Инструкции по настройке аутентификации с помощью LDAP

0

0

Большая подробная инструкция по настройке аутентификации с помощью LDAP

"Настройка аутентификации с помощью LDAP довольно тяжела, главным образом по той причине, что информация, которая вам нужна разбросана во множестве документов и некоторые важные детали не представлены. В результате я провел неделю в тяжких трудах для того, чтобы продемонстрировать как добиться необходимого результата.

Я работаю в Red Hat Linux. Результаты, в сравнении с прочими UNIX системами довольно хороши. Далее некоторая информация, которая может оказаться полезной для людей использующих MS Windows и другие операционные системы..."

>>> Подробности

Ссылка

←	И снова Free Pascal

Некоторые серверы debian.org временно недоступны

→

Хм.
Спасибо, конечно, автору перевода, правда ничего нового там не описано. Авторизация через LDAP локальных пользователей, IMHO, самое простое, что можно сделать с LDAP.

vitamin ★
(03.02.04 09:23:39 MSK)

>Я работаю в Red Hat Linux...

>Когда я проинсталлировал модуль РАМ LDAP, то поначалу он не работал, поскольку система не могла обнаружить его библиотеки.

>Я добавил в /etc/ld.so.conf такую строку: /usr/local/lib

Нда, хороши "спецы" работают в Red Hat.

Интересно, сколько времени он потерял на решение этой "проблемы"?

anonymous
(03.02.04 10:11:16 MSK)

Ответ на: комментарий от anonymous 03.02.04 10:11:16 MSK

А что, этого нельзя делать ни при каких условиях?

anonymous
(03.02.04 10:50:01 MSK)

Ссылка

Большое спасибо автору!

anonymous
(03.02.04 10:58:00 MSK)

Ссылка

Спасибо, копаем дальше.

anonymous
(03.02.04 11:03:12 MSK)

Ссылка

Ответ на: комментарий от vitamin 03.02.04 09:23:39 MSK

Хм. vitamin, напиши про "посложнее", а мы тебе спасибо скажем.

anonymous
(03.02.04 11:06:30 MSK)

А без PAM'а как-нть сделать можно?

Насколько я понял из опций configure, большинство программ(samba, postfix, ftp, squid, etc) позволяют ходить за user/passwords в LDAP нативно, а не через pam_ldap, или я ошибаюсь?

Deleted
(03.02.04 11:15:28 MSK)

Нужно сделать адресную книгу через LDAP,
раздел общих адресов, личные.
Все должно храниться на сервере.
Подскажите,где можно прочитать про азы LDAP и про адресную книгу (по-русски).

WinLin ★
(03.02.04 11:27:39 MSK)

Ссылка

Ответ на: комментарий от anonymous 03.02.04 11:06:30 MSK

посложнее postfix+ldap+courier-imap правда нифига не сложнее на практике - дока статейку писать влом -небось уже ест ькуча таких...

orb ☆
(03.02.04 11:30:30 MSK)

Ссылка

/usr/doc - самая спрятанная папка в системе :)

grustnoe ★★
(03.02.04 11:32:40 MSK)

Ссылка

Ответ на: комментарий от Deleted 03.02.04 11:15:28 MSK

>А без PAM'а как-нть сделать можно? все можно сделать, без памов надо чтобы проги умели в ldap "лазить"

orb ☆
(03.02.04 11:33:28 MSK)

Ответ на: комментарий от orb 03.02.04 11:33:28 MSK

off topic: сколько пишу, никак не привыкну включать preformated text, а может это не во мне дело?

orb ☆
(03.02.04 11:34:40 MSK)

Ссылка

Ответ на: комментарий от orb 03.02.04 11:33:28 MSK

Ага... Где не читаю доку, хоть на английском, хоть на немецком, хоть на каком... Связки вида squid+samba+mail(postfix/etc+courier)+ftp+etc всё написано с использованием PAM'а. А мне надо без него.
И все программы, вроде бы, умеют "ходить" напрямую в LDAP, а всё равно никак не подружу...

Deleted
(03.02.04 11:46:22 MSK)

Outlook Address Book

как сделать штобы Outlook Address Book показывал весь спысок адресов

anonymous
(03.02.04 11:50:55 MSK)

Ссылка

Ответ на: комментарий от Deleted 03.02.04 11:46:22 MSK

>га... Где не читаю доку, хоть на английском, хоть на немецком, хоть на 
>каком... Связки вида squid+samba+mail(postfix/etc+courier)+ftp+etc всё 
>написано с использованием PAM'а. А мне надо без него.
>И все программы, вроде бы, умеют "ходить" напрямую в LDAP, а всё равно 
>никак не подружу...

Как поймешь принцип, так и подружишь
В принцыипе в README файлах которые идут с openldap, postfix, samba 
...etc... ест ьвсе что нужно для настройки. И очень редко действительно 
появляется необходимость взглянууть в исх. код что-бы понять логику 
работы, но это не документированные фичи, например SLAPD_MULTIMASTER ...

orb ☆
(03.02.04 11:52:19 MSK)

Ответ на: комментарий от orb 03.02.04 11:52:19 MSK

Спасибо, попробую... А тогда такой вопрос - в силу устоявшихся правил полностью отказаться от AD никак нельзя, можно ли LDAP, который на AD оставить вторичным, т.е. основным LDAP-сервером сделать OpenLDAP, а MSAD научить ходить туда за записями?

Говорят, что MS сильно подточила(попреки заявлениям самой MS) ldap(+керберос), которые входят в АД и что такое(см выше) врядли возможно.

Deleted
(03.02.04 12:01:24 MSK)

Ответ на: комментарий от Deleted 03.02.04 12:01:24 MSK

>можно ли LDAP, который на AD оставить вторичным, т.е. основным >LDAP-сервером сделать OpenLDAP, а MSAD научить ходить туда за записями?

незнаю ... :-) отстал от жизни :-) никогда не работал с AD, уже несколько лет не нажимал кнопку "пуск"...

orb ☆
(03.02.04 12:08:16 MSK)

Ссылка

Чем LDAP здесь удобнее самопального PAM-модуля, умеющего лазить в SQL базу за шифорванным паролем?

anonymous
(03.02.04 12:21:12 MSK)

*****

Я работаю в Корпорации Монстров :)

hbee ★★★★
(03.02.04 12:33:29 MSK)

Ссылка

Может кому пригодится

These are my notes about how I got OpenLDAP (v2.0.7), OpenSSL (v0.9.5a), SASL (v1.5.24) and MIT KerberosV (v1.2.2) to work together.

http://www.bayour.com/LDAPv3-HOWTO.html

~~Sun-ch~~ ☆
(03.02.04 12:41:27 MSK)

не забывай те, что оригинал статьи допотопный!

Niki ★
(03.02.04 12:46:40 MSK)

Ссылка

Ответ на: комментарий от Sun-ch 03.02.04 12:41:27 MSK

>Может кому пригодится

саныч, ты как всегда в лужу пукнул. там рассказывается тольно как настроить, а про саму идеологию ничего нет!

borisych ★★★★★
(03.02.04 13:57:22 MSK)

Ссылка

имхо, статься, попсовая, ничего нового нет.

borisych ★★★★★
(03.02.04 13:58:55 MSK)

Ссылка

Ответ на: комментарий от Deleted 03.02.04 11:15:28 MSK

Можно и вез pam_ldap -- подкрутить nsswitch.conf на предмет откуда брать данные. Но там свои грабли... Мне без nscd-демона не удалось заставить эту конструкцию нормально работать.

PS. А необходимость хранить cleartext password в конфиге меня всегда смущала. При том, что в LDAP есть привилегия ``auth''. Может, кто-то заставил это чудо крутиться без binddn с правами чтения паролей?

~~Zulu~~ ★★☆☆
(03.02.04 14:01:35 MSK)

Ссылка

В статье написано: Оригинал статьи может быть найден по адресу:
http://www.openldap.org./lists/openldapsoftware/200010/msg0009

Ссылка кривая. Нельзя ли подправить?

anonymous
(03.02.04 14:21:45 MSK)

Ответ на: комментарий от anonymous 03.02.04 10:11:16 MSK

>Когда я проинсталлировал модуль РАМ LDAP, то поначалу он не работал, поскольку система не могла обнаружить его библиотеки.

>Я добавил в /etc/ld.so.conf такую строку: /usr/local/lib
А я всегда думал, что PAM модули надо в /lib/secur.....
ложить

ranckont ★
(03.02.04 14:35:10 MSK)

Ссылка

LDAP System Administration By Gerald Carter Publisher : O'Reilly Pub Date : March 2003 Pages : 308

господа, забейте на этот перевод, который базируется на статье 2000 года, которая базируется на книге 1996 года....

лдап бэк-енд на шеловских скриптах... yahoo.eu

anonymous
(03.02.04 15:48:06 MSK)

Ответ на: комментарий от anonymous 03.02.04 15:48:06 MSK

а у меня не получается прикрутить ldap+cyrus imap cyrus всё-равно пытается лезть в sasldb2 , а не в лдап :( нарыл кучу доков , пробывал сделать по ним - тоже самое :( может кто помочь?

anonymous
(03.02.04 16:17:00 MSK)

Ссылка

Ответ на: комментарий от anonymous 03.02.04 14:21:45 MSK

> В статье написано: Оригинал статьи может быть найден по адресу: > http://www.openldap.org/lists/openldapsoftware/200010/msg0009

> Ссылка кривая. Нельзя ли подправить?

Исправлено. http://www.linuxrsp.ru/artic/auth_ldap.html

anonymous
(03.02.04 20:02:30 MSK)

Ссылка

Ответ на: комментарий от anonymous 03.02.04 12:21:12 MSK

>Чем LDAP здесь удобнее самопального PAM-модуля, умеющего лазить в
>SQL базу за шифорванным паролем?

А тем что Ldap это не только база данных, сначала читать что такое LDAP....
Зачем писать второй LDAP на самопальных модулях, тем более это потребует массу времени.

Да и буковка L все еще мешает реализации того что было задуманно.

anonymous
(04.02.04 03:59:05 MSK)

Ответ на: комментарий от anonymous 04.02.04 03:59:05 MSK

статья не стоит внимания. страждущим использовать лдап: не увидел ниодного внятного вопроса

отвечаю вкратце: pam пережиток 20 века и совершенно спокойно можно обходится без него (весь сфот который упоминался в этом треде может обходится без pam);

маздайный AD умеет реплицироваться с openldap. и наоборот. правда есть некоторые вещи специфики именно виндовых сетей, для которых пока openldap не подходит (а оно нам надо?), но 100% идентичность данных организовать не сложно;

90% вопросов разрешено в рассылке openldap

bass ★★★★★
(04.02.04 08:56:42 MSK)

Ответ на: комментарий от bass 04.02.04 08:56:42 MSK

> маздайный AD умеет реплицироваться с openldap. и наоборот. правда есть некоторые вещи специфики именно виндовых сетей, для которых пока openldap не подходит (а оно нам надо?), но 100% идентичность данных организовать не сложно;

как?

anonymous
(04.02.04 09:53:14 MSK)

Ссылка

Ответ на: комментарий от bass 04.02.04 08:56:42 MSK

> pam пережиток 20 века и совершенно спокойно можно обходится без него

Согласен на все 100%. Но как быть конкретно с ldap? Насколько мне
известно, пока не существует достойных реализаций LDAP без PAM.
Если знаешь такую реализацию, то может подскажешь, где и что?

anonymous
(04.02.04 13:36:49 MSK)

Ответ на: комментарий от anonymous 04.02.04 13:36:49 MSK

>Согласен на все 100%

Согласен процентов на 5:-). LDAP - это справочная информация. Аутенти(фи)?кационная справочной не является. Система может поддерживать несколько методов аутентикации - поэтому система аутентикации должна быть модульная. Что значит аббревиатура PAM все помнят?

DonkeyHot ★★★★★
(04.02.04 16:02:43 MSK)

Ответ на: комментарий от DonkeyHot 04.02.04 16:02:43 MSK

Да, она справочная, но привязана к PAM. Если это не так, то дай мне
ссылку на реализацию LDAP для Unix без PAM.

> Система может поддерживать несколько методов аутентикации - поэтому система аутентикации должна быть модульная

То же самое делается через nsswitch.conf(5). И тоже через
модули-библиотеки. Я что-то не очень вижу связь/зависимость между pam
и nsswitch интерфейсом. Может кто-нибудь более знающий может просветить?

anonymous
(04.02.04 16:57:49 MSK)

Ответ на: комментарий от anonymous 04.02.04 16:57:49 MSK

>дай мне ссылку на реализацию LDAP для Unix без PAM.

В Tru64 Unix - ldapsia модуль. Это не PAM, скорее обьединение нескольких функций nsswitch и pam под одной крышей.

>> Система может поддерживать несколько методов аутентикации

>То же самое делается через nsswitch.conf(5)

Не то же. Покажи мне как в nsswitch+ldap проверить аутентичность пользователя с помощью по какой-нибудь one-time-password схеме. Это если у клиента брелок с генератором случайных чисел, которые используются как пароли.

DonkeyHot ★★★★★
(04.02.04 17:12:33 MSK)

Ответ на: комментарий от DonkeyHot 04.02.04 17:12:33 MSK

> В Tru64 Unix - ldapsia модуль.

Я не сомневался, что это возможно. Хотелось бы еще увидеть нечто, что
могло бы работать не только в true64.

> как в nsswitch+ldap проверить аутентичность пользователя с помощью по
какой-нибудь one-time-password схеме

Так ведь libnss_SERVICE.so ничем не ограничена. Пиши свой SERVICE как
душе угодно, и делай любые проверки.

anonymous
(05.02.04 09:17:11 MSK)

Ответ на: комментарий от anonymous 05.02.04 09:17:11 MSK

>libnss_SERVICE.so ничем не ограничена.

Еще как ограничена.

0. Что если я хочу проверить пароль одним из 3х методов(one-time-pass, kerberos, /etc/shadow). Держать 3 записи? И как с этим разберется getspent?

1. пользователь получает одноразовый пароль, сервер должен проверить, находится ли этот пароль в базе _рядом_ с текущим состоянием генератора. То есть пароль неоднозначен.

2. где в nss функция для выполнения требуемых для начала/конца сеанса действий(типа получить TGT, уничтожить его)?

3. В конце концов NSS=NameServiceS... Сервис имен _не_ предназначен для аутентикации. Хотя _может_ быть использован для нее. В простых случаях.

DonkeyHot ★★★★★
(05.02.04 10:20:17 MSK)