Centos 7 LDAP 인증(su는 작동하지만 ssh/콘솔 로그인은 작동하지 않음)

Question

Centos 7과 다음으로 설치된 패키지가 있습니다.

[root@centos7 pam.d]# rpm -qa|grep ldap
nss-pam-ldapd-0.8.13-8.el7.x86_64
openldap-2.4.44-5.el7.x86_64
openldap-clients-2.4.44-5.el7.x86_64

내 구성:

/etc/nslcd.conf:

uid nslcd
gid ldap

uri ldap://<my_ldap_server_ip>

base dc=company,dc=org

binddn cn=proxy,ou=users,dc=company,dc=org
bindpw <bind_pw>

nss_initgroups_ignoreusers root,nslcd
nss_min_uid 10000

filter passwd (objectClass=posixAccount)
base passwd ou=users,dc=company,dc=org
base shadow ou=users,dc=company,dc=org
base group ou=groups,dc=company,dc=org
scope passwd one
scope shadow one
scope group one

map group member uniqueMember

ssl start_tls
TLS_REQCERT allow
tls_cacertdir /etc/openldap/cacerts

/etc/ns스위치:

. . .
passwd:     files sss ldap
shadow:     files sss ldap
group:      files sss ldap
. . .

/etc/pam.d/:

[root@centos7 pam.d]# ls -lah password-auth system-auth
lrwxrwxrwx. 1 root root 16 Aug 22 18:53 password-auth -> password-auth-ac
lrwxrwxrwx. 1 root root 14 Aug 22 18:53 system-auth -> system-auth-ac

/etc/pam.d/password-auth:

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_ldap.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so
password    required      pam_deny.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so
password    required      pam_deny.so

/etc/system-auth:

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_ldap.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so
password    required      pam_deny.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so
password    required      pam_deny.so

'su - ldapuser'를 할 때 입력했습니다.

하지만 ssh/console에서는 로그인할 수 없습니다.

nslcd -d:

nslcd: [e2a9e3] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [e2a9e3] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [e2a9e3] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [e2a9e3] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [45e146] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [45e146] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [45e146] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [45e146] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [5f007c] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [5f007c] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [5f007c] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [5f007c] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [d062c2] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [d062c2] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [d062c2] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [d062c2] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [200854] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [200854] <authc="ldapuser"> DEBUG: nslcd_pam_authc("ldapuser","sshd","***")
nslcd: [200854] <authc="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [200854] <authc="ldapuser"> DEBUG: myldap_search(base="cn=ldapuser,ou=users,dc=company,dc=org", filter="(objectClass=*)")
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_initialize(ldap://<my_ldap_server_ip>)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_rebind_proc()
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_PROTOCOL_VERSION,3)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_DEREF,0)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_TIMELIMIT,30)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_TIMEOUT,30)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_NETWORK_TIMEOUT,30)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_REFERRALS,LDAP_OPT_ON)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_RESTART,LDAP_OPT_ON)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_start_tls_s()
nslcd: [200854] <authc="ldapuser"> DEBUG: set_socket_timeout(30,500000)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_simple_bind_s("cn=ldapuser,ou=users,dc=company,dc=org","***") (uri="ldap://<my_ldap_server_ip>")
nslcd: [200854] <authc="ldapuser"> ldap_result() failed: No such object
nslcd: [200854] <authc="ldapuser"> cn=ldapuser,ou=users,dc=company,dc=org: lookup failed: No such object
nslcd: [200854] <authc="ldapuser"> DEBUG: set_socket_timeout(15,0)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_unbind()
nslcd: [200854] <authc="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=shadowAccount)(uid=ldapuser))")
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_result(): end of results (0 total)

저널ctl -xlf:

Feb 20 20:37:24 centos7.localdomain sshd[4965]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.56.1  user=ldapuser
Feb 20 20:37:24 centos7.localdomain sshd[4965]: pam_ldap(sshd:auth): Authentication failure; user=ldapuser
Feb 20 20:37:26 centos7.localdomain sshd[4965]: Failed password for goncharuk from 192.168.56.1 port 56663 ssh2

UPD:다음 링크를 표시하는 것을 잊어버렸습니다. 이 항목을 읽었지만 도움이 되지 않습니다.

centos-7-ldap-인증-권한 거부

ldap-로그인-실패-하지만-su-to-ldap-사용자-작업

Answer 1

마침내 문제가 해결되었습니다.

구체적인 단계에 앞서 몇 가지 간략한 설명을 들어보겠습니다. LDAP 로그인 절차가 다음 단계를 따른다는 것을 아는 사람은 누구나 있습니다.

인증:

1. LDAP 서버에 연결하는 중입니다.
2. '검색 사용자'로 '바인딩'합니다.
3. 필요한 사용자를 검색 중입니다.
4. 해당 비밀번호를 사용하여 3단계의 사용자로 '바인딩'합니다.

권한 부여:

5. 필요한 속성을 검색하는 중입니다.
6. 로그인

3단계에서 로그인이 올바르지 않으면 '사용자를 찾을 수 없습니다'라는 메시지가 생성됩니다.

4단계의 비밀번호가 올바르지 않으면 '잘못된 자격 증명' 메시지가 생성됩니다.

실제로 NSLCD는 이 모든 단계를 수행합니다.

NSLCD의 4단계에서는 보안상의 이유로 한 가지 개선 사항이 있습니다. 발견된 사용자로 '바인딩'한 후 NSLCD는 이 'DN'이 실제로 '바인딩'한 사용자의 'DN'인지 확인하기 위해 기본을 'DN'으로 사용하여 사용자 'DN'에서 검색을 시도합니다. 예를 들어('ldapsearch' 요청):

ldapsearch -w <user_passwd> -h <ldap_server_ip> -D "cn=ldapuser,ou=users,dc=company,dc=org" -b "cn=ldapuser,ou=users,dc=company,dc=org"

이 동작은 최소한 다음 소스에서 nss-pam-ldapd 작성자에 의해 설명되었습니다.

문제 1

문제 2

이는 NSLCD를 통해 로그인하려는 사용자가 자신의 LDAP 'DN'에 검색 권한이 있어야 함을 의미합니다!

0.9.x 이전 NSLCD 버전에서는 이 동작을 변경할 수 없습니다.

0.9.x부터 시작하는 NSLCD 버전에서는 다음을 통해 자체 'DN'에서 검색을 건너뛸 수 있습니다.'pam_authc_search 없음'옵션.

내 경우에는 'pam_authc_search NONE'을 사용하는 것이 정말 도움이 되지만 새 버전으로 'nss-pam-ldapd' 패키지를 빌드하고 설치해야 합니다. 이제 Centos 7을 사용하여 VM에서 LDAP 로그인을 테스트하고 있습니다. 최소 5개의 서로 다른 배포판이 있고 각각에 대해 패키지를 구축하는 것은 좋은 솔루션이 아닙니다. 또한 2단계 로그인 확인(바인딩 + 검색)도 정말 필요한 보안 도구입니다. 그래서 내 LDAP 서버(OpenLDAP 2.4) ACL을 자신의 'DN'에 있는 사용자에 대한 그랜드 검색 액세스로 변경했으며 이제 모든 것이 잘 작동합니다.

/etc/openldap/slapd.conf:

. . .
access to attrs=userPassword
        by self read
        by anonymous auth
        by * none

access to *
        by self read
        by dn="cn=searchuser,ou=users,dc=company,dc=org" read
        by * none
. . .