オープンな LDAP サーバーがあります:
IP: 192.168.0.70 (デル)
日付:
(ldapphpadmin を通じて確認)
パトリシア・デュシェンヌの場合:
dn cn=patricia duchesne,ou=users,dc=memorandum,dc=pro
cn patricia duchesne
gidnumber 501
givenname patricia
homedirectory /home/users/pduchesne
loginshell /bin/bash
objectclass inetOrgPerson | posixAccount | top
sn duchesne
uid pduchesne
uidnumber 1000
userpassword {MD5}eFI0F0...
次に、LDAP クライアントを使用します。
IP: 192.168.0.60 (pb)
NSSWitch は次のように構成されています:
$cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap
gshadow: files
hosts: files mdns4_minimal [NOTFOUND=return] dns
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: nis
ldap-authも同様です:
$ cat /etc/auth-client-config/profile.d/ldap-auth-config
[lac_ldap]
nss_passwd=passwd: files ldap
nss_group=group: files ldap
nss_shadow=shadow: files ldap
nss_netgroup=netgroup: nis
そしてlibnss:
$ cat /etc/libnss-ldap.conf
uri ldap://192.168.0.70
base dc=memorandum,dc=pro
LDAP ユーザー情報にアクセスできます:
$ getent passwd | tail -n 1
pduchesne:*:1000:501:patricia duchesne:/home/users/pduchesne:/bin/bash
しかし、接続できません:
IPアドレス: 192.168.0.80
$ ssh [email protected]
[email protected]'s password:
Permission denied, please try again.
[email protected]'s password:
Permission denied, please try again.
[email protected]'s password:
Permission denied (publickey,password).
何が足りないのでしょうか?
何百ものウェブページを調べましたが、すべてを設定する方法が見つかりませんでした :( https://help.ubuntu.com/community/LDAPクライアント認証 https://askubuntu.com/questions/127389/ldap クライアントとして ubuntu を構成する方法 https://www.digitalocean.com/community/tutorials/how-to-authenticate-client-computers-using-ldap-on-an-ubuntu-12-04-vps
このページを見つける:https://www.vincentliefooghe.net/content/openldap-gestion-des-logs LDAP ログがどこにあるか分からないことに気付きました :-(
編集
続く ：https://help.ubuntu.com/community/LDAPクライアント認証
192.168.0.60 の PAM 構成:
$ cat /usr/share/pam-configs/my_mkhomedir
Name: activate mkhomedir
Default: yes
Priority: 900
Session-Type: Additional
Session:
required pam_mkhomedir.so umask=0022 skel=/etc/skel
アップデート ：
$ sudo pam-auth-update
[sudo] password for romain:
LDAP Password:
ファイル
$ cat /etc/security/group.conf
完全にコメントされています
nscd を使用しませんでした:
$ /etc/init.d/nscd stop
[....] Stopping nscd (via systemctl): nscd.service==== AUTHENTICATING FOR org.freedesktop.systemd1.manage-units ===
Authentication is required to stop 'nscd.service'.
Authenticating as: romain,,, (romain)
Password:
LDAP Password:
==== AUTHENTICATION COMPLETE ===
. ok
[LDAP ホストアクセス認証] の段落を使用しませんでした。使用するべきでしょうか?
編集2
詳細な ssh :
romain@Mac:~$ ssh -v pduchesne@pb
OpenSSH_6.9p1, LibreSSL 2.1.8
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 20: Applying options for *
debug1: /etc/ssh/ssh_config line 102: Applying options for *
debug1: Connecting to pb [192.168.0.60] port 22.
debug1: Connection established.
debug1: identity file /Users/romain/.ssh/id_rsa type 1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_rsa-cert type -1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_dsa type -1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_dsa-cert type -1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_ecdsa type -1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_ecdsa-cert type -1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_ed25519 type -1
debug1: key_load_public: No such file or directory
debug1: identity file /Users/romain/.ssh/id_ed25519-cert type -1
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_6.9
debug1: Remote protocol version 2.0, remote software version OpenSSH_7.2p2 Ubuntu-4ubuntu2.1
debug1: match: OpenSSH_7.2p2 Ubuntu-4ubuntu2.1 pat OpenSSH* compat 0x04000000
debug1: Authenticating to pb:22 as 'pduchesne'
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client [email protected] <implicit> none
debug1: kex: client->server [email protected] <implicit> none
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
debug1: Server host key: ecdsa-sha2-nistp256 SHA256:OIiYKNK9FOdhlu2sVahXFoXYCjxmxTQ7NrZtA75Vwps
debug1: Host 'pb' is known and matches the ECDSA host key.
debug1: Found key in /Users/romain/.ssh/known_hosts:18
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey,password
debug1: Next authentication method: publickey
debug1: Offering RSA public key: /Users/romain/.ssh/id_rsa
debug1: Authentications that can continue: publickey,password
debug1: Trying private key: /Users/romain/.ssh/id_dsa
debug1: Trying private key: /Users/romain/.ssh/id_ecdsa
debug1: Trying private key: /Users/romain/.ssh/id_ed25519
debug1: Next authentication method: password
pduchesne@pb's password:
debug1: Authentications that can continue: publickey,password
Permission denied, please try again.
pduchesne@pb's password:
debug1: Authentications that can continue: publickey,password
Permission denied, please try again.
pduchesne@pb's password:
debug1: Authentications that can continue: publickey,password
debug1: No more authentication methods to try.
Permission denied (publickey,password).
編集3
LDAP サーバーにユーザーのパスワードハッシュを追加します (最初にユーザーのダンプを参照してください)
編集4
@grawity の提案に従って、libpam-ldapd をインストールしました。
romain@pb$ sudo apt-get install libpam-ldapd
[sudo] password for romain:
LDAP Password:
The following packages were automatically installed and are no longer required:
auth-client-config ldap-auth-config
Use 'sudo apt autoremove' to remove them.
The following packages will be REMOVED:
libpam-ldap
The following NEW packages will be installed:
libpam-ldapd
Do you want to continue? [Y/n] Y
(...)
Setting up libpam-ldapd:amd64 (0.9.6-3) ...
次に、/etc/nslcd.confldap version3 を使用するように正確に指定していなかったことに気付きました (デフォルトのバージョンがどれかわかりません)。
romain@pb$ sudo cat /etc/nslcd.conf | grep "^[^#]"
uid nslcd
gid nslcd
uri ldap://192.168.0.70
base dc=memorandum,dc=pro
ldap_version 3
tls_cacertfile /etc/ssl/certs/ca-certificates.crt
nslcdを再起動しました:
romain@pb$ sudo service nslcd restart
Macから接続しようとしました:
romain@Mac:~$ ssh pduchesne@pb
それはうまくいきました...ある程度:
romain@Mac:~$ ssh pduchesne@pb
pduchesne@pb's password:
Welcome to Ubuntu 16.04.1 LTS (GNU/Linux 4.4.0-53-generic x86_64)
* Documentation: https://help.ubuntu.com
* Management: https://landscape.canonical.com
* Support: https://ubuntu.com/advantage
197 packages can be updated.
4 updates are security updates.
*** System restart required ***
Last login: Fri Jan 13 11:12:23 2017 from 192.168.0.80
romain@pb:~$ pwd
/home/users/pduchesne
romain@pb:~$ whoami
romain
新しい質問 (編集 4 用)
なぜユーザーを変更しないのですか? 'pb' に 'pduchesne' としてログインするつもりでした :-/
古い質問（編集 4 以前）
どのファイルを確認すればよいかわかりません。アドバイスをいただければ幸いです。
答え1
表示されている構成には、実際には認証に使用できるものは何もありません。つまり、入力されたパスワードを確認する方法はありません。
nsswitch 1の設定には がありますshadow: ldapが、ユーザーオブジェクトのダンプには実際には「シャドウ」属性は記載されていません。は取得できる情報はありませんgetent shadow。ただし、LDAP 経由でシャドウ情報を公開するのはあまり安全ではないため、これは問題ありません。
pam_ldap代わりに、指定されたパスワードを使用して LDAP サーバーに対して認証 (バインド) を試みる (libpam-ldapd) を設定する必要があります。そのためには、ユーザーのuserPassword属性に LDAP 形式のパスワード ハッシュを配置する必要があります (これもダンプには含まれていません)。
ただし、スタンドアロンの libnss-ldap (および libpam-ldap) にはいくつかの欠点があり、ほとんどが時代遅れになっていることに注意してください。nslcd + libnss-ldap を使用すると、はるかに信頼性の高い構成になります。d代わりに libpam-ldapd を使用します。
1「ネーム サービス スイッチ」であり、「NSS の魔女」ではない