☰

Доступ к экрану блокировки запрещен (аутентификация AD через sssd)

tag-icon • tag-icon 16.04 lock-screen pam active-directory
Доступ к экрану блокировки запрещен (аутентификация AD через sssd)

На xenial экран блокировки у меня не работает. Ввожу ли я правильный пароль или нет, он не пускает меня. Однако, если я нажимаю на меню в правом верхнем углу экрана и выбираю "переключить пользователя", но выбираю того же пользователя, что и на экране блокировки, он пускает меня.

На экране блокировки аутентификация, похоже, работает правильно. Просто не авторизует. Вот что я вижу в /var/log/auth.log:

May  3 11:57:44 hostname compiz: pam_krb5(unity:auth): user myuser authenticated as [email protected]
May  3 11:57:44 hostname compiz: gkr-pam: unlocked login keyring
May  3 11:57:44 hostname compiz: pam_sss(unity:account): Access denied for user myuser: 6 (Permission denied)

Аутентификация из домена Active Directory. Я использую sssd. Эта же конфигурация отлично работает на Trusty, Vivid и Wily. Похоже, что она не работает только на Xenial. Я пробовал на рабочей станции, которая была обновлена ​​с Wily, а также на новой установке. Я чертовски долго выясняю, что нужно сделать по-другому.

Это касается только учетных записей AD. Локальные учетные записи не затрагиваются.

Он также дает сбой при запуске чего-либо через графический интерфейс, требующего повышенных привилегий. Например, при установке программного обеспечения из Ubuntu Software Center. Он не позволяет учетной записи AD авторизовать установку, но позволяет локальному пользователю авторизовать ее. Однако из командной строки учетные записи AD могут использовать sudo без проблем.

Что-то делает Пэм несчастной. Есть идеи, что это может быть?

решение1

Это исправление было опубликовано как комментарий к ошибке, которую представил vargax. Если вы добавите:

ad_gpo_map_interactive = +unity

в раздел [domain/domainname] файла /etc/sssd/sssd.conf, проблема с экраном блокировки исчезает.

К сожалению, это не решает проблему с повышенными привилегиями в графическом интерфейсе.

решение2

Это две отдельные (но, вероятно, связанные) ошибки. Никто не опубликовал лог, демонстрирующий ошибку повышенных привилегий, поэтому я не могу сказать вам, какую опцию добавить в sssd.conf, чтобы исправить это.

Я получил «unity» из «pam_sss(unity:account): Access denied» (текст перед «:account» — это имя службы PAM, к которой осуществляется подключение).

Ошибка здесь заключается в том, что нижестоящий сопровождающий Ubuntu не скорректировал набор значений по умолчанию для поставщика AD, включив в него любую используемую здесь службу PAM, и он по умолчанию отклоняет ее, если она неизвестна.

Это ad_gpo_map_interactive = +unityобходной путь; я отправил патч в SSSD upstream, чтобы добавить это по умолчанию. Я могу сделать то же самое для всего, что влияет на повышенные привилегии, если это не конфликтует ни с чем другим. В противном случае это будет обязанностью Ubuntu изменить это в пакете downstream.

решение3

Проверьте, правильно ли настроен /etc/fstab для разделов диска.

Затем я бы перенастроил сам lightdm

В качестве последнего ресурса я бы попробовал переустановить сам Ubuntu, запросив настройки пользователя и пароля во время установки.

PAM кажется очень сложным.

решение4

Я просто отправляю отчет об ошибке:https://bugs.launchpad.net/ubuntu/+source/sssd/+bug/1578415

Может быть, вы, ребята, можете отметить себя как пострадавших...

Связанный контент