主页 / unix / 问题

问题[active-directory](unix)

Martin Hope
BurningKrome
Asked: 2019-11-26 05:37:52 +0800 CST
  • 1

我们正在使用4.3.11-Ubuntu带有Windows Active Directory Users and ComputersMMC 控制台的 samba Acitve Directory (AD) 版本。文件服务器（附加到域）是Ubuntu 14.04.6 LTS. 在这种情况下，用户通过 NFS 进行连接。

当用户创建目录 ( mkdir ./testdir) 或创建文件 ( touch testfile) 时，目录和文件都显示为该组拥有，domain users而不是作为主要组列出MS AD Users and Computers的组（在本例中为“学生”。）

有没有办法确保以主组的所有权创建的新文件/目录？

permissions active-directory
Martin Hope
dr_
Asked: 2018-08-28 07:07:45 +0800 CST
  • 5

我正在尝试为 AD 域的不同用户定义不同的登录 shell，如此处所述。目的是拒绝特定组的成员登录，同时允许他们进行 SSH 隧道。

下面是文件/etc/sssd/sssd.conf。MYDOMAIN.GLOBAL 是 AD 提供的默认域。下面的配置定义了一个测试域 MYDOMAIN_TEST.GLOBAL，它不在 AD 中，作为这些受限用户的域。（这只是一个用于测试的配置：稍后，在 MYDOMAIN_TEST.GLOBAL 域部分中，override_shell = /bin/zsh将被替换为override_shell = /sbin/nologin。）

[sssd]
domains = MYDOMAIN.GLOBAL,MYDOMAIN_TEST.GLOBAL
config_file_version = 2
services = nss, pam

[nss]
default_shell = /bin/bash

[domain/MYDOMAIN.GLOBAL]
ad_server = ad.mydomain.global
ad_domain = MYDOMAIN.GLOBAL
ldap_user_search_filter = (memberOf=CN=AdminsGroup,OU=Groups,DC=MYDOMAIN,DC=GLOBAL)
id_provider = ad
simple_allow_groups = AdminsGroup@MYDOMAIN.GLOBAL
override_shell = /bin/bash

[domain/MYDOMAIN_TEST.GLOBAL]
ad_server = ad.mydomain.global
ad_domain = MYDOMAIN.GLOBAL
ldap_user_search_filter = (memberOf=CN=LimitedGroup,OU=Groups,DC=MYDOMAIN,DC=GLOBAL)
id_provider = ad
simple_allow_groups = LimitedGroup@MYDOMAIN.GLOBAL
override_shell = /bin/zsh

MYDOMAIN.GLOBAL 的成员能够通过 SSH 登录，而 MYDOMAIN_TEST.GLOBAL 的成员则不能并得到“权限被拒绝，请重试”或“身份验证失败”错误。

sssd日志文件不显示任何错误。

这是为什么？

MYDOMAIN_TEST.GLOBAL 是否需要出现在 AD 中？如果是，是否有可能以某种方式绕过它并使用不同的“本地类别”用户配置 sss 来做我想做的事？

（注意：显然这可以用 nlscd 来完成，根据这个问题和另一个问题，但它需要一个 LDAP 服务器，并且将其配置为使用 AD 是另一种蠕虫。）

active-directory domain
Martin Hope
ebeb
Asked: 2018-08-25 06:16:07 +0800 CST
  • 3

当我尝试执行时，su user1@ADREALM.COM我收到“用户不存在”消息。

user1@ADREALM.COM 存在于 Active Directory 中。我可以kinit user1@ADREALM.COM成功并得到一张票。以下是我执行的步骤：

  1. 我在 CentOS 7 CENTOSREALM.COM 和 Active Directory 领域 ADREALM.COM 上有 MIT KDC
  2. 在 CentOS 上，我realm join ADREALM.COM给出了“*成功注册领域的机器”。我可以在 Active Directory Computers 容器中看到 centos 主机名。
  3. 但我无法使用 user1@ADREALM.COM 登录 CentOS 服务器，此用户存在于 AD 中。

我在哪里查找错误或调试此问题的步骤？

sssd.conf 内容：

[sssd]
domains = adrealm.com
config_file_version = 2
services = nss, pam

[domain/adrealm.com]
ad_server = adrealm.com
ad_domain = adrealm.com
krb5_realm = ADREALM.COM
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
debug_level = 3
centos active-directory
Martin Hope
dr_
Asked: 2018-08-10 06:12:48 +0800 CST
  • 5

我的 CentOS 7 机器已成功加入域 FOOBAR（由 验证realm list），以下是来自 AD（非本地）的用户的信息：

[root@centos7 ~]# id jdoe@FOOBAR.GLOBAL
uid=5631533(jdoe@FOOBAR.GLOBAL) gid=5600513(domain users@FOOBAR.GLOBAL)
groups=5600513(domain users@FOOBAR.GLOBAL),5631532(othergroup@FOOBAR.GLOBAL)

UID 和 GID 是如何分配的？是否有可能以某种方式将它们映射到某个期望的值？

active-directory uid
Martin Hope
JL M
Asked: 2018-05-19 06:42:41 +0800 CST
  • 1

我被 Kerberos - sssd - AD 卡住了。我在 LinuxMint、Ubuntu 16.04 和 Debian 9 中尝试了很多东西，并进行了很多谷歌搜索。我总是得到相同的结果：

  • kinit username工作正常
  • msktutil -u --computer-name $(hostname) --server ad-server.univ-fr看起来不错
  • ldapsearch -Y GSSAPI工作正常

但getent passwd -s sss username什么也不做id username！

我尝试使用非常简约的 Debian 9 发行版，其中包含、 、openssh-server和krb-5-user配置文件以及. 我没有改变，因为在 passwd、group、shadow 和 gshadow 上配置似乎是正确的。msktutilsssd/etc/sssd/sssd.conf/etc/krb5.conf/etc/nsswitchcompact sss

看起来 sss 从未被调用过。所以我没有找到任何可以帮助我跟踪错误的日志。我不知道我是否错过了包裹或其他东西。

我的问题：我怎样才能知道nsswitch它是如何工作的以及何时要求sssd查找 AD 用户名？

debian active-directory
Martin Hope
GeeKv2
Asked: 2018-03-15 04:41:59 +0800 CST
  • 3

我有一个连接到在 Windows Server 2016 Datacenter Edition 上运行的 Active Directory (AD) 的 RHEL 7.4 机器的设置。Linux 机器与 AD 直接集成。

由于Unix 的身份管理 (IDMU) 和 NIS 服务器角色已从此版本的 Windows 中删除，因此解决方案是使用sssd自动生成 UID 和 GID 编号。

我无法理解自动生成的 GID 将如何映射到 Linux 机器上的实际组。

例如，如果用户john是LinuxGroupAD 中的成员并且已登录，并且应该映射到localgrpLinux 机器上的组，这将如何解决？如果自动生成的 GID 是 500 但在 Linux 机器上 GID 是 10，他将如何获得linuxgrp特权？localgrp

为了只对用户进行集中管理，我们不允许在 Linux 中直接添加用户，即在/etc/passwd.

谢谢。

windows active-directory