[Debian] AD & Winbind, inloggen met AD-user wil niet

[cor-gijs]

Na wat geklus is het mij gelukt om m'n Debian 3.1 bak met samba 3 en winbind in een AD-domein te hangen. Ik krijg mooi de mededeling dat ik verbonden ben aan het domein, kan de users en groups uit de AD zien en kan AD-users rechten geven voor bestanden en directory's e.d.
erg mooi

Nou wil ik ook dat bepaalde AD-users in kunnen loggen op de Debian-bak, vooral via SSH. In deze HowTo heb ik gelezen hoe dat moet. Ik heb de pam-modules aangepas zoals beschreven in de HowTo, maar toch wil het niet helemaal.

Wanneer ik via SSH of direct op de bak inlog met een AD-user: DOMEINNAAM+usernaam kan ik gewoon een passwoord invullen. dan krijg ik mooi de standaard Debian-welkomsboodschap en vervolgens wordt de verbinding meteen weer verbroken.
Dit gebeurt normaal gesproken ook bij gebruikers die wel in /etc/passwd staan, maar dan met /bin/false achter hun naam ipv /bin/bash.
Helaas staan de AD-users niet in /etc/passwd, dus kan ik dit niet aanpassen. Hoe kan ik ervoor zorgen dat ik met een AD-user in kan loggen? moet ik dan wat veranderen in /etc/pam.d/login en ssh?

Wanneer dit lukt wil ik eigen ook dat alleen bepaalde users (bijv. de users uit een bepaalde group in de AD) in kunnen loggen op de bak. Hoe krijg ik dat voor elkaar?

[cor-gijs]

als ik kijk in mijn /var/log/auth.log, zie ik het volgende staan over een mislukte login:

code:

Jul 14 21:31:42 localhost pam_winbind[2185]: user 'STRESSKAMER+bartd' granted access
Jul 14 21:31:42 localhost pam_winbind[2185]: user 'STRESSKAMER+bartd' granted access
Jul 14 21:31:42 localhost sshd[2185]: Accepted keyboard-interactive/pam for STRESSKAMER+bartd from 192.168.0.1 port 39598 ssh2
Jul 14 21:31:42 localhost sshd[2188]: (pam_unix) session opened for user STRESSKAMER+bartd by (uid=0)
Jul 14 21:31:42 localhost sshd[2188]: (pam_unix) session closed for user STRESSKAMER+bartd

klopt het nou dat de login mislukt vanwegen het feit dat de uid van bartd 0 is? kan ik die ergens wijzigen, of kan ik ergens instellen dat users met een uid van 0 ook in mogen loggen?

[cor-gijs]

even een klein schopje, ik kan me niet voorstellen dat niemand hier iets vanaf weet

[urk_forever]

Volgens mij kan je in de smb.conf aangeven welke uid's en gid's gemapt worden voor domein accounts. Misschien moet je daar eens naar kijken.
En verder zie ik geen foutmelding over het mislukken van authentication, dus dat lijkt goed te gaan.

[Jelmer]

opened by uid=0 wil zeggen dat root die sessie aangemaakt heeft (komt omdat SSH uiteraard als root draait).

Je kunt in smb.conf ook aangeven welke shell er by default gebruikt moet worden. Wat je ook kunt doen is: ssh STRESSKAMER+bartd@server /bin/sh uitvoeren, dan geef je aan dat er ipv de standaard shell een programma gestart dient te worden.

[cor-gijs]

Het werkt! nadat ik in smb.conf de volgende regel heb toegevoegd:

code:

template shell = /bin/bash

kan ik inloggen via ssh. het is weer geweldig. nu zou ik ik er dus voor willen zorgen dat alleen users uit een bepaalde AD-group in kunnen loggen en de rest niet. iemand suggesties?

[Jelmer]

Dat moet ook met PAM kunnen. Heb het zelf nooit gebruikt, maar bekijk /etc/pam.d/login en /etc/security/group.conf & access.conf eens. Succes!

[ Voor 6% gewijzigd door Jelmer op 17-07-2005 17:03 ]

[cor-gijs]

Ik denk dat ik met /etc/security/access.conf een heel eind kom, daar ga ik later aan knutselen. nu eerst een biertje in de achtertuin