AltLinux 6 School Master

[Skull]

Если в команде system-auth заменить krb на ldap? Это критично использовать лдап с керберосом? Я почему-то считал, что керберос больше необходим для включения вин-машин в самба-домен, разве нет?

Не только. Kerberos нужен, чтобы после входа прозрачно аутентифицироваться и в Samba и на прокси-сервере.

[rotkart]

kinit(v5): Client not found in Kerberos database while getting initial credentials

При изменении пароля пользователя или домен был без поддержки Kerberos или krb4kdc не запущен. Пункт номер раз вы же не показали. Чтобы исправить (при условии, что домен всё-таки настроен с поддержкой Kerberos) нужно просто перебить пароль у пользователя.

Код: [Выделить]

[root@sterver ~]# alterator-cmdline /net-domain action read

domain:school460
resolver:OK
access:OK
ldap:OK
kdc:OK
smb:OK
dhcpd:OK
master:#t
Домен создавался с галкой Керберос.
Все пользователи тож создавались при этой галке.
Единственно, что возможно:  я их создавал при помощи ldapadd, а не ldap-useradd, тогда еще не было документации на доменные утилиты.

UPDATE: Точно! Так оно и происходит! Есть пользователи, которых я вводил через веб-интерфейс, у них kinit работает. У тех, кого вводил группой (всех учителей) через скрипт с ldapadd - не работает.

Код: [Выделить]

[root@sterver ~]# kinit rujadmin
Password for rujadmin@SCHOOL460:
[root@sterver ~]# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: rujadmin@SCHOOL460

Valid starting     Expires            Service principal
10/18/12 11:23:56  10/19/12 11:23:56  krbtgt/SCHOOL460@SCHOOL460Косяк найден!
Как лечить?

[Skull]

UPDATE: Точно! Так оно и происходит! Есть пользователи, которых я вводил через веб-интерфейс, у них kinit работает. У тех, кого вводил группой (всех учителей) через скрипт с ldapadd - не работает.
...
Косяк найден!
Как лечить?

Если ldap-user-tools обновлены до 0.7.2-alt2, то

Код: [Выделить]

ldap-passwd <user> <password>для каждого заведённого в ldapadd пользователя.

[rotkart]

Код: [Выделить]

ldap-passwd <user> <password>для каждого заведённого в ldapadd пользователя.

Не спасло  :(
Смена пароля через веб-интерфейс тоже  :(

[rotkart]

Кстати, забыл написать - я пытался ввести еще группу пользователей в домен, но:

Код: [Выделить]

[root@sterver ~]# export DN_CONF=/etc/openldap/slapd-school460.conf; /usr/sbin/ldap-useradd -n Тест -f Тестов -c 'Тестов Тест Тестович' -p Passw0rd -G teacher
ldap_add: Invalid DN syntax (34)
        additional info: invalid DN
Это явно в ldap-useradd, так как ldap-passwd и ldap-usermod работают, и даже без указания DN_CONF
Бага?

[rotkart]

Если в команде system-auth заменить krb на ldap? Это критично использовать лдап с керберосом? Я почему-то считал, что керберос больше необходим для включения вин-машин в самба-домен, разве нет?

Не только. Kerberos нужен, чтобы после входа прозрачно аутентифицироваться и в Samba и на прокси-сервере.

Типа ntlm в виндовом домене - ввел пароль при входе в систему один раз, больше ни в браузере ни в файл-манагере не вводишь - понял.

[Skull]

export DN_CONF=/etc/openldap/slapd-school460.conf; /usr/sbin/ldap-useradd -n Тест -f Тестов -c 'Тестов Тест Тестович' -p Passw0rd -G teacher

Бага?

А где обязательное имя пользователя? -G уберите. Без дополнительных групп заводится и в Kerberos:

Код: [Выделить]

# kadmin.local -q "getprinc teacher" | grep ^Principal
Principal: teacher@SCHOOL-5Если нужно явно завести в Kerberos, то поможет

Код: [Выделить]

. /usr/bin/alterator-kdc-princ-functions
addprinc teacher
changepw teacher Passw0rd

[rotkart]

А где обязательное имя пользователя? -G уберите.

Ой, ё! Болван я!
Имя пользователя и забыл, сорри.
С именем работает!

Если нужно явно завести в Kerberos, то поможет:

Код: [Выделить]

[root@sterver ~]# . /usr/bin/alterator-kdc-princ-functions
[root@sterver ~]# addprinc tselishevsl
Authenticating as principal testuser/admin@SCHOOL460 with password.
WARNING: no policy specified for tselishevsl@SCHOOL460; defaulting to no policy
Principal "tselishevsl@SCHOOL460" created.
[root@sterver ~]# changepw tselishevsl passw0rd
Authenticating as principal testuser/admin@SCHOOL460 with password.
Enter password for principal "tselishevsl":
Re-enter password for principal "tselishevsl":
Password for "tselishevsl@SCHOOL460" changed.
И таки да, теперь пользователь на клиентской машине может залогиниться:

Код: [Выделить]

[user@cab303 ~]$ kinit tselishevsl
Password for tselishevsl@SCHOOL460:
[user@cab303 ~]$ su - tselishevsl
Password:
pam_mount(rdconf1.c:1396): DNS-SD: found dns-sd volume in pam_mount config, with cifs fs
pam_mount(rdconf1.c:1396): DNS-SD: found dns-sd volume in pam_mount config, with cifs fs
[TselishevSL@cab303 ~]$ id
uid=5046(TselishevSL) gid=5051(TselishevSL) группы=5051(TselishevSL),5000(teacher),5003(zavuch)
[TselishevSL@cab303 ~]$
Сейчас обработаю всех остальных по списку также.
Спасибо за помощь! Команды в копилку ;)
Что он там смонтировать не может - общую сетевую директорию?

Не будет наглостью спросить, можно ли доменных пользователей как-то добавить в системные группы, например fuse, italcmaster?

[berkut_174]

Не будет наглостью спросить, можно ли доменных пользователей как-то добавить в системные группы, например fuse, italcmaster?

https://bugs.altlinux.org/24494

[rotkart]

Не будет наглостью спросить, можно ли доменных пользователей как-то добавить в системные группы, например fuse, italcmaster?

https://bugs.altlinux.org/24494

Хммм... Печально.
Я надеялся перейти на использование доменных пользователей, а получается тот же Italc учитель с аккаунтом из домена не запустит. Неудобно, конечно

[berkut_174]

Хммм... Печально.
Я надеялся перейти на использование доменных пользователей, а получается тот же Italc учитель с аккаунтом из домена не запустит. Неудобно, конечно

Согласен, не удобно получается...
Но можно учителю и вручную добавить на его машине в нужную группу:

Код: [Выделить]

# gpasswd -a user italcmaster

[Skull]

Спасибо за помощь! Команды в копилку ;)

Уже на http://www.altlinux.org/Домен/Решение_проблем

Что он там смонтировать не может - общую сетевую директорию?

pam-mount при логине ищет по Zeroconf доступные анонсированные сетевые ресурсы. В модуле «Сетевые каталоги» можно для доменных пользователей автоматически монтировать домашнюю папку и общие ресурсы. По умолчанию они не используются, но сеть просматривается.

Не будет наглостью спросить, можно ли доменных пользователей как-то добавить в системные группы, например fuse, italcmaster?

Пока нельзя. Ошибка 24494 в числе первоочередных (то есть прописана в http://www.altlinux.org/Домен). Займусь ею как только разберусь с заведением Windows в домен ALT Linux.

[rotkart]

... как только разберусь с заведением Windows в домен ALT Linux.

Да это же следующее, чем я собирался заняться  :D
Бум ждать и смотреть на вики  :D

[rotkart]

Хммм... Печально.
Я надеялся перейти на использование доменных пользователей, а получается тот же Italc учитель с аккаунтом из домена не запустит. Неудобно, конечно

Согласен, не удобно получается...
Но можно учителю и вручную добавить на его машине в нужную группу:

Код: [Выделить]

# gpasswd -a user italcmaster

Ага, спасибо! Это действительно выход.

[rotkart]

Согласен, не удобно получается...
Но можно учителю и вручную добавить на его машине в нужную группу:

Код: [Выделить]

# gpasswd -a user italcmaster

Ага, спасибо! Это действительно выход.

Нет, не выход  :(

Код: [Выделить]

[root@cab303 ~]# id tselishevsl                                                             
uid=5046(TselishevSL) gid=5051(TselishevSL) группы=5051(TselishevSL),6(disk),7(lp),10(wheel),14(uucp),19(proc),22(cdrom),71(floppy),80(cdwriter),81(audio),83(radio),102(scanner),103(xgrp),105(camera),126(vboxusers),128(fuse),148(italcmaster),153(sambashare)Это после добавления групп через gpasswd.

Код: [Выделить]

[user@cab303 ~]$ su - tselishevsl
Password:
pam_mount(rdconf1.c:1396): DNS-SD: found dns-sd volume in pam_mount config, with cifs fs
pam_mount(rdconf1.c:1396): DNS-SD: found dns-sd volume in pam_mount config, with cifs fs
[TselishevSL@cab303 ~]$ id
uid=5046(TselishevSL) gid=5051(TselishevSL) группы=5051(TselishevSL),5000(teacher),5003(zavuch)
Это после логина. То есть из /etc/group информация при логине доменного пользователя не читается.
Придётся таки ждать решения бага, о котором писали выше.