LDAP 및 PAM을 사용하여 계정 로그인 제한

일부 PAM / LDAP 전문가가 여기에서 나를 도울 수 있기를 바랍니다. 최근에 Ubuntu Server에서 클라이언트 (웹 기반 시스템에 사용)와 직원 (SSH를 통해 로그인해야하는 직원) 모두의 계정을 보유하도록 LDAP 디렉토리를 설정했습니다.

LDAP 인증이 완벽하게 작동합니다. 직원 계정과 ID를 가질 것이다 : 그러나 나는 작업 계정 제한을받을 수 없습니다 2001및 2999과의 구성원이어야합니다 ssh-users서버에 로그인을 허용하는 그룹.

해당 제한 사항 /etc/ldap.conf은 pam_min_uid, pam_max_uid및에 pam_groupdn있습니다.

pam_groupdn내 ssh-users그룹 의 전체 DN을 포함합니다 . pam_min_uid= 2000및 pam_max_uid= 2999.

이제 다음을 추가하여 작동하도록했습니다.

account [success=1 default=ignore] pam_ldap.so

위의 pam_unix.so라인 /etc/pam.d/common-account. 그러나 로컬 Unix 계정은 로그인 할 수 없습니다. SSH 서버는 시도하자마자 연결을 끊습니다.

위의 파일에서 pam_ldap.so모듈을 설정 sufficient했지만 유효하지 않은 사용자는 로그인 할 수 없다는 메시지가 표시되지만 어쨌든 로그인합니다.

그렇다면 UNIX 사용자가 로그인 할 수 있도록 LDAP 사용자에 대해 이러한 계정 제한을 어떻게 설정합니까?

"자동으로 홈 디렉토리 만들기"모듈을 작동시킬 수는 있지만 PAM의 초보자 일 것입니다.

많은 감사합니다, 앤디

PAM은 kubanskamac의 답변 (+1)과 같이 그룹을 posix 그룹으로 간주하는 액세스 제어 목록 (적어도 Ubuntu에서)에 따라 액세스를 제한 할 수 있습니다 /etc/group.

/etc/security/access.conf액세스 목록 파일입니다. 내 파일에서 나는 마지막에 넣었다.

-:ALL EXCEPT root sysadmin (ssh-users):ALL

이는 루트, sysadmin 및 그룹 ssh-users (LDAP에 있음)를 제외한 모든 사용자가 로그인 할 때마다 (두 번째 ALL) 거부합니다 .

그런 다음 PAM 계정 파일 (이것은 계정 모듈 임)에서 맨 끝에 추가합니다.

account required pam_access.so

이 파일을 사용하도록 PAM에 지시합니다. 그것은 치료를한다 :-)

나는 단순히 사용할 것이다

auth required    pam_listfile.so   sense=accept item=group file=/etc/groups.allow onerr=fail

특정 그룹 만 허용 (로컬 및 LDAP 그룹 모두). 이 방법으로에 아무것도 지정하지 않아도됩니다 ldap.conf.

인증을 유지하려면 "계정"패스에서 사용자를 필터링하지 않아야합니다. 나는 당신이 오히려 "auth"패스에서 그것을해야한다고 생각합니다. 두 번째로, pam_unix는 로컬 계정과 LDAP 계정 (적어도 "계정"패스)을 모두 처리하므로 pam_ldap이 전혀 필요하지 않은 것 같습니다.

편집 : 셋째, "계정"패스 (이상한 부작용이있을 수 있다고 생각)에 물건을 가지고 있다고 주장하면 순서는 다음과 같이 끝나야합니다 : ..., "충분한 pam_ldap", "필수 pam_localuser", "필수 pam_unix" . 다른 모듈이 있다면 pam_ldap 전에 옮기십시오. 그렇지 않으면 "충분한"절로 인해 LDAP 계정에서 무시됩니다.

@ andy-shellam에 추가하려면 내 common-account파일이 있습니다.

account [success=2 new_authtok_reqd=done default=ignore] pam_unix.so
account [success=1 default=ignore]            pam_ldap.so
account requisite                     pam_deny.so
account required                      pam_access.so
account required                      pam_permit.so