openldap ssh linuxuser連携

環境

▼LDAPサーバ
centos 6.4
openldap-2.4.23-32
▼LDAPクライアント
centos 6.4

LDAPサーバ側作業

データイメージ

example.com
 |_ cm=Manager
 |_ ou=a
    |_ ou=a_1
       |_ cn=test
       |_ uid=test

ディレクトリを作成

vi /etc/openldap/base.ldif
 
dn: ou=a,dc=example,dc=com
objectClass: organizationalUnit
ou: a
 
dn: ou=a_1,ou=a,dc=example,dc=com
objectClass: organizationalUnit
ou: a_1
適応
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w secret -f base.ldif

グループを作成

vi /etc/openldap/group.ldif
 
dn: cn=test,ou=a_1,ou=a,dc=example,dc=com
objectClass: top
objectClass: posixGroup
cn: test
gidNumber: 501
適応
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w secret -f group.ldif

ユーザを作成

vi /etc/openldap/user.ldif
 
dn: uid=test,ou=a_1,ou=a,dc=example,dc=com
uid: test
cn: test
objectClass: account
objectClass: posixAccount
objectClass: top
userPassword: test
loginShell: /bin/bash
uidNumber: 501
gidNumber: 501
homeDirectory: /home/test
適応
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w secret -f user.ldif

LDAPクライアント側作業

LDAPで名前解決(認証)ができるよう設定を行う。

モジュールをインストール

yum install nss-pam-ldapd

nslcdの設定

これはLDAPに問い合わせを行うデーモンプログラムです。
vi /etc/nslcd.conf
・
・
・
#uri ldap://127.0.0.1/
uri ldap://192.168.**.**/
base dc=example,dc=com
 
base   group  ou=a_1,ou=a,dc=example,dc=com
base   passwd  ou=a_1,ou=a,dc=example,dc=com
base   shadow  ou=a_1,ou=a,dc=example,dc=com
起動
chkconfig nslcd on
/etc/init.d/nslcd start

NSS(nsswitch.conf)がLDAPを利用するように設定

vi /etc/nsswitch.conf
・
・
・
passwd:     files ldap　　← ldapを追加
shadow:     files ldap　　←
group:      files ldap　　←
・
・
・

PAMの設定

PAM（Pluggable Authentication Module）とは、個々のサービスに必要な認証機能を提供してくれます。

/etc/pam_ldap.conf 設定

vi /etc/pam_ldap.conf
・
・
・
#host 127.0.0.1
host 192.168.**.**
base dc=example,dc=com
・
・
・

/etc/pam.d/system-auth 設定

vi /etc/pam.d/system-auth
 
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        sufficient    pam_ldap.so use_first_pass                   ←追加
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        required      pam_deny.so
 
account     required      pam_unix.so
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so 　←追加
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     required      pam_permit.so
 
password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok                      ←追加
password    required      pam_deny.so
 
session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so                                  ←追加
session     optional      pam_mkhomedir.so skel=/etc/skel umask=077

ssh 設定

/etc/pam.d/password-auth 設定

vi /etc/pam.d/password-auth
 
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        sufficient    pam_ldap.so use_first_pass                  ←追加
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        required      pam_deny.so
 
account     required      pam_unix.so
account     [default=bad success=ok user_unknown=ignore authinfo_unavail=ignore] pam_ldap.so   ←追加
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     required      pam_permit.so
 
password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok                     ←追加
password    required      pam_deny.so
 
session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so                                 ←追加
session     sufficient   pam_mkhomedir.so skel=/etc/skel/ umask=0022
これでssh ログインできるようになります。
sshログインするとディレクトリが作成されます。

このブログの人気の投稿

RAC環境でimpdpをパラレルで実行するとき

環境 oracle enterprise 11.2g rac構成 発生事象 impdpをパラレル実行していたところ、「オープンできません」などのエラーが発生した。 ORA-31693: 表データ・オブジェクト****"."****"は、ロード/アンロードに失敗し、エラーのためスキップされます: ORA-31640: ダンプ・ファイル"****"を読取りのためにオープンできません ORA-19505: ファイル"****"の識別に失敗しました。 ORA-27037: ファイル・ステータスを取得できません。 対処方法 権限の問題かと思ったが、どうやら違うらしい。 下記を参考に「CLUSTER=N」をつけたところ、正常にimpdpが完了した。 http://it-memo.info/?p=1368 rac環境でのimpdpパラレルは、全ノードで実行しているとのこと。 そのため、このパラメータを付与する必要がある。 以上
続きを読む

ctrl+s 操作が不能に

悩み コマンドラインで、ctrl+s を押すとロックがかかってしまう。 疲れているときにたまにやってしまいます（笑 これをなんとかできないかと調べてみた。 解決方法 ctrl+sをやったときは、ctrl+qで解除できる、。 ctrl + sを無効にする。 bashrcに下記のように追記する。 # vi ~/.bashrc + if [ “$SSH_TTY” != “” ]; then + stty stop undef + fi stty stop undefだけだとscpコマンドで下記のようなエラーがでます。 # scp test localhost: stty: 標準入力: デバイスに対する不適切なioctlです test: not a regular file なので、if [ “$SSH_TTY” != “” ]; then ～～～ fi を入れます。 ◎参考 http://linux.just4fun.biz/%E9%80%86%E5%BC%95%E3%81%8DUNIX%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89/Ctrl%2BS%E3%81%AB%E3%82%88%E3%82%8B%E7%AB%AF%E6%9C%AB%E3%83%AD%E3%83%83%E3%82%AF%E3%82%92%E7%84%A1%E5%8A%B9%E3%81%AB%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95.html こちらに詳しく書いてありました。
続きを読む

TrustedInstaller.exe　メモリリーク

現象 windows server 2008 R2でTrustedInstaller.exe がメモリリークを起こしている現象を発見した。 TrustedInstaller.exe だけで、1.5GB以上使用していた。 無駄に使っているため、解放したい。 microsoft からも情報があがっていた https://support.microsoft.com/ja-jp/kb/2794283 原因 microsoftからの情報 TrustedInstaller.exe は、明示的に停止処理が実施されない場合、10 分以上のアイドル状態が継続すると、自動的に停止します。 一方、サーバー マネージャーの　[最新の情報への更新] が有効 (既定) に構成されている場合、サーバーにインストールされている役割と機能の状態を定期的 (既定では 2 分間隔) に確認します。 この際、TrustedInstaller.exe に対して役割と機能のインストール状態の問い合わせが行われ、TrustedInstaller.exe は要求が行われる度に新しいログ セッションを作成し、そのためのメモリバッファーを確保します。このセッションおよびバッファーは TrustedInstaller.exe プロセスが終了するまで解放されません。 そのため、サーバー マネージャーの [最新の情報への更新] が有効に設定され、かつ、その更新間隔が 10 分以下である場合、TrustedInstaller.exe プロセスはアイドル状態を 10 分以上保つことが出来ず、自動的に停止されません。また、その間 TrustedInstaller.exe プロセスが消費するメモリが増加し続けます。 サーバ windows server 2008 R2 対処方法 microsoftからの情報 方法1 ：サーバーマネージャーを終了する ログオン時にサーバー マネージャーが自動的に起動するのを停止するには、サーバー マネージャー上で以下のチェックをオンにします。 　 [サーバーの概要] – [コンピューター情報] – [ログオン時にこのコンソールを表示しない] 方法2 ：サーバーマネージャーの [最新の情報への更新] 機能を無効化する サーバー マネージャー...
続きを読む