35435 2018-09-25 15:19:21 +0300 system-auth write ad: SSSD не применяет групповые политики 2019-02-27 18:11:25 +0300 1 1 4 Development Sisyphus alterator-auth unstable all Linux CLOSED FIXED P3 normal --- 1 asheplyakov boyarsh boyarsh cas sin qa-sisyphus oldest_to_newest 174487 0 asheplyakov 2018-09-25 15:19:21 +0300 Как воспроизвести 0) Развернуть AD домен foo.example (на samba или windows 2008 r2 или новее) 1) Создать доменного пользователя testuser 2) Определить групповую политику, запрещающую пользователю testuser входить удаленно, и применить ее ко всему домену 3) Ввести в домен клиентскую машину (с ALT): а) Установить ПО, необходимое для вхлда в домен: sudo apt-get install -y samba-client task-auth-ad-sssd б) создать /etc/krb5.conf следующего вида: [libdefaults] dns_lookup_kdc = true dns_lookup_realm = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = FOO.EXAMPLE в) создать /etc/samba/smb.conf следующего содержания: [global] security = ads realm = FOO.EXAMPLE workgroup = FOO netbios_name = CLIENT kerberos method = system keytab wins support = no idmap config * : range = 10000-20000000 idmap config * : backend = tdb [homes] comment = Home Directories browseable = no writable = yes здесь CLIENT -- краткое имя клиентской машины в верхнем регистре г) выполнить команду sudo system-auth write ad FOO.EXAMPLE CLIENT FOO administrator $DOMAIN_ADMIN_PASSWORD здесь CLIENT -- краткое имя клиентской машины в верхнем регистре, $DOMAIN_ADMIN_PASSWORD -- пароль администратора домена д) перезапустить sssd sudo service sssd restart 4) проверить, что на клиентской машине работает nss: getent passwd testuser должно напечатать что-то вроде testuser:*:597601106:597600513:testuser:/home/FOO.EXAMPLE/testuser:/bin/bash 5) войти как testuser на клиентскую машину по ssh ssh testuser@client.foo.example Ожидаемый результат Отказано в доступе (в соответствии с групповой политикой). Наблюдаемый результат Пользователь testuser успешно входит по ssh на клиентскую машину. Предполагаемая причина В файле /etc/sssd/sssd.conf в секции [domain/FOO.EXAMPLE] не указано 'access_provider = ad' 174489 1 7777 asheplyakov 2018-09-25 15:32:44 +0300 Created attachment 7777 патч 174720 2 asheplyakov 2018-10-03 17:33:55 +0300 task 214012 (http://git.altlinux.org/tasks/214012/logs/events.1.1.log) 175272 3 sin 2018-10-24 18:23:31 +0300 Я подтвердил задание: [sin@xpi samba.git]$ ssh girar task show 214012 id=214012 locked=no shared=no fail_early=no test_only=yes repo=sisyphus owner=asheplyakov state=EPERM try=1 iter=1 100:dir=/people/asheplyakov/packages/alterator-auth.git 100:tag_name=0.37-alt1 100:tag_id=42ef05962831fd92d68886be55a2d45769651a21 100:tag_author=Alexey Sheplyakov <asheplyakov@altlinux.org> 100:fetched=2018-10-03T14:18:59 100:userid=asheplyakov 100:approved_by=sin 100:pkgname=alterator-auth 179045 4 cas 2019-02-27 18:11:25 +0300 Исправлено в 0.37-alt1 7777 2018-09-25 15:32:44 +0300 2018-09-25 15:32:44 +0300 патч 0001-ad-configure-sssd-to-apply-group-policies-ALT-35435.patch text/plain 1061 asheplyakov RnJvbSBhNzgxMGRiY2ZjM2FkZGJjNDlkMDZkYzY4ZDA4MGM0NmQzZGEwMjhjIE1vbiBTZXAgMTcg MDA6MDA6MDAgMjAwMQpGcm9tOiBBbGV4ZXkgU2hlcGx5YWtvdiA8YXNoZXBseWFrb3ZAYWx0bGlu dXgub3JnPgpEYXRlOiBNb24sIDI0IFNlcCAyMDE4IDE4OjA5OjM2ICswNDAwClN1YmplY3Q6IFtQ QVRDSF0gYWQ6IGNvbmZpZ3VyZSBzc3NkIHRvIGFwcGx5IGdyb3VwIHBvbGljaWVzIChBTFQgIzM1 NDM1KQoKLS0tCiBhbHRlcmF0b3ItYXV0aC9zYmluL3N5c3RlbS1hdXRoIHwgMSArCiAxIGZpbGUg Y2hhbmdlZCwgMSBpbnNlcnRpb24oKykKCmRpZmYgLS1naXQgYS9hbHRlcmF0b3ItYXV0aC9zYmlu L3N5c3RlbS1hdXRoIGIvYWx0ZXJhdG9yLWF1dGgvc2Jpbi9zeXN0ZW0tYXV0aAppbmRleCBkMGYy YTA2Li5iNjMwNjZhIDEwMDc1NQotLS0gYS9hbHRlcmF0b3ItYXV0aC9zYmluL3N5c3RlbS1hdXRo CisrKyBiL2FsdGVyYXRvci1hdXRoL3NiaW4vc3lzdGVtLWF1dGgKQEAgLTM5MSw2ICszOTEsNyBA QCBBRF9QQVJBTVMpIgogCSAgICBpbmlfY29uZmlnX3NldCAiJHNzc2RfY29uZiIgImRvbWFpbi8k ZG9tYWluIiAnaWRfcHJvdmlkZXInICdhZCcKIAkgICAgaW5pX2NvbmZpZ19zZXQgIiRzc3NkX2Nv bmYiICJkb21haW4vJGRvbWFpbiIgJ2F1dGhfcHJvdmlkZXInICdhZCcKIAkgICAgaW5pX2NvbmZp Z19zZXQgIiRzc3NkX2NvbmYiICJkb21haW4vJGRvbWFpbiIgJ2NocGFzc19wcm92aWRlcicgJ2Fk JworCSAgICBpbmlfY29uZmlnX3NldCAiJHNzc2RfY29uZiIgImRvbWFpbi8kZG9tYWluIiAnYWNj ZXNzX3Byb3ZpZGVyJyAnYWQnCiAJICAgIGluaV9jb25maWdfc2V0ICIkc3NzZF9jb25mIiAiZG9t YWluLyRkb21haW4iICdkZWZhdWx0X3NoZWxsJyAnL2Jpbi9iYXNoJwogCSAgICBpbmlfY29uZmln X3NldCAiJHNzc2RfY29uZiIgImRvbWFpbi8kZG9tYWluIiAnZmFsbGJhY2tfaG9tZWRpcicgJy9o b21lLyVkLyV1JwogCSAgICBpbmlfY29uZmlnX3NldCAiJHNzc2RfY29uZiIgImRvbWFpbi8kZG9t YWluIiAnZGVidWdfbGV2ZWwnICcwJwotLSAKMi4xMC4yCgo=