☰

libpam-ldapd がセカンダリ グループを検索しない

tag-icon • tag-icon linux ubuntu debian ldap pam
libpam-ldapd がセカンダリ グループを検索しない

私は移行中ですlibpam-ldapにlibpam-ldapdLDAP からセカンダリ グループを収集する際に問題が発生しています。

の上libpam-ldapファイルには次の内容が含まれていました/etc/ldap.conf:

nss_schema rfc2307bis
nss_base_passwd ou=People、ou=CITIUS、dc=inv、dc=usc、dc=es
nss_base_shadow ou=People、ou=CITIUS、dc=inv、dc=usc、dc=es
nss_base_group ou=グループ、ou=CITIUS、dc=inv、dc=usc、dc=es
nss_map_attribute uniqueMember メンバー

groupOfNamesグループに LDAP クラスの代わりにを使用しているため、マッピングが存在しgroupOfUniqueNames、メンバーを指定する属性はmemberの代わりにという名前になりますuniqueMember。

今度は、同じことをlibpam-ldapdしかし、うまく動作しません。私の関連部分は次のとおりです/etc/nslcd.conf。

ベース パスワード ou=People、ou=CITIUS、dc=inv、dc=usc、dc=es
ベースシャドウ ou=People、ou=CITIUS、dc=inv、dc=usc、dc=es
基本グループ ou=Groups、ou=CITIUS、dc=inv、dc=usc、dc=es
マップグループ uniqueMember メンバー

これは、ユーザーが認証されたときの nslcd からのデバッグ出力です。

nslcd: [8b4567] デバッグ: pid=12090 uid=0 gid=0 からの接続
nslcd: [8b4567] デバッグ: nslcd_passwd_byuid(4004)
nslcd: [8b4567] デバッグ: myldap_search(base="ou=People,ou=CITIUS,dc=inv,dc=usc,dc=es", filter="(&(objectClass=posixAccount)(uidNumber=4004))")
nslcd: [8b4567] デバッグ: ldap_initialize(ldap://172.16.54.31/)
nslcd: [8b4567] デバッグ: ldap_set_rebind_proc()
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_PROTOCOL_VERSION,3)
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_DEREF,0)
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_TIMELIMIT,10)
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_TIMEOUT,10)
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_NETWORK_TIMEOUT,10)
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_REFERRALS、LDAP_OPT_ON)
nslcd: [8b4567] デバッグ: ldap_set_option(LDAP_OPT_RESTART、LDAP_OPT_ON)
nslcd: [8b4567] デバッグ: ldap_simple_bind_s("uid=ubuntu,ou=Applications,ou=CITIUS,dc=inv,dc=usc,dc=es","*****") (uri="ldap://172.16.54.31/")
nslcd: [8b4567] LDAPサーバーldap://172.16.54.31/に接続しました
nslcd: [8b4567] デバッグ: ldap_result(): 結果の終了
nslcd: [7b23c6] デバッグ: pid=15906 uid=0 gid=2000 からの接続
nslcd: [7b23c6] デバッグ: nslcd_pam_authc("jorge.suarez","","su","***")
nslcd: [7b23c6] デバッグ: myldap_search(base="ou=People,ou=CITIUS,dc=inv,dc=usc,dc=es", filter="(&(objectClass=posixAccount)(uid=jorge.suarez))")
nslcd: [7b23c6] デバッグ: ldap_initialize(ldap://172.16.54.31/)
nslcd: [7b23c6] デバッグ: ldap_set_rebind_proc()
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_PROTOCOL_VERSION,3)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_DEREF,0)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_TIMELIMIT,10)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_TIMEOUT,10)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_NETWORK_TIMEOUT,10)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_REFERRALS、LDAP_OPT_ON)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_RESTART、LDAP_OPT_ON)
nslcd: [7b23c6] デバッグ: ldap_simple_bind_s("uid=ubuntu,ou=Applications,ou=CITIUS,dc=inv,dc=usc,dc=es","*****") (uri="ldap://172.16.54.31/")
nslcd: [7b23c6] LDAPサーバーldap://172.16.54.31/に接続しました
nslcd: [7b23c6] デバッグ: ldap_initialize(ldap://172.16.54.31/)
nslcd: [7b23c6] デバッグ: ldap_set_rebind_proc()
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_PROTOCOL_VERSION,3)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_DEREF,0)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_TIMELIMIT,10)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_TIMEOUT,10)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_NETWORK_TIMEOUT,10)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_REFERRALS、LDAP_OPT_ON)
nslcd: [7b23c6] デバッグ: ldap_set_option(LDAP_OPT_RESTART、LDAP_OPT_ON)
nslcd: [7b23c6] デバッグ: ldap_simple_bind_s("uid=jorge.suarez,ou=People,ou=CITIUS,dc=inv,dc=usc,dc=es","*****") (uri="ldap://172.16.54.31/")
nslcd: [7b23c6] LDAPサーバーldap://172.16.54.31/に接続しました
nslcd: [7b23c6] デバッグ: myldap_search(base="uid=jorge.suarez,ou=People,ou=CITIUS,dc=inv,dc=usc,dc=es", filter="(objectClass=posixAccount)")
nslcd: [7b23c6] デバッグ: ldap_unbind()
nslcd: [3c9869] デバッグ: pid=15906 uid=0 gid=2000 からの接続
nslcd: [3c9869] デバッグ: nslcd_pam_sess_o("jorge.suarez","uid=jorge.suarez,ou=People,ou=CITIUS,dc=inv,dc=usc,dc=es","su","/dev/pts/7","","jorge.suarez")

グループを検索しようとすらしないようです。何が間違っているのでしょうか？問題に関する情報に関連するものが何も見当たりませんドキュメントmapおそらく、オプションがどのように機能するか理解していないのでしょう。

答え1

map groupパラメータは対応するパラメータに関連付ける必要があると思いますfilter group。Active Directory に接続して使用する方法は次のとおりです。

filter passwd (&(objectClass=user)(memberOf:1.2.840.113556.1.4.1941:=CN=Linux-SA,OU=Groups,DC=global,DC=example,DC=com)(!(objectClass=computer))(uidNumber=*)(unixHomeDirectory=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
map    passwd uid              sAMAccountName
map    passwd homeDirectory    unixHomeDirectory
map    passwd gecos            displayName
map    passwd loginShell       "/bin/bash"
filter shadow (&(objectClass=user)(!(objectClass=computer))(uidNumber=*)(unixHomeDirectory=*))
map    shadow uid              sAMAccountName
map    shadow shadowLastChange pwdLastSet
filter group  (&(objectClass=group)(gidNumber=*))
map    group  uniqueMember        member

関連情報