主页 / server / 问题 / 6642
Accepted
Dave Cheney
Asked: 2009-05-10 07:12:34 +0800 CST

为 RHEL5 服务器自动配置 ldap 身份验证

  • 772

我使用puppet来管理我们的生产服务器。在 rhel5 下，启用 ldap 的标准方法是使用 authconfig 工具。哪个工作成功，但实际上并不能以傀儡的方式做事。如果我要让 puppet 对身份验证配置文件进行相关编辑，我应该更改哪些？在我的脑海中，我知道需要编辑以启用 ldap 身份验证的文件是

/etc/ldap.conf
/etc/nsswitch.conf

但也可能有我不喜欢的 pam 配置文件

redhat ldap

7 个回答

  1. Best Answer

    我通常编辑：

    /etc/ldap.conf
/etc/nsswitch.conf
/etc/openldap/ldap.conf (check for certs if necessary)
/etc/pam.d/system-auth

    我认为这涵盖了必要的弊端。可能还需要 /etc/sudoers 。

    • 3

  2. 我的偏好是管理 /etc/sysconfig/authconfig（其中包含一个变量列表），然后使用 authconfig --updateall，这让我可以删除 1 个控制一切的文件。

    • 3

  3. 我不确定是否有任何 RedHat 特定配置，但请查看此LDAP 配置指南。

    基本上，除了您提到的文件之外，您还应该像这样配置 PAM：

    auth       required     pam_env.so
auth       sufficient   pam_unix.so likeauth nullok
auth       sufficient   pam_ldap.so use_first_pass
auth       required     pam_deny.so

account    sufficient   pam_unix.so
account    sufficient   pam_ldap.so
account    required     pam_ldap.so

password   required     pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3    
password   sufficient   pam_unix.so nullok md5 shadow use_authtok
password   sufficient   pam_ldap.so use_first_pass
password   required     pam_deny.so
    • 1

  4. 我们设置 ldap auth（调用 authconfig）的脚本修改了这些文件：

    /etc/rc.d/init.d/iptables (rearrange the chkconfig priority)
/etc/gshadow
/etc/ssh/sshd_config
/etc/ldap.conf
/etc/pam.d/login
/etc/pam.d/sshd
/etc/group
    • 1

  5. 有点跑题了，但是在为 ldap auth 设置 PAM 时可能会有所帮助的是在用户首次登录服务器时自动创建用户主目录。

    如果您在 system-auth 文件中设置 ldap，则将以下内容添加到“会话”中：

    session          required        pam_mkhomedir.so skel=/etc/skel umask=0077

    在 RHEL5 服务器上，我在“会话需要 pam_limits.so”（第三个“会话”配置参数）之后有这个。

    根据上面 tucker 的建议，puppet 是管理跨多个服务器的配置的好工具。

    • 1

  6. 如果您是 kickstart，您可以将其设置为 kickstart 选项，请参阅：

    http://www.redhat.com/docs/manuals/enterprise/RHEL-5-manual/Installation_Guide-en-US/s1-kickstart2-options.html

    • 0

  7. 在一个客户端上使用 authconfig-tui 创建必要的文件（ldap.conf、krb5.conf、pam.d/system-auth-ac 等），然后将这些文件复制到您的 puppet 安装中并使用 puppet 将文件推送到所有新的和现有的服务器。

    如果你有大量的服务器并且你没有使用 puppet，你应该考虑它。

    • 0

相关问题