Installation der LDAP-Zugriffspakete¶

Bei der Installation ^[1] von

• libnss-ldap

mit apturl

sudo apt-get install libnss-ldap  

sudo aptitude install libnss-ldap  

werden mehrere Angaben abgefragt:

• URI (Uniform Resource Identifier) des LDAP-Servers

• Basis-DN

• LDAP-Version: 3

• Root-DN

• Root-PW

• es wird ein Hinweis für die Änderung der /etc/nsswitch.conf ausgegeben

Das Ergebnis ist unter anderem eine Konfigurationsdatei: /etc/ldap.conf, die manuell zu ergänzen ist (siehe unten).

Bei der Installation ^[1] von

• libpam-ldap

mit apturl

sudo apt-get install libpam-ldap 

sudo aptitude install libpam-ldap 

werden wieder mehrere Angaben abgefragt:

• Lokalen root zum Datenbank-Administrator machen: Yes

• Benötigt die LDAP-Datenbank eine Anmeldung?: Yes

• Root-DN

• Root Passwort

• Bind-DN

• Bind-Passwort

Das Ergebnis ist auch die Konfigurationsdatei: /etc/ldap.conf.

Nun muss noch die Konfigurationsdatei /etc/ldap.conf ergänzt werden, damit die Active Directory Attribute korrekt genutzt werden können:

# ADS
scope sub
timelimit 5
bind_timelimit 5
idle_timelimit 3600
pam_login_attribute uid
pam_login_attribute sAMAccountName
pam_password ad
nss_base_passwd <DN_User_Container>
nss_base_shadow <DN_User_Container>
...
nss_base_group <DN_Group_Container>
nss_map_objectclass posixAccount user
nss_map_objectclass shadowAccount user
nss_map_attribute uid sAMAccountName
nss_map_attribute uidNumber msSFU30UidNumber
nss_map_attribute gidNumber msSFU30GidNumber
nss_map_attribute cn sAMAccountName
nss_map_attribute posixGroup memberOf
nss_map_attribute userPassword msSFU30Password
nss_map_attribute homeDirectory msSFU30HomeDirectory
nss_map_attribute loginShell msSFU30LoginShell
nss_map_attribute gecos name
nss_map_objectclass posixGroup group
nss_map_attribute uniqueMember member
pam_filter objectclass=user
ssl no
bind_policy soft

Vorbereiten des Zugriffs¶

Nun müssen noch drei Dateien am Ende wie folgt ergänzt ^[3] werden:

/etc/passwd

+::::::

/etc/group

+:::

/etc/nsswitch.conf

passwd_compat: ldap
group_compat: ldap
shadow_compat: ldap

Eine Alternative ist in https://help.ubuntu.com/community/LDAPClientAuthentication beschrieben. Mit dem Kommando:

sudo auth-client-config -t nss -p lac_ldap

kann auch die Modifikation erfolgen, die allerdings anders ausfällt. Nicht jede Variante muss immer funktionieren.

Danach sollten die Befehle:

getent passwd 

• und

getent group 

• gegebenenfals muss der Service nscd neu gestartet werden (mit service nscd restart), damit dies funktioniert.

• neben den lokalen Nutzern und Gruppen die neuen ADS-Nutzer und -Gruppen anzeigen. Funktioniert dies nicht, so muss die Änderung in /etc/nsswitch.conf auskommentiert werden. Danach funktioniert wieder der normale Login. Dann kann der Fehler gesucht werden (möglicherweise Schreibfehler in den Konfigurationsdateien; siehe auch die Log-Dateien: /var/log/auth.log, /var/log/syslog, /var/log/messages!)

Anpassung des PAM¶

Zunächst müssen folgende Pakete installiert sein:

• libpam-cap

• libpam-gnome-keyring

Die Anpassungen fallen vergleichsmäßig gering aus.

In den Konfigurationsfiles /etc/pam.d/common-auth, /etc/pam.d/common-account. /etc/pam.d/common-session und /etc/pam.d/common-password ist in den Zeilen mit pam_ldap.so' der Parameter minimum_uid=10000 zu ergänzen (10000 ersetzen durch Begin-UID der LDAP-Auth.).

Benutzung von useradd und groupadd¶

Die Linux-Kommandos useradd und groupadd werden gelegentlich beim Installieren von zusätzlichen Paketen aufgerufen. Dabei vergeben sie neue GID und UID. Damit diese in einem Bereich außerhalb des von Active Directory verwalteten Bereichs bleiben, sollten zwei kleine Anpassungen in /etc/login.defs vorgenommen werden:

/etc/login.defs

# UID_MAX          60000
UID_MAX             <maximal zu vergebende UID>
...
# GID_MAX           60000
GID_MAX             <maximal zu vergebende GID>

Abschluss¶

Jetzt sollte der nscd neu gestartet werden mit dem Befehl:

sudo /etc/init.d/nscd restart 

Schließlich kann man sich an einem anderen Fenster am Login-Prompt anmelden. Die Anmeldung sollte mit den System-Accounts, die nicht Bestandteil des Active Directories sind, genauso funktionieren wie mit den Active Directory-Accounts. Voraussetzung ist aber möglicherweise die Existenz des Homeverzeichnisses des neuen Nutzers.

... nscd: nss_ldap: reconnected to LDAP server ...

... sshd[...]: fatal: Privilege separation user sshd does not exist

... sshd[...]: fatal: Privilege separation user sshd does not exist

... sshd[...]: fatal: Privilege separation user sshd does not exist

host    <host-ip> <host-ip>
base    <dn>
ldap_version    3
binddn <Bind-DN>  
bindpw  <bind-pw>
port    389
scope   sub