ldap操作系统身份验证的问题

fusm

想用ldap作为操作系统登录口令验证方式，各项都配置好了，pam.conf的auth模块如下配置：
#######
#Test
other   auth requisite  pam_authtok_get.so.1
other   auth required   pam_dhkeys.so.1
other   auth required   pam_unix_cred.so.1
other   auth binding    pam_unix_auth.so.1 server_policy
other   auth required   pam_ldap.so.1 debug

ldapclient也配置成功，然而登录的时候非本地用户仍然无法登录，查看syslog发现如下错误：

Apr  7 15:25:22 t1000-test-251 nfs4cbd[28425]: [ID 867284 daemon.notice] nfsv4 cannot determine local hostname binding for transport tcp - delegations will not be available on this transport
Apr  7 15:25:38 t1000-test-251 login: [ID 293258 auth.error] libsldap: Status: 32  Mesg: openConnection: simple bind failed - No such object
Apr  7 15:25:48 t1000-test-251 last message repeated 3 times
Apr  7 15:48:44 t1000-test-251 login: [ID 293258 auth.error] libsldap: Status: 32  Mesg: openConnection: simple bind failed - No such object

经测试，ldap连接正常：
# /usr/lib/ldap/ldap_cachemgr -g

cachemgr 配置：
服务器调试级          0
服务器日志文件  "/var/ldap/cachemgr.log"
对 ldapcachemgr         18 的呼叫号

cachemgr 高速缓冲内存数据统计：
配置重新整理信息：
  配置为 NO REFRESH。
服务器信息：
  上一次重新整理的时间：2008/04/07 15:35:21
  下一次重新整理的时间：2008/04/07 16:15:21
  服务器： 111.107.117.26，状态： 向上
高速缓冲内存数据信息：
  最大的高速缓冲内存项：          256
  高速缓冲内存项的数目：         0
#

难道是客户端的solaris10上的ldap客户端和ldap服务器的版本不同的原因么？

[ 本帖最后由 fusm 于 2008-4-7 16:52 编辑 ]

gavinzhm

把你的pam.d/system-auth文件贴出来看看~~

fusm

pam.conf只动了这部分，其它都用原来默认的：
#######
#Test
other   auth requisite  pam_authtok_get.so.1
other   auth required   pam_dhkeys.so.1
other   auth required   pam_unix_cred.so.1
other   auth binding    pam_unix_auth.so.1 server_policy
other   auth required   pam_ldap.so.1 debug
===================================================================================
ldap_client_file
#
# Do not edit this file manually; your changes will be lost.Please use ldapclient (1M) instead.
#
NS_LDAP_FILE_VERSION= 2.0
NS_LDAP_SERVERS= dc1-ldap-32.domain.com, dc2-ldap-33.domain.com, dc1-ldap-55.domain.com, dc2-ldap-56.domain.com
NS_LDAP_SEARCH_BASEDN= dc=domain,dc=com
NS_LDAP_AUTH= tls:simple
NS_LDAP_SEARCH_REF= TRUE
NS_LDAP_SEARCH_SCOPE= sub
NS_LDAP_SEARCH_TIME= 30
NS_LDAP_CACHETTL= 43200
NS_LDAP_PROFILE= dc1_prod_profile
NS_LDAP_CREDENTIAL_LEVEL= proxy
NS_LDAP_SERVICE_SEARCH_DESC= passwd: ou=People,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= group: ou=group,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= shadow: ou=People,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= netgroup: ou=Netgroup,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= auto.master: nisMapName=auto.master,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= auto.home: nisMapName=auto.home,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= auto_master: automountMapName=auto_master,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= auto_home: automountMapName=auto_home,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= auto_direct: automountMapName=auto_direct,dc=domain,dc=com?one
NS_LDAP_SERVICE_SEARCH_DESC= sudoers: ou=sudoers,dc=domain,dc=com
NS_LDAP_BIND_TIME= 10
NS_LDAP_ATTRIBUTEMAP= automount: automountMapName=ou
NS_LDAP_ATTRIBUTEMAP= automount: automountKey=cn
NS_LDAP_ATTRIBUTEMAP= automount: automountInformation=nisMapEntry
NS_LDAP_OBJECTCLASSMAP= automount: automountMap=nisMap
NS_LDAP_OBJECTCLASSMAP= automount: automount=nisObject
=======================================================================================
ldap_client_cred
#
# Do not edit this file manually; your changes will be lost.Please use ldapclient (1M) instead.
#
NS_LDAP_BINDDN= cn=proxyagent,ou=profile,dc=domain,dc=com
NS_LDAP_BINDPASSWD= {NS1}ecc423aad0fe2349fd13

=======================================================================================
nsswitch.conf
#
# /etc/nsswitch.ldap:
#
# An example file that could be copied over to /etc/nsswitch.conf; it
# uses LDAP in conjunction with files.
#
# "hosts:" and "services:" in this file are used only if the
# /etc/netconfig file has a "-" for nametoaddr_libs of "inet" transports.

# the following two lines obviate the "+" entry in /etc/passwd and /etc/group.
passwd: files ldap
shadow: files ldap
group: files ldap
netgroup: ldap
sudoers: files ldap

# consult /etc "files" only if ldap is down.
hosts: files
ipnodes: files

# Uncomment the following line and comment out the above to resolve
# both IPv4 and IPv6 addresses from the ipnodes databases. Note that
# IPv4 addresses are searched in all of the ipnodes databases before
# searching the hosts databases. Before turning this option on, consult
# the Network Administration Guide for more details on using IPv6.
#ipnodes: ldap [NOTFOUND=return] files

networks: files
protocols: files
rpc: files
ethers: files
netmasks: files
bootparams: files
publickey: files

automount: ldap files
aliases: files ldap

# for efficient getservbyname() avoid ldap
services: files ldap
sendmailvars: files

auth_attr: files ldap
prof_attr: files ldap

project: files ldap
printers: user files nis nisplus xfn

[ 本帖最后由 fusm 于 2008-4-8 10:09 编辑 ]

gavinzhm

你的系统认证的时候没有找LDAP服务器~
你PAM配置文件设定有问题~~~~
/etc/ldap.conf
这个文件好像也有点问题~~~

gavinzhm

下面是我的PAM配置文件~你参考一下或许有帮助~~

1. 
   
2. auth        required      /lib/security/$ISA/pam_env.so
   
3. auth        sufficient    /lib/security/$ISA/pam_unix.so likeauth nullok
   
4. auth        sufficient    /lib/security/$ISA/pam_ldap.so use_first_pass
   
5. auth        required      /lib/security/$ISA/pam_deny.so
   
6. 
   
7. account     required      /lib/security/$ISA/pam_unix.so broken_shadow
   
8. account     sufficient    /lib/security/$ISA/pam_localuser.so
   
9. account     sufficient    /lib/security/$ISA/pam_succeed_if.so uid < 100 quiet
   
10. account     [default=bad success=ok user_unknown=ignore] /lib/security/$ISA/pam_ldap.so
    
11. account     required      /lib/security/$ISA/pam_permit.so
    
12. 
    
13. password    requisite     /lib/security/$ISA/pam_cracklib.so retry=3
    
14. password    sufficient    /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow
    
15. password    sufficient    /lib/security/$ISA/pam_ldap.so use_authtok
    
16. password    required      /lib/security/$ISA/pam_deny.so
    
17. 
    
18. session     required      /lib/security/$ISA/pam_limits.so
    
19. session     required      /lib/security/$ISA/pam_unix.so
    
20. session     optional      /lib/security/$ISA/pam_ldap.so
    

复制代码

fusm

可否详细解释一下呢？

fusm

我的版本是solaris10啊，模块变了，而且likeauth nullok use_first_pass这些选项也都取消了的。

fusm

ldap服务那边不归我管，具体都是自己试验的。
配置ldap客户端虽然正常，但
ldapsearch -x cn=teacher
却提示无权限。
不知道是不是口令加密方式的原因，ldap服务器那边好像是md5加密方式。

[ 本帖最后由 fusm 于 2008-4-9 08:01 编辑 ]

gavinzhm

ldapsearch -H hostname -x
看看你的LDAP可以查询吗~？
当然要开放匿名权限~如果没要的话~需要有个能读的权限~

fusm

用ldapsearch查过，提示无权限。
而用outlook却能查。