pam, login, ssh und ldap

[ChristianVolk]

Ich würde mich freuen, wenn mir einer bei meinem Problem behilflich sein könnte

Ich habe erfolgreich einen ldap-server eingerichtet und es auch geschafft, dass die Userverwaltung des Samba-Servers auf diesen zugreift.
Nun hänge ich an der Authentifizierung über login und shh der Unixbenutzern.

Ich habe im ldap-Verzeichnis einen Benutzer namens "volk" angelegt.

Code: Alles auswählen

# getent passwd volk
volk:x:1008:513:System User:/home/volk:/bin/bash

Einen lokalen Benutzer diesen Namens gibt es nicht.

Mache ich als root ein "su volk" klappt dies - was darauf schliessen lässt, dass zumindestens die pam.d-Einstellungen für "su", sowie die ldap-Anbindung funktionieren.
Der Fehler liegt bestimmt in eine der anderen pam.d-Einstellungen.
Wäre für jeden Tipp dankbar.

common-account

Code: Alles auswählen

account         sufficient      pam_ldap.so
account         required        pam_unix_acct.so

common-auth

Code: Alles auswählen

auth    sufficient      pam_ldap.so
auth    required        pam_unix_auth.so try_first_pass

common-password

Code: Alles auswählen

password        sufficient      pam_ldap.so
password        required        pam_unix_passwd.so use_first_pass

common-session

Code: Alles auswählen

session         required        pam_unix_session.so
session         required        pam_mkhomedir.so skel=/etc/skel umask=0022

login

Code: Alles auswählen

auth       requisite  pam_securetty.so
auth       requisite  pam_nologin.so
session       required   pam_env.so readenv=1
@include common-auth
auth       optional   pam_group.so
@include common-account
@include common-session
session    required   pam_limits.so
session    optional   pam_lastlog.so
session    optional   pam_motd.so
session    optional   pam_mail.so standard
@include common-password

ssh

Code: Alles auswählen

auth       required     pam_nologin.so
auth       required     pam_env.so # [1]
@include common-auth
@include common-account
@include common-session
session    optional     pam_motd.so # [1]
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
@include common-password

Und hier nochmal die funktioniertenden "su"

Code: Alles auswählen

auth       sufficient pam_rootok.so
@include common-auth
@include common-account
@include common-session
session    required   pam_limits.so

Hier die auth.log Einträge
beim Login über ssh:

Code: Alles auswählen

Feb 24 08:17:35 Raidtest sshd[8096]: pam_ldap: error trying to bind (Invalid credentials)
Feb 24 08:17:35 Raidtest sshd[8096]: (pam_unix) check pass; user unknown
Feb 24 08:17:35 Raidtest sshd[8096]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=150.102.1.12
Feb 24 08:17:36 Raidtest sshd[8096]: error: PAM: Authentication service cannot retrieve authentication info. for volk from 150.102.1.12

beim lokalen Login:

Code: Alles auswählen

Feb 24 08:18:30 Raidtest login[6833]: pam_ldap: error trying to bind (Invalid credentials)
Feb 24 08:18:31 Raidtest login[6833]: (pam_unix) check pass; user unknown
Feb 24 08:18:31 Raidtest login[6833]: (pam_unix) authentication failure; logname=LOGIN uid=0 euid=0 tty=tty4 ruser= rhost=
Feb 24 08:18:34 Raidtest login[6833]: FAILED LOGIN (1) on `tty4' FOR `volk', Authentication service cannot retrieve authentication info.

beim erfolgreichen "su volk":

Code: Alles auswählen

Feb 24 08:19:12 Raidtest su[8100]: pam_ldap: error trying to bind (Invalid credentials)
Feb 24 08:19:12 Raidtest su[8100]: + tty2 root:volk
Feb 24 08:19:12 Raidtest su[8100]: (pam_unix) session opened for user volk by root(uid=0)

Was sind denn die invalid credentials, die pam_ldap.so nicht binden kann?

[McAldo]

Hallo

Hast du das Problem gelöst? Habe auch so eins beim ssh-Login. Wäre toll, wenn du eventuell gewonnene Erkenntnisse nachvollziehbar hier schilderst.

McAldo

[Sarem_Avuton]

Hallo,

Ich habe das zwar nicht selbst probiert aber es war sehr lesenswert.
http://www.shinji.de.ms/docs/download/S ... -_LDAP.pdf

Vieleicht ist da ja ein Tip dabei ich habe auf jeden Fall mal was über LDAP und wie es denn überhaupt funtioniert gerlernt

Grüße Jörg

PS: ISt auch manchmal was woran man nicht denkt

Note: You may need to restart services that may have cached this file eg. the SSH server.

[McAldo]

Danke für den Link. Ich werde mir das mal durchlesen.

McAldo