使用kerberos将Linux绑定到Active Directory

Question

我们正在尝试将Linux机器（debian 4.0）绑定到W2k3 AD。我们已经正确配置了Kerberos，以便可以获取TGT，并且用户可以正确进行身份验证。然而，PAM似乎是个棘手的问题。例如，当我们尝试作为AD用户之一通过SSH连接到Linux机器时，身份验证成功（根据auth.log），但我从未获得shell。默认环境已正确配置，PAM甚至可以正确创建Homedir。作为参考，我们松散地遵循以下链接：https://help.ubuntu.com/community/ActiveDirectoryHowto。

- Roe

---

这是编程吗？这个问题在Ubuntu论坛上更适合吗？ - Guy

Answer 1

如果您确信除了PAM之外的一切都正常工作，我建议将debug选项传递给pam_krb5.so，以查看是否能够得出发生了什么的线索。

我还建议使用nss-ldap进行正确设置的验证。

getent passwd avalidusername

- Pontus

Answer 2

POSIX账户要求在用户账户中设置一个有效的shell。使用LDAP时，这由属性loginShell引用。您需要使用PAM并将适当的属性映射到配置中的loginShell，或者在DC上激活MS服务以扩展AD模式以包括所需的POSIX属性。

请参阅http://www.ietf.org/rfc/rfc2307.txt作为LDAP的RFC2307定义的参考。

- s00th

Answer 3

一个简单的解决方案.. pam_krb5+ldap 项目 pam_krb5+ldap 项目是 pam_krb5 PAM 模块的一个分支，它提供了非常方便的配置方式，使得 Linux 客户端可以对现有的 Active Directory 域和/或 OpenLDAP 服务器进行身份验证。

- jas

Answer 4

我曾在我们的服务器上使用Likewise来完成类似的工作。以下是我们用于配置它的过程：

安装Likewise：

$ sudo apt-get update
$ sudo apt-get install likewise-open

加入域（假设域名为"domain.local"）

$ sudo domainjoin-cli join domain.local Administrator
$ sudo update-rc.d likewise-open defaults
$ sudo /etc/init.d/likewise-open start

假设您正在使用sudo并希望AD用户能够拥有sudoer权限，则需要编辑sudoers文件。可以使用以下命令完成此操作：

$ sudo visudo

然后将以下内容添加到文件末尾（假设域名为“DOMAIN”，所有应该具备sudo权限的用户都在Active Directory中名为“linux_admin”的组中）：

%DOMAIN\\linux_admin ALL=(ALL) ALL

- fuzzymonk