Локальная аутентификация на лин.машине пользователей вин.сервера

[CAEman]

Уважаемые эксперты!

Обращаюсь к вам за помощью.

Поставлена следующая задача.
При аутентификации на локальной лин.машине в случае необнаружения локального пользователя, идентичного введённому, произвести поиск такового на вин.сервере и в случае удачи создать соответствующую локальную постоянную учётную запись и произвести первую загрузку пользователя (с созданием домашней директории с профилем по умолчанию и далее всё как положено...).

Имеем следующее.
Настроенный керберос, выдающий билеты (и mount.cifs, монтирующий ресурсы сервера по ntlm).

Проблемы следующие.
Даже при ЗАКОММЕНТИРОВАННЫХ "include"ах в файле login:
"
#%PAM-1.0
auth requisite pam_nologin.so
password requisite pam_pwcheck.so nullok
auth [user_unknown=ignore success=ok ignore=ignore auth_err=die default=bad] pam_securetty.so
password [default=ignore success=1] pam_succeed_if.so uid > 999 quiet
auth required pam_env.so
auth sufficient pam_unix2.so
password sufficient pam_unix2.so nullok
account sufficient pam_unix2.so
session optional pam_unix2.so
#auth include common-auth
#password include common-password
#account include common-account
#session include common-session
session required pam_loginuid.so
session required pam_lastlog.so nowtmp never
session required pam_limits.so
session optional pam_umask.so
session optional pam_mail.so standard
session optional pam_ck_connector.so
auth optional pam_warn.so
password optional pam_warn.so
"
при изменении стандартного содержания файлов на следующее:
common-account-pc -
"
...
#
account sufficient /lib64/security/pam_krb5.so
"
common-auth-pc -
"
...
#
auth sufficient /lib64/security/pam_krb5.so
"
common-password-pc -
"
...
#
password sufficient /lib64/security/pam_krb5.so
#password required pam_make.so /var/yp
"
common-session-pc -
"
...
#
session optional /lib64/security/pam_krb5.so
"
при попытке регистрации даже root'а выдаётся окно со следующим сообщением:
"Произошла критическая ошибка. Просмотрите журналы работы KDM или обратитесь к системному администратору"
без, естественно, последующего осуществления входа в систему.

Вопрос.
Что и как нужно исправить, чтобы обеспечить решение поставленной задачи?
Или существуют другие пути решения данной задачи (главное, чтобы на вин.сервере не нужно было бы вносить никаких изменений, т.е. обойтись без знания пароля серверного админ-а, а значит, например, winbind не пойдёт)?

P.S. Конечно, я не профессиональный админ., но боюсь, что в "Администрирование для начинающих" на этот вопрос никто не ответит.

[danger08]

Или существуют другие пути решения данной задачи (главное, чтобы на вин.сервере не нужно было бы вносить никаких изменений, т.е. обойтись без знания пароля серверного админ-а, а значит, например, winbind не пойдёт)?

Зря не хотите winbind использовать
Простое и рабочее решение (правда, я в связке с win2000 делал, насчет более поздних не в курсе).
Ну и linux<->linux (samba + winbind + pam_winbind) работает, конечно.

[CAEman]

Без прав админ-а сервера?!
А секретом настройки не поделитесь?

[Ленивая Бестолочь]

i	Уведомление от модератора
	с кроспостингом думаю всем всё уже ясно? правилами у нас он запрещен, по этому обсуждения этичности погоды не сделают. сами обсуждения можно проводить в "разговорах".

по сути:
я вообще правильно понял, что вы привели выдежки из настроек pam?
в таком случае как минимум не вижу у вас создания домашней директории.
что-то типа:

Код: Выделить всё

session    required     pam_mkhomedir.so skel=/etc/skel umask=022

в common-session

Настроенный керберос, выдающий билеты (и mount.cifs, монтирующий ресурсы сервера по ntlm).

ага. /etc/nsswitch.conf покажите.
getent passwd
getent group
чего говорят?

Без прав админ-а сервера?!
А секретом настройки не поделитесь?

а зачем вам права админа винды при этом?
всё, что нужно - это ввести компьютер в домен, не более.
а разрешено ли не-админам у вас вводить компы в домен - это как знать.

[CAEman]

Если содержание файлов из /etc/pam.d/ по правильной терминологии называется настройкой pam, то тогда - да, я привёл именно эти выдержки.
Создание домашней директории, насколько я понимаю, идёт после создания пользователя (или его аккаунта - заранее прошу прощения за неточную терминологию, ведь я не админ...). И, по крайней мере, в случае невозможности создания (записи в) домашнего каталога, эта ошибка обнаруживает себя, насколько я помню, после закрытия окна входа в систему. В данном же случае окно всплывало прямо на фоне окна входа в систему. pam_mkhomedir я, конечно, припишу - это не проблема. Проблема же, на мой взгляд, заключается в том, какой модуль вписать или скрипт написать, чтобы он создавал локального пользователя после удачной аутентификации по kerberos (или с помощью другого модуля, который можно использовать в данном случае, как, например, если я не ошибаюсь, sasl для postfix, так как пригодность керберос для этого что-то вызывает у меня сомнение, впрочем, если я ошибаюсь - поправьте меня, пожалуйста).

В nsswitch у меня всё стандартно + winbind остался от предыдущих попыток, который, если я не ошибаюсь, в случае применения керберос может разве только замедлять процесс получения информации. Если же я ошибаюсь, то поправьте меня. На нравоучительный тон я не обижусь, так как не отношусь к админ-ам, с которыми Вы привыкли здесь общаться.
По крайней мере, после удачного kinit имеем следующее:

:~ # getent passwd

Код: Выделить всё

ais:x:39:100:openais Standards Based Cluster Framework:/:/bin/false
at:x:25:25:Batch jobs daemon:/var/spool/atjobs:/bin/bash
avahi:x:102:104:User for Avahi:/var/run/avahi-daemon:/bin/false
beagleindex:x:108:111:User for Beagle indexing:/var/cache/beagle:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
daemon:x:2:2:Daemon:/sbin:/bin/bash
dnsmasq:x:106:65534:dnsmasq:/var/lib/empty:/bin/false
ftp:x:40:49:FTP account:/srv/ftp:/bin/bash
games:x:12:100:Games account:/var/games:/bin/bash
gnats:x:34:65534:GNATS GNU Backtracking System:/usr/lib/gnats:/bin/bash
haldaemon:x:104:106:User for haldaemon:/var/run/hald:/bin/false
icecream:x:110:114:Icecream Daemon:/var/cache/icecream:/bin/false
lp:x:4:7:Printing daemon:/var/spool/lpd:/bin/bash
mail:x:8:12:Mailer daemon:/var/spool/clientmqueue:/bin/false
man:x:13:62:Manual pages viewer:/var/cache/man:/bin/bash
messagebus:x:101:103:User for D-Bus:/var/run/dbus:/bin/false
nagios:x:109:112:User for Nagios:/var/tmp:/bin/false
news:x:9:13:News system:/etc/news:/bin/bash
nobody:x:65534:65533:nobody:/var/lib/nobody:/bin/bash
ntp:x:74:101:NTP daemon:/var/lib/ntp:/bin/false
oprofile:x:111:115:Special user account to be used by OProfile:/var/lib/empty:/bin/false
polkituser:x:103:105:PolicyKit:/var/run/PolicyKit:/bin/false
postfix:x:51:51:Postfix Daemon:/var/spool/postfix:/bin/false
pulse:x:107:108:PulseAudio daemon:/var/lib/pulseaudio:/sbin/nologin
root:x:0:0:root:/root:/bin/bash
sshd:x:71:65:SSH daemon:/var/lib/sshd:/bin/false
suse-ncc:x:105:107:Novell Customer Center User:/var/lib/YaST2/suse-ncc-fakehome:/bin/bash
tss:x:98:98:TSS daemon:/var/lib/tpm:/bin/false
uucp:x:10:14:Unix-to-Unix CoPy system:/etc/uucp:/bin/bash
uuidd:x:100:102:User for uuidd:/var/run/uuidd:/bin/false
wwwrun:x:30:8:WWW daemon apache:/var/lib/wwwrun:/bin/false
dhcpd:x:112:65534:DHCP server daemon:/var/lib/dhcp:/bin/false
wnn:x:66:1:Wnn System Account:/var/lib/wnn:/bin/false
named:x:44:44:Name server daemon:/var/lib/named:/bin/false
cyrus:x:96:12:User for cyrus-imapd:/usr/lib/cyrus:/bin/bash
squid:x:31:65534:WWW-proxy squid:/var/cache/squid:/bin/false
ldap:x:76:70:User for OpenLDAP:/var/lib/ldap:/bin/bash
ftpsecure:x:113:65534:Secure FTP User:/var/lib/empty:/bin/false
privoxy:x:114:116:Daemon user for privoxy:/var/lib/privoxy:/bin/false
quagga:x:115:117:Quagga routing daemon:/var/run/quagga:/usr/bin/false
festival:x:116:118:Festival daemon:/usr/share/festival/:/bin/false
dovecot:x:117:119:User for Dovecot imapd:/var/run/dovecot:/bin/false
vdr:x:118:33:Video Disk Recorder:/var/spool/video:/bin/false
vscan:x:65:120:Vscan account:/var/spool/amavis:/bin/false
mysql:x:60:121:MySQL database admin:/var/lib/mysql:/bin/false
mailman:x:72:67:GNU mailing list manager:/var/lib/mailman:/bin/bash
postgres:x:26:26:PostgreSQL Server:/var/lib/pgsql:/bin/bash
fetchmail:x:119:2:mail retrieval daemon:/var/lib/fetchmail:/bin/false
fax:x:33:14:Facsimile agent:/var/spool/fax:/bin/bash
gdm:x:120:124:Gnome Display Manager daemon:/var/lib/gdm:/bin/false
tomcat:x:121:125:Apache Tomcat:/usr/share/tomcat6:/bin/sh

:~ # getent group

Код: Выделить всё

root:x:0:
bin:x:1:daemon
daemon:x:2:
sys:x:3:
tty:x:5:
disk:x:6:
lp:x:7:
www:x:8:
kmem:x:9:
wheel:x:10:
mail:x:12:
news:x:13:
uucp:x:14:
shadow:x:15:
dialout:x:16:tss
audio:x:17:pulse
floppy:x:19:
cdrom:x:20:
console:x:21:
utmp:x:22:
public:x:32:
video:x:33:tss
games:x:40:
xok:x:41:
trusted:x:42:
modem:x:43:
ftp:x:49:
man:x:62:
users:x:100:
nobody:x:65533:
nogroup:x:65534:nobody
postfix:!:51:
maildrop:!:59:
ntp:!:101:
uuidd:!:102:
messagebus:!:103:
avahi:!:104:
polkituser:!:105:
ntadmin:!:71:
haldaemon:!:106:
sshd:!:65:
suse-ncc:!:107:
at:!:25:
pulse:!:108:
pulse-rt:!:109:
pulse-access:!:110:
beagleindex:!:111:
nagios:!:112:
tss:!:98:
realtime:!:1000:
nagcmd:!:113:wwwrun
icecream:!:114:
oprofile:!:115:
named:!:44:
ldap:!:70:
privoxy:!:116:
quagga:!:117:
festival:!:118:
dovecot:!:119:
vscan:!:120:
mysql:!:121:
mailman:!:67:
vboxusers:!:122:
kvm:!:123:
postgres:!:26:
gdm:!:124:
tomcat:!:125:

Знаю, что не разрешено вводить в домен. Когда, решив, что навряд ли простой пользователь может внести какие-либо значимые изменения на сервере (пусть даже вин.сервере), на запрос winbind'a имени и пароля админ-а сервера, я наконец-то ввёл имя и пароль простого пользователя, то получил ответ, смыл которого заключается в недостаточности прав...

[Ленивая Бестолочь]

CAEman, насколько я понимаю, вам нужно свой pam привести примерно к такому виду:

Код: Выделить всё

auth  required    pam_env.so
auth  sufficient  pam_unix.so likeauth nullok
auth  sufficient  pam_krb5.so use_first_pass
auth  required    pam_deny.so

account   required      pam_unix.so
account [success=1 default=ignore] pam_krb5.so

password  sufficient  pam_unix.so nullok use_authtok md5 shadow
password  sufficient  pam_krb5.so use_authtok
password  required    pam_deny.so

session   required    pam_limits.so
session   required    pam_unix.so
session   optional    pam_krb5.so

я не уверен, что это заработает вот так сразу. тем более для меня пока не понятно, что делать с nsswitch-ем в такой ситуацие.

[CAEman]

Я тоже сильно сомневался, но всё равно попробовал предложенный Вами вариант.
Результат - "Ошибка входа в систему".

Я, конечно, могу ошибаться, но, кажется, pam_krb5 (как и pam_smb, и pam_ldap) требует наличия локального линукс пользователя, идентичного сетевому.
В связи с этим у меня возник вопрос: "Можно ли как-нибудь ограничиться локальным pam'ом, но написать сценарий аутентификации в /etc/pam.d/login (наподобие того, как это описано в статье http://www.citforum.ru/operating_systems/articles/pam.shtml), использующий kinit, useradd, passwd?"

[Ленивая Бестолочь]

требует наличия локального линукс пользователя, идентичного сетевому.

нуу, всё, что вам нужно, это список логинов из домена, так?
после этого вы можете завести их всех в /etc/passwd.
выдерните их из домена ldapsearch-ем, если там AD. вроде бы для этого админские права не нужны.

[CAEman]

Во-первых, их там тыща (а, насколько я понял, Вы мне предложили не автоматизированное использование ldapsearch'a при аутентификации, а разовое ручное)...
Во-вторых, их список постоянно пополняется (а см. выше).
В-третьих (меня лично использование кода раздражает, особенно, если содержание не помещается ни по вертикали, ни по горизонтали, но раз уж Вы так настаиваете...):

Код: Выделить всё

ldapsearch -x -H ldap://server.domain "(objectClass=posixAccount)" sAMAccountName
# extended LDIF
#
# LDAPv3
# base <dc=domain> (default) with scope subtree
# filter: (objectClass=posixAccount)
# requesting: sAMAccountName
#

# search result
search: 2
result: 1 Operations error
text: 00000000: LdapErr: DSID-0C090627, comment: In order to perform this ope
ration a successful bind must be completed on the connection., data 0, vece

# numResponses: 1

А что насчёт моего предположения о сценарии аутентификации с написанием аналогичного приведённому в статье простейшего модуля? Вы, пожалуйста, не замалчивайте. Если я несу ахинею, то Вы так и пишите. Я же уже неоднократно повторял, что не обижусь...

[Ленивая Бестолочь]

ну я бы не сказал, что прямо ахинею, но что-то ахинейное тут есть ;-)

когда нужно организоваться авторизацию пользователей на unix системе с помощью виндового домена чаще всего пользуются winbind, как вариант можно использоваться libnss-ldap/libpam-ldap и керберос.
вы явно хотите странного, т.к. не хотите использовать эти варианты. не хотитете использоваться по тому, что у вас нет доступа к виндовому домену. то есть ваш вопрос звучит, утрируая, как: "как мне администрировать сеть, не будучи администратором".

теперь по поводу.

Во-первых, их там тыща (а, насколько я понял, Вы мне предложили не автоматизированное использование ldapsearch'a при аутентификации, а разовое ручное)...
Во-вторых, их список постоянно пополняется (а см. выше).
В-третьих (меня лично использование кода раздражает, особенно, если содержание не помещается ни по вертикали, ни по горизонтали, но раз уж Вы так настаиваете...):

ну а вам не кажется, что подгружать раз в 10 минут список скриптом - это вполне сравнимо по кривизне с тем, что вы хотите?
насчет того, что ldapsearch ничего не нашел.
ну неужели не найдется одной самой захудалой учетки в AD, чтобы под ней поискать?

А что насчёт моего предположения о сценарии аутентификации? Вы, пожалуйста, не замалчивайте. Если я несу ахинею, то Вы так и пишите. Я же уже неоднократно повторял, что не обижусь...

я не замалчиваю, я просто не уверен.
посмотрите на вот такую штуку: http://sourceforge.net/projects/pam-script/
может быть оно поможет вам заводить юзеров в нужный момент. сам я этим не пользовался.

[CAEman]

Я не администрирую сеть. Я просто хочу, чтобы пользователи сети могли входить на ЛОКАЛЬНОМ комп-е с Линуксом.
Насчёт libnss-ldap. На вин.машине, входящей в домен, пользователей которого нужно авторизовать на лин.машине, nltest /dsgetdc:domain выдаёт:

Код: Выделить всё

           DC: \\server.domain
      Address: \\xxx.xxx.x.xxx
     Dom Guid: c6d56383-2f9d-4236-9644-628653063863
     Dom Name: domain
  Forest Name: domain
 Dc Site Name: Default-First-Site-Name
Our Site Name: Default-First-Site-Name
        Flags: PDC GC DS LDAP KDC TIMESERV GTIMESERV WRITABLE DNS_DC DNS_DOMAIN DNS_FOREST CLOSE_SITE
The command completed successfully

После же настройки ldap.conf следующим образом:

Код: Выделить всё

#
# This is the configuration file for the LDAP nameservice
# switch library and the LDAP PAM module.
#

# Your LDAP server. Must be resolvable without using LDAP.
# Multiple hosts may be specified, each separated by a
# space. How long nss_ldap takes to failover depends on
# whether your LDAP client library supports configurable
# network or connect timeouts (see bind_timelimit).
host    xxx.xxx.x.xxx server.domain

# The distinguished name of the search base.
base    dc=domain

# Another way to specify your LDAP server is to provide an
# uri with the server name. This allows to use
# Unix Domain Sockets to connect to a local LDAP Server.
#uri ldap://127.0.0.1/
#uri ldaps://127.0.0.1/
#uri ldapi://%2fvar%2frun%2fldapi_sock/
# Note: %2f encodes the '/' used as directory separator

# The LDAP version to use (defaults to 3
# if supported by client library)
ldap_version    3

# The distinguished name to bind to the server with.
# Optional: default is to bind anonymously.
#binddn cn=proxyuser,dc=example,dc=com

# The credentials to bind with.
# Optional: default is no credential.
#bindpw secret

# The distinguished name to bind to the server with
# if the effective user ID is root. Password is
# stored in /etc/ldap.secret (mode 600)
#rootbinddn cn=manager,dc=example,dc=com

# The port.
# Optional: default is 389.
#port 389

# The search scope.
#scope sub
#scope one
#scope base

# Search timelimit
#timelimit 30

# Bind/connect timelimit
#bind_timelimit 30

# Reconnect policy:
#  hard_open: reconnect to DSA with exponential backoff if
#             opening connection failed
#  hard_init: reconnect to DSA with exponential backoff if
#             initializing connection failed
#  hard:      alias for hard_open
#  soft:      return immediately on server failure
bind_policy    soft

# Connection policy:
#  persist:   DSA connections are kept open (default)
#  oneshot:   DSA connections destroyed after request
#nss_connect_policy persist

# Idle timelimit; client will close connections
# (nss_ldap only) if the server has not been contacted
# for the number of seconds specified below.
#idle_timelimit 3600

# Use paged rseults
#nss_paged_results yes

# Pagesize: when paged results enable, used to set the
# pagesize to a custom value
#pagesize 1000

# Filter to AND with uid=%s
#pam_filter objectclass=account

# The user ID attribute (defaults to uid)
#pam_login_attribute uid

# Search the root DSE for the password policy (works
# with Netscape Directory Server). Make use of
# Password Policy LDAP Control (as in OpenLDAP)
#pam_lookup_policy    yes

# Check the 'host' attribute for access control
# Default is no; if set to yes, and user has no
# value for the host attribute, and pam_ldap is
# configured for account management (authorization)
# then the user will not be allowed to login.
#pam_check_host_attr yes

# Check the 'authorizedService' attribute for access
# control
# Default is no; if set to yes, and the user has no
# value for the authorizedService attribute, and
# pam_ldap is configured for account management
# (authorization) then the user will not be allowed
# to login.
#pam_check_service_attr yes

# Group to enforce membership of
#pam_groupdn cn=PAM,ou=Groups,dc=example,dc=com

# Group member attribute
#pam_member_attribute uniquemember

# Specify a minium or maximum UID number allowed
#pam_min_uid 0
#pam_max_uid 0

# Template login attribute, default template user
# (can be overriden by value of former attribute
# in user's entry)
#pam_login_attribute userPrincipalName
#pam_template_login_attribute uid
#pam_template_login nobody

# HEADS UP: the pam_crypt, pam_nds_passwd,
# and pam_ad_passwd options are no
# longer supported.
#
# Do not hash the password at all; presume
# the directory server will do it, if
# necessary. This is the default.
#pam_password clear

# Hash password locally; required for University of
# Michigan LDAP server, and works with Netscape
# Directory Server if you're using the UNIX-Crypt
# hash mechanism and not using the NT Synchronization
# service.
#pam_password crypt

# Remove old password first, then update in
# cleartext. Necessary for use with Novell
# Directory Services (NDS)
#pam_password nds

# RACF is an alias for the above. For use with
# IBM RACF
#pam_password racf

# Update Active Directory password, by
# creating Unicode password and updating
# unicodePwd attribute.
#pam_password ad

# Use the OpenLDAP password change
# extended operation to update the password.
pam_password    crypt

# Redirect users to a URL or somesuch on password
# changes.
#pam_password_prohibit_message Please visit http://internal to change your password.

# Use backlinks for answering initgroups()
#nss_initgroups backlink

# returns NOTFOUND if nss_ldap's initgroups() is called
# for users specified in nss_initgroups_ignoreusers
# (comma separated)
#nss_initgroups_ignoreusers    root,ldap

# Enable support for RFC2307bis (distinguished names in group
# members)
#nss_schema    rfc2307bis

# RFC2307bis naming contexts
# Syntax:
# nss_base_XXX        base?scope?filter
# where scope is {base,one,sub}
# and filter is a filter to be &'d with the
# default filter.
# You can omit the suffix eg:
# nss_base_passwd    ou=People,
# to append the default base DN but this
# may incur a small performance impact.
#nss_base_passwd    ou=People,dc=example,dc=com?one
#nss_base_shadow    ou=People,dc=example,dc=com?one
#nss_base_group        ou=Group,dc=example,dc=com?one
#nss_base_hosts        ou=Hosts,dc=example,dc=com?one
#nss_base_services    ou=Services,dc=example,dc=com?one
#nss_base_networks    ou=Networks,dc=example,dc=com?one
#nss_base_protocols    ou=Protocols,dc=example,dc=com?one
#nss_base_rpc        ou=Rpc,dc=example,dc=com?one
#nss_base_ethers    ou=Ethers,dc=example,dc=com?one
#nss_base_netmasks    ou=Networks,dc=example,dc=com?ne
#nss_base_bootparams    ou=Ethers,dc=example,dc=com?one
#nss_base_aliases    ou=Aliases,dc=example,dc=com?one
#nss_base_netgroup    ou=Netgroup,dc=example,dc=com?one

# attribute/objectclass mapping
# Syntax:
#nss_map_attribute    rfc2307attribute    mapped_attribute
#nss_map_objectclass    rfc2307objectclass    mapped_objectclass

# configure --enable-nds is no longer supported.
# NDS mappings
#nss_map_attribute    uniqueMember member
nss_map_attribute    userPassword sambaPassword
nss_map_attribute    gecos name
nss_map_attribute    uid unixName
nss_map_attribute    shadowLastChange pwdLastSet

# Services for UNIX 3.5 mappings
#nss_map_objectclass posixAccount User
#nss_map_objectclass shadowAccount User
#nss_map_attribute uid msSFU30Name
#nss_map_attribute uniqueMember msSFU30PosixMember
#nss_map_attribute userPassword msSFU30Password
#nss_map_attribute homeDirectory msSFU30HomeDirectory
#nss_map_attribute homeDirectory msSFUHomeDirectory
#nss_map_objectclass posixGroup Group
#pam_login_attribute msSFU30Name
#pam_filter objectclass=User
#pam_password ad
nss_map_objectclass    posixGroup group
pam_filter    objectclass=User

# configure --enable-mssfu-schema is no longer supported.
# Services for UNIX 2.0 mappings
#nss_map_objectclass posixAccount User
#nss_map_objectclass shadowAccount user
#nss_map_attribute uid msSFUName
#nss_map_attribute uniqueMember posixMember
#nss_map_attribute userPassword msSFUPassword
#nss_map_attribute homeDirectory msSFUHomeDirectory
#nss_map_attribute shadowLastChange pwdLastSet
#nss_map_objectclass posixGroup Group
#nss_map_attribute cn msSFUName
#pam_login_attribute msSFUName
#pam_filter objectclass=User
#pam_password ad

# RFC 2307 (AD) mappings
#nss_map_objectclass posixAccount user
#nss_map_objectclass shadowAccount user
#nss_map_attribute uid sAMAccountName
#nss_map_attribute homeDirectory unixHomeDirectory
#nss_map_attribute shadowLastChange pwdLastSet
#nss_map_objectclass posixGroup group
#nss_map_attribute uniqueMember member
#pam_login_attribute sAMAccountName
#pam_filter objectclass=User
#pam_password ad

# configure --enable-authpassword is no longer supported
# AuthPassword mappings
#nss_map_attribute userPassword authPassword

# AIX SecureWay mappings
#nss_map_objectclass posixAccount aixAccount
#nss_base_passwd ou=aixaccount,?one
#nss_map_attribute uid userName
#nss_map_attribute gidNumber gid
#nss_map_attribute uidNumber uid
#nss_map_attribute userPassword passwordChar
#nss_map_objectclass posixGroup aixAccessGroup
#nss_base_group ou=aixgroup,?one
#nss_map_attribute cn groupName
#nss_map_attribute uniqueMember member
#pam_login_attribute userName
#pam_filter objectclass=aixAccount
#pam_password clear

# For pre-RFC2307bis automount schema
#nss_map_objectclass automountMap nisMap
#nss_map_attribute automountMapName nisMapName
#nss_map_objectclass automount nisObject
#nss_map_attribute automountKey cn
#nss_map_attribute automountInformation nisMapEntry

# Netscape SDK LDAPS
#ssl on

# Netscape SDK SSL options
#sslpath /etc/ssl/certs

# OpenLDAP SSL mechanism
# start_tls mechanism uses the normal LDAP port, LDAPS typically 636
#ssl    no
#ldap_version    3
#pam_filter    objectClass=posixAccount
#ssl on

# OpenLDAP SSL options
# Require and verify server certificate (yes/no)
# Default is to use libldap's default behavior, which can be configured in
# /etc/openldap/ldap.conf using the TLS_REQCERT setting.  The default for
# OpenLDAP 2.0 and earlier is "no", for 2.1 and later is "yes".
#tls_checkpeer yes

# CA certificates for server certificate verification
# At least one of these are required if tls_checkpeer is "yes"
#tls_cacertfile /etc/ssl/ca.cert
#tls_cacertdir /etc/ssl/certs

# Seed the PRNG if /dev/urandom is not provided
#tls_randfile /var/run/egd-pool

# SSL cipher suite
# See man ciphers for syntax
#tls_ciphers TLSv1

# Client certificate and key
# Use these, if your server requires client authentication.
#tls_cert
#tls_key

# Disable SASL security layers. This is needed for AD.
sasl_secprops    maxssf=0
#ssl    no
#tls_checkpeer    no

# Override the default Kerberos ticket cache location.
#krb5_ccname FILE:/etc/.ldapcache

на стандартный вывод стала выдаваться следующая информация: "nscd: nss_ldap: could not search LDAP server - Server is unavailable", а когда закомментировал строку "bind_policy soft", то ОС вообще перестала загружаться.

ну а вам не кажется, что подгружать раз в 10 минут список скриптом - это вполне сравнимо по кривизне с тем, что вы хотите?

Да я ни о чём таком и не думал... Я подумывал о простейшем модуле, аналогичном приведённому в упомянутой мной статье, но использующем kinit, useradd, passwd. И спрашивал, может ли это сработать, или это невозможно в принципе?

Спасибо за приведённую Вами ссылку. Я, конечно, скачаю эту программу, но вот её описание: "when using pam_script with pam "auth", in any script that pam-script runs, where the username doesn't exist on the machine, the PAM_AUTHTOK env variable is set to: "\x08\n\r\x7fINCORRECT" instead of the password the user typed (even though their username doesn't exist in /etc/passwd) if the username does exist, then pam_script returns the correct password," - я понял, как взлом имеющегося пользователя, если неизвестен его пароль, или замена введённого пароля несуществующего пользователя на какой-то системный, что-ли? Если я чего не так понял, то объясните, пожалуйста, что здесь имеется в виду.

[CAEman]

Вернее, что модуль при аутентификации проверяет наличие пользователя в системе, и если пользователя нет, то соответствующему скрипту вместо пароля передаёт указанную строку (системную).
Но я так и не понял, как он может помочь. Или Вы учитывали возможность переделки его исходников?
И что с ldap.conf не так?
Уточните, пожалуйста...

[CAEman]

Ни у кого вообще нет никаких предположений насчёт возможных причин сбоя ldapsearch?
Может, проблема с серверной настройкой LDAP?

[CAEman]

С Новым годом!

Неужели никто из "неначинающих администраторов" здесь не предполагает даже, какая может быть запись dn при вызове ldapsearch с ключем -D вместо стандартной uid=user-login,ou=Users,dc=domain, или, хотя бы, при помощи какой программы можно было бы это узнать (с учётом существующих вин.машин с работающим ЛДАПом, подрубленных к этому серверу)?