Tendo usuários su / sudo no Linux com base no grupo do Active Directory ao usar o pam_winbind

Question

Estou usando o openSUSE 11.4, que tem a configuração do Active Directory integrada ao Yast (que faz todo o material pam_winbind, Kerberos, nss, Samba-client para você) e posso autenticar com êxito no meu domínio do AD.

Eu criei um grupo do AD chamado LinuxAdmins e gostaria de ter uma maneira de as pessoas desse grupo poderem usar su em determinados servidores Linux sem a senha de root ou o sudo nessas máquinas usando suas próprias senhas.

A maneira como o openSUSE configura o AD, ele define o nome de usuário com o domínio prefixado. Então meu nome de usuário seria MYDOMAN \ djsumdog. Se eu tentar adicionar uma das seguintes linhas ao arquivo sudoers, ainda não consigo usar o sudo com meu usuário. Eu continuo recebendo "MYDOMAIN \ djsumdog não está no arquivo sudoers. Este incidente será relatado." Eu tentei barras simples e duplas para os nomes de usuários e grupos.

%MYDOMAIN\LinuxAdmins ALL=(ALL) ALL
MYDOMAIN\djsumdog ALL=(ALL) ALL 

Eu sei na minha caixa do Gentoo, a seguinte linha no /etc/pam.d/su permite que os usuários no grupo wheel su sem uma senha:

auth       sufficient   pam_wheel.so use_uid trust

Mas isso não parece funcionar no openSUSE (mesmo com usuários locais), muito menos usuários do AD. Eu tentei usar o módulo pam_winbind.so também:

#%PAM-1.0
auth     sufficient     pam_rootok.so
auth     include        common-auth
auth     sufficient     pam_winbind.so require_membership_of=MYDOMAIN\LinuxAdmins
account  sufficient     pam_rootok.so
account  include        common-account
password include        common-password
session  include        common-session
session  optional       pam_xauth.so

Mas não acho que funcione como o parâmetro require_membership_of parece ser para a autenticação primária em toda a máquina.

Eu sei que o sudo com a senha do usuário é mais seguro, mas ficaria feliz se conseguisse colocar o su ou o sudo funcionando validando o usuário em relação ao seu grupo AD.

    

Answer 1

Por comentário de Hadyman5, eu corri o seguinte:

 id MYDOMAIN\djsumdog

... e vi que meu grupo era realmente MYDOMAIN \ linuxadmins, tudo em minúsculas . Em seguida, adicionei o seguinte à minha configuração do sudo:

%MYDOMAIN\linuxadmins ALL=(ALL) ALL

E o sudo funciona bem agora com os usuários desse grupo.

    

Answer 2

Usando as instruções para adicionar uma caixa do centos 7 ao meu domínio 2012r2 localizado aqui , eu consegui adicionar ao meu domínio. Adicionar um grupo do AD aos sudoers exigiu que eu formatasse o grupo como %GroupName@DOMAIN ALL=(ALL) ALL e funcionou.