Vreau să folosesc PAM pentru a monta partajări pentru utilizatorii de domeniu pe stațiile mele de lucru Xubuntu, deoarece nu stochează parole, dar nu am reușit până acum. Orice ajutor ar fi foarte apreciat.
Instanța mea de testare Xubuntu 20.04 este o VM (nume: vmlx01) alăturat unui domeniu Active Directory (dom01.dom) guvernat de un DC Zentyal 7.04 Community Edition (nume: zen01). obisnuiam aceste instrucțiuni pentru a conecta stația de lucru la domeniu -- funcționează ca un farmec -- și au instalat, de asemenea, pachetele keyutils, cifs-utils și libpam-mount. DNS și NTP sunt configurate corect.
utilizator de domeniu "utilizator1" se poate conecta la vmlx01 folosind GUI. user1 este membru al grupului AD "Domain Users" și pe stația de lucru Xubuntu, un membru al grupului local sudo.
Pe serverul TrueNAS CORE 12.0-U5.1 (nume: nas02), cota SMB "Muzică" este configurat astfel:
Utilizator: USER1 -- Citire/Scriere/Executare
Grup: Utilizatori de domeniu -- Citire/Scriere/Executare
Permisiunile pentru „Altele” sunt setate la Citire/Executare
Când este conectat la stația de lucru Xubuntu, utilizatorul1 poate mapa la partajarea TrueNAS SMB "Muzică" manual cu această comandă:
sudo mount -t cifs -o [email protected],parola=********,uid=84401108,gid=84400513 //nas02/Music /home/user1/Music
dar încercarea de a monta aceeași partajare folosind montarea PAM eșuează. Comanda terminalului „dmesg” returnează:
[ 28.759653] CIFS: Încercarea de a monta \nas02.dom01.dom\Music
[ 28.776805] CIFS: codul de stare a returnat 0xc000006d STATUS_LOGON_FAILURE
[ 28.776823] CIFS: VFS: \nas02.dom01.dom Trimiteți eroare în SessSetup = -13
[ 28.776837] CIFS: VFS: cifs_mount failed w/return code = -13
[ 29.899013] [drm:vmw_msg_ioctl [vmwgfx]] *EROARE* Nu s-a putut deschide canalul.
[ 29.899043] [drm:vmw_msg_ioctl [vmwgfx]] *EROARE* Nu s-a putut deschide canalul.
[ 34.189831] kauditd_printk_skb: 11 apeluri inverse suprimate
[ 34.189834] audit: type=1400 audit(1631746734.135:79): apparmor="ALOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/1267/cmdline" pid=679 comm= "sssd_nss" requested_mask="r" denied_mask="r" fsuid=0 ouid=84401108
Fișierul /etc/pam.d/common-auth
auth [success=2 default=ignore] pam_unix.so nullok_secure
auth [success=1 default=ignore] pam_sss.so use_first_pass
auth requisite pam_deny.so
auth required pam_permit.so
auth opțional pam_mount.so
auth opțional pam_cap.so
Fișierul /etc/pam.d/common-password
parola necesară pam_pwquality.so retry=3
parola [success=2 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512
parolă suficientă pam_sss.so use_authtok
parola necesară pam_deny.so
parola necesară pam_permit.so
parola opțională pam_mount.so
parola opțională pam_mount.so disable_interactive
parola opțională pam_gnome_keyring.so
Fișierul /etc/pam.d/common-session
sesiune [default=1] pam_permit.so
sesiune necesară pam_deny.so
sesiune necesară pam_permit.so
sesiune opțională pam_umask.so
sesiune necesară pam_unix.so
sesiune opțională pam_sss.so
sesiune opțională pam_mount.so disable_interactive
sesiune opțională pam_systemd.so
Fișierul /etc/security/pam_mount.conf.xml
<pam_mount>
<debug enable="0" />
<!-- Volume definitions -->
<volume fstype="cifs" domain="dom01.dom" uid="84401108" gid=",84401109" username="*"
server="nas02.dom01.dom" sec="krb5" options="vers=3.0" path="Music" mountpoint="/home/user1/Music"> <not><user>root</user></not> <not><user>sddm</user></not> </volume>
<!-- pam_mount parameters: General tunables -->
<!--
<luserconf name=".pam_mount.conf.xml" />
-->
<!-- Note that commenting out mntoptions will give you the defaults.
You will need to explicitly initialize it with the empty string
to reset the defaults to nothing. -->
<mntoptions allow="nosuid,nodev,loop,encryption,fsck,nonempty,allow_root,allow_other" />
<!--
<mntoptions deny="suid,dev" />
<mntoptions allow="*" />
<mntoptions deny="*" />
-->
<mntoptions require="nosuid,nodev" />
<!-- requires ofl from hxtools to be present -->
<logout wait="0" hup="no" term="no" kill="no" />
<!-- pam_mount parameters: Volume-related -->
<mkmountpoint enable="1" remove="true" />
</pam_mount>
Fișierul /etc/sssd/sssd.conf
[sssd]
servicii = nss, pam
config_file_version = 2
domenii = dom01.dom
[nss]
entry_negative_timeout = 0
#debug_level = 5
[pam]
#debug_level = 5
[domeniu/dom01.dom]
#debug_level = 10
enumerate = false
id_provider = ad
auth_provider = ad
chpass_provider = ad
access_provider = ad
dyndns_update = fals
ad_hostname = vmlx01.dom1.dom
ad_server = zen01.dom1.dom
ad_domain = dom1.dom
ad_gpo_access_control = permisiv
ldap_schema = ad
ldap_id_mapping = adevărat
override_homedir = /home/%u
#fallback_homedir = /home/%u
default_shell = /bin/bash
ldap_sasl_mech = gssapi
ldap_sasl_authid = VMLX01$
krb5_keytab = /etc/sssd/dom1-keytab.keytab
ldap_krb5_init_creds = adevărat
use_fully_qualified_names = Fals
Fișierul /etc/krb5.conf
[libdefaults]
default_realm = DOM1.DOM
rdns = nu
dns_lookup_kdc = adevărat
dns_lookup_realm = adevărat
[tărâmuri]
DOM1.DOM = {
kdc = zen01.dom1.dom
admin_server = zen01.dom1.dom
