Il y a 2 problèmes différents.
1/
l'identification, c'est à dire où sont stockés les informations sur les comptes.
Il est possible d'utiliser la consultation, via ldap de l'annuaire active directory, à condition d'étendre le schéma pour intégrer les informations spécifiques au monde Unix (uid, gid, shell, home...)
Ceci est possible en installant SFU (Server For unix).
De toute manière cela sera cumulatif avec le fichier local /etc/passwd, c'est à dire que le système consultera les 2 sources d'informations (enfin c'est préférable en cas de panne réseau pour pouvroir utiliser le compte root).
Pour utiliser cela, j'ai modifié les fichiers
- /etc/
ldap.conf (config de l'accès à l'annuaire)
- /etc/
nsswitch.conf, extrait :
passwd: files ldap
shadow: files ldap
group: files ldap
2/
l'authentification, c'est à dire le controle de la validité du mot de passe.
Il y a plusieurs solutions consistant à configurer les modules
pam, au choix :
- authentification
ldap, simple mais pas sécurisé car le mot de passe circule en clair.
- authentification
kerberos, c'est le plus sécurisé, mais cela oblige a créer un compte pour chaque machine dans le domaine et je trouve cela un peu délicat (en particulier, cela interdit de "cloner" les machines)
- authentification
ntlm, c'est l'utilisation du mode venant de NT4, toujours disponible si le domaine Active Directory fonctionne en mode mixte (avec un PDC emulator).
Ici encore il est possible de cumuler avec le fichier /etc/passwd (si le mot de passe est validé par /etc/passwd la connexion est autorisé, sinon il est proposé au DC du domaine).
Pour utiliser cela, j'ai modifié les fichiers
- /etc/
pam_smb.conf (nom du domaine et des DC)
- /etc/pam.d/
system-auth, extrait :
auth required /lib/security/$ISA/pam_env.so
auth sufficient /lib/security/$ISA/pam_unix.so likeauth nullok
auth sufficient /lib/security/$ISA/pam_smb_auth.so use_first_pass nolocal
auth required /lib/security/$ISA/pam_deny.so
L'authenfication SMB peut être utilisée sans consulter l'annuaire LDAP à condition que chaque utilisateur dispose d'un compte local (définit dans /etc/passwd).
Dans les 2 cas la configuration peut se faire avec
system-config-authentication.
Il n'y aura jamais le choix 'local' ou 'domaine' sur la grille de connexion, mais les 2 authenfications fonctionneront correctement.
J'espère avoir été aussi clair que possible...
A+
