Bug 32515 - Невозможность входа локального пользователя с именем, идентичным доменному
Summary: Невозможность входа локального пользователя с именем, идентичным доменному
Status: NEW
Alias: None
Product: Альт Рабочая станция
Classification: Distributions
Component: Ошибки работы (show other bugs)
Version: 8.0
Hardware: all Linux
: P3 minor
Assignee: Michael Shigorin
QA Contact: qa-p8@altlinux.org
URL:
Keywords:
Depends on:
Blocks:
 
Reported: 2016-09-20 15:56 MSK by Pavel Isopenko
Modified: 2017-02-24 14:50 MSK (History)
4 users (show)

See Also:


Attachments

Note You need to log in before you can comment on or make changes to this bug.
Description Pavel Isopenko 2016-09-20 15:56:27 MSK
Если, случайно, в ALT-домене обнаружится пользователь с именем, идентичным локальному, после подключения к домену такой пользователь не сможет войти в систему. У пользователя из домена попросту не хватит прав на уже существующий локальный профиль со всей положенной руганью. В Кентаврах такой проблемы не возникало похоже по причине того, что имя сначала примеривалось к локальному профилю.
Да, важность проблемы невелика, достаточно соблюдать уникальность имен в пространстве системы. Даже как бы и не баг вовсе, можно сказать особенность, но мало ли что.
Обнаружено при пробе на подключение к домену Кентавра p7.
Comment 1 Michael Shigorin 2016-09-21 11:06:18 MSK
Это явно на какой-то другой компонент, т.к. недистрибутивоспецифично;
но всяко спасибо.
Comment 2 Pavel Isopenko 2016-09-21 15:52:43 MSK
Представляется мне, что отвечает за происходящее
# rpm -qf system-auth-krb5_ccreds 
pam-config-1.7.0-alt1
С одной стороны, можно бы перевесить на него. А с другой стороны, влияет в основном на связку Альт Сервер - Альт Рабочая станция в режиме аутентификации через домен.
Comment 3 Evgeny Sinelnikov 2017-02-24 14:50:48 MSK
Отображение ("маппинг") глобальных пользователей на локальные - это настройки клиента - NSS (для авторизации) и PAM (для аутентификации). Пакет pam-config содержит шаблоны настроек для аутентификации и за авторизацию (назначение uid/gid/homedir/gecos и т.п.), вообще, не отвечает.

Надо бы зафиксировать ожидаемое поведение. Мне кажется ожидаемым следующее поведение (и это надо бы задокументировать):
- если имена локального и глобального пользователя в связке NSS (по списку модулей для passwd, group и shadow в файле /etc/nsswitch.conf) совпадают, то выбирается локальный пользователь.
- домашние каталоги локального и глобального пользователя на должны совпадать на уровне настроек NSS-модулей (по умолчанию, /home/USERNAME для локальных пользователей, /home/DOMAIN/USERNAME - для глобальных).

Дополнительно, нужно определиться с отображением аутентификационных имён пользователей (или принципалов, в случае с Kerberos) на авторизационные данные. Если используется домен по умолчанию, то коллизий избежать довольно сложно, поскольку локальный vasya = vasya@example.com. Как их отличать-то?

На самом деле, механизм проверяющий, что если vasya локальный имеется и у него задан профиль /home/vasya, то для глобального пользователя применить замену каталога с профилем на /home/vasya.example.com, или /home/example.com/vasya, или /home/EXAMPLE/vasya в Linux, по умолчанию, отсутствует. А в на Windows клиентах имеется.