Регистрация Войти
Рейтинг:0
Iggy avatar Server

каждый пользователь LDAP дает «отказано в доступе» с LDAP и sssd (Centos7)

флаг in
Iggy

Я пытаюсь ограничить вход в систему LDAP группой «admin».

Это мой файл /etc/sssd/sssd.conf:

[домен/по умолчанию]
autofs_provider = ldap
ldap_tls_reqcert = разрешить
auth_provider = ldap
ldap_id_use_start_tls = Ложь
chpass_provider = ldap
cache_credentials = Истина
debug_timestamps = Истина
ldap_default_authtok_type = пароль
ldap_search_base = dc=пример,dc=com
id_provider = лдап
ldap_default_bind_dn = cn=moderator,ou=модераторы,ou=тест,o=организация,dc=пример,DC=COM
мин_ид = 100
ldap_uri = ldaps://example.com:636/
ldap_default_authtok = Pa$$слово
ldap_tls_cacertdir = /etc/openldap/cacerts/
ldap_tls_cert = /etc/openldap/cacerts/certificate.pem
провайдер_доступа = ldap
ldap_access_filter = memberOf=cn=admin,ou=группа,o=организация,dc=example,dc=com

[СССД]
сервисы = nss, pam, autofs
домены = по умолчанию
[нсс]
homedir_substring = / домой

[пэм]

[судо]

[автофс]

[сш]

[пак]

[ифп]

[секреты]

[сессия_запись]

я пытался сделать идентификатор пользователя и получается:

идентификатор пользователя uid = 90514 (пользователь) gid = 20000 (пользователи) группы = 20000 (пользователи), 2480 (администратор)

При попытке изменить пользователя, выполнив су пользователь это дает ошибку su: Отказано в доступе после ввода пароля. При удалении записей об ограничении группы из sssd.conf он работает должным образом и позволяет пользователю войти в систему.

Любые идеи, где я испортил?

Изменить: сейчас я настрою его с помощью /etc/безопасность и PAM и это работает. Однако мне все еще интересно сделать это с sssd.

460
0 + 0
флаг cn
shearn89
Вы пытались вместо этого использовать `ssh user@localhost`? Иногда `su` может иметь дополнительные ограничения или быть отключенным?
0
Ответить
Iggy avatar
флаг in
Iggy
Все еще терпит неудачу. `20 декабря 11:50:37 localhost sshd [1419]: pam_sss (sshd: учетная запись): доступ запрещен для пользователя пользователя: 6 (отказано в доступе) 20 декабря 11:50:37 localhost sshd [1419]: неверный пароль для пользователя с порта 10.228.18.93 50592 ssh2 20 декабря 11:50:37 localhost sshd [1419]: фатальный: доступ запрещен для пользователя пользователем конфигурацией учетной записи PAM [preauth]`
0
Ответить
Рейтинг:0
nirnaeth avatar Server
флаг mo
nirnaeth

Существует ли оверлей memberOf в вашей конфигурации LDAP? Насколько я понимаю, этот оверлей должен быть явно настроен, прежде чем его можно будет использовать.

Вывод следующей команды должен содержать что-то вроде «memberof.la». Если нет, то вам, вероятно, следует настроить сервер LDAP в первую очередь.

slapcat -n 0 | grep olcModuleLoad

Это может быть полезно: https://tylersguides.com/guides/openldap-memberof-overlay/#configuration_tag https://stackoverflow.com/questions/60994495/memberof-and-refint-does-not-work-in-openldap

0 + 0
Iggy avatar
флаг in
Iggy
Спасибо! позже проверю, но скорее всего проблема именно в этом! На данный момент я просто сделал это через /etc/security и PAM, но мне любопытно попробовать сделать это таким образом.
0
Ответить
Рейтинг:0
avatar Server
флаг cn
natxo asenjo

согласно с https://www.mankier.com/5/sssd-ldap:

ldap_access_filter (строка)

Если используется access_provider = ldap и ldap_access_order = filter (по умолчанию), это
опция обязательна. Он определяет критерии фильтра поиска LDAP, которые должны быть выполнены.
чтобы пользователю был предоставлен доступ на этот хост.

Если access_provider = ldap, ldap_access_order = filter и этот параметр не установлен,
это приведет к тому, что всем пользователям будет отказано в доступе. Используйте access_provider = разрешить
изменить это поведение по умолчанию.

Таким образом, очевидно, добавление access_provider = Permit должно решить вашу проблему.

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.