☰

SSS構成でActive Directoryのユーザーのログインシェルを設定する

tag-icon • tag-icon active-directory domain sssd
SSS構成でActive Directoryのユーザーのログインシェルを設定する

ADドメイン内のさまざまなユーザーに対して異なるログインシェルを定義しようとしています。ここで述べたように。目的は、SSHトンネルを許可しながら特定のグループのメンバーへのログインを拒否することです。

以下はファイルです/etc/sssd/sssd.conf。 MYDOMAIN.GLOBAL は AD が提供するプライマリドメインです。次の構成は、テストドメインMYDOMAIN_TEST.GLOBAL（ADにはありません）をこれらの制限付きユーザーのドメインとして定義します。 （これはテスト専用の設定です。後でドメインセクションMYDOMAIN_TEST.GLOBALoverride_shell = /bin/zshで置き換えられますoverride_shell = /sbin/nologin。）

[sssd]
domains = MYDOMAIN.GLOBAL,MYDOMAIN_TEST.GLOBAL
config_file_version = 2
services = nss, pam

[nss]
default_shell = /bin/bash

[domain/MYDOMAIN.GLOBAL]
ad_server = ad.mydomain.global
ad_domain = MYDOMAIN.GLOBAL
ldap_user_search_filter = (memberOf=CN=AdminsGroup,OU=Groups,DC=MYDOMAIN,DC=GLOBAL)
id_provider = ad
simple_allow_groups = [email protected]
override_shell = /bin/bash

[domain/MYDOMAIN_TEST.GLOBAL]
ad_server = ad.mydomain.global
ad_domain = MYDOMAIN.GLOBAL
ldap_user_search_filter = (memberOf=CN=LimitedGroup,OU=Groups,DC=MYDOMAIN,DC=GLOBAL)
id_provider = ad
simple_allow_groups = [email protected]
override_shell = /bin/zsh

MYDOMAIN.GLOBALのメンバーはSSH経由でログインできますが、MYDOMAIN_TEST.GLOBALのメンバーはSSH経由でログインできず、「権限が拒否されました。再試行してください」または「認証に失敗しました」というエラーが表示されます。

ログsssdファイルにエラーは表示されません。

なぜそんなことですか？

MYDOMAIN_TEST.GLOBALはADに存在する必要がありますか？それでは、どういうわけかこれをバイパスし、他の「ローカルクラス」ユーザーとしてsssを設定して、私が望むことをすることはできますか？

（注：これはnlscdを使用して実行できるようです。この質問によるとそしてこれは別の質問ですしかし、LDAPサーバーが必要であり、ADを使用するように構成することは別のワームです。 )

ベストアンサー1

これは最新バージョンのSSDで動作します。

[sssd]
domains = MYDOMAIN_ADMINS,MYDOMAIN_LIMITED,MYDOMAIN_ALL
config_file_version = 2
services = nss, pam

[nss]
default_shell = /bin/bash

[domain/MYDOMAIN_ADMINS]
ad_server = srv001.company.local,srv002.company.local,srv003.company.local,srv004.company.local
ad_domain = company.local  
ldap_user_search_base = DC=company,DC=local?subtree?(memberOf=CN=unix_admins,OU=Groupes,OU=Main Office,DC=company,DC=local)
id_provider = ad
override_shell = /usr/bin/pwd
override_homedir = /home/%u

[domain/MYDOMAIN_LIMITED]
ad_server = srv001.company.local,srv002.company.local,srv003.company.local,srv004.company.local
ad_domain = company.local  
ldap_user_search_base = DC=company,DC=local?subtree?(memberOf=CN=unix_limited,OU=Groupes,OU=Main Office,DC=company,DC=local)
id_provider = ad
override_shell = /usr/bin/date
override_homedir = /home/%u

[domain/MYDOMAIN_ALL]
ad_server = srv001.company.local,srv002.company.local,srv003.company.local,srv004.company.local
ad_domain = company.local  
ldap_user_search_base = DC=company,DC=local
id_provider = ad
override_homedir = /home/%u

ldap_user_search_base現在使用されていない（削除された？）ものの代わりに使用されますldap_user_search_filter。

フィルタを追加するsimple_allow_groupsのがldap_user_search_base正しいかどうかわかりません。ディレクティブでのみ機能するかどうか疑問に思いますsimple_allow_groups。

おすすめ記事