UMnieDziala.pl

Przez dłuższy okres czasu na Linuxach używalismy winbinda do pozyskiwania informacji w linuxach o grupach i użytkownikach. Później przeszliśmy na nss_ldap, ale niestety nss_ldap nie rozwiązywał grup zagnieżdżonych, a dodatkowo wywalał się, gdy w grupie było duzo kont (tzn. więcej niz 1000), a niektóre grupy liczyły powyżej 3000 wpisów. Na szczęście w wersji 2.5.3 w końcu zadziałał parametr --with-ngroups i w końcu zadziałały grupy zagnieżdżone.

Problemem niestety dalej pozostaje nieobecność primaryGroup - tzn. grupa istnieje, ale użytkownicy nie są do niej przypisywani. Wszyscy użytkownicy w domenie, którą mają przypisaną jako primary group Domain Users. Listy dyskusyjne są tworzone z grup AD, więc jak ktoś chciał wysłać wiadomość do wszystkich, to niestety nie miał jak tego zrobić. Rozwiązaniem okazało się utworzenie nowej grupy dystrybucyjnej i dodanie do niej wszystkich głównych grup w domenie tj. studenci, pracownicy.

Innym problemem była konieczność wpisywaniana sztywno nazwy użytkownika i hasła potrzebnego do bindowania do AD w konfigu z możliwością odczytu przez każdego zalogowanego użytkownika. Udało się nam to obejść poprzez uruchomienie nscd, korzystanie z wpisu rootbinddn i ukrytego przed użytkownikami pliku ldap.secret z zapisanym hasłem. Takie rozwiązanie jednak nie pozwala użytkownikowi korzystać z poleceń typu finger lub id, przekazuje bowiem użytkownikowi tylko informację o uid-ach i gui-dach. Jako że użytkownicy są uwierzytelniani za pomocą pam_krb, po zalogowaniu mają bilet kerberosowy i mogą korzystać z SASLa z mechanizmem GSSAPI, a nss_ldap obsługuje te mechanizmy.

Poniżej parę zrzutów z działających konfiguracji:

przełączniki kompilacji do wersji 2.5.3
./configure --enable-rfc2307bis --enable-paged-results --with-ngroups=4000 --enable-mssfu-schema

plik ldap.conf
host lsd.pjwstk.edu.pl
base dc=pjwstk,dc=edu,dc=pl
rootbinddn XXXXXXXXX@pjwstk.edu.pl

use_sasl on
SASL_MECH GSSAPI
SASL_SECPROPS maxssf=0

nss_schema rfc2307bis
scope sub

nss_base_passwd ou=pracownicy,dc=pjwstk,dc=edu,dc=pl?sub
nss_base_passwd ou=studenci,dc=pjwstk,dc=edu,dc=pl?sub

nss_base_shadow ou=pracownicy,dc=pjwstk,dc=edu,dc=pl?sub
nss_base_shadow ou=studenci,dc=pjwstk,dc=edu,dc=pl?sub

nss_base_group ou=pracownicy,dc=pjwstk,dc=edu,dc=pl?sub
nss_base_group ou=studenci,dc=pjwstk,dc=edu,dc=pl?sub
nss_base_group cn=Users,dc=pjwstk,dc=edu,dc=pl?one

nss_map_objectclass posixAccount user
nss_map_objectclass shadowAccount user
nss_map_objectclass posixGroup Group

nss_map_attribute uid sAMAccountName
nss_map_attribute loginShell msSFU30LoginShell
nss_map_attribute uidNumber msSFU30UidNumber
nss_map_attribute gidNumber msSFU30GidNumber
nss_map_attribute homeDirectory msSFU30HomeDirectory
nss_map_attribute shadowLastChange pwdLastSet
nss_map_attribute gecos displayName
nss_map_attribute uniqueMember member
nss_map_attribute cn cn

pagesize 4000

nss_reconnect_tries 3
nss_reconnect_sleeptime 2
nss_reconnect_maxsleeptime 5
nss_reconnect_maxconntries 10

plik hosts
10.1.1.1 lsd.pjwstk.edu.pl. ldap.pjwstk.edu.pl pjwstk.edu.pl heroina.pjwstk.edu.pl kokaina.pjwstk.edu.pl thc.pjwstk.edu.pl mdma.pjwstk.edu.pl
10.1.1.1 thc pjwstk kokaina heroina mdma lsd ldap
10.1.1.1 forestDNSzones.pjwstk.edu.pl domainDNSzones.pjwstk.edu.pl
10.1.1.1 forestDNSzones domainDNSzones

plik krb5
[libdefaults]
default_realm = PJWSTK.EDU.PL
kdc_timesync = 1
ccache_type = 4
forwardable = true
proxiable = true

[realms]
PJWSTK.EDU.PL = {
kdc = 10.1.1.10
kdc = 10.1.1.1
kdc = 10.1.1.2
admin_server = 10.1.1.10
}

[domain_realm]
.pjwstk.edu.pl = PJWSTK.EDU.PL
pjwstk.edu.pl = PJWSTK.EDU.PL

[login]
krb4_convert = true
krb4_get_tickets = true

potrzbene paczki w debianie
do kompilacji: gcc g++ make
inne: libldap2 libldap2-dev libkrb5-dev