職場で新しいLinux環境を構築しました。 sssd
を構成し、会社のActiveDirectoryドメインの1つにバインドしました。
sssd
が部分的に機能していることがわかります。それをお見せしましょう:
ローカルマシンのsssd
キャッシュをクリーンアップし、sssd
を再起動して、ドメインユーザーを照会しました。
[root@pnd01 ~]# sss_cache -E
[root@pnd01 ~]# service sssd restart
Stopping sssd: [ OK ]
Starting sssd: [ OK ]
[root@pnd01 ~]# id itai.ganot
uid=10238(itai.ganot) gid=10012(XXXX_ops) groups=10012(XXXX_ops)
[root@pnd01 ~]#
sssd.conf
ファイルは次のとおりです。
[sssd]
config_file_version = 2
reconnection_retries = 3
sbus_timeout = 30
services = nss, pam
domains = AD
[nss]
filter_groups = root
filter_users = root
reconnection_retries = 3
override_Shell = /bin/bash
[pam]
reconnection_retries = 3
[domain/AD]
enumerate = true
id_provider = ldap
auth_provider = krb5
ldap_uri = ldap://10.X.X.12 ,ldap://10.X.X.11
ldap_schema = rfc2307
ldap_default_bind_dn = CN=testuser,CN=Users,DC=eyedcny,DC=local
ldap_default_authtok_type = password
ldap_default_authtok = Aa123456
ldap_user_object_class = user
ldap_user_home_directory = unixHomeDirectory
ldap_user_name = sAMAccountName
ldap_group_object_class = group
ldap_force_upper_case_realm = true
ldap_tls_reqcert = never
ldap_account_expire_policy = ad
ldap_search_base = CN=RND Users,DC=eyedcny,DC=local
krb5_server = 10.X.X.12 ,10.X.X.11
krb5_realm = EYEDCNY.LOCAL
krb5_kpassword = default
ldap_referrals = false
case_sensitive = false
[root@pnd01 ~]#
問題は、ある通常のユーザーアカウントから別のユーザーアカウントにsu
しようとすると、パスワードが確かに正しいにもかかわらず、間違ったパスワードを取得することです。
ここでわかるように、ユーザーは/etc/passwd
からではなく、ADとの同期から取得されます。
[root@pnd01 ~]# grep itai.ganot /etc/passwd
[root@pnd01 ~]# su - itai.ganot
[itai.ganot@pnd01 ~]$ su - itai.ganot
Password:
su: incorrect password
[itai.ganot@pnd01 ~]$
編集#1:これが/var/log/secure
からの関連行で、エラーが発生しています。
Apr 13 14:49:27 pnd02 su: pam_unix(su-l:auth): authentication failure; logname=root uid=10238 euid=0 tty=pts/0 ruser=itai.ganot rhost= user=itai.ganot
Apr 13 14:49:27 pnd02 su: pam_sss(su-l:auth): authentication failure; logname=root uid=10238 euid=0 tty=pts/0 ruser=itai.ganot rhost= user=itai.ganot
Apr 13 14:49:27 pnd02 su: pam_sss(su-l:auth): received for user itai.ganot: 4 (System error)
編集#2:言及する価値のあるもう1つのこと:
[root@pnd01 ~]# authconfig --enablesssd --enablesssdauth --enablelocauthorize --update
authconfig: Invalid LDAP URI.
[root@pnd01 ~]#
なぜこのエラーが発生するのか、LDAP URIをどこで検索するのかわかりません。これは、/etc/sssd/sssd.conf
で構成されているものを検索している場合、正しいURIがそこで構成されているためです。
この動作の理由を見つけてください。
私はなんとか問題を解決することができました。
最終的にそれを機能させた2つのことがあります:
ファイルへの追加/etc/sssd/sssd.conf
次のディレクティブ:
ldap_user_name = msSFU30Name