subject:"LDAP авторизация"

LDAP авторизация и членство в группах

2010-07-30 Пенетрантность Игорь Чумак


Всех с ДСА ! ;))
Как бы подойти к такой задаче..
Есть несколько хостов, на которых настроена общая авторизация через 
LDAP. Все работает отлично, информация о UID-GID-членстве в группах 
берется из каталога.
Поступила задача на _одном_ из хостов сделать отступление от этой схемы, 
а именно загнать всех пользователей в 1 группу (пусть будет users, 
gid=100). Как бы это сделать так, чтобы на прочих хостах ничего не 
сломалось?



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c52df4c.9020...@gmail.com

ldap-авторизация и тормоза при загрузк е

2010-06-02 Пенетрантность Игорь Чумак


Добрый день!

В машинке с openvz настроена авторизация через общий ldap-каталог.
Удобно. Но openvz-контейнеры теперь запускаются очень долго (около 10 
мин). Есть подозрение, что все процессы теперь хотят получать UID/GID 
через ldap.


Вопрос: как бы это пресечь? Или хотя бы отдиагностировать.

Да, кстати, странность №2
getent возвращает по 2 записи (но моментально):

getent passwd|grep root
root:x:0:0:root:/root:/bin/bash
root:x:0:0:root:/root:/bin/bash
getent passwd|grep www-data
www-data:x:33:33:www-data:/var/www:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh

Одна из ldap, другая из /etc/passwd.
Возможно, это как-то связано.

# /etc/nsswitch.conf
passwd: ldap compat
group:  ldap compat
shadow: compat
hosts:  files dns
networks:   files
protocols:  db files
services:   db files
ethers: db files
rpc:db files
netgroup:   nis

#/etc/libnss-ldap.conf
host 192.168.255.1
base dc=domain,dc=com,dc=ua
uri ldap://192.168.255.1
ldap_version 3
port 389
scope sub
pam_check_host_attr yes



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c0674be.4070...@gmail.com

Re: ldap-авторизация и тормоза при загруз ке

2010-06-02 Пенетрантность Alex Mestiashvili

Alex Mestiashvili wrote:

Игорь Чумак wrote:

Добрый день!

В машинке с openvz настроена авторизация через общий ldap-каталог.
Удобно. Но openvz-контейнеры теперь запускаются очень долго (около 10
мин). Есть подозрение, что все процессы теперь хотят получать UID/GID
через ldap.

Вопрос: как бы это пресечь? Или хотя бы отдиагностировать.

Да, кстати, странность №2
getent возвращает по 2 записи (но моментально):

getent passwd|grep root
root:x:0:0:root:/root:/bin/bash
root:x:0:0:root:/root:/bin/bash
getent passwd|grep www-data
www-data:x:33:33:www-data:/var/www:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh

Одна из ldap, другая из /etc/passwd.
Возможно, это как-то связано.

# /etc/nsswitch.conf
passwd: ldap compat
group: ldap compat
shadow: compat
hosts: files dns
networks: files
protocols: db files
services: db files
ethers: db files
rpc:db files
netgroup: nis

#/etc/libnss-ldap.conf
host 192.168.255.1
base dc=domain,dc=com,dc=ua
uri ldap://192.168.255.1
ldap_version 3
port 389
scope sub
pam_check_host_attr yes

a что root и в ldap есть ?

я думал , что в ldap лучше держать аккаунты начиная так с uid 1000 (
а остальные для локальных юзеров )

и разумеется локальные просто так не должны пересекаться с LDAP .

в /etc/nsswitch лучше иметь

compat ldap

тоесть локальные сначала , а затем ldap .

Regards ,
Alex

sorry в личку отправил .

--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c0676ec.7060...@biotec.tu-dresden.de

Re: LDAP авторизация password policy

2010-04-17 Пенетрантность Denis Feklushkin

On Sat, 17 Apr 2010 01:05:14 +0400
Pavel Ammosov apa...@wapper.ru wrote:

 On Sat, Apr 17, 2010 at 01:40:15AM +0800, Denis Feklushkin wrote:
  как работает pam ldap? он получает хэш пароля из ldap и сравнивает его с
  получившимся их введённого пароля хэшем?
  
 
 Нет.
 Он берёт пароль пользователя и пытается с ним аутентифицироваться в LDAP, то
 есть выполнить операцию bind. 

а пароль криптуется чем перед посылкой?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100417212552.675cf...@db.h-g.com

Re: LDAP авторизация password policy

2010-04-16 Пенетрантность Игорь Чумак


Denis Feklushkin пишет:

On Fri, 09 Apr 2010 10:39:07 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  

Denis Feklushkin пишет:


On Thu, 08 Apr 2010 10:23:15 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  
  

Добрый день!

Настроил авторизацию по предложенной схеме: 
http://www.opennet.ru/base/net/debian_ldap_install1.txt.html



а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, на 
сколько я понимаю

(это агитация за kerberos) 



  
  

access to attrs=userPassword,shadowLastChange
by dn=cn=admin,dc=upg,dc=com,dc=ua write
by anonymous auth
by self write
by * none

Хеш пароля может унесть либо админ, либо self



именно. после взлома одной машины унесут все хэши

  

За счет чего унесут, интересно?
wiki:/# grep -v ^# /etc/libnss-ldap.conf |grep -v ^$
host 192.168.255.1
base dc=upg,dc=com,dc=ua
uri ldap://192.168.255.1
ldap_version 3
port 389
scope sub
pam_check_host_attr yes

wiki:/# grep -v ^# /etc/ldap/ldap.conf |grep -v ^$
HOST 192.168.255.1
BASEdc=upg,dc=com.dc=ua
URI ldap://192.168.255.1:389

wiki:/# grep -v ^# /etc/pam_ldap.conf |grep -v ^$
base dc=upg,dc=com,dc=ua
uri ldap://192.168.255.1/
ldap_version 3
pam_check_host_attr yes
pam_password crypt

В конфигах _нигде_ нет никаких паролей (хотя в хауту 10-летней давности 
и рекомендуют заводить некоторого прокси-юзера, умеющего читать все пароли).



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bc89d51.70...@gmail.com

Re: LDAP авторизация password policy

2010-04-16 Пенетрантность Denis Feklushkin

On Fri, 16 Apr 2010 20:24:33 +0300
Игорь Чумак ichumak2...@gmail.com wrote:

 Denis Feklushkin пишет:
  On Fri, 09 Apr 2010 10:39:07 +0300
  Игорь Чумак i.chu...@generali.garant.ua wrote:
 

  Denis Feklushkin пишет:
  
  On Thu, 08 Apr 2010 10:23:15 +0300
  Игорь Чумак i.chu...@generali.garant.ua wrote:
 


  Добрый день!
 
  Настроил авторизацию по предложенной схеме: 
  http://www.opennet.ru/base/net/debian_ldap_install1.txt.html
  
  
  а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора 
  же, на сколько я понимаю
 
  (это агитация за kerberos) 
 
 


  access to attrs=userPassword,shadowLastChange
  by dn=cn=admin,dc=upg,dc=com,dc=ua write
  by anonymous auth
  by self write
  by * none
 
  Хеш пароля может унесть либо админ, либо self
  
 
  именно. после взлома одной машины унесут все хэши
 

 За счет чего унесут, интересно?
 wiki:/# grep -v ^# /etc/libnss-ldap.conf |grep -v ^$
 host 192.168.255.1
 base dc=upg,dc=com,dc=ua
 uri ldap://192.168.255.1
 ldap_version 3
 port 389
 scope sub
 pam_check_host_attr yes
 
 wiki:/# grep -v ^# /etc/ldap/ldap.conf |grep -v ^$
 HOST 192.168.255.1
 BASEdc=upg,dc=com.dc=ua
 URI ldap://192.168.255.1:389
 
 wiki:/# grep -v ^# /etc/pam_ldap.conf |grep -v ^$
 base dc=upg,dc=com,dc=ua
 uri ldap://192.168.255.1/
 ldap_version 3
 pam_check_host_attr yes
 pam_password crypt
 
 В конфигах _нигде_ нет никаких паролей (хотя в хауту 10-летней давности 
 и рекомендуют заводить некоторого прокси-юзера, умеющего читать все пароли).

как работает pam ldap? он получает хэш пароля из ldap и сравнивает его с 
получившимся их введённого пароля хэшем?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100417014015.628b9...@db.h-g.com

Re: LDAP авторизация password policy

2010-04-12 Пенетрантность Игорь Чумак


Denis Feklushkin пишет:

On Fri, 09 Apr 2010 10:39:07 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  

Denis Feklushkin пишет:


On Thu, 08 Apr 2010 10:23:15 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  
  

Добрый день!

Настроил авторизацию по предложенной схеме: 
http://www.opennet.ru/base/net/debian_ldap_install1.txt.html



а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, на 
сколько я понимаю

(это агитация за kerberos) 



  
  

access to attrs=userPassword,shadowLastChange
by dn=cn=admin,dc=upg,dc=com,dc=ua write
by anonymous auth
by self write
by * none

Хеш пароля может унесть либо админ, либо self



именно. после взлома одной машины унесут все хэши


  

После взлома == получивши root и прочитавши /etc/libnss-ldap.secret ?
Пожалуй, это будет полное ЖО :(
Унесут хеши - флаг в руки, даже 6-значный пароль подбирается долго. Но 
пароль админа - это полный доступ к базе..


С другой стороны, на кой нужен параметр rootbinddn в 
/etc/libnss-ldap.conf - я так и не понял. Без него авторизация тоже 
работает, а унести можно будет только хеш _своего_ пароля.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bc2e545.7070...@generali.garant.ua

Re: LDAP авторизация password policy

2010-04-09 Пенетрантность Denis Feklushkin

On Thu, 08 Apr 2010 10:23:15 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

 Добрый день!
 
 Настроил авторизацию по предложенной схеме: 
 http://www.opennet.ru/base/net/debian_ldap_install1.txt.html

а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, на 
сколько я понимаю

(это агитация за kerberos) 


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100409143334.2d248...@db.h-g.com

Re: LDAP авторизация password policy

2010-04-09 Пенетрантность Игорь Чумак


Denis Feklushkin пишет:

On Thu, 08 Apr 2010 10:23:15 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  

Добрый день!

Настроил авторизацию по предложенной схеме: 
http://www.opennet.ru/base/net/debian_ldap_install1.txt.html



а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, на 
сколько я понимаю

(это агитация за kerberos) 



  

access to attrs=userPassword,shadowLastChange
   by dn=cn=admin,dc=upg,dc=com,dc=ua write
   by anonymous auth
   by self write
   by * none

Хеш пароля может унесть либо админ, либо self


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bbed99b.1070...@generali.garant.ua

Re: LDAP авторизация password policy

2010-04-09 Пенетрантность Denis Feklushkin

On Fri, 09 Apr 2010 10:39:07 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

 Denis Feklushkin пишет:
  On Thu, 08 Apr 2010 10:23:15 +0300
  Игорь Чумак i.chu...@generali.garant.ua wrote:
 

  Добрый день!
 
  Настроил авторизацию по предложенной схеме: 
  http://www.opennet.ru/base/net/debian_ldap_install1.txt.html
  
 
  а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, 
  на сколько я понимаю
 
  (это агитация за kerberos) 
 
 

 access to attrs=userPassword,shadowLastChange
 by dn=cn=admin,dc=upg,dc=com,dc=ua write
 by anonymous auth
 by self write
 by * none
 
 Хеш пароля может унесть либо админ, либо self

именно. после взлома одной машины унесут все хэши


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100410002431.3b92e...@db.h-g.com

LDAP авторизация password policy

2010-04-08 Пенетрантность Игорь Чумак


Добрый день!

Настроил авторизацию по предложенной схеме: 
http://www.opennet.ru/base/net/debian_ldap_install1.txt.html


Всё отлично работает, но..

При попытке смены пароля происходит следующее:
t...@ftp:~$ passwd
Enter login(LDAP) password: (вводим текущий пароль)
New password: 1234
Password too short
New password: 12345
Password too short
New password: 123456
Re-enter new password: 123456
LDAP password information changed for t2
passwd: password updated successfully

Т.е. минимальная длина пароля = 6 и сложность пароля не проверяется.
Хотелось бы знать, где это задается

/etc/pam.d/common-password
password sufficient pam_ldap.so
password sufficient pam_unix.so use_authtok md5
password required pam_deny.so

/etc/pam.d/common-auth
auth sufficient pam_unix.so
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so

/etc/pam.d/common-session
session requiredpam_unix.so
session required pam_mkhomedir.so skel=/etc/skel/ umask=0022

/etc/pam.d/common-account
account sufficient pam_unix.so
account sufficient pam_ldap.so
account required pam_deny.so

Схема с password policy находится в /etc/ldap/schema/ppolicy.schema, но 
она не подключена.





--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bbd8463.7080...@generali.garant.ua

60 matches

Mail list logo