PAM-LDAP - Laptörténet

Bajnokk(AT)niif.hu: + kategória

2007-08-06T16:35:31Z

+ kategória

Bajnokk(AT)niif.hu: /* PAM konfiguráció */

2007-06-14T15:06:34Z

‎PAM konfiguráció

Bajnokk(AT)niif.hu: /* PAM konfiguráció */

2007-06-14T15:01:18Z

‎PAM konfiguráció

Bajnokk(AT)niif.hu: /* NSS konfiguráció */

2007-06-14T14:59:17Z

‎NSS konfiguráció

Bajnokk(AT)niif.hu: /* PAM/NSS-LDAP konfiguráció */

2007-06-14T13:17:36Z

‎PAM/NSS-LDAP konfiguráció

Bajnokk(AT)niif.hu: /* Szükséges csomagok */

2007-06-14T12:55:40Z

‎Szükséges csomagok

Bajnokk(AT)niif.hu: /* SSL konfiguráció */

2007-06-13T08:47:45Z

‎SSL konfiguráció

Bajnokk(AT)niif.hu: még nincs kész

2007-06-12T16:19:25Z

még nincs kész

Új lap

Ez a leírás Debian 4.0 (Etch) operációs rendszerhez készült. A példa konfigurációs állományok bitről bitre másolása más rendszerekre nem biztos, hogy jó ötlet, de a koncepció azért kinyerhető. Néhány eltérést igyekeztem jelölni.

== Beállítások az LDAP szerveren ==
=== Schema ===
A legtöbb modern szerver támogatja a <code>posixAccount</code> objektumosztályt out-of-box. Ha még a shadow paramétereket is szeretnénk használni (jelszó lejárat, erősség stb), akkor a <code>shadowAccount</code> objektumosztályra is szükségünk lesz.

Az alábbi attribútumok mindenképpen ki kell, hogy legyenek töltve:
* <code>uid</code>
* <code>uidNumber</code>
* <code>gidNumber</code>
* <code>homeDirectory</code>
* <code>cn</code>
==== Megjegyzések ====
* Érdemes meggondolni, hogy milyen értékeket használunk <code>uidNumber</code>,<code>gidNumber</code>, <code>loginShell</code>, <code>homeDirectory</code> stb attribútumokban, ugyanis - ha több gépet akarunk LDAP beléptetésbe integrálni - némi gondot okozhat, hogy ezeknek bizony minden rendszerben meg kell egyezniük. Első (sziszifuszi) munka tehát a gépeket olyan állapotba hozni, hogy ezek az értékek mindenhol egyformák legyenek. (BSD-n természetesen <code>/usr/local/bin/bash</code> van.)
=== Jogosultságok, ACI ===
Általában nem szeretjük, ha a felhasználóink minden attribútumát mindenhonnan olvasni lehet, ezért aztán a PAM/NSS-LDAP számára létre kell hozni egy alkalmazás bejegyzést valami alkalmas helyen az LDAP fában. Például így:

dn: uid=papigw,ou=pam,ou=applications,o=niifi,o=niif,c=hu
objectClass: top
objectClass: account
objectClass: simplesecurityobject
uid: papigw
userPassword: *****

Ezek után a felhasználóinkat tartalmazó ágra létre kell hozni egy jó kis ACI-t, pl. így:
aci: (targetattr = "objectClass || uid || uidNumber || gidNumber || homeDirect
ory || loginShell || gecos || shadowExpire || shadowFlag || shadowInactive ||
shadowLastChange || shadowMax || shadowMin || shadowWarning") (version 3.0;a
cl "PAM/NSS user lookup";allow (read,search)(userdn = "ldap:///uid=*,ou=pam,o
u=applications,o=niifi,o=niif,c=hu");)

== Beállítások a Host gépen ==
=== Szükséges csomagok ===
=== SSL konfiguráció ===
=== PAM/NSS-LDAP konfiguráció ===
=== NSS konfiguráció ===
=== PAM konfiguráció ===

← Régebbi változat		A lap 2007. augusztus 6., 16:35-kori változata
77. sor:		77. sor:
	session required pam_mkhomedir.so skel=/etc/skel/ umask=0022		session required pam_mkhomedir.so skel=/etc/skel/ umask=0022
	session required pam_unix.so		session required pam_unix.so
		+
		+	[[Kategória: LDAP]]
		+	[[Kategória: HOWTO]]

← Régebbi változat		A lap 2007. június 14., 15:06-kori változata
71. sor:		71. sor:
	account sufficient pam_unix.so		account sufficient pam_unix.so
	account sufficient pam_ldap.so		account sufficient pam_ldap.so
		+
		+	password sufficient pam_ldap.so
		+	password sufficient pam_unix.so nullok obscure min=4 max=8 md5
		+
		+	session required pam_mkhomedir.so skel=/etc/skel/ umask=0022
		+	session required pam_unix.so

← Régebbi változat		A lap 2007. június 14., 15:01-kori változata
64. sor:		64. sor:

	=== PAM konfiguráció ===		=== PAM konfiguráció ===
		+	A /etc/pam.d alatti dolgokat kell módosítani. Ha bátrak vagyunk, dolgozhatunk a common-auth, common-account file-okon is, vagy (óvatosabban) az egyes szolgáltatásokhoz tartozó PAM beállításokon. Működő konfig:
		+	auth sufficient pam_unix.so nullok_secure
		+	auth sufficient pam_ldap.so use_first_pass debug
		+	auth required pam_deny.so
		+
		+	account sufficient pam_unix.so
		+	account sufficient pam_ldap.so

← Régebbi változat		A lap 2007. június 14., 14:59-kori változata
58. sor:		58. sor:

	=== NSS konfiguráció ===		=== NSS konfiguráció ===
		+	/etc/nsswitch.conf:
		+	passwd: files ldap
		+	group: files ldap
		+	shadow: files ldap
		+
	=== PAM konfiguráció ===		=== PAM konfiguráció ===

@@ 42. sor: / 42. sor: @@
 === PAM/NSS-LDAP konfiguráció ===
 === NSS konfiguráció ===
 === PAM konfiguráció ===

@@ 32. sor: / 32. sor: @@
 == Beállítások a Host gépen ==
 === Szükséges csomagok ===
 === SSL konfiguráció ===
 [[LDAP kliens SSL | LDAP kliens konfigurálása SSL használatához]]