Назад | Перейти на главную страницу

Аутентификация OpenLDAP 2.4.44 на CentOS / RHEL 7

У меня OpenLDAP 2.4.44 работает на CentOS 7.4 с добавленным пользователем "тестером". Я могу запросить пользователя и изменить пароль, но при аутентификации с экраном входа в GNOME всегда отклоняется. Я использовал это руководство чтобы настроить вещи.

Файлы LDIF, которые я использовал для настройки системы, следующие:

db.ldif

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=example

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=ldapadm,dc=example

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: <omitted>

monitor.ldif

dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=ldapadm,dc=example" read by * none

base.ldif

dn: dc=example
dc: example
objectClass: top
objectClass: domain

dn: cn=ldapadm,dc=example
objectClass: organizationalRole
cn: ldapadm
description: LDAP Manager

dn: ou=People,dc=example
objectClass: organizationalUnit
ou: People

dn: ou=Groups,dc=example
objectClass: organizationalUnit
ou: Groups

certs.ldif (эти сертификаты были созданы, а владелец / группа изменены на ldap: ldap)

dn: cn=config
changetype: modify
replace: olcTLSCertificateFile
olcTLSCertificateFile: /etc/openldap/certs/managerldapcert.pem

dn: cn=config
changetype: modify
replace: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/openldap/certs/managerldapkey.pem

tester.ldif

dn: uid=tester,ou=People,dc=example
objectClass: top
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: tester
uid: tester
uidNumber: 9001
gidNumber: 100
homeDirectory: /home/tester
loginShell: /bin/bash
gecos: Tester Account
userPassword: {crypt}x
shadowLastChange: 0
shadowMax: 0
shadowWarning: 0

Чтобы показать информацию об учетной записи для пользователя:

ldapsearch -x cn=tester -b dc=example

Ответ такой:

# extended LDIF
#
# LDAPv3
# base <dc=example> with scope subtree
# filter: cn=tester
# requesting: ALL
#

# tester, People, example
dn: uid=tester,ou=People,dc=example
objectClass: top
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: tester
uid: tester
uidNumber: 9001
gidNumber: 100
homeDirectory: /home/tester
loginShell: /bin/bash
gecos: Tester Account
shadowLastChange: 0
shadowMax: 0
shadowWarning: 0
userPassword:: <omitted>

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

Я могу изменить пароль, используя следующее:

ldappasswd -H ldap:/// -x -D "cn=ldapadm,dc=example" -W -S "uid=tester,ou=People,dc=example"

Это запрашивает новый пароль пользователя (дважды) и пароль root LDAP, а затем закрывается. Я могу заметить, что пароль был изменен путем повторного запроса с помощью ldapsearch (где изменяется раздел userPassword ::).

Я могу войти в учетную запись LDAP, чтобы проверить пароль, используя:

ldapwhoami -vvv -h ldapi:/// -p 389 -D "uid=tester,ou=People,dc=example" -x -W

Затем я настроил authconfig, используя:

authconfig --enableldap --enableldapauth --ldapserver=servername.example --ldapbasedn="dc=example" --enablemkhomedir --update

Но когда я пытаюсь использовать экран входа в CentOS GNOME, пароль отклоняется.

В / var / журнал / безопасный Я вижу следующее:

pam_sss(gdm-password:auth): authentication failure; logname= uid=0 euid=0 tty=/dev/tty1 ruser= rhost= user=tester
pam_sss(gdm-password:auth): received for user tester: 6 (Permission denied)

То, что я пробовал безуспешно:

У меня вопрос ... как CentOS 7 пытается войти в систему (и как я могу имитировать попытку входа в систему с помощью ldapwhoami) и как это можно лучше отлаживать / регистрировать? Кажется ли мой пользовательский DN разумным (использование uid вместо cn для первой записи; я видел, как это делается в обоих направлениях в разных руководствах)?

Любая помощь приветствуется!