☰

ID: ユーザー: そのようなユーザーはいません

tag-icon • tag-icon centos7 kerberos pam sssd
ID: ユーザー: そのようなユーザーはいません

Centos 7を使用して、Kerberosを使用してローカルのActive Directoryユーザーを認証しています。管理者としてレルムに参加し、それを介してログイン/SSHできます。nslookup正常に動作し、 adcli 情報動作しています。test という別のユーザーを作成し、Centos 経由でログインしようとすると、次のメッセージが表示されます。 id: test: no such user

getent パスワードテスト何も返さない

私の設定ファイルは次のとおりです:

sssd.conf

domains = gio.server
config_file_version = 2
services = nss, pam

[domain/gio.server]
ad_domain = gio.server
krb5_realm = GIO.SERVER
realmd_tags = manages-system joined-with-samba 
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%u
access_provider = ad

こちらはkrb5.conf

# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/

includedir /var/lib/sss/pubconf/krb5.include.d/
[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default = GIO.SERVER
 dns_lookup_realm = true
 dns_lookup_kdc = true
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
# default_realm = EXAMPLE.COM
 default_ccache_name = KEYRING:persistent:%{uid}

 default_realm = GIO.SERVER
[realms]
 GIO.SERVER = {
kdc = gio.server:88
default_domain = gio.server
#  kdc = kerberos.example.com
#  admin_server = kerberos.example.com
 }


[domain_realm]
# .example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM
 .gio.server = GIO.SERVER
 gio.server = GIO.SERVER

しかし、私がトラブルシューティングをしていたときsssctl ユーザーチェックテスト次のエラーが返されました:

user: test
action: acct
service: system-auth

sss_getpwnam_r failed with [0].
User name lookup with [test] failed.
Unable to get user objectInfoPipe User lookup with [test] failed.
testing pam_acct_mgmt

pam_acct_mgmt: User not known to the underlying authentication module

PAM Environment:
 - no env -

何か不足しているものがあればお知らせください。

答え1

根本的な問題は、AD 内のユーザー アカウントに対してコンピューター アカウントが必要とする特定のプロパティに対する読み取り権限が不足していることです。

ユーザーがドメイン管理者に追加されると、権限の継承が無効になり、認証されたユーザーに特定の権限が明示的に付与されます。これにより、サーバーは管理者を認証するために必要なプロパティを取得できますが、通常のユーザーを認証することはできません。

この問題を修正するには、認証済みユーザーまたは特別に作成されたセキュリティ グループに、「子孫ユーザー オブジェクト」に適用されるドメインのルートに対する「コンテンツの一覧表示」、「すべてのプロパティの読み取り」、および「アクセス許可の読み取り」のアクセス許可を付与します。

関連情報