主页 / ubuntu / 问题

问题[sssd](ubuntu)

Martin Hope
AveryFreeman
Asked: 2020-12-16 11:08:06 +0800 CST
  • 1

我有一个带有 IDMU 并UID/GID为我的域用户指定的 AD 环境。UID/GIDSSSD 连接的域用户在 Ubuntu 上与 AD共享不同的内容。

sssd.conf这是Ubuntu 20.10 中未编辑的默认设置：

% sssd --version
2.3.1

# cat /etc/sssd/sssd.conf 

[sssd]
domains = webtool.space
config_file_version = 2

[domain/webtool.space]
default_shell = /bin/bash
krb5_store_password_if_offline = True
cache_credentials = True
krb5_realm = MYDOMAIN.SPACE
realmd_tags = manages-system joined-with-adcli 
id_provider = ad
fallback_homedir = /home/%u@%d
ad_domain = mydomain.space
use_fully_qualified_names = True
ldap_id_mapping = True
access_provider = ad

如果用户名Auser有 aUID和10001a我希望这些数字会在其他平台上持续存在，对吗GID？10001

但 SSSD 似乎分配任意UID/GID与 AD 编号没有对应关系。这是一个真实的例子：

% su [email protected]                                        
Password: 
[email protected]@myhostname:~/$ id

uid=397401108([email protected])
gid=397400512(domain [email protected])
groups=397400512(domain [email protected]),
397400513(domain [email protected]),
397400518(schema [email protected]),
397400519(enterprise [email protected]),
397400572(denied rodc password replication [email protected]),
397401109([email protected]),
397401112(vcsa [email protected]),
397404603([email protected]),
397407607([email protected])

有什么办法可以防止这种行为？我希望我UID/GID与域控制器上分配的值相对应。

更新：

感谢出色的第一个答案，制作映射 1-1 所需的只是停止 SSSD 服务，删除缓存，ldap_id_mapping从更改True为False.

现在UID/GID与 AD 相同：

% id
uid=10000(auser) gid=10001(administrators) groups=10001(administrators),3109([email protected]),10000(domain [email protected])

现在要弄清楚为什么我错过了我的用户所属的一些组......

active-directory su domain-server sssd
Martin Hope
heynnema
Asked: 2020-11-01 13:33:46 +0800 CST
  • 14

不知道为什么，他们决定将 sssd（系统安全服务守护进程）添加到标准的 Ubuntu 20.10升级和全新安装中。它无法启动，并生成大量错误消息。它在安装时没有配置，因为它缺少所需的 /etc/sssd/sssd.conf 文件。

SSSD 是一个系统守护进程。它的主要功能是通过可以为系统提供缓存和离线支持的通用框架提供对本地或远程身份和身份验证资源的访问。它提供了多种接口，包括 NSS 和 PAM 模块或 D-Bus 接口。

您可以通过以下方式查看失败：

systemctl status sssd
sssd 20.10
Martin Hope
konstapel
Asked: 2020-07-15 01:34:43 +0800 CST
  • 1

它应该是什么样子：我的 Ubuntu VM 通过 SSSD 连接到我的 Active Directory 服务器。我想要一个 SFTP 服务器来监禁分配了特定 AD 组 (USR-SFTP@domain) 并且只有 SFTP 而不是 SSH 的传入用户。我的管理员用户及其分配的组 (Domain-Admins@domain) 应该仍然能够通过 SSH 但不能通过 SFTP 登录。

现在情况如何：我的 SSSD 工作正常。SFTP 让我有问题。

sssd.conf：

[sssd]
domains = domain
config_file_version = 2
services = nss, pam
default_domain_suffix = domain

[domain/domain]
default_shell = /bin/bash
krb5_store_password_if_offline = True
cache_credentials = True
krb5_realm = domain
realmd_tags = manages-system joined-with-adcli
id_provider = ad
fallback_homedir = /home/%u@%d
ad_domain = domain
use_fully_qualified_names = True
ldap_id_mapping = True
access_provider = simple
simple_allow_groups = Domain-Admins@domain

sshd.conf：

Subsystem sftp internal-sftp

Match Group usr-sftp
        ChrootDirectory /appdata/SFTPdata/%u
        ForceCommand internal-sftp -d /upload
        AllowTcpForwarding no
        GatewayPorts no
        X11Forwarding no

文件夹 /appdata/SFTPdata/%u 归 root 所有。文件夹 /appdata/SFTPdata/%u/upload 归用户所有。

当我在 sssd.conf 的允许组中添加 AD 组“usr-sftp”时，我能够通过 ssh 和 sftp 进行连接，但会被定向到 /home。

我不知道我在这一点上做错了什么。

ssh active-directory sftp sssd
Martin Hope
Hunter Lowe
Asked: 2019-02-01 02:56:31 +0800 CST
  • 5

我最近设法让我的 Ubuntu Server 18.04 机器连接到我公司的 Windows AD。我可以使用我的 AD 凭据登录，但我想更进一步......

这是我为了让我的 Ubuntu 18.04 机器进入 windows 域而遵循的文章，注意我没有做任何配置来限制 ssh 登录到域组，因为我仍在努力。 https://www.smbadmin.com/2018/06/connecting-ubuntu-server-1804-to-active.html?showComment=1548915938955#c6716393705599388679

然而....

我想要实现的目标如下：

  • 在 /etc/sudoers 文件中添加一行，指定我组织内的 AD 组。
  • 该组成员应该在我们组织的 Linux 机器上具有 sudo 访问权限。

我做了什么：

  • 我尝试添加如下行：
  • "nameofdomain\nameofgroup ALL=(ALL:ALL) ALL"
  • 还有更多……但是，每当我尝试与我知道在组中的用户进行 sudo 时，我都会收到通常的“……用户不在 sudoers 中……将报告事件……”

这可能是什么原因？可能是由于我在将机器连接到 AD 域时指定的配置？

该组的完整路径如下： - domainname/Groups/Elab/Elab-Level3

这是我用于加入 AD 域的文件的配置：

krb5.conf

[libdefaults]
    default_realm = MYREALM
dns_lookup_kdc = true
dns_lookup_realm = true

......文件的其余部分............

领域配置文件

[users]
 default-home = /home/%D/%U
 default-shell = /bin/bash

[active-directory]
 default-client = sssd
 os-name = Ubuntu Server
 os-version = 18.04

[service]
 automatic-install = no

[mydomain]
 fully-qualified-names = yes
 automatic-id-mapping = no
 user-principal = yes
 manage-system = yes

sssd.conf

[sssd] 
domains = mydomain config_file_version = 2
services = nss, pam, ssh

[domain/mydomain]
ad_domain = mydomain
krb5_realm = MYDOMAIN
realmd_tags = manages-system joined-with-adcli 
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%u@%d
access_provider = ad
ldap_user_ssh_public_key = altSecurityIdentities

我真的希望这里有人有答案，我已经搜索了很多线程并且无法破解这个坚果

groups active-directory kerberos 18.04 sssd
Martin Hope
Paul O'Rorke
Asked: 2018-08-10 16:32:02 +0800 CST
  • 3

我已经设置了 sssd 并将我的 18.04 LTS 工作站加入了公司域。除了几个快照应用程序之外，大多数事情都可以正常工作。当尝试运行它们时，我在 ~/snap.create files 中创建文件时出错。

:~$ skype 无法创建用户数据目录：/home/[domain]/[user]/snap/skype/48: Permission denied

如果我以 root 身份运行 Skype，它可以工作，但我不希望这样做。

然而，即使我使用 chmod -R 777 加入邮件应用程序 hiri 也拒绝让我在其中写信

~$ hiri 无法创建用户数据目录：/home/[domain]/[user]/snap/hiri/55: Permission denied

我错过了什么？

permissions skype snap sssd