Login no sistema Linux: Como usar o / etc / passwd para filtrar o nome do usuário novamente ldap

Question

Estou trabalhando para uma universidade. Eu posso acessar o servidor LDAP da Universidade, mas não posso modificar nada (é somente leitura para mim). Eu tenho várias máquinas Linux, quero configurar todas as máquinas para autenticar através do LDAP da universidade. (isso é bem fácil, certo?) Problemas são:

Somente um subconjunto de usuários LDAP permite efetuar login na máquina (sei que isso pode ser feito via grupo LDAP ou atributo LDAP adicional, mas não posso modificar nada no LDAP da universidade) Alguns usuários podem não estar no LDAP, mas ter contas na máquina Meu pensamento é: use o / etc / passwd como a lista de usuários: if (um usuário NÃO está na lista) {ele não pode logar,} senão {se ele estiver no LDAP) {verifique sua senha novamente universidade LDAP} else {verifique sua senha againt / etc / shadow}}

Existe alguma solução? Qualquer ajuda apreciada.

    

Answer 1

Para permitir que apenas um subconjunto de usuários LDAP efetue login:

1. Se você tiver uma maneira de filtrá-los sem modificar o servidor LDAP, poderá adicionar o filtro ao arquivo /etc/nslcd.conf , por exemplo:

   filter passwd (objectClass=localAccount)
   

2. Caso contrário, você terá que permitir todos os usuários LDAP como usuários locais e conceder permissões apenas aos que você deseja, por exemplo, alterando /etc/security/access.conf e / ou /etc/ssh/sshd_config .

Para ter usuários locais adicionais, além dos do servidor LDAP, você precisará que seu arquivo /etc/nsswitch.conf contenha algo como:

passwd: files [unavail=return] ldap
group:  files [unavail=return] ldap
shadow: files ldap

Espero não esquecer algo ...