kein Zugriff auf USB-Stick bei Benutzerverwaltung mit LDAP

[cyborium]

Hey Leute,

ich habe gerade in einem Projekt eine zentrale Benutzerverwaltung mit Kerberos, LDAP und NFS zurechtgemacht. Die Komponenten laufen auch wunderbar. Allerdings habe ich nun festgestellt, dass die LDAP-Benutzer USB-Sticks nicht einbinden können. Ich habe auch rausbekommen, dass es daran liegt, dass sie nicht in der Gruppe plugdev sind. Ich habe testweise mal einen Ldap-User in die /etc/groups bei plugdev eingetragen und schon funktionierte es. Allerdings ist das ja schwachsinn, wenn ich das auf jedem Rechner mache. Meine Frage:

Kann man eine gesamte Gruppe auch plugdev zuordnen? Meine User gehören alle der Gruppe "student" an, so dass dies die einfachste Lösung wäre?
Oder kann man LDAP-Benutzern mehrere Gruppen zuweisen? Ich habe eine LDAP-Gruppe "plugdev" mit gid=46 zurecht gemacht, aber ich weiß nicht, wie ich einen Benutzer zusätzlich dort reinpacke.

Oder gibt es noch einen anderen Ansatz? Ist echt superwichtig. Vielen Dank schonmal im Voraus.

[McAldo]

Eine Gruppe einer Gruppe zuordnen geht m.W. nicht. Aber du kannst im LDAP die Gruppe plugdev anlegen und dieser User zuordnen. Wichtig ist dabei aber, dass auf allen System plugdev die selbe ID hat. Um User im LDAP zu verwalten kannst du z.B. den LDAP-Account-Manager verwenden. Ein super Tool und einfach zu bedienen.

Viele Grüße

McAldo

[Saxman]

Eine Gruppe einer Gruppe zuordnen geht m.W. nicht.

Ich kann das bestätigen, das geht in der Tat nicht.

[TBT]

Genau dieses Problem habe ich auch,
doch erlaubt mir der LAM nicht, Benutzergruppen mit einer ID < 500 anzulegen

[McAldo]

Genau dieses Problem habe ich auch,
doch erlaubt mir der LAM nicht, Benutzergruppen mit einer ID < 500 anzulegen

Das hängt von der Konfiguration des LAM ab.

Man könnte das aber auch manuell ins LDAP packen.

McAldo

[ThorstenS]

Eine Gruppe einer Gruppe zuordnen geht m.W. nicht.

Ich kann das bestätigen, das geht in der Tat nicht.

seit lenny soll 'group of groups' funktionieren! Ich bleibe euch den Beweis vorerst schuldig, ich muss mich mal durch unser Mailarchiv wühlen.

EDIT:fündig geworden:

Die Datei /etc/libnss-ldap.conf muss diese beiden Einträge enthalten:

nss_schema rfc2307bis
nss_map_attribute uniqueMember member

Gruppendefinition im LDAP
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
objectClass: extensibleObject

Einträge für Gruppenmitglieder erfolgen nicht mehr im Feld memberUid, sondern als vollständige DN im Feld member.

statt:
memberuid: Benutzer1
memberuid: Benutzer2

nun:
member: uid=Benutzer1,ou=angestellte,o=firma,dc=xx
member: uid=Benutzer2,ou=chefs,o=firma,dc=xx

Auch Gruppen dürfen eingetragen werden:
member: cn=dolleGruppe,ou=Gruppen,o=firma,dc=xx

Ich habs selbst nicht verifiziert, ich traue aber der 'Informationsquelle'