Re: LDAP+GDM

[Edmundo Valle Neto <edmundo.valle@terra.com.br>]

Fabio A Mazzarino escreveu:

> Gustavo:
>
> Basta vc configurar os arquivos /etc/pam.d/common-*
>
> Uma vez configurados da maneira correta, e se vc não mecheu nos
> arquivos /etc/pam.d/gdm* o gdm deve funcionar.
>
> Tenta fazer isso, se não conseguir volta na lista que a gente vê
> outras possibilidades.
>
> Fabio
>
> On 3/27/06, Gustavo de Carvalho <gustavo.grupos@gmail.com> wrote:
>  
>
> > Galera,
> >
> >
> >
> > Alguém sabe qual arquivo devo configurar ou qual configuração para que meu
> > GDM possa autenticar no LDAP.
> >
> >
> >
> > Att,
> >
> > Gustavo
> >    
>
>
> --
> --
> Não existem Killer Applications de Código Aberto em Java. Ajude a
> provar o contrário:
> http://drupal.gulivap.org/?q=node/106
>
>
> Esta mensagem foi verificada pelo E-mail Protegido Terra.
> Scan engine: McAfee VirusScan / Atualizado em 24/03/2006 / Versão: 4.4.00/4726
> Proteja o seu e-mail Terra: http://mail.terra.com.br/
>
>
>
>  

Só para completar:

Você deve ter instalados os pacotes libnss-ldap, libpam-ldap e nscd, e 
configurar os módulos pam

Instalar o libnss-ldap e configurar de acordo, o endereço do servidor e 
a base de pesquisa do ldap.
Configurar o arquivo /etc/nsswitch.conf para utilizar o ldap.

A partir daqui o seu sistema já deve ter noção das contas no ldap:
# getent passwd (deve retornar as contas inclusive as do ldap)
# getent group (deve retornar os grupos inclusive os do ldap)

Instalar o libpam-ldap e configurar de acordo, o endereço do servidor e 
a base de pesquisa do ldap.
(a senha do administrador da base só é necessaria se você deseja alterar 
informações de contas ou senhas a partir desta máquina).

Configurar os módulos pam (configurando desta forma a configuração vale 
para todos os serviços, não só para o gdm):

Exemplo:

/etc/pam.d/common-account:
account        sufficient    pam_ldap.so
account        required    pam_unix.so try_first_pass

/etc/pam.d/common-auth:
auth   optional   pam_group.so
auth    sufficient    pam_ldap.so
auth    required    pam_unix.so nullok_secure use_first_pass

/etc/pam.d/common-password:
password    sufficient    pam_ldap.so
password    required    pam_unix.so nullok obscure min=4 max=8 md5 
use_first_pass

/etc/pam.d/common-session:
session   required   pam_mkhomedir umask=0022
session    required    pam_unix.so

/etc/security/group.conf
gdm; *; *; Al0000-2400; audio, video, cdrom, floppy

Instalar o nscd para fazer cache das pesquisas no ldap.


As configurações do pam dependem muito do que você precisa, podem ser 
bem simples e serem feitas nos arquivos common-* (que são incluídos 
automaticamente nos arquivos especificos para os serviços) ou serem 
feitas separadamente para cada serviço e conter diversos módulos além do 
obviamente necessário (neste caso) "pam_ldap".
Se você não precisa alterar as senhas do ldap através do comando passwd 
local o módulo "pam_ldap" não precisa constar no arquivo common-password 
(alias, para fazer isso você deve configurar a senha do administrador 
quando instalar o pacote libpam-ldap também).
Mas é interessante por exemplo criar os home directories conforme 
necessidade "pam_mkhomedir" já que você está utilizando usuários remotos 
e para usar o X seria bom que eles tivessem um home directory. E também 
adicioná-los em grupos de acesso a hardware "pam_group", por exemplo 
para usar o driver de vídeo nvidia os usuários devem fazer parte do 
grupo "video" e não há como saber antecipadamente quais os usuários 
remotos devem ser incluídos nesse grupo.
Existem módulos para mapeamento de recursos do samba assim que o usuario 
fizer o login (pam_mount), etc.


Edmundo.