主页 / server / 问题 / 797235
Accepted
84104
Asked: 2016-08-17 14:25:24 +0800 CST

sssd可以提供跨域组成员吗？

  • 772

如何sssd在所有配置的域中搜索组成员身份？

根据下面的配置，alice(@bar) 和 bob(@foo) 都应该是 testgroup(@bar) 的成员。但是，只有 alice 被 sssd 视为 testgroup 的成员。

查看 tcpdump 捕获，似乎 alice 仅(&(&(member=uid=alice,ou=users,dc=bar,dc=example,dc=com)(objectClass=posixGroup))(cn=*))在 scope 内搜索ou=groups,dc=bar,dc=example,dc=com，而 bob 仅(&(&(member=uid=bob,ou=users,dc=foo,dc=example,dc=com)(objectClass=posixGroup))(cn=*))在 scope 内搜索ou=groups,dc=foo,dc=example,dc=com。

如何更改 sssd（或我的 OpenLDAP 后端）的行为以允许跨域成员身份？

dn: cn=testgroup,ou=groups,dc=bar,dc=example,dc=com
objectClass: groupOfNames
objectClass: posixGroup
cn: testgroup
gidNumber: 54321
member: uid=alice,ou=users,dc=bar,dc=example,dc=com
member: uid=bob,ou=users,dc=foo,dc=example,dc=com


[sssd]
config_file_version = 2
services = nss, pam, autofs
domains = FOO.EXAMPLE.COM, BAR.EXAMPLE.COM

[nss]
filter_groups = root
filter_users = root
reconnection_retries = 3

[pam]
reconnection_retries = 3

[autofs]

[domain/FOO.EXAMPLE.COM]
id_provider = ldap
auth_provider = krb5
chpass_provider = krb5
ldap_uri = _srv_
ldap_search_base = dc=foo,dc=example,dc=com
ldap_user_search_base = ou=users,dc=foo,dc=example,dc=com?onelevel?
ldap_group_search_base = ou=groups,dc=foo,dc=example,dc=com?onelevel?
ldap_schema = rfc2307bis
ldap_sasl_mech = GSSAPI
krb5_realm = FOO.EXAMPLE.COM

ldap_autofs_entry_key = automountKey
ldap_autofs_map_name = automountMapName
ldap_autofs_search_base = ou=automount,dc=foo,dc=example,dc=com

[domain/BAR.EXAMPLE.COM]
id_provider = ldap
auth_provider = ldap
chpass_provider = ldap
ldap_uri = _srv_
ldap_search_base = dc=bar,dc=example,dc=com
ldap_user_search_base = ou=users,dc=bar,dc=example,dc=com?onelevel?
ldap_group_search_base = ou=groups,dc=bar,dc=example,dc=com?onelevel?
ldap_schema = rfc2307bis
ldap_sasl_mech = GSSAPI

ldap_autofs_entry_key = automountKey
ldap_autofs_map_name = automountMapName
ldap_autofs_search_base = ou=automount,dc=bar,dc=example,dc=com
openldap sssd

2 个回答

  1. Best Answer

    ldap_*_search_base在一个域中使用多个s。

    ldap_user_search_base = ou=users,dc=bar,dc=example,dc=com?onelevel??ou=users,dc=foo,dc=example,dc=com?onelevel?
ldap_group_search_base = ou=groups,dc=bar,dc=example,dc=com?onelevel??ou=groups,dc=foo,dc=example,dc=com?onelevel?
    • 1

  2. SSSD 不支持两个不同 [domain] 节之间的跨域成员资格。但是，如果您的服务器是 AD，那么您可以只使用 id_provider=ad，那么通用范围的组应该可以使用 sssd 进行解析。

    • 0

相关问题