Como autenticar usuários do Linux em dois diretórios diferentes simultaneamente?

Question

Eu tenho alguns servidores Linux usando o SSSD integrado ao Microsoft AD para autenticar os usuários do AD.

Os grupos do AD são gerenciados por um departamento diferente e eu gostaria de criar outro diretório para gerenciar meus próprios grupos, mas não posso simplesmente sair do domínio.

Então, estou pensando em instalar um novo servidor OpenLDAP ou IPA para criar meus próprios grupos e criar uma configuração em meus servidores Linux, para que eles extraiam identidades / grupos do AD e do meu LDAP no mesmo tempo. Portanto, se houver um usuário em ambos, a lista de grupos à qual o usuário pertence será um superconjunto composto pelas duas listas de grupos.

por exemplo. - Digamos que eu tenha um usuário John que exista no AD e ele esteja incluído nos grupos do AD: "group1" e "group2". Gostaria de criar o usuário (mesmo uid) no meu próprio diretório e incluí-lo em "group3". Então, quando o usuário entrar no meu servidor Linux, ele estaria em "group1", "group2" e "group3".

Como isso seria possível?

Obrigado antecipadamente.

    

Answer 1

A recuperação de informações do usuário é realmente separada da autenticação - é tratada pelo nsswitch, não pelo PAM.

De qualquer forma - a primeira coisa a tentar seria configurar dois domínios em sssd (um AD, um LDAP) e ver se o sssd mescla os resultados de pesquisa de ambos.

Se isso não funcionar, configure o nslcd ou outro cliente LDAP alternativo enquanto mantém sssd para o AD e liste os módulos ambos no nsswitch.conf do sistema. Os resultados de módulos diferentes são geralmente mesclados (por exemplo, / etc / group pode aumentar os usuários do AD).