LinuxForum.Fans
Тема

Настройка openLDAP

Автор: XliN 15 сообщений 7027 просмотров
#70237

Вот решил закрыть свой пробел в этом направлении :D Как раз появилась площадка для экспериментов. Куча компьютеров (200-300) и все в безобразном виде. Правда еще точно не вникал, т.к. только устроился туда работать.
Суть вот в чем. Поставил у себя дома на виртуалке openldap по инструкции http://www.debian-administration.org/article/585/OpenLDAP_installation_on_Debian
Все вроде ничего, но когда дошел до пункта PAM configuration я заткнулся. Сделал как написано, но в итоге получил приглашение входа в систему без ввода пароля и ни root, ни пользователь теперь не входит. Где то я намудрил. Помогите разобраться. Сейчас нет под рукой LiveCD что бы поправить, но скоро будет (просто времени сейчас не хватает)

Такое случилось после правки файлов /etc/pam.d/common-account, /etc/pam.d/common-auth, /etc/pam.d/common-session. Kerberos я не стал ставить ( я так понимаю это шифрование)

Так же стоит phpldapadmin, Может через него можно что нибудь ковырнуть?

text
version: 1

# LDIF экспорт для: dc=saikov,dc=org # Сгенерировано phpLDAPadmin August 21, 2010 7:30 am # Сервер: My LDAP Server (localhost) # Область поиска: sub # Фильтр поиска: (objectClass=*) # Всего записей: 6

dn: dc=saikov,dc=org objectClass: top objectClass: dcObject objectClass: organization o: saikov.org dc: saikov

dn: cn=admin,dc=saikov,dc=org objectClass: simpleSecurityObject objectClass: organizationalRole cn: admin description: LDAP administrator userPassword: {crypt}cJzJ0j0yYO/xY

dn: ou=Group,dc=saikov,dc=org ou: Group objectClass: organizationalUnit

dn: cn=valek,ou=group,dc=saikov,dc=org cn: valek gidNumber: 20000 objectClass: top objectClass: posixGroup

dn: ou=People,dc=saikov,dc=org ou: People objectClass: organizationalUnit

dn: uid=valek,ou=people,dc=saikov,dc=org uid: valek uidNumber: 20000 gidNumber: 20000 cn: Valek sn: Valek objectClass: person objectClass: posixAccount objectClass: shadowAccount loginShell: /bin/bash homeDirectory: /home/valek

Дистр Debian Leny

#70260

Во... важная деталь. При загрузки системы лезет очень не приятная ошибка.


Где же вы гуру? :)

#70266

Сервер запущен?

#70272
mycetophylax написал:
Сервер запущен?

А я хз... не могу я залогиниться в систему. Скорее всего не стартует, почему пока не знаю. Сейчас запустился в сингле моде... смотрю конфиги. Что то с PAM связано.

#70279

Все стартует... где то ошибка в конфигах.

Сволочь такая перестала спрашивать пароль.

#70634

Так... процесс у меня сдвинулся. На Archlinux настроил OpenLDAP сервер. На клиентской машине (Debian) пока все глухо. Как не мог залогинится так и не могу. Проблема в настройке файлов в /etc/pam.d/бла-бла-бла Хотя с дебиана уже видно мой ldap сервер и я с него добавил пользователя в группу Peple и система теперь показывает его id. Получается что он добавился в дебиане...

Как можно обнулить файлы в /etc/pam.d/ ? Это в Debia`не. Касяк явно в них и по новой доке, которую я откопал, в них можно не лезть совсем.

UPD: На Debian пока еще ругается nss_ldap что не может приконектиться к ldap серверу. Это пока в процессе исправления. ХЗ почему.

UPD2: Сейчас попробую обновиться до Squeeze, может он потрет испорченные файлы?
Да... обновление потерло испорченные файлы. Продолжаю бегать с бубном.

#70743

Мда.... смотрю не кому мне помочь... :( Жалко. Этап настройки почти завершил, но что то не могу ввести в домен комп с WindowsXP. Выползает такая ошибка.



Если интересно, то вот такое у меня получилось дерево



Вот LDIF файл всего домена http://freetexthost.com/0rne434qls

[console]# net groupmap list

admins (S-1-5-21-2221095159-2843091396-3400778531-512) -> admins
people (S-1-5-21-2221095159-2843091396-3400778531-513) -> people
computers (S-1-5-21-2221095159-2843091396-3400778531-515) -> computers[/console]

[console]# net rpc info -U admin

Domain Name: SAIKOV.RU
Domain SID: S-1-5-21-2221095159-2843091396-3400778531
Sequence number: 1282490392
Num users: 2
Num domain groups: 3
Num local groups: 0[/console]

#70760

Вот мой smb.conf http://freetexthost.com/mcg5ufmavf

Короче в WindowsXP удалил все подключения net use * /DELETE
Теперь если ввожу пользователя testuser и пароль, я его добавлял с помощью smbpasswd -a, вылазит ошибка что отказано в доступе... Что не так? Если вводить admin, то говорит нет такого пользователя.

#71092

xlin, как успехи? Хороший у тебе тут монолог :D
Вот думаю надо бы и мне этот пробел заполнить, а то есть у меня организация, где server2003 левый стоит и выполняет роль контролера домена, а все сводится гробо говоря к централизованному управлению правами доступа.
Есть полезные русскоязычные ссылки?

#71130

Да, диалог получился сам с собой :D Успехов пока нет, сам домен поднялся, но что то напутано с правами.
Вот ссылки которые я изучаю:
http://forum.lissyara.su/viewtopic.php?t=4188
http://www.lissyara.su/articles/freebsd/programms/ldap_auth/
http://linux.mkrovlya.ru/book/debian-samba-3-ldap-php-ldap-admin-howto
http://debian.telenet.ru/adjustmentsoft/samba_pdc
http://www.debian-administration.org/article/585/OpenLDAP_installation_on_Debian

Ну короче искать еще надо... много вопросов у меня возникает. :D

Сейчас поставлю еще и Debian и CentOS. Буду сразу на трех пробовать. Некоторые умные люди мне сказали что SID админа у меня не вверен. Начну с начала.

#83421

Для оживления темы... Я пока так и не осилил OpenLDAP. Процесс движется, но очень медленно, т.к. работы куча. Если есть у кого хорошая дока (проверенная) поделитесь. Подойдет дя CentOS, Debian, CDS.

UPD: Мои замашки. Есть настроенный CentOS+SQUID+SAMS, вот его и нужно прицепить к LDAP и так же сделать переносимых пользователей (контролер домена samba).

#84331

Можешь покопать в сторону eBox - этакий Small Business Server на Linux. Сейчас сам с ним копаюсь. Домен поднимается, но единственное не получается замутить динамический ДНС, а так все работает.

#91127

Ну вот. Я все таки поднял на виртуалке OpenLDAP. Теперь возникли некоторые вопросы.

Я ввел два компьютера в домен, а именно с WindowsXP. Все нормально, но я хотел бы что бы у каждого компа в домене сразу монтировался сетевой диск с определенной буквой. Желательно B:
Как это замутить? Как то через файл logon.bat?

У меня в файле /etc/samba/smb.conf есть вот такие строчки
[console]
logon script = logon.bat
logon drive = B:
logon home =
logon path =
[/console]

Вот мой LDIF файл

Показать
version: 1

# LDIF экспорт для: dc=mgkb1
# Сгенерировано phpLDAPadmin October 23, 2010 7:42 pm
# Сервер: My LDAP Server (127.0.0.1)
# Область поиска: sub
# Фильтр поиска: (objectClass=*)
# Всего записей: 21

dn: dc=mgkb1
objectClass: dcObject
objectClass: organization
o: CentOS Directory Server
dc: mgkb1

dn: cn=admin,dc=mgkb1
objectClass: organizationalRole
cn: admin

dn: ou=Computers,dc=mgkb1
objectClass: top
objectClass: organizationalUnit
ou: Computers

dn: uid=bol1$,ou=Computers,dc=mgkb1
objectClass: top
objectClass: account
objectClass: posixAccount
objectClass: sambaSamAccount
cn: bol1$
uid: bol1$
uidNumber: 1003
gidNumber: 515
homeDirectory: /dev/null
loginShell: /bin/false
description: Computer
gecos: Computer
sambaSID: S-1-5-21-2620240023-3456145667-860371348-1002
displayName: BOL1$
sambaAcctFlags: [W ]
sambaNTPassword: 1C0B5E2F1C01781F164D9188994A1FE7
sambaPwdLastSet: 1287847814

dn: uid=boris$,ou=Computers,dc=mgkb1
objectClass: top
objectClass: account
objectClass: posixAccount
objectClass: sambaSamAccount
cn: boris$
uid: boris$
uidNumber: 1001
gidNumber: 515
homeDirectory: /dev/null
loginShell: /bin/false
description: Computer
gecos: Computer
sambaSID: S-1-5-21-2620240023-3456145667-860371348-1001
displayName: BORIS$
sambaAcctFlags: [W ]
sambaNTPassword: C6F23A5F7A4F7C6A8C86C1E56B201959
sambaPwdLastSet: 1287837897

dn: ou=Groups,dc=mgkb1
objectClass: top
objectClass: organizationalUnit
ou: Groups

dn: cn=Account Operators,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 548
cn: Account Operators
description: Netbios Domain Users to manipulate users accounts
sambaSID: S-1-5-32-548
sambaGroupType: 5
displayName: Account Operators

dn: cn=Administrators,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 544
cn: Administrators
description: Netbios Domain Members can fully administer the computer/sambaD
omainName
sambaSID: S-1-5-32-544
sambaGroupType: 5
displayName: Administrators

dn: cn=Backup Operators,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 551
cn: Backup Operators
description: Netbios Domain Members can bypass file security to back up file
s
sambaSID: S-1-5-32-551
sambaGroupType: 5
displayName: Backup Operators

dn: cn=Domain Admins,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 512
cn: Domain Admins
memberUid: root
description: Netbios Domain Administrators
sambaSID: S-1-5-21-2620240023-3456145667-860371348-512
sambaGroupType: 2
displayName: Domain Admins

dn: cn=Domain Computers,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 515
cn: Domain Computers
description: Netbios Domain Computers accounts
sambaSID: S-1-5-21-2620240023-3456145667-860371348-515
sambaGroupType: 2
displayName: Domain Computers

dn: cn=Domain Guests,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 514
cn: Domain Guests
description: Netbios Domain Guests Users
sambaSID: S-1-5-21-2620240023-3456145667-860371348-514
sambaGroupType: 2
displayName: Domain Guests

dn: cn=Domain Users,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 513
cn: Domain Users
description: Netbios Domain Users
sambaSID: S-1-5-21-2620240023-3456145667-860371348-513
sambaGroupType: 2
displayName: Domain Users

dn: cn=Print Operators,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 550
cn: Print Operators
description: Netbios Domain Print Operators
sambaSID: S-1-5-32-550
sambaGroupType: 5
displayName: Print Operators

dn: cn=Replicators,ou=Groups,dc=mgkb1
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 552
cn: Replicators
description: Netbios Domain Supports file replication in a sambaDomainName
sambaSID: S-1-5-32-552
sambaGroupType: 5
displayName: Replicators

dn: ou=Idmap,dc=mgkb1
objectClass: top
objectClass: organizationalUnit
ou: Idmap

dn: ou=Users,dc=mgkb1
objectClass: top
objectClass: organizationalUnit
ou: Users

dn: uid=Administrator,ou=Users,dc=mgkb1
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
objectClass: sambaSamAccount
cn: Administrator
sn: Administrator
givenName: Administrator
uid: Administrator
uidNumber: 1002
homeDirectory: /home/Administrator
loginShell: /bin/bash
gecos: System User
sambaLogonTime: 0
sambaLogoffTime: 2147483647
sambaKickoffTime: 2147483647
sambaPwdCanChange: 0
displayName: Administrator
sambaSID: S-1-5-21-2620240023-3456145667-860371348-3004
sambaLogonScript: logon.bat
sambaProfilePath: \\ldap\profiles\Administrator
sambaHomePath: \\ldap\Administrator
sambaHomeDrive: H:
sambaLMPassword: F0CFCFA3368A12B4AAD3B435B51404EE
sambaAcctFlags: (U)
sambaNTPassword: BA05DE4E6C9C322CDF855239CC8F667F
sambaPwdLastSet: 1287782188
sambaPwdMustChange: 1291670188
userPassword: {MD5}wYyjWFQDv5htwfx39y11fw==
shadowLastChange: 14904
shadowMax: 45
gidNumber: 512
sambaPrimaryGroupSID: S-1-5-21-2620240023-3456145667-860371348-512

dn: uid=nobody,ou=Users,dc=mgkb1
cn: nobody
sn: nobody
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: sambaSamAccount
objectClass: posixAccount
objectClass: shadowAccount
gidNumber: 514
uid: nobody
uidNumber: 999
homeDirectory: /dev/null
sambaPwdLastSet: 0
sambaLogonTime: 0
sambaLogoffTime: 2147483647
sambaKickoffTime: 2147483647
sambaPwdCanChange: 0
sambaPwdMustChange: 2147483647
sambaHomePath: \\ldap\nobody
sambaHomeDrive: H:
sambaProfilePath: \\ldap\profiles\nobody
sambaPrimaryGroupSID: S-1-5-21-2620240023-3456145667-860371348-514
sambaLMPassword: NO PASSWORDXXXXXXXXXXXXXXXXXXXXX
sambaNTPassword: NO PASSWORDXXXXXXXXXXXXXXXXXXXXX
sambaAcctFlags: [NUD ]
sambaSID: S-1-5-21-2620240023-3456145667-860371348-2998
loginShell: /bin/false

dn: uid=root,ou=Users,dc=mgkb1
cn: root
sn: root
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: sambaSamAccount
objectClass: posixAccount
objectClass: shadowAccount
gidNumber: 0
uid: root
uidNumber: 0
homeDirectory: /home/root
sambaLogonTime: 0
sambaLogoffTime: 2147483647
sambaKickoffTime: 2147483647
sambaPwdCanChange: 0
sambaHomePath: \\ldap\root
sambaHomeDrive: H:
sambaProfilePath: \\ldap\profiles\root
sambaPrimaryGroupSID: S-1-5-21-2620240023-3456145667-860371348-512
sambaSID: S-1-5-21-2620240023-3456145667-860371348-500
loginShell: /bin/false
gecos: Netbios Domain Administrator
sambaLMPassword: 10E84AECD33573722CE3FF7B80FB98CD
sambaAcctFlags: (U)
sambaNTPassword: C3ADE6E4F23596927CD343E459C69FEE
sambaPwdLastSet: 1287779532
sambaPwdMustChange: 1291667532
userPassword: {MD5}8zKcnEiISf+pbp5odNiEaQ==
shadowLastChange: 14904
shadowMax: 45

dn: sambaDomainName=mgkb1,dc=mgkb1
objectClass: top
objectClass: sambaDomain
objectClass: sambaUnixIdPool
sambaDomainName: mgkb1
sambaSID: S-1-5-21-2620240023-3456145667-860371348
gidNumber: 1000
sambaPwdHistoryLength: 0
sambaMaxPwdAge: -1
sambaRefuseMachinePwdChange: 0
sambaLockoutThreshold: 0
uidNumber: 1004
sambaNextRid: 1002

Мой smb.conf

Показать
[root@ldap log]# cat /etc/samba/smb.conf
# Global parameters
[global]
workgroup = mgkb1
netbios name = ldap
security = user
enable privileges = yes
#interfaces = 192.168.5.11
#username map = /etc/samba/smbusers
server string = Samba Server %v
#security = ads
encrypt passwords = Yes
#min passwd length = 3
#pam password change = no
#obey pam restrictions = No

# method 1:
unix password sync = yes
ldap passwd sync = yes

# method 2:
unix password sync = yes
ldap passwd sync = no
ldap ssl = off
passwd program = /usr/sbin/smbldap-passwd -u "%u"
passwd chat = "Changing *\nNew password*" %n\n "*Retype new password*" %n\n"

log level = 0
syslog = 0
log file = /var/log/samba/log.%U
max log size = 100000
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
mangling method = hash2
#Dos charset = 850
#Unix charset = ISO8859-1

logon script = logon.bat
logon drive = H:
logon home =
logon path =

domain logons = Yes
domain master = Yes
os level = 65
preferred master = Yes
wins support = yes
# passdb backend = ldapsam:"ldap://ldap1.company.com ldap://ldap2.company.com"
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=admin,dc=mgkb1
#ldap admin dn = cn=samba,ou=DSA,dc=company,dc=com
ldap suffix = dc=mgkb1
ldap group suffix = ou=Groups
ldap user suffix = ou=Users
ldap machine suffix = ou=Computers
#ldap idmap suffix = ou=Idmap
add user script = /usr/sbin/smbldap-useradd -m "%u"
#ldap delete dn = Yes
delete user script = /usr/sbin/smbldap-userdel "%u"
add machine script = /usr/sbin/smbldap-useradd -t 0 -w "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
#delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g '%g' '%u'

# printers configuration
#printer admin = @"Print Operators"
load printers = Yes
create mask = 0640
directory mask = 0750
#force create mode = 0640
#force directory mode = 0750
nt acl support = yes
printing = cups
printcap name = cups
deadtime = 10
guest account = nobody
map to guest = Bad User
dont descend = /proc,/dev,/etc,/lib,/lost+found,/initrd
show add printer wizard = yes
; to maintain capital letters in shortcuts in any of the profile folders:
preserve case = yes
short preserve case = yes
case sensitive = no

[netlogon]
path = /home/samba/netlogon/
browseable = No
read only = yes

[profiles]
path = /home/samba/profiles
read only = no
create mask = 0600
directory mask = 0700
browseable = No
guest ok = Yes
profile acls = yes
csc policy = disable
# next line is a great way to secure the profiles
#force user = %U
# next line allows administrator to access all profiles
#valid users = %U "Domain Admins"

[printers]
comment = Network Printers
#printer admin = @"Print Operators"
guest ok = yes
printable = yes
path = /home/samba/spool/
browseable = No
read only = Yes
printable = Yes
# print command = /usr/bin/lpr -P%p -r %s
# lpq command = /usr/bin/lpq -P%p
# lprm command = /usr/bin/lprm -P%p %j
# print command = /usr/bin/lpr -U%U@%M -P%p -r %s
# lpq command = /usr/bin/lpq -U%U@%M -P%p
# lprm command = /usr/bin/lprm -U%U@%M -P%p %j
# lppause command = /usr/sbin/lpc -U%U@%M hold %p %j
# lpresume command = /usr/sbin/lpc -U%U@%M release %p %j
# queuepause command = /usr/sbin/lpc -U%U@%M stop %p
# queueresume command = /usr/sbin/lpc -U%U@%M start %p

[print$]
path = /home/samba/printers
guest ok = No
browseable = Yes
read only = Yes
valid users = @"Print Operators"
write list = @"Print Operators"
create mask = 0664
directory mask = 0775

[public]
path = /tmp
guest ok = yes
browseable = Yes
writable = yes

И еще. Как теперь правильно заводить пользователей? Они же должны добавляться в папку /home/samba/profiles, если верить smb.conf. Что и происходит.

Ладно, пойду далее разбираться. Может и напишу потом инструкцию для начинающих как и я. Хочется сделать связочку: CentOS+OpenLDAP+Squid+SAMS.
Я просто с этим не работал совсем и не знаю тонкостей, прошу помощи.

#91136

Все, проблема с автоматическим монтированием разрешилась.... :D Приступим к интеграции squid с openldap. wink

Войдите или зарегистрируйтесь, чтобы ответить.