Negli ultimi giorni ho installato un sistema Linux con autenticazione LDAP e tutto funziona bene, ma c'è ancora qualcosa che non riesco davvero a capire riguardo a NSS e PAM, anche dopo molte ricerche.

citando:

NSS consente agli amministratori di specificare un elenco di fonti in cui verranno archiviati e cercati file di autenticazione, nomi host e altre informazioni

e

PAM è un insieme di librerie che forniscono una piattaforma di autenticazione configurabile per le applicazioni e il sistema operativo sottostante

Quello che non capisco è come PAM e NSS lavorano e interagiscono insieme. In questo libro l'architettura è spiegata abbastanza bene: configuro PAM per l'utilizzo pam_ldapper account LDAP e pam_unixper account locali, quindi configuro nsswitch.confper recuperare informazioni da file locali e LDAP.

Se ho capito bene LDAP è usato due volte: prima da pam_ldape poi da NSS, che è a sua volta chiamato pam_unix. È giusto? LDAP è davvero usato due volte? Ma perché devo configurare sia NSS che PAM? La mia spiegazione è che PAM svolge compiti diversi rispetto a NSS ed è utilizzato da altri programmi. Ma, quindi, dovrebbe essere possibile utilizzare solo NSS o solo PAM, come ho letto in questa pagina .

Quindi ho sperimentato un po 'e ho prima provato a eliminare LDAP dal nsswitch.conf(e l'autenticazione ha smesso di funzionare come se solo pam_ldap non fosse abbastanza per fare il lavoro). Quindi ho riabilitato LDAP in NSS e l'ho eliminato dalla configurazione PAM (questa volta tutto ha funzionato bene, come se pam_ldapfosse inutile e NSS è sufficiente per autenticare un utente).

C'è qualcuno che può aiutarmi a chiarire questo? Molte grazie in anticipo.

AGGIORNARE

Ho appena provato qualcosa adesso. Ho rimosso di nuovo tutte le pam_ldapvoci in tutti i campi di configurazione pam e ho anche rimosso shadow: ldapda nsswitch.conf. Come ora in tutto il sistema ci sono solo le linee: passwd: ldap filese group: ldap filesdentro nsswitch.conf. Bene ... il login con gli utenti LDAP funziona perfettamente, quelle due righe (più /etc/ldap.conf) sono sufficienti per configurare l'autenticazione LDAP.

Dalla mia conoscenza, PAM è indipendente da NSS, ma i miei test hanno dimostrato che non lo è. Quindi mi chiedo: è possibile disabilitare completamente NSS e usare solo PAM?

Aiuta a scomporre le cose in questo modo nella tua testa:

• NSS - Un sistema basato su modulo per controllare il modo in cui i vari database a livello di sistema operativo sono assemblati in memoria. Questo include (ma non è limitato a) passwd, group, shadow(questo è importante per nota), e hosts. Le ricerche UID utilizzano il passwddatabase e le ricerche GID utilizzano il groupdatabase.

• PAM : un sistema basato su moduli per consentire l'autenticazione e la contabilità basate sui servizi. A differenza di NSS, non si stanno estendendo database esistenti; Moduli PAM possono usare qualsiasi logica che vogliono, sebbene accedere alla shell ancora dipendono dalle passwde groupdatabase di NSS. (hai sempre bisogno di ricerche UID / GID)

La differenza importante è che PAM non fa nulla da solo. Se un'applicazione non si collega alla libreria PAM e non effettua chiamate, PAM non verrà mai utilizzata. NSS è fondamentale per il sistema operativo e i database sono abbastanza onnipresenti per il normale funzionamento del sistema operativo.

Ora che lo abbiamo rimosso, ecco la palla curva: mentre pam_ldap è il modo popolare per autenticarsi contro LDAP, non è l' unico modo.

• Se shadowpunta al servizio ldap all'interno /etc/nsswitch.conf, qualsiasi autenticazione eseguita sul database shadow avrà esito positivo se gli attributi per quei mapping dei campi ombra (in particolare il campo password crittografato) sono presenti in LDAP e consentirebbero l'accesso.
  • Questo a sua volta significa che pam_unix.sopuò potenzialmente comportare l'autenticazione con LDAP, poiché esegue l'autenticazione con il database shadow. (che è gestito da NSS e potrebbe puntare a LDAP)
• Se un modulo PAM esegue chiamate contro un demone che a sua volta interroga il database LDAP (diciamo pam_sss.so, quali hook sssd), è possibile che venga fatto riferimento a LDAP.

NSS è lì per elencare informazioni su servizi / utenti (a quale gruppo appartieni, dove si trova la tua home directory ecc.). PAM determina cosa fare in merito a tali informazioni.

Se si desidera utilizzare LDAP per l' autenticazione, è necessario pam_ldap. Se stai usando qualcos'altro (account locali, Kerberos ecc.), Non puoi.

Quindi fanno cose diverse. NSS ottiene informazioni, PAM determina chi è autorizzato a fare cosa una volta ottenute tali informazioni.