Главная » Форум » Gentoo Linux » Системное администрирование

Ldap и sudo

black_hell 26 марта, 2007 - 11:25

Здравствуйте.
Вопрос состоит в том:
Подключаюсь к ldap, оттуда беру пользователей, пароли. Они у меня авторизируюються по ssh. все класно.
Проблема состоит в том, что в sudoers, прописаны правила на определенные группы пользывателей для запуска определенных скриптов. sudo же подхватывает только те группы которые прописаны в group. как сделать чтобы подхватывал группы с ldap?

‹ mysqld_multi [SOLVED] Косяк squid-а ›
»

__и что никаких

Автор black_hell, дата создания 4 апреля, 2007 - 11:19.

__и что никаких вариантов?_______________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

по ldap напрямую

Автор kruger, дата создания 4 апреля, 2007 - 12:00.

по ldap напрямую или через pam?
_________________

Core2Duo ~x86 4gb ram kde

»

Через

Автор black_hell, дата создания 4 апреля, 2007 - 12:38.

Через pam
________________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

Автор kruger, дата создания 4 апреля, 2007 - 13:06.

http://forums.gentoo.org/viewtopic-t-385596-highlight-sudo+ldap.html
если короче - попробуй собери sudo без ldap use флага
_________________

Core2Duo ~x86 4gb ram kde

»

так у меня

Автор black_hell, дата создания 4 апреля, 2007 - 14:53.

так у меня собрано без ldap use флага
_________________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

А команда getent

Автор Rinus, дата создания 4 апреля, 2007 - 13:07.

А команда getent group показывает группы с лдапа?

»

показывает. С

Автор black_hell, дата создания 4 апреля, 2007 - 13:20.

показывает. С этим все ок.
сама загвоздка в sudo. как мне кажеться
_______________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

телепаты в

Автор kruger, дата создания 4 апреля, 2007 - 18:30.

телепаты в отпуске
/etc/nsswich.con
/etc/pam.d/sudo
какой сервак ldap ?
_______________________
Sudo & nscd

To enable ldap users easy access to sudo, the sudoers table needs to contain the user group (LinuxUsers) in the AD. Sudo reads the entries from Name Service Cache Daemon (NSCD) that sits between the applications using name services and the mechanisms providing those name services. It caches name service data and improves response times.

Without NSCD, an application makes a call to one of the standard libc function calls: getxxnam(), getxxuid(), getxxent(), and getxbyy(). NSS then dynamically loads the correct module for the name service mechanism specified in /etc/nsswitch.conf. With NSCD, the application still makes the same call, but now the corresponding libc function actually calls NSCD through an Inter-Process Communication (IPC) call. If NSCD has cached the data required by the application, it returns it; otherwise, it calls the NSS module in the usual way.

_________________________________________
т.е. может попробовать запустить nscd? (входит в glibc)
/etc/init.d/nscd start

_________________

Core2Duo ~x86 4gb ram kde

»

/etc/nsswitch.conf

Автор black_hell, дата создания 5 апреля, 2007 - 11:41.
/etc/nsswitch.conf написал(а):
# /etc/nsswitch.conf:
# $Header: /var/cvsroot/gentoo/src/patchsets/glibc/extra/etc/nsswitch.conf,v 1.1 2006/09/29 23:52:23 vapier Exp $

passwd: compat ldap
shadow: compat
group: compat ldap

# passwd: db files nis
# shadow: db files nis
# group: db files nis

hosts: files dns
networks: files dns

services: db files
protocols: db files
rpc: db files
ethers: db files
netmasks: files
netgroup: files
bootparams: files

automount: files
aliases: files

/etc/pam.d/sudo написал(а):
# File autogenerated by pamd_mimic_system in pam eclass

auth include system-auth
account include system-auth
password include system-auth
session include system-auth

/etc/pam.d/system-auth написал(а):
auth required pam_env.so
auth sufficient pam_unix.so likeauth nullok nodelay
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so

account sufficient pam_ldap.so
account required pam_unix.so

password required pam_cracklib.so retry=3
password sufficient pam_unix.so nullok md5 shadow use_authtok
password sufficient pam_ldap.so use_authtok
password required pam_deny.so

session required pam_limits.so
session required pam_unix.so
session required pam_mkhomedir.so skel=/etc/skel/ umask=077
session optional pam_ldap.so

_________________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

/etc/init.d/nscd

Автор black_hell, дата создания 5 апреля, 2007 - 12:13.

/etc/init.d/nscd start
сделал...
тот же результат, если пользыватель прописан в /etc/group то через sudo пускает выполнение скрипта, если убираю, то не пускает. :(

Хотя под пользывателем ввожу groups то показывает что пользыватель находиться в нужной группе для выполнения скрипта...
_________________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

а если в nsswich.conf

Автор kruger, дата создания 5 апреля, 2007 - 13:03.

а если в nsswich.conf поставить group:ldap первым? и ребутнуть nscd
_________________

Core2Duo ~x86 4gb ram kde

»

Автор black_hell, дата создания 5 апреля, 2007 - 13:03.

извените.
/etc/init.d/nscd start
помогло. Все нормально. Спасибо за помощь.
вопрос закрыт
_________________
Бороться, Искать. Найти и НЕЗДАВАТЬСЯ!

»

ну и последний

Автор kruger, дата создания 5 апреля, 2007 - 13:05.

ну и последний штрих - [SOLVED] в топик 1 поста )
удачи )
_________________

Core2Duo ~x86 4gb ram kde

»

Настройки просмотра комментариев

Выберите нужный метод показа комментариев и нажмите "Сохранить установки".