înregistrare Logare
Puncte:0
Iggy avatar Server

fiecare utilizator LDAP oferă „permisiune refuzată” cu LDAP și sssd (Centos7)

drapel in
Iggy

Încerc să limitez conectările LDAP la grupul „admin”.

Acesta este fișierul meu /etc/sssd/sssd.conf:

[domeniu/implicit]
autofs_provider = ldap
ldap_tls_reqcert = permit
auth_provider = ldap
ldap_id_use_start_tls = Fals
chpass_provider = ldap
cache_credentials = Adevărat
debug_timestamps = Adevărat
ldap_default_authtok_type = parola
ldap_search_base = dc=exemplu,dc=com
id_provider = ldap
ldap_default_bind_dn = cn=moderator,ou=moderatori,ou=test,o=organizație,dc=exemplu,DC=COM
min_id = 100
ldap_uri = ldaps://example.com:636/
ldap_default_authtok = Pa$$cuvânt
ldap_tls_cacertdir = /etc/openldap/cacerts/
ldap_tls_cert = /etc/openldap/cacerts/certificate.pem
access_provider = ldap
ldap_access_filter = memberOf=cn=admin,ou=group,o=organization,dc=example,dc=com

[sssd]
servicii = nss, pam, autofs
domenii = implicit
[nss]
homedir_substring = /home

[pam]

[sudo]

[autofs]

[ssh]

[pac]

[ifp]

[secrete]

[înregistrare_sesiune]

Am încercat să fac id nume de utilizator si vine cu:

id utilizator uid=90514(utilizator) gid=20000(utilizatori) grupuri=20000(utilizatori),2480(admin)

Când încercați să schimbați utilizatorul făcând su user da eroare su: Permisiune refuzată după ce se introduce pasca. Când eliminați intrările de limitare a grupului din sssd.conf, funcționează conform așteptărilor și permite utilizatorului să se autentifice.

Ceva idei unde m-am încurcat?

Edit: Deocamdată o voi configura cu /etc/security și PAM și asta funcționează. Cu toate acestea, sunt încă curios să o fac cu sssd.

460
0 + 0
drapel cn
shearn89
Ați încercat să faceți `ssh user@localhost`? Uneori `su` poate avea restricții suplimentare sau poate fi dezactivat?
0
Răspunde
Iggy avatar
drapel in
Iggy
Tot eșuează. `20 decembrie 11:50:37 localhost sshd[1419]: pam_sss(sshd:account): Acces refuzat utilizatorului utilizator: 6 (Permisiune refuzată) 20 decembrie 11:50:37 localhost sshd[1419]: parolă eșuată pentru utilizator de la portul 10.228.18.93 50592 ssh2 20 dec 11:50:37 localhost sshd[1419]: fatal: acces refuzat utilizatorului utilizator de configurarea contului PAM [preauth]`
0
Răspunde
Puncte:0
nirnaeth avatar Server
drapel mo
nirnaeth

Există suprapunerea memberOf în configurația dvs. LDAP? Din câte am înțeles, această suprapunere trebuie configurată în mod explicit înainte de a putea fi utilizată.

Ieșirea următoarei comenzi ar trebui să conțină ceva precum „memberof.la”. Dacă nu, atunci probabil că ar trebui să vă configurați serverul LDAP în primul rând.

slapcat -n 0 | grep olcModuleLoad

Acest lucru ar putea fi de ajutor: https://tylersguides.com/guides/openldap-memberof-overlay/#configuration_tag https://stackoverflow.com/questions/60994495/memberof-and-refint-does-not-work-in-openldap

0 + 0
Iggy avatar
drapel in
Iggy
Mulțumesc! voi testa asta mai târziu, dar cel mai probabil aceasta este problema! Deocamdată tocmai am făcut-o prin /etc/security și PAM, dar sunt curios să încerc să o fac în acest fel.
0
Răspunde
Puncte:0
avatar Server
drapel cn
natxo asenjo

conform https://www.mankier.com/5/sssd-ldap:

ldap_access_filter (șir)

Dacă utilizați access_provider = ldap și ldap_access_order = filtru (implicit), aceasta
opțiunea este obligatorie. Specifică un criteriu de filtru de căutare LDAP care trebuie îndeplinit
pentru ca utilizatorul să primească acces pe această gazdă.

Dacă access_provider = ldap, ldap_access_order = filtru și această opțiune nu este setată,
va avea ca rezultat refuzul accesului tuturor utilizatorilor. Utilizați access_provider = permis
modifica acest comportament implicit.

Deci, aparent, adăugarea access_provider = permis ar trebui să vă rezolve problema.

0 + 0
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.