Я пытался получить аутентификацию LDAP и экспортированные домашние каталоги NFS на CentOS 6, работающие уже несколько дней. Я дошел до того, что теперь могу войти на клиентский компьютер, используя имя пользователя и пароль в LDAP. На клиенте / home и / opt монтируются в fstab через NFS. Однако каждый файл в / opt и / home принадлежит nobody:nobody (uid: 99, gid: 99) на клиенте.
Однако мои uid и gid, похоже, установлены правильно:
-bash-4.1$ id
uid=3000(myusername) gid=3000(employees) groups=3000(employees)
Что еще можно проверить? Вот несколько файлов конфигурации моего клиента:
/etc/nsswitch.conf
passwd: files sss
shadow: files sss
group: files sss
hosts: files dns
bootparams: nisplus [NOTFOUND=return] files
ethers: files
netmasks: files
networks: files
protocols: files
rpc: files
services: files
netgroup: files sss
publickey: nisplus
automount: files ldap
aliases: files nisplus
/etc/sssd/sssd.conf
[sssd]
config_file_version = 2
services = nss, pam
domains = default
[nss]
[pam]
[domain/default]
auth_provider = ldap
ldap_id_use_start_tls = True
chpass_provider = ldap
cache_credentials = True
krb5_realm = EXAMPLE.COM
ldap_search_base = dc=mycompany,dc=com
id_provider = ldap
ldap_uri = ldaps://server.subdomain.mycompany.com
krb5_kdcip = kerberos.example.com
ldap_tls_cacertdir = /etc/openldap/cacerts
# Configure client certificate auth.
ldap_tls_cert = /etc/openldap/cacerts/client.pem
ldap_tls_key = /etc/openldap/cacerts/client.pem
ldap_tls_reqcert = demand
/ etc / fstab
/dev/mapper/vg_main-lv_root / ext4 defaults 1 1
UUID=4e43a15d-4dc0-4836-8fa6-c3445fde756c /boot ext4 defaults 1 2
/dev/mapper/vg_main-lv_swap swap swap defaults 0 0
tmpfs /dev/shm tmpfs defaults 0 0
devpts /dev/pts devpts gid=5,mode=620 0 0
sysfs /sys sysfs defaults 0 0
proc /proc proc defaults 0 0
storage1:/nas/home /home nfs soft,intr,rsize=8192,wsize=8192
storage1:/nas/opt /opt nfs soft,intr,rsize=8192,wsize=8192
Вывод authconfig:
[root@test1 ~]# authconfig --test
caching is disabled
nss_files is always enabled
nss_compat is disabled
nss_db is disabled
nss_hesiod is disabled
hesiod LHS = ""
hesiod RHS = ""
nss_ldap is enabled
LDAP+TLS is enabled
LDAP server = "ldaps://server.subdomain.mycompany.com"
LDAP base DN = "dc=mycompany,dc=com"
nss_nis is disabled
NIS server = ""
NIS domain = ""
nss_nisplus is disabled
nss_winbind is disabled
SMB workgroup = ""
SMB servers = ""
SMB security = "user"
SMB realm = ""
Winbind template shell = "/bin/false"
SMB idmap uid = "16777216-33554431"
SMB idmap gid = "16777216-33554431"
nss_sss is disabled by default
nss_wins is disabled
nss_mdns4_minimal is disabled
DNS preference over NSS or WINS is disabled
pam_unix is always enabled
shadow passwords are enabled
password hashing algorithm is sha512
pam_krb5 is disabled
krb5 realm = "EXAMPLE.COM"
krb5 realm via dns is disabled
krb5 kdc = "kerberos.example.com"
krb5 kdc via dns is disabled
krb5 admin server = "kerberos.example.com"
pam_ldap is enabled
LDAP+TLS is enabled
LDAP server = "ldaps://server.subdomain.mycompany.com"
LDAP base DN = "dc=mycompany,dc=com"
LDAP schema = "rfc2307"
pam_pkcs11 is disabled
use only smartcard for login is disabled
smartcard module = ""
smartcard removal action = ""
pam_fprintd is enabled
pam_winbind is disabled
SMB workgroup = ""
SMB servers = ""
SMB security = "user"
SMB realm = ""
pam_sss is disabled by default
credential caching in SSSD is enabled
SSSD use instead of legacy services if possible is enabled
pam_cracklib is enabled (try_first_pass retry=3 type=)
pam_passwdqc is disabled ()
pam_access is disabled ()
pam_mkhomedir or pam_oddjob_mkhomedir is enabled ()
Always authorize local users is enabled ()
Authenticate system accounts against network services is disabled
Замечание, которое следует добавить к этому для искателей Google - у нас была такая же проблема, когда, что бы мы ни делали, монтирование nfs не отображало идентификаторы пользователей правильно.
Проблема заключалась в том, что idmapd кэшировал неверные идентификаторы из ошибочной конфигурации, и никакое исправление конфигурации не могло отсортировать его.
Команда в centos, чтобы исправить это, была nfsidmap -c (очистить кеш).
Надеюсь, это поможет отчаянному искателю ...
Решено!
Я случайно заметил эту строчку в /var/log/messages на моем сервере NFS, когда я пытался смонтировать экспорт с удаленного клиента:
Feb 28 15:54:02 storage1 rpc.idmapd[1651]: nss_getpwnam: name 'nobody' does not map into domain 'localdomain'
Это заставило меня взглянуть на первые несколько строк /etc/idmapd.conf:
[General]
#Verbosity = 0
# The following should be set to the local NFSv4 domain name
# The default is the host's DNS domain name.
#Domain = local.domain.edu
Затем я добавил Domain=subdomain.mycompany.com под закомментированной строкой "Домен". Сохранено, завершено, а затем запущено /etc/init.d/rpcidmapd restart и /etc/init.d/nfs restart.
Я нашел сообщение в блоге, которое может решить вашу проблему: http://whacked.net/2006/07/26/nfsv4nfs-mapid-nobody-domain/ который я нашел в следующем сообщении на форуме: https://www.centos.org/modules/newbb/viewtopic.php?topic_id=32977
На вашем сервере NFS случайно не работает Centos / RHEL 5?
Если да, то он экспортирует NFSv3. NFSv4 теперь используется по умолчанию для Centos6 (и последних вариантов Ubuntu).
Быстрое решение - добавить "vers = 3" в параметры монтирования в / etc / fstab.
например
//10.0.0.1:/home / home значения по умолчанию для nfs, vers = 3, rw, noatime 0 0
Все, что отображается на «none», звучит так, как будто all_squash включен.
Взгляни на:
http://www.centos.org/docs/5/html/Deployment_Guide-en-US/s1-nfs-server-config-exports.html
и убедитесь, что файл / etc / exports на сервере NFS не сжимает UID непреднамеренно. "no_all_squash" предполагается по умолчанию, но вы можете попробовать явно установить его и посмотреть, что произойдет.
Для меня исправление - убедиться, что DNS-запись существует для локального компьютера. Также помогает, если также существует запись обратного просмотра. В результате пользователь и группа nobody были заменены на root. Насколько это просто?!? P.S. не забудьте перезагрузить локальный компьютер после создания записей DNS.