Centos 7 LDAP-аутентификация (su работает, но ssh/ консоль не работает)

Question

Centos 7 LDAP-аутентификация (su работает, но ssh/ консоль не работает)

У меня есть Centos 7 и следующие установленные пакеты:

[root@centos7 pam.d]# rpm -qa|grep ldap
nss-pam-ldapd-0.8.13-8.el7.x86_64
openldap-2.4.44-5.el7.x86_64
openldap-clients-2.4.44-5.el7.x86_64

Мои конфиги:

/etc/nslcd.conf:

uid nslcd
gid ldap

uri ldap://<my_ldap_server_ip>

base dc=company,dc=org

binddn cn=proxy,ou=users,dc=company,dc=org
bindpw <bind_pw>

nss_initgroups_ignoreusers root,nslcd
nss_min_uid 10000

filter passwd (objectClass=posixAccount)
base passwd ou=users,dc=company,dc=org
base shadow ou=users,dc=company,dc=org
base group ou=groups,dc=company,dc=org
scope passwd one
scope shadow one
scope group one

map group member uniqueMember

ssl start_tls
TLS_REQCERT allow
tls_cacertdir /etc/openldap/cacerts

/ и т.д. / NSSwitch:

. . .
passwd:     files sss ldap
shadow:     files sss ldap
group:      files sss ldap
. . .

/etc/pam.d/:

[root@centos7 pam.d]# ls -lah password-auth system-auth
lrwxrwxrwx. 1 root root 16 Aug 22 18:53 password-auth -> password-auth-ac
lrwxrwxrwx. 1 root root 14 Aug 22 18:53 system-auth -> system-auth-ac

/etc/pam.d/password-auth:

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_ldap.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so
password    required      pam_deny.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so
password    required      pam_deny.so

/ и т.д. / системы аутентификации:

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_ldap.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so
password    required      pam_deny.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so
password    required      pam_deny.so

Когда я делаю "su-ldapuser", я вошел.

Но из ssh / console я не могу войти.

nslcd -d:

nslcd: [e2a9e3] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [e2a9e3] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [e2a9e3] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [e2a9e3] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [45e146] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [45e146] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [45e146] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [45e146] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [5f007c] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [5f007c] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [5f007c] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [5f007c] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [d062c2] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [d062c2] <passwd="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [d062c2] <passwd="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [d062c2] <passwd="ldapuser"> DEBUG: ldap_result(): end of results (1 total)
nslcd: [200854] DEBUG: connection from pid=4867 uid=0 gid=0
nslcd: [200854] <authc="ldapuser"> DEBUG: nslcd_pam_authc("ldapuser","sshd","***")
nslcd: [200854] <authc="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=posixAccount)(uid=ldapuser))")
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_result(): cn=ldapuser,ou=users,dc=company,dc=org
nslcd: [200854] <authc="ldapuser"> DEBUG: myldap_search(base="cn=ldapuser,ou=users,dc=company,dc=org", filter="(objectClass=*)")
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_initialize(ldap://<my_ldap_server_ip>)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_rebind_proc()
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_PROTOCOL_VERSION,3)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_DEREF,0)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_TIMELIMIT,30)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_TIMEOUT,30)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_NETWORK_TIMEOUT,30)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_REFERRALS,LDAP_OPT_ON)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_set_option(LDAP_OPT_RESTART,LDAP_OPT_ON)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_start_tls_s()
nslcd: [200854] <authc="ldapuser"> DEBUG: set_socket_timeout(30,500000)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_simple_bind_s("cn=ldapuser,ou=users,dc=company,dc=org","***") (uri="ldap://<my_ldap_server_ip>")
nslcd: [200854] <authc="ldapuser"> ldap_result() failed: No such object
nslcd: [200854] <authc="ldapuser"> cn=ldapuser,ou=users,dc=company,dc=org: lookup failed: No such object
nslcd: [200854] <authc="ldapuser"> DEBUG: set_socket_timeout(15,0)
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_unbind()
nslcd: [200854] <authc="ldapuser"> DEBUG: myldap_search(base="ou=users,dc=company,dc=org", filter="(&(objectClass=shadowAccount)(uid=ldapuser))")
nslcd: [200854] <authc="ldapuser"> DEBUG: ldap_result(): end of results (0 total)

journalctl -xlf:

Feb 20 20:37:24 centos7.localdomain sshd[4965]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.56.1  user=ldapuser
Feb 20 20:37:24 centos7.localdomain sshd[4965]: pam_ldap(sshd:auth): Authentication failure; user=ldapuser
Feb 20 20:37:26 centos7.localdomain sshd[4965]: Failed password for goncharuk from 192.168.56.1 port 56663 ssh2

UPD: я забыл показать эти ссылки: я читал эти темы, и они мне не помогают:

CentOS-7-LDAP-аутентификации разрешения, отказано

LDAP-Логин-терпит неудачу но-су-к-LDAP-пользователи-работа

2

centos ldap

Источник

Yurij Goncharuk 20 фев '18 в 16:43

1 ответ

Решение

Другие вопросы по тегам centos ldap

Yurij Goncharuk 26 фев '18 в 16:42 2018-02-26 16:42 · Accepted Answer · 2018-02-26 16:42

Наконец, проблема была решена.

Некоторые краткие, прежде чем конкретные шаги. Всем, кто знает, что процедура входа в систему LDAP выполнялась следующим образом:

Authentification:

Подключение к серверу LDAP.
"Привязка" как "поиск пользователя".
Поиск необходимого пользователя.
"Привязка" в качестве пользователя с шага 3 с соответствующим паролем.

Авторизация:

Поиск необходимых атрибутов.
Авторизоваться

Если логин неверный на шаге 3, появится сообщение "Пользователь не найден".

Если пароль на шаге 4 неверен, то выдается сообщение "Недействительные учетные данные".

Действительно, NSLCD делает все эти шаги.

Шаг 4 в NSLCD имеет одно улучшение по соображениям безопасности. После "связывания" в качестве найденного пользователя NSLCD пытается выполнить поиск в "DN" пользователя с основанием в качестве "DN", чтобы убедиться, что этот "DN" действительно является "DN" для "связывающего" пользователя. Например (запрос 'ldapsearch'):

ldapsearch -w <user_passwd> -h <ldap_server_ip> -D "cn=ldapuser,ou=users,dc=company,dc=org" -b "cn=ldapuser,ou=users,dc=company,dc=org"

Это поведение было описано автором nss-pam-ldapd по крайней мере в следующих источниках:

выпуск 1

выпуск 2

Это означает, что пользователь, который хочет войти в систему через NSLCD, должен иметь права поиска в своем собственном LDAP 'DN'!

В версиях NSLCD до 0.9.x это поведение не было изменяемым.

В версии NSLCD, которая начинается с 0.9.x, можно пропустить поиск в собственном "DN" с помощью опции "pam_authc_search NONE".

В моем случае, использование 'pam_authc_search NONE' мне действительно помогает, но необходимо собрать и установить пакет 'nss-pam-ldapd' с новой версией. Сейчас я тестирую вход в LDAP на виртуальной машине с Centos 7. У меня есть как минимум 5 разных дистрибутивов, и сборка пакетов для каждого не является хорошим решением. Кроме того, двухфазные проверки входа в систему (связывание + поиск) действительно нуждаются в инструменте безопасности. Итак, я изменил свой ACL-сервер LDAP (OpenLDAP 2.4) на общий доступ к поиску для пользователей в собственном "DN", и теперь все работает нормально:

файл /etc/openldap/slapd.conf:

. . .
access to attrs=userPassword
        by self read
        by anonymous auth
        by * none

access to *
        by self read
        by dn="cn=searchuser,ou=users,dc=company,dc=org" read
        by * none
. . .