Отправляет email-рассылки с помощью сервиса Sendsay

RFpro.ru: Установка и настройка Unix/Linux/FreeBSD

Подписаться Бесплатная «Золотая» новостная рассылка . Подписчиков 3.976 RSS
←   Январь 2010   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


За последние 60 дней ни разу не выходила


Сайт рассылки: http://admin.rusfaq.ru/nix
Открыта: 14-03-2002

Автор
Калашников О.А.

Статистика

3.976 подписчиков
0 за неделю
←   Все выпуски   →

RFpro.ru: Установка и настройка Unix/Linux/FreeBSD


Хостинг портала RFpro.ru:
Московский хостер
Профессиональный платный хостинг на базе Windows 2008

РАССЫЛКИ ПОРТАЛА RFPRO.RU

Чемпионы рейтинга экспертов в этой рассылке

vladisslav
Статус: 5-й класс
Рейтинг: 1057
∙ повысить рейтинг » 		Волков Алексей aka Lupo
Статус: 5-й класс
Рейтинг: 367
∙ повысить рейтинг » 		Руслан Тофикович
Статус: 5-й класс
Рейтинг: 327
∙ повысить рейтинг »

/ КОМПЬЮТЕРЫ И ПО / Установка и настройка ОС / Unix/Linux/FreeBSD

Номер выпуска:1294
Дата выхода:14.01.2010, 15:30
Администратор рассылки:Калашников О.А., Руководитель
Подписчиков / экспертов:812 / 186
Вопросов / ответов:1 / 1
IRC-канал по теме:#nix

Вопрос № 175941: Уважаемые эксперты! Обращаюсь к вам за помощью (я не знаю даже к экспертам по какой тематике он точно относится, поэтому посылаю его сразу по нескольким темам, - может, эксперты какой-нибудь из них и смогут ответить). Поставлена следующ...

Вопрос № 175941:

Уважаемые эксперты!

Обращаюсь к вам за помощью (я не знаю даже к экспертам по какой тематике он точно относится, поэтому посылаю его сразу по нескольким темам, - может, эксперты какой-нибудь из них и смогут ответить).

Поставлена следующая задача.
При авторизации на локальной линукс-машине в случае необнаружения локального пользователя, идентичного введённому, произвести поиск такового на виндоус-сервере и в случае удачи создать соответствующую локальную постоянную учётную запись и произвести первую загрузку пользователя (с созданием домашней директории с профилем по умолчанию и далее всё как положено...). При этом на сервере не вносить никаких изменений (не использовать пароль администратора), например, не включать машину в домен.

Имеем следующее.
Настроенный керберос, выдающий билеты (и mount.cifs, монтирующий ресурсы сервера по ntlm).

Проблемы следующие.
Winbind, естественно, без включения машины в домен не работает.
Ldapsearch -х сервер не находит (думаю, что и так ясно, что при таких делах после включения на стандартный вывод стала выдаваться следующая информация: "nscd: nss_ldap: could not search LDAP server - Server is unavailable").

Какая может быть запись dn при вызове ldapsearch с ключем -D вместо несрабатывающей стандартной uid=user-login,ou=Users,dc=domain, или, хотя бы, при помощи какой программы можно было бы это узнать (с учётом существующих вин.машин с работающим ЛДАПом, подрубленных к этому серверу)?
Можно ли ещё как решить эту задачу, не прибегая к написанию собственного pam модуля (к программированию я не имею никакого отношения)?
В противном случае не могли бы вы привести содержание исходника такого простейшего модуля и пошаговую инструкцию по его компиляции?

Заранее благодарю.
Андрей.

Отправлен: 09.01.2010, 00:31
Вопрос задал: CAEman, Посетитель
Всего ответов: 1
Страница вопроса »

Отвечает Rashid N. Achilov, Практикант :
Здравствуйте, CAEman.

Без написания собственного, ну не обязательно pam-модуля, но скрипта или чего-то подобного, не обойтись. Потому что задача весьма специфична и отнюдь не тривиальна - почему нельзя включать в домен, например? Фактически она распадается на две задачи - как проверить наличие переданного пользователя в домене и как создать для него домашний каталог.

Задача первая. Решается (по крайней мере для Windows 2003) ТОЛЬКО при наличии любой учетной записи домена с известным паролем, необходимой для подключения к домену, поскольку в Windows 2003 по умолчанию отключен так называемый anonymous bind, то есть возможность подключения к LDAP без имени и пароля. Если какой-либо учетной записи нет, проверить наличие логина не удастся. Если же такая учетная запись есть (у нее может не быть никаких прав - самое главное - она должна быть!), то достаточно получить атрибут sAMAccountName. При этом подключаться рекомендую не к конкретному uid,а непосредственно к к орню. Кроме того, для Windows 2003 (и выше наверное, не проверял) ОБЯЗАТЕЛЬНО поставить в ldap.conf параметр "REFERRALS off". Пример запуска ldpasearch в приложении. ldap_binddn - это как раз имя пользователя, существующего в домене, а SHELTON.NET - это собственно имя домена, 192.168.50.1 - адрес dc

Задача вторая. Решается как раз pam-модулем. Насчет создания профиля по умолчанию ничего не скажу, потому что использовал данный модуль только для создания домашнего каталога, достаточного для работы в консоли, но не думаю, что там есть что-то сложное - KDE например, сам все создаст. Взять такой модуль можно здесь - http://openoffice.mirahost.ru/fileZ/software/pam_mkhome.tar.bz2. Автор этого модуля, к сожалению не дал никаких инструкций о том, как его собирать и как настраивать, ладно хоть ман написал. Модуль был доработан мной, поскольку изначально автор предполагал, что он будет запускаться в секции session, но это как раз неправильно и действия по созданию дом ашнего каталога должны выполняться в секции account.

Можно также вместо ldapsearch попробовать использовать модуль pam_ldap (http://www.padl.com/download). Данный модуль как раз выполнит задачу по аутентификации (прописывается в секцию auth), а модуль pam_mkhomе - по управлению учетной записью (секция account). Поскольку оба действия являются необходимыми, оба модуля должны быть с атрибутами required.

Приложение:

-----
Si vis pacem, para bellum

Ответ отправил: Rashid N. Achilov, Практикант
Ответ отправлен: 09.01.2010, 12:03

Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 258499 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:
    • Вам помогли? Пожалуйста, поблагодарите эксперта за это!

    Оценить выпуск »
    Нам очень важно Ваше мнение об этом выпуске рассылки!

    Задать вопрос экспертам этой рассылки »

    Скажите "спасибо" эксперту, который помог Вам!

    Отправьте СМС-сообщение с тестом #thank НОМЕР_ОТВЕТА
    на короткий номер 1151 (Россия)
    Номер ответа и конкретный текст СМС указан внизу каждого ответа.

    Полный список номеров »

    * Стоимость одного СМС-сообщения от 7.15 руб. и зависит от оператора сотовой связи. (полный список тарифов)
    ** При ошибочном вводе номера ответа или текста #thank услуга считается оказанной, денежные средства не возвращаются.
    *** Сумма выплаты эксперту-автору ответа расчитывается из суммы перечислений на портал от биллинговой компании.

    © 2001-2010, Портал RFpro.ru, Россия
    Авторское право: ООО "Мастер-Эксперт Про"
    Автор: Калашников О.А. | Программирование: Гладенюк А.Г.
    Хостинг: Компания "Московский хостер"
    Версия системы: 2009.6.13 от 28.12.2009
    В избранное