Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

SSO avec ldap+nss+samba et Squid+squidGuard

fredouille

Bonjour à tous,

depuis quelques temps (trois ans environ, oui je sais je ne suis pas très performant.... :-D) je souhaite mettre en place une authentification SSO sur mon lan (oui je sais c'est surement un peu trop pour un lan :-P).

Bref j'ai fais beaucoup de tentatives avec que des échecs jusque maintenant.....
A savoir que pour ma dernière tentative j'ai suivi ceci (oui je sais : le lien pointe vers une installation pour F15 mais je souhaite confirmer que tout fonctionne avant d'updater mon système en F17)

Voici donc mon problème du moment :
j'ai suivi le tuto pour mettre en place le service sur le "serveur" et tout semble fonctionner, puis je me suis dis : ca serait pas mal si l'authentification sur le serveur se fait en ldap alors j'ai configuré les différents fichiers : /etc/openldap/ldap.conf, /etc/nss_ldap.conf, /etc/pam_ldap.conf, /etc/pam.d/system-auth, /etc/nsswitch.conf et enfin /etc/sysconfig/authconfig avant de rebooter la machine.

Le tout en utilisant une adresse 192.168.83.136 en lieu et place de 10.0.0.100, je précise que cette même machine fait DNS et que ce service répond très bien aux divers dig et nslookup lancés.

Maintenant je me retrouve avec un système qui authentifie bien mon user sur le serveur mais celui-ci ne peut plus se logguer en root sur une console pour continuer la mise en place de tout le reste.

Donc voici mes quelques questions :
Faut-il mieux que j'utilise openldap comme proposé dans la doc ou 389-ds ?

Peut-on utiliser l'authentification nss_ldap sur la machine qui propose le service pour ouvrir une session ?
si oui en utilisant 127.0.0.1 ou l'adresse sur le réseau ?

D'un autre coté je n'ai jamais réussi non plus à utiliser squid_kerb_auth ni depuis mes quelques machines Windows ni depuis mes machines linux, je précise que toutes les machines windows faisaient parties du domaine samba et j'arrivais parfaitement à ouvrir des sessions stockées sur le "serveur" et que j'avais mis en place le service kerberos sur le "serveur" et que la config répondait bien aux diverses requêtes.

Donc voici ma dernière pour ceux qui seront allés au bout de mon appel à l'aide et qui auraient une réponse ou une piste à proposer :

Sauriez-vous comment faire fonctionner squid_kerb_auth qui est le dernier maillon pour le SSO que je souhaite mettre en place ??

D'avance merci à tous ceux qui auront pris le temps de me lire et qui auraient quelques réponses/pistes à me proposer,

Merci à tous

penthium2

Maintenant je me retrouve avec un système qui authentifie bien mon user sur le serveur mais celui-ci ne peut plus se logguer en root sur une console pour continuer la mise en place de tout le reste.

ton utilisateur root existe dans ton annuaire ldap ? car si ta regles pam pour ldap est en première et si erreur refuse le login le problème viens peut etre de la.

fredouille

Salut penthium2,

merci bien pour ta réponse,

euh ??? ben non mon user root n'existe pas dans l'annuaire ldap, j'ai suivi le tuto où justement seuls les users ayant un id entre 500 et 999 sont créés dans l'annuaire.

J'admets que cela m'avait un peu surpris à la première lecture du script mais après réflexion cela me semblait cohérent d'un point de vue sécurité où seul un user ayant ouvert une session localement sur le "serveur" aurait pu se logguer en root et prendre ses pouvoirs.

Maintenant je reconnais que je ne connais vraiment pas les subtilités de pam ni-même celles de ldap et je pensais franchement que si pam ne trouvait pas de compte du user dans l'annuaire alors pam allait voir dans ses "files" locaux comme ils restaient écrits dans les fichiers de conf de /etc/nsswitch.conf (comme écrit dans le tuto).

Je pensais franchement que c'est comme cela que cela se passerait et que même si le user avait été identifié depuis l'annuaire ldap il pouvait continuer à prendre les droits d'un autre user (même root) à partir du moment où il connaissait le mdp.

Egalement j'avais déduis que si l'annuaire ldap venait un jour à être corrompu le sytème pourrait tout de même ouvrir un compte local à partir du moment ou le user souhaité existerait dans les files de nsswitch.conf.......

Maintenant le problème est que je n'arrive pas à ouvrir de session (graphique ou pas) en root.

Tu aurais une solution pour que je puisse reprendre les droits du root pour pouvoir modifier les configurations ?

Tu aurais une solution pour que si le système ne trouve le user dans l'annuaire ldap alors que le système aille ensuite voir dans ses fichiers locaux ?

Merci encore pour ta réponse et ton aide, cela me confirme bien qu'il ne me suffit pas d'écrire des fichiers de conf corrects pour que tout fonctionne et que je comprenne bien tout ce que je fais, j'ai encore pas mal de boulot pour bien comprendre comment fonctionne linux.... MERCI ENCORE

Si vous avez des idées pour que je puisse réparer ma dernière bêtise, d'avance merci à tous,