FAI Local » Docs publiques

h1. Intégration des comptes LDAP au système

{{>toc}}

* provisionnement de passwd, shadow et group depuis le LDAP: installation des nouveaux paquets libpam-ldapd et libnss-ldapd. Les comptes du LDAP viennent s'ajouter aux comptes locaux, avec une plage d'uid/gid à réserver (Note: j'ai pris 2000-2999). Les hachages de shadow ne sont pas exposés. Leur vérification de fait par un bind ldap. 

* restriction d'accès par hôte: pour chaque machine, un groupe (loginrigel, loginkim, etc) contient les users autorisés à se connecter. Un groupe loginall permet de se connecter à toutes les machines.

* sudoers: pour chaque machine, un groupe (sudorigel, sudokim, etc) contient les users autorisés à utiliser sudo. Un groupe sudoall permet d'utiliser sudo sur toutes les machines.

Les mécanismes d'authentification classiques sont préservés: en cas de défaillance du LDAP, il reste toujours possible de se logger avec un compte local.

Ces notes concernent debian wheezy et ont été prises dans le cas d'une installation sur un système hébergeant une copie locale du ldap (=> ldap://127.0.0.1/). Si ce n'est pas le cas, il faut ajouter authentification et chiffrement (avec starttls) entre la machine et le serveur ldap.

h1. libnss-ldapd et libpam-ldapd

Ces paquets remplacent les anciens libnss-ldap et libpam-ldap, et sont plus faciles à configurer (pas - ou presque - de configuration manuelle des fichiers de pam.d).

<pre>

apt-get install libnss-ldapd libpam-ldapd nscd

</pre>

Debconf:

* ldap://127.0.0.1

* base de recherche ou=unix,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR

* gérer passwd, group et shadow

Note sur les ACL LDAP: les installations par défaut d'openldap restreignent l'accès à l'attribut shadowLastChange. Le système voit alors tous les comptes comme expirés.

=> autoriser la lecture de shadowLastChange

+Tests+: les commandes suivantes doivent retourner les données du ldap et des bases d'authentification locales.

<pre>

getent passwd

getent shadow

getent group

</pre>

FIXME: getent shadow ne retourne pas les données du ldap, mais c'est peut être normal.

h1. Création automatique des home

Modifier manuellement /etc/pam.d/common-session pour ajouter la ligne suivante.

<pre>

session     required      pam_mkhomedir.so skel=/etc/skel umask=0022

</pre>

Les home des users seront maintenant créés automatiquement au premier login.

Note: lors des mises à jour, accepter l'installation des versions standard des fichiers de pam.d, et ajouter cette ligne à la main.

h1. Restriction d'accès par hôte: pam_authz_search

Ajouter la ligne suivante dans /etc/nslcd.conf.

<pre>

pam_authz_search (&(objectClass=posixGroup)(memberUid=$username)(|(cn=login$hostname)(cn=sudo$hostname)(cn=loginall)(cn=sudoall)))

</pre>

<pre>

service nslcd restart

</pre>

Pour pouvoir se logger, il faut appartenir au groupe login[HOSTNAME], au groupe loginall, au groupe sudo[HOSTNAME] ou au groupe sudoall.

h1. Sudoers dans des groupes LDAP

Utiliser visudo pour ajouter des groupes ldap aux sudoers:

<pre>

# Allow members of group sudo to execute any command

%sudo   ALL=(ALL:ALL) ALL

%sudorigel ALL=(ALL:ALL) ALL

%sudoall ALL=(ALL:ALL) ALL

</pre>

Ici, _sudorigel_ et _sudoall_ sont des groupes définis sur le LDAP. Une fois l'intégration nss/pam/ldap effectuée, ça ne fait aucune différence pour sudo.

h1. Exemples d'utilisateurs et de groupes

ldif:

<pre>

version: 1

dn: cn=papoudret,ou=users,ou=unix,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR

objectClass: inetOrgPerson

objectClass: organizationalPerson

objectClass: person

objectClass: top

objectClass: posixAccount

objectClass: ldapPublicKey

cn: papoudret

gidNumber: 2000

homeDirectory: /home/papoudret

sn: Poudret

uid: papoudret

uidNumber: 2000

displayName: Pierre-Arnaud Poudret

gecos: papoudret

givenName: Pierre-Arnaud

loginShell: /bin/bash

mail: papoudret@illyse.org

sshPublicKey:: c3NoLXJzYSBBQUFBQjNOemFDMXljMkVBQUFBQkl3QUFBUUVBMEt5bWxqSUFqc

 Eh6Vk5mU2tOTlZNSEc5OStKenRNeDBTZm0vUlBKTm1pUys5ZXJDdnpYK216Uk96THdUMzFZRzZP

 MTEwOVhhazBVTGdVbEZnSWlld2czOXJuamxIa0Z3eFB6eVJBMk03TXlxOTNRcW9FUXRud3VxaEt

 oN2RPbEFrWmtiTDg5M2RhSFF4aTJodDkxNVpLeTFvUmgyM2ltRDcrS1RKZnFUM2IzQXlhOFVQc2

 9HRXU0ckpkbEVmUjBHZnVxWDNBei9pNDdRM0NyYnlrUkVYY3dOR25VZ3BPdU01L3NuME9taGYzT

 G0xZ3c1OHBYSnNWVWg1QUc3UjBBU1ljd0JVWTBqLzY2b0RSZ3hBbXRkSWR0OFBlL2JFWGp6dHdH

 bm4xWFZTWHdwSDY5NlBWWHRGRHExSmFlcEZHanBGMTJrclZJcTBjVXVFM3ZOVWFPQStRPT0gc2F

 tbG93cnlAdmFsaXM=

userPassword:: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXx

</pre>