LDAP+Kerberos

Нет.

Спасибо

А проверка разрешённых машин (атрибут host) происходит в auth, account или session?

> Нет.

Не совсем верно.

В heimdal использовать ldap можно давно http://www.padl.com/Research/Heimdal.html - только там своеобразно-кривая реализация - общение с ldap сервером происходит только через unix сокет.

В mit kerberos поддержка ldap бэкенда добавлена novel начиная с версиии 1.6 http://web.mit.edu/Kerberos/krb5-1.6/README-1.6.txt http://web.mit.edu/Kerberos/krb5-1.6/krb5-1.6.3/doc/krb5-admin.html#Configuri...

Естественно не будет связки аутентификации по Kerberos и авторизации по LDAP (это если не извращаться).

> А проверка разрешённых машин (атрибут host) происходит в auth, account или session?

account

>Естественно не будет связки аутентификации по Kerberos и авторизации по LDAP (это если не извращаться).

Это как это не будет? А как у меня работает? Аутентификация производит "подтверждённое" имя пользователя, авторизация его потребляет. Какая нужна ещё связка?

> Естественно не будет связки аутентификации по Kerberos и авторизации по LDAP (это если не извращаться).

В смыле можно сделать к примеру в случае heimdal:
ldap:conf:

nss_base_passwd        ou=People,ou=Posix,dc=org?one
nss_base_shadow        ou=People,ou=Posix,dc=org?one

krb5.conf: 
[kdc]
database = {
 dbname = ldap:ou=People,ou=Posix,dc=org
 mkey_file = /path/to/mkey
}

И соответсвенно записи вида:
objectclass: krb5KDCEntry
objectclass: posixAccount

> Аутентификация производит "подтверждённое" имя пользователя, авторизация его потребляет. Какая нужна ещё связка?

Выше написано.

> dbname = ldap:ou=People,ou=Posix,dc=org

Это приятно, т.к. уменьшает на 1 кол-во действий по созданию/удалению УЗ. Но не необходимо, работает и без этого.