Авторизация с использованием LDAP

Но зачем..? У меня сабж авторизуется в АD (samba4). Всё сделал через samba

Вы твёрдо убеждены в том, что объект с DN=«cn=Administrator,dc=domen,dc=loc» - в Вашем каталоге вообще есть?

Проверьте!

ldapsearch -xLLL -H ldap://dc -b 'dc=domen,dc=loc' -D 'Administrator@domen.loc' -W '(|(sAMAccountName=Administrator)(cn=Administrator))' sAMAccountName

Пользуйтесь двойными кавычками только если Вам нужна интерполяция содержимого, либо если строка уже содержит одинарные кавычки! В противном случае использование одинарных кавычек - это не только быстрее (shift целее будет), но и безопаснее.

Использование «троекратно усиленной» опции -L для ldapsearch позволяет Вам видеть только результат запроса (если он есть), подавляя вывод служебной информации.

Указывай имя юзера для опции -D в виде DOMAIN\username

Авторизуетесь в AD через samba4 с использоваием winbind ??

Да. Авторизуюсь через samba4 winbind, в аналоге AD на samba4.

через winbind у меня работает, но мне нужен вариант через ldap пишут что через его лучше работает

sssd настрой, а nss-ldap удоли

указывал полный путь ничего не изменилось

Поставил sssd ошибка при запуске

service sssd start
start: Rejected send message, 1 matched rules; type="method_call", sender=":1.94" (uid=1000 pid=5844 comm="start sssd ") interface="com.ubuntu.Upstart0_6.Job" member="Start" error name="(unset)" requested_reply="0" destination="com.ubuntu.Upstart" (uid=0 pid=1 comm="/sbin/init")

Это как-же через ldap будет лучше? Что тебе предоставит ldap..? Вход в систему? Не, ну если тебя такое устраивает то ок. А winbind можно запилить, чтоб билеты получало, сопровождало их, и ходить в шарах домена без пароля, получать корпоративные ресурсы через kerberos без пароля, в Интернет без пароля выходить.

через winbind у меня работает, но мне нужен вариант через ldap пишут что через его лучше работает

Я бы сказал: более предсказуемо, поскольку это всё равно что сравнивать federation access manager с кучей плагинов и просто базу данных в чистом виде. Понятно, что если данные запрашивать непосрещдственно из хранилища оных - это куда более прямолинейно и просто, нежели к тем же данным продираться через хитроумную логику какого-нибудь OpenAM'а. Тем не менее с точки зрения функциональности и гибкости конечно AM использовать логичнее.

winbind кстати тоже LDAP использует, что прекрасно видно из его логов при подробной отладке.

Так а ldapsearch что показывает?

я сверху подробно описал вывод ldapsearch

рутом стань штоли, uid=1000 какой-то

Да, но это слегка не тот ldapsearch, который я предлагал выполнить

Вывод команды

ldapsearch -xLLL -H ldap://dc -b 'dc=domen,dc=loc' -D 'Administrator@domen.loc' -W '(|(sAMAccountName=Administrator)(cn=Administrator))' sAMAccountName

Enter LDAP Password: 
dn: CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc
sAMAccountName: Administrator

# refldap://domen.loc/CN=Configuration,DC=domen,DC=loc

# refldap://domen.loc/DC=DomainDnsZones,DC=domen,DC=loc

# refldap://domen.loc/DC=ForestDnsZones,DC=domen,DC=loc

в /etc/ldap.conf я прописывал CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc ничего не изменилось

А что говорит

ldapwhoami -x -H ldap://dc -D 'CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc' -W

?

И что собственно в ldap.conf'е написано?

В /etc/ldap.conf

host dc              
base dc=domen,dc=loc
binddn cn=Administrator,ou=ADMINS,ou=USERS,ou=DOMEN,dc=domen,dc=loc
bindpw pass
scope sub
nss_base_passwd         dc=domen,dc=loc?sub
nss_base_group          dc=domen,dc=loc?sub
nss_map_objectClass posixAccount User
nss_map_attribute uid msSFU30Name
nss_map_attribute uniqueMember msSFU30PosixMember
nss_map_attribute homeDirectory msSFU30HomeDirectory
nss_map_objectClass posixGroup Group
nss_map_attribute gidNumber msSFU30GidNumber
nss_map_attribute uidNumber msSFU30UidNumber
nss_map_attribute loginShell msSFU30LoginShell

Тогда попробуйте

ldapsearch -xLLL -D 'CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc' -W -b 'CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc' -s base

Видно что-нибудь? :)

В ldap.conf:

1) binddn и bindpw работают только при обращении к базе NSS из-под обычного пользователя. Для root'а есть настройка rootdn и файл с паролем и chmod 600 на нём, обычно /etc/ldap.secret

2) Вы действительно установили сконфигурировали SFU или мне это кажется? По ссылке http://www.hackerdom.ru/team/articles/AuthLinuxInWindows - всё настроено?

ldapsearch -xLLL -D 'CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc' -W -b 'CN=Administrator,OU=ADMINS,OU=USERS,OU=DOMEN,DC=domen,DC=loc' -s base

ответ:

ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)

я все настраивал по статье http://wiki.val.bmstu.ru/doku.php?id=%D0%B0%D0%B2%D1%82%D0%BE%D1%80%D0%B8%D0%B7%D0%B0%D1%86%D0%B8%D1%8F_%D1%81_%D0%B8%D1%81%D0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5%D0%BC_ldap_%D1%81%D0%B5%D1%80%D0%B2%D0%B5%D1%80%D0%B0

Хорошая статья, годная :)

Я у него на курсах в «Специалисте» учился (Asterisk).

Я пропустил опцию -H $LDAPURI :) blexen, настоятельно рекомендую изучить инструмент. Мало ли, вдруг мои команды удаляют данные с жёсткого диска или создают чёрную дыру в соседней галактике?

http://itdavid.blogspot.ca/2012/05/howto-centos-6.html

будешь соображать, что к чему.