Limitazione degli accessi agli account tramite LDAP e PAM

Speravo che alcuni guru PAM / LDAP potessero aiutarmi qui. Di recente ho impostato una directory LDAP su Ubuntu Server per contenere account sia per i miei clienti (per l'uso con sistemi basati sul web) sia per il personale (che dovranno accedere tramite SSH.)

L'autenticazione LDAP funziona perfettamente. Tuttavia, non riesco a far funzionare le restrizioni dell'account: gli account del personale avranno ID tra 2001e 2999e saranno membri del ssh-usersgruppo per consentire loro di accedere ai server.

Le restrizioni in questione sono in /etc/ldap.conf, e sono pam_min_uid, pam_max_uide pam_groupdn.

pam_groupdncontiene il DN completo per il mio ssh-usersgruppo. pam_min_uid= 2000e pam_max_uid= 2999.

Ora sono riuscito a farli funzionare aggiungendo:

account [success=1 default=ignore] pam_ldap.so

sopra la pam_unix.solinea in /etc/pam.d/common-account. Tuttavia, gli account Unix locali NON possono quindi accedere: il server SSH interrompe la connessione non appena provano.

Ho impostato il pam_ldap.somodulo sufficientnel file sopra, ma poi gli utenti non validi ricevono un messaggio che dice che non possono accedere, ma li accede comunque.

Quindi, come posso impostare queste restrizioni dell'account per gli utenti LDAP, pur consentendo agli utenti UNIX di accedere?

Come probabilmente intuirai, sono un principiante di PAM, anche se sono riuscito a far funzionare il modulo "Crea automaticamente home directory" :-)

Mille grazie, Andy

PAM ha la capacità di limitare l'accesso in base a un elenco di controllo degli accessi (almeno su Ubuntu) che, come la risposta di kubanskamac (+1) considera i gruppi come gruppi posix, siano essi archiviati in LDAP /etc/groupo NIS.

/etc/security/access.confè il file dell'elenco di accesso. Nel mio file, ho inserito alla fine:

-:ALL EXCEPT root sysadmin (ssh-users):ALL

Questo nega a tutti tranne root, sysadmin e nel gruppo ssh-users (che si trova in LDAP) da dove effettuano il login (il secondo ALL).

Quindi nel mio file di account PAM (questo è un modulo account), aggiungo alla fine:

account required pam_access.so

che dice a PAM di usare questo file. Funziona a meraviglia :-)

Vorrei semplicemente usare

auth required    pam_listfile.so   sense=accept item=group file=/etc/groups.allow onerr=fail

per consentire solo gruppi specifici (sia per gruppi locali che LDAP). In questo modo non è necessario specificare nulla in ldap.conf.

Se vuoi mantenere l'autorizzazione a modo tuo, non dovresti filtrare gli utenti sul passaggio "account". Credo che dovresti piuttosto farlo con il pass "auth". In secondo luogo, come puoi vedere, pam_unix elabora sia gli account locali che LDAP (almeno sul passaggio "account"), quindi sembra che non sia affatto necessario che pam_ldap.

EDIT: In terzo luogo, se insisti ad avere roba sul passaggio "account" (che credo possa avere strani effetti collaterali), la tua sequenza dovrebbe terminare con: ..., "pam_ldap sufficiente", "richiesto pam_localuser", "richiesto pam_unix" . Voglio dire, se hai altri moduli, spostali prima di pam_ldap, altrimenti verrebbero ignorati per gli account LDAP a causa della clausola "sufficiente".

Solo per aggiungere a @ andy-shellam, ecco il mio common-accountfile:

account [success=2 new_authtok_reqd=done default=ignore] pam_unix.so
account [success=1 default=ignore]            pam_ldap.so
account requisite                     pam_deny.so
account required                      pam_access.so
account required                      pam_permit.so