☰

LDAPグループを介したSSH - 機能しない

tag-icon • tag-icon centos ssh ldap
LDAPグループを介したSSH - 機能しない

同じRedOSイメージ（CentOS 7ベース）で構成された「31」個のサーバーがあります。 LDAP Sambaドメインに移動し、LDAPユーザーグループに基づいてSSH経由で認証するように構成されています。このために、以下の変更が行われた。

ルートとして作成

echo "Domain admins" > /etc/ssh/access_groups.conf && chmod 600 /etc/ssh/access_groups.conf

/etc/pam.d/sshd 修正

____missed default____
account required pam_nologin.so
account sufficient pam_localuser.so
account required pam_listfile.so onerr=fail item=group sense=allow file=/etc/ssh/access_groups.conf
account include password-auth
_______ missed default____

visudo /etc/sudoers.d/01-domain-user

#sudo admin users LDAP auth
"%mydomain.local\Domain admins" ALL=(ALL) NOPASSWD:ALL

systemctl sshdの再起動

この構成は、約30台以上のサーバーに正常に適用され実行されています。サーバー31では、この構成は機能しません。ログインしようとすると、クライアントはサーバーによって接続が終了したことを示します。

debug3: failed to open file:C:/dev/tty error:3
debug1: read_passphrase: can't open /dev/tty: No such file or directory
t1_rushao@ruyansvap38's password:
debug3: send packet: type 50
debug2: we sent a password packet, wait for reply
Connection closed by 10.65.201.61 port 22

サーバー側から

sshd[18238]: pam_sss(sshd:auth): authentication success; logname= uid=0 euid=0 tty=ssh ruser= rhost=10.65.90.176 user=t1_rushao
sshd[18238]: pam_listfile(sshd:account): Refused user t1_rushao for service sshd
sshd[18238]: Failed password for t1_rushao from 10.65.90.176 port 59786 ssh2
sshd[18238]: fatal: Access denied for user t1_rushao by PAM account configuration [preauth]

コメントしたら「アカウントpam_listfile.soが必要です...」ドメインユーザーとしてSSH経由で接続できますが、sudoも機能しません。同時に、

id t1_rushao
uid=1006007868(t1_rushao) gid=1006000513(domain users) groups=1006000513(domain users),1006000512(domain admins)

sssdサービスが動作しており、サーバーのドメインユーザー認証も機能しているようで、kinit、net Ads Joinを数回試しました。 /etc/security/access.conf はデフォルトで完全にコメントされています。

この構成がこのサーバーで機能しない理由はわかりません。問題がドメイングループのどこかにあり、システムがユーザーグループを設定に一致させることができないことがわかりますが、なぜですか？

ベストアンサー1

可能な大文字と小文字の問題：idコマンドはグループをdomain adminsすべて小文字として報告しましたが、ユーザー/etc/ssh/access_groups.confと/etc/sudoers.d/01-domain-usersその両方がDomain admins最初の大文字としてグループを指定しました。

pam_listfile.soUnix / Linuxシステムは通常大文字と小文字を区別するため、これがルールの例外であると信じる理由はありません。私はこれがsudo間違いなく大文字と小文字を区別することを知っています。

access_groups.conf一致するように、sudoers設定でグループ名をすべて小文字に変更してみてくださいid。

sssd（/etc/sssd/sssd.confおよびすべてのファイル）/etc/sssd/conf.d/*.confには、ドメインの構成や設定などにfull_name_format若干のuse_fully_qualified_names違いがある場合がありますcase_sensitive。

あなたの作業サーバーには明らかにこれが必要ですcase_sensitive = false。これはsssdのデフォルト設定ではないようです。たぶん、機能していないサーバーの一部が欠落している可能性があります。

おすすめ記事