• DNS client- und serverseitig korrekt
• (open)ldap inkl. TLS
• OpenLDAP als Benutzerdatenbank für Linux
  • falls Gruppen in Gruppen verschachtelt (nested groups) werden sollen: RFC2307bis Schema hinzufügen

• Debian (ab 8): sssd-ldap sssd-tools libnss-sss libpam-sss ¹⁾
• CentOS (7): sssd-ldap sssd-tools
• openSuSE (12.3): sssd sssd-tools
  • nscd entfernen

Debian (ab 9):

cp /usr/share/doc/sssd-common/examples/sssd-example.conf /etc/sssd/sssd.conf

/etc/sssd/sssd.conf

[sssd]
services = nss, pam
domains = LDAP
 
[nss]
 
[pam]
 
[domain/LDAP]
id_provider = ldap
auth_provider = ldap
 
ldap_schema = rfc2307
ldap_uri = ldap://vm1.z36.example.org
ldap_search_base = dc=example,dc=org
 
ldap_tls_cacert = /etc/ssl/certs/ca.example.org.cert.pem
 
ldap_default_bind_dn = cn=admin,dc=example,dc=org
ldap_default_authtok = villa
ldap_default_authtok_type = password
 
enumerate = true
cache_credentials = true

chmod 600 /etc/sssd/sssd.conf
sssctl config-check

service sssd restart
sssctl domain-list

→ LDAP

sssctl domain-status LDAP -a

→ LDAP: vm1.z45.internal

sssctl user-checks nutzer45

→ pam_acct_mgmt: Success

grep -E '^(passwd|group|shadow)' /etc/nsswitch.conf

→ files sss

getent passwd {10000..10100}

→ LDAP-Benutzer werden angezeigt

Debian (ab 8):

pam-auth-update

CentOS (7):

authconfig --enablesssd --update
authconfig --enablesssdauth --update
authconfig --enablemkhomedir --update

service sssd stop
sssd -i -d 3

• /usr/share/doc/sssd-common/examples/sssd-example.conf
• man sssd-ldap