pam_mount parou de funcionar

1

Funcionou assim: minhas estações de trabalho do Ubuntu são autenticadas no Active Directory, e o pam_mount monta alguns diretórios CIFS no logon do usuário. Agora, por algum motivo, o pam_mount parou de funcionar e nenhum diretório foi montado. Por isso, ativei a depuração pam_mount e vejo o seguinte:

(rdconf1.c:744): path to luserconf set to
/home/DOMAIN/username/Documents/.pam_mount.conf.xml
(pam_mount.c:365): pam_mount 2.14: entering auth stage
(rdconf1.c:744): path to luserconf set to
/home/DOMAIN/username/Documents/.pam_mount.conf.xml
(pam_mount.c:568): pam_mount 2.14: entering session stage
(pam_mount.c:629): no volumes to mount
command: 'pmvarrun' '-u' 'username' '-o' '1'
(pmvarrun.c:258): parsed count value 0
(pam_mount.c:441): pmvarrun says login count is 1
(pam_mount.c:660): done opening session (ret=0)

Então, não há volumes para montar? Meu pam_mount.conf.xml é assim:

<?xml version="1.0" encoding="utf-8" ?>
<!DOCTYPE pam_mount SYSTEM "pam_mount.conf.xml.dtd">
<pam_mount>

<debug enable="1" />
<luserconf name="Documents/.pam_mount.conf.xml" />
<volume user="*" sgrp="residents" fstype="cifs" server="dfs.namespace.com" path="data/users/%(USER)/documents" mountpoint="~/Documents" options="uid=%(USER),gid=100,dir_mode=0700" />
<volume user="*" sgrp="residents" fstype="cifs" server="dfs.namespace.com" path="data/public" mountpoint="~/mount/Public" options="uid=%(USER),gid=100,dir_mode=0700" />

<mntoptions allow="nosuid,nodev,loop,encryption,fsck,nonempty,allow_root,allow_other,uid,gid,dir_mode" />
<mntoptions require="nosuid,nodev,uid,gid,dir_mode" />
<logout wait="0" hup="0" term="0" kill="0" />
<mkmountpoint enable="1" remove="true" />

</pam_mount>

e essa configuração funcionou por meses até agora. Não me lembro de fazer nenhuma alteração de configuração recentemente. Eu suspeito que uma atualização arruinou, porque um dia eu notei que isso aconteceu em todas as minhas estações de trabalho. E eu não tenho a menor idéia de onde procurar: o Google não tem sido muito útil.

Em /var/log/syslog , diz:

Apr 23 11:25:54 hostname nslcd[1261]: [86d4c7] <authz="username"> ldap_result() failed: Operations error: 000004DC: LdapErr: DSID-0C0906E8, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v1db1

mas honestamente eu tenho visto esses erros no syslog desde sempre, e como a autenticação LDAP funcionou bem (e ainda faz) eu não prestei muita atenção a isso. Logon parece funcionar bem em /var/log/auth.log :

Apr 23 11:43:48 hostname su[10409]: pam_winbind(su:auth): getting password (0x00000388)
Apr 23 11:43:48 hostname su[10409]: pam_winbind(su:auth): pam_get_item returned a password
Apr 23 11:43:49 hostname su[10409]: pam_winbind(su:auth): user 'username' granted access

Além disso, não vejo nada relevante em /var/log/syslog ou /var/log/auth.log . Eu tenho o Ubuntu 14.04. Eu sou muito novo no Linux e gostaria que alguém tivesse algumas idéias do que eu tentaria em seguida:)

    
por Aleksiv95 23.04.2016 / 10:57

2 respostas

1

Eu tive esse mesmo problema depois de algumas atualizações hoje. Eu fiz alguns testes e descobri que remover o parâmetro sgrp="..." para o volume permite que eles montem. Parece que acha que não há volumes para montar porque o usuário não estava no grupo listado.

Isso me leva a acreditar que o problema é resultado desse bug arquivado para a última atualização do winbind que afeta grupos: link

Eu removi temporariamente o sgrp dos meus volumes e eles parecem estar montando agora. Espero que esse bug seja resolvido e que corrija isso corretamente. Espero que isso ajude.

UPDATE : O bug associado acima foi corrigido e uma atualização foi lançada, mas ainda assim tive o mesmo problema. O Winbind não estava retornando membros do grupo para um determinado grupo (ou seja, "grupo getent" não retornou nenhum membro). Adicionando "winbind expand groups = 1" ao smb.conf resolveu isso. Eu não sei se isso está relacionado à nova atualização do winbind ou não, mas meus grupos estão trabalhando novamente no pam_mount.conf.xml.

    
por chtaylor 26.04.2016 / 18:20
0

Graças a @chtaylor, originalmente consegui resolver isso removendo o atributo sgrp de todas as entradas em pam_mount.conf.xml . Mais tarde, percebi que o atributo sgrp funciona somente se o grupo for o grupo principal do usuário . Então, alterar sgrp="residents" para sgrp="domain users" tornou os volumes disponíveis para mim novamente porque domain users é, por padrão, o grupo principal de todos os usuários do AD. Outra solução seria alterar o grupo principal de usuários desejados no Active Directory para corresponder à configuração pam_mount:

Usuários e computadores do Active Directory > acesse as propriedades do usuário > Member Of > Definir grupo principal

    
por Aleksiv95 12.06.2016 / 12:44