Efetuar login como root sem timeouts do winbind

Question

Como posso configurar minha caixa de Linux para que, se o controlador de domínio do Active Directory estiver inativo, eu ainda possa fazer login como root, sem atrasos nem atrasos?

Seguindo o exemplo da maior parte da documentação existente, listei pam_winbind.so antes de pam_unix.so em minhas configurações /etc/pam.d . Eu acredito que esta é a causa do problema. Lembro-me de ver /etc/pam.d setups alternativas que alteram a ordem e talvez adicionar pam_localuser ou pam_succeed_if (para ver se o uid é menor que 500), mas não consigo encontrar nenhum detalhe agora (e não estou o suficiente de um especialista em PAM para rapidamente e facilmente chegar a uma configuração robusta por conta própria).

Qual é a configuração recomendada para o PAM com o Winbind para evitar tempos limite e atrasos se o Active Directory não estiver disponível?

    

Answer 1

Você geralmente não quer apenas pam_unix , mas quando você inicia qualquer sessão, o pam enumera os grupos aos quais você pertence usando initgroups(3) , que passará por todos os group de backends definidos em /etc/nsswitch.conf .

Existem algumas razões para esse comportamento, principalmente limitações técnicas relacionadas à separação de interesses, mas em resumo isso permite que você especifique em /etc/groups que um usuário LDAP pertença a wheel para permitir sudo (aleatório exemplo).

Isso leva a histórias sobre root login sendo interrompido ou muito lento em hosts com servidores de diretório remoto, mesmo quando o usuário é definido localmente. Essas histórias são verdadeiras, mas na maioria das vezes devido a configuração incorreta.

Se você usar winbind , poderá definir usuários para os quais os grupos não serão procurados por meio de winbind . A opção apropriada é winbind initgroups blacklist (global) em smb.conf . Foi introduzido em 2007 através do link

Note que o valor padrão contém root , então você provavelmente não precisa sobrescrevê-lo.

Para visitantes:

Se você usa nss_ldap , ldap.conf oferece nss_initgroups_ignoreusers semelhante. Veja nss_ldap(5) .