LINUX.ORG.RU
ФорумAdmin

LDAP+Kerberos


0

0

Доброго времени суток

Обязательно ли для связки аутентификация по Kerberos и авторизации по LDAP использовать LDAP как backend для хранения базы kerberos?

anonymous

Ответ на: Re: LDAP+Kerberos от DonkeyHot

Re: LDAP+Kerberos

А проверка разрешённых машин (атрибут host) происходит в auth, account или session?

anonymous ()
Ответ на: Re: LDAP+Kerberos от DonkeyHot

Re: LDAP+Kerberos

> Нет.

Не совсем верно.

В heimdal использовать ldap можно давно http://www.padl.com/Research/Heimdal.html - только там своеобразно-кривая реализация - общение с ldap сервером происходит только через unix сокет.

В mit kerberos поддержка ldap бэкенда добавлена novel начиная с версиии 1.6 http://web.mit.edu/Kerberos/krb5-1.6/README-1.6.txt http://web.mit.edu/Kerberos/krb5-1.6/krb5-1.6.3/doc/krb5-admin.html#Configuri...

Естественно не будет связки аутентификации по Kerberos и авторизации по LDAP (это если не извращаться).

> А проверка разрешённых машин (атрибут host) происходит в auth, account или session?

account

tungus ()
Ответ на: Re: LDAP+Kerberos от tungus

Re: LDAP+Kerberos

>Естественно не будет связки аутентификации по Kerberos и авторизации по LDAP (это если не извращаться).

Это как это не будет? А как у меня работает? Аутентификация производит "подтверждённое" имя пользователя, авторизация его потребляет. Какая нужна ещё связка?

DonkeyHot ★★★★★ ()
Ответ на: Re: LDAP+Kerberos от tungus

Re: LDAP+Kerberos

> Естественно не будет связки аутентификации по Kerberos и авторизации по LDAP (это если не извращаться).

В смыле можно сделать к примеру в случае heimdal:
ldap:conf:

nss_base_passwd        ou=People,ou=Posix,dc=org?one
nss_base_shadow        ou=People,ou=Posix,dc=org?one

krb5.conf: 
[kdc]
database = {
 dbname = ldap:ou=People,ou=Posix,dc=org
 mkey_file = /path/to/mkey
}

И соответсвенно записи вида:
objectclass: krb5KDCEntry
objectclass: posixAccount





tungus ()
Ответ на: Re: LDAP+Kerberos от DonkeyHot

Re: LDAP+Kerberos

> Аутентификация производит "подтверждённое" имя пользователя, авторизация его потребляет. Какая нужна ещё связка?

Выше написано.

tungus ()
Ответ на: Re: LDAP+Kerberos от tungus

Re: LDAP+Kerberos

> dbname = ldap:ou=People,ou=Posix,dc=org

Это приятно, т.к. уменьшает на 1 кол-во действий по созданию/удалению УЗ. Но не необходимо, работает и без этого.

DonkeyHot ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.