OpenLDAP - Como restringir o login do Debian a grupos específicos (posixGroup)?

Question

Estou tentando restringir o login a grupos LDAP específicos na Debian 8. O sistema está configurado para usar o OpenLDAP (PAM) como método de autenticação.

Meu objetivo é configurar o sistema para permitir que todos os usuários locais (incluindo raiz), além de usuários LDAP, pertençam a uma lista de grupos LDAP. No servidor, os grupos são entradas tendo seu objectClass como posixGroup, portanto, o atributo memberUid contém os usuários desse grupo.

    

Answer 1

Eu resolvi o problema adicionando uma regra de segurança em /etc/security/access.conf :

-:ALL EXCEPT root [user] ([myldapgroup]):ALL

* substitua [user] pelo meu nome de usuário local (para que eu possa fazer login localmente) e [myldapgroup] pelo grupo ldap com permissão para efetuar login.

E adicionando esta linha ao início de /etc/pam.d/common-account :

account required pam_access.so

Agora, apenas root , [user] e usuários que pertencem a [myldapgroup] podem fazer login.

Para mais informações: link