1) Настроить доменную двухфакторную аутентификацию (Samba-AD) 2) Проверить вход пользователем: - с подключенным токеном = успешно, вход по pin от токена (в тестировании токен Рутокен ЭЦП2.0 3000) - с отключенным токеном = успешно, вход по паролю Оба результата корректны. 3) Включила пользователю опцию SMARTCARD_REQUIRED, что должно запретить вход без токена. 4) Проверила вход: - с подключенным токеном = успешно, вход по pin от токену - с отключенным токеном, вход не разрешен. Оба результата корректны. 5) Отключить для пользователя опцию SMARTCARD_REQUIRED 6) Выполнить вход по токену и без токена (по паролю) Результат: вход по токену выполняется успешно. Вход без токена по-прежнему невозможен. Лог входа по паролю: дек 21 12:07:30 work.test5.alt lightdm[6527]: pam_succeed_if(lightdm:auth): requirement "user ingroup nopasswdlogin" not met by user "rt_smb" дек 21 12:07:30 work.test5.alt systemd[1]: Started PC/SC Smart Card Daemon. дек 21 12:07:33 work.test5.alt krb5_child[6558]: Pre-authentication failed: Invalid argument дек 21 12:07:45 work.test5.alt krb5_child[6560]: Preauthentication failed дек 21 12:07:45 work.test5.alt krb5_child[6560]: Preauthentication failed дек 21 12:07:45 work.test5.alt krb5_child[6560]: Preauthentication failed дек 21 12:07:45 work.test5.alt lightdm[6527]: pam_sss(lightdm:auth): authentication failure; logname= uid=0 euid=0 tty=:0 ruser= rhost= user=rt_smb дек 21 12:07:45 work.test5.alt lightdm[6527]: pam_sss(lightdm:auth): received for user rt_smb: 7 (Сбой при проверке подлинности) дек 21 12:07:45 work.test5.alt lightdm[6527]: gkr-pam: no password is available for user дек 21 12:07:46 work.test5.alt lightdm[6561]: pam_succeed_if(lightdm:auth): requirement "user ingroup nopasswdlogin" not met by user "rt_smb" дек 21 12:07:48 work.test5.alt krb5_child[6587]: Pre-authentication failed: Invalid argument Ожидаемый результат: После отключения опции SMARTCARD_REQUIRED ожидается, что вход по паролю будет возможен. Дополнительно: для "починки" входа по паролю помогает сброс пароля.
Актуально для версий admc-0.10.0-alt3 admc-0.11.0-alt1
Очень похоже на ошибку обратного переключения. Чтобы исключить други варианты, требуется сделать проверку отключения через RSAT. Если поведение будет аналогичным, то дело не в admc, а в sssd. Кстати, это, вообще может быть не ошибка, а настройка застрявшая в Кеше. Тогда она тоже будет воспроизводится через RSAT. Но, в этом случае, достаточно почистить кеш sssd.
(Ответ для Evgeny Sinelnikov на комментарий #2) > Очень похоже на ошибку обратного переключения. Чтобы исключить други > варианты, требуется сделать проверку отключения через RSAT. Если поведение > будет аналогичным, то дело не в admc, а в sssd. > > Кстати, это, вообще может быть не ошибка, а настройка застрявшая в Кеше. > Тогда она тоже будет воспроизводится через RSAT. Но, в этом случае, > достаточно почистить кеш sssd. При выполнении данного теста я чистила кэш, это не помогало.
(Ответ для Vera Blagoveschenskaya на комментарий #3) ... > При выполнении данного теста я чистила кэш, это не помогало. Нужно тогда проверить поведение при отключении данной опции через RSAT.
> Нужно тогда проверить поведение при отключении данной опции через RSAT. В RSAT поведение аналогичное, после отключения функции вход по паролю ломается.
Данная ошибка относится к Samba и ошибкой не является. При установке флага SMARTCARD_REQUIRED пользователю сразу же меняется пароль на рандомную строку, из за чего даже после его снятия вход невозможен до смены пароля администратором. Данное поведение для AD задокументировано в https://mskb.pkisolutions.com/kb/892424
