Quartz 5

SSSD - клиенты

2 min read

sssd libpam-ldapd

Настройка клиента LEGASY

nscld libpam-ldapd libnss-ldapd

Установка

apt install libpam-ldapd
 
# Выбрать (нажать пробел) (далее = Enter)
*passwd *group *shadow 
 
# IP сервера
<ip address> 
 
# Доменное имя сервера
<domain name>

Если нужно startTLS или обращаться к LDAP не с anonymous

dpkg-reconfigure nslcd
	
	Че-то там аутенфикация ставим не None а Simple и указываем полную запись чела. cn=admin,dc=example,dc=com
	
	StartTLS ставим не none, а startTLS

Настройка аутентификации LDAP

# Включить создание каталога для пользователя
pam-auth-update
    # выбрать (нажать пробел) (далее = Enter)
	*create home directory on login
 
# Перезапустить
reboot

Если есть запись ldap и настроен файл resolv.conf на domain и search то данные сами заполняются. Или можно настроить /etc/hosts

Проверка

Делаем запрос к LDAP-Серверу

getent passwd admin1
  • Выведет немного информации о пользователе

Так-же мы можем аутентифицироваться под созданными пользователям

su admin1

Настройка клиента норм SSSD

sssd

apt install sssd -y
 
cp /usr/share/doc/sssd-common/examples/sssd-example.conf /etc/sssd/sssd.conf
 
# также можно в man посмотреть
man sssd.conf
man sssd-ldap
--> vi /etc/sssd/sssd.conf
=============================
[sssd]
...
domains = atlas.a2.lab
...
 
[domian/atlas.a2.lab] # если перед скобкой пробел может ругаться
 id_provider = ldap
 auth_provider = ldap
 ldap_uri = ldap://ldap.atlas.a2.lab
 ldap_search_base = dc=atlas,dc=a2,dc=lab
 
 # Пункт 2: Включаем TLS
 ldap_id_use_start_tls = True
 
 # что делать с сертификатом ( demand = жестко требовать норм сертификат от своего CA, allow если есть сертификат то уже пойдет)
 ldap_tls_reqcert = demand
 
 # CA сертификат, вроде если добавить через update-ca то не нужно тут указывать
 ldap_tls_cacert = /ca/ca.crt
 
 # Пункт 3: Сервисный аккаунт
 ldap_default_bind_dn = uid=ldap-reader,ou=ServiceAccounts,dc=atlas,dc=a2,dc=lab
 ldap_default_authtok = Skill39@A2reader
 
=============================
chmod 770 /etc/sssd/sssd.conf # публик доступ убрать иначе не запустится
systemctl restat sssd

подсмотреть что-нить можно в

man sssd-ldap

Кэширующий LDAP

по умолчанию в sssd включен в libpam-ldapd нельзя сделать. Но если настроить libpam-ldapd и просто скачать sssd, то он вроде даже +- кэширует. Но если что вот команда как в sssd включить его.

cache_credentials = true

Graph View