readonly,dc=example,dc=org" by dn="cn=Manager,dc=example,dc=org" write by * none
olcAccess: {2}to dn.base="" by * read
olcAccess: {3}to * by dn="cn=Manager,dc=example,dc=org" write by dn="cn=Readonly,dc=example,dc=org" read by self write by * read
问题
我可以很好地查找用户，但是无法以suCentOS 7 上的用户身份登录。我得到：
mveroone@vm:~$ passwd
Changing password for user mveroone.
(current) LDAP Password:
New password:
Retype new password:
passwd: all authentication tokens updated successfully.
mveroone@vm:~$ su - mveroone
Password:
su: Permission denied
mveroone@vm:~$ ssh localhost
Authorized uses only. All activity may be \ monitored and reported.
mveroone@localhost's password:
Last login: Fri Aug 20 16:10:24 2021
Authorized uses only. All activity may be \ monitored and reported.
mveroone@vm:~$
是的，我可以使用 SSH 登录并更改密码，但不能使用 su。
我尝试过的方法
在两台服务器上执行ldapwhoami操作均可使用简单绑定方法，但不能使用 SASL（无可用机制）
root@vm:~# ldapwhoami -D uid=user,ou=users,dc=example,dc=org -W -H ldap://ldap.example.org
Enter LDAP Password:
dn:uid=user,ou=users,dc=example,dc=org
nslcd -d尝试使用密码验证运行时su仅在 COS7 中显示此信息：
nslcd: DEBUG: accept() failed (ignored): Resource temporarily unavailable
尽管根据几个邮件列表主题，这似乎是一个可以忽略的错误。
当使用附加调试（nslcd -dd）运行 nslcd 时，我可以看到它首先尝试与用户绑定，成功后，它搜索'(objectClass=*)'、过滤属性：dn和 base = 本身，这样就可以了：
ldap_free_request (origid 1, msgid 1)
ldap_parse_result
ldap_msgfree
ldap_search_ext
put_filter: "(objectClass=*)"
put_filter: simple
put_simple_filter: "objectClass=*"
ldap_build_search_req ATTRS: dn
ldap_send_initial_request
ldap_send_server_request
ldap_result ld 0x7f7a9800cf60 msgid 2
wait4msg ld 0x7f7a9800cf60 msgid 2 (timeout 10000000 usec)
wait4msg continue ld 0x7f7a9800cf60 msgid 2 all 0
** ld 0x7f7a9800cf60 Connections:
* host: ldap.example.org port: 389 (default)
refcnt: 2 status: Connected
last used: Fri Aug 20 11:42:05 2021
** ld 0x7f7a9800cf60 Outstanding Requests:
* msgid 2, origid 2, status InProgress
outstanding referrals 0, parent count 0
ld 0x7f7a9800cf60 request count 1 (abandoned 0)
** ld 0x7f7a9800cf60 Response Queue:
Empty
ld 0x7f7a9800cf60 response count 0
ldap_chkResponseList ld 0x7f7a9800cf60 msgid 2 all 0
ldap_chkResponseList returns ld 0x7f7a9800cf60 NULL
ldap_int_select
read1msg: ld 0x7f7a9800cf60 msgid 2 all 0
read1msg: ld 0x7f7a9800cf60 msgid 2 message type search-entry
ldap_get_dn
nslcd: [0e0f76] <authc="user"> DEBUG: ldap_result(): uid=user,ou=users,dc=example,dc=org
ldap_msgfree
ldap_abandon 2
ldap_abandon_ext 2
do_abandon origid 2, msgid 2
ldap_msgdelete ld=0x7f7a9800cf60 msgid=2
ldap_free_request (origid 2, msgid 2)
ldap_free_connection 0 1
ldap_free_connection: refcnt 1
ldap_msgfree
nslcd: [0e0f76] <authc="user"> DEBUG: ldap_unbind()
ldap_unbind
因此路径是：
- 绑定（确定）
- 搜索自己的 DN（确定）
- 放弃
- 解除绑定
然后告诉我无法验证用户身份。（“权限被拒绝”，因此它不同于“身份验证失败”）我执行了数据包捕获并显示了相同的内容。
我尝试运行 nslcd 0.8.x 版本的更改日志来查看是否有任何变化，但是变化太多，而且没有足够的细节。
答案1
nslcd好吧，所以最终它与 PAM-LDAP 完全无关......
/etc/pam.d/su在末尾有这一行（在“auth”块之外）
auth required pam_wheel.so use_uid
/etc/pam.d/sshd例如不存在这样的情况。
评论解决了该问题
这一行在 CentOS 6 上也存在，但是上面有一个include语句跳过了接下来的行，而不是substack没有跳过。