oddjob_mkhomedir não é executado ao efetuar login via SSH com Kerberos

Question

Atualmente, tenho um servidor que tem o Kerberos / SSSD / Samba para autenticar no Windows 2012 AD.

Em /etc/pam.d/system-auth oddjob_mkhomedir está definido como abaixo:

session     optional      pam_oddjob_mkhomedir.so umask=0077 skel=/etc/skel

Isso foi definido executando authconfig --enablesssdauth --enablesssd --enablemkhomedir --update .

No entanto, ao efetuar login via SSH com uma conta do AD, o diretório inicial não é criado e o usuário simplesmente acaba na raiz com /bin/sh em vez de /bin/bash .

Nada nos logs de erro sugere que o sssd não está sendo executado como esperado ou o módulo PAM não está sendo chamado.

Configs copiados abaixo:

/ etc / ssh / ssh_config

Port 22
ListenAddress x.x.x.x
Protocol 2
SyslogFacility AUTHPRIV
PermitRootLogin yes
PasswordAuthentication yes
ChallengeResponseAuthentication no
KerberosAuthentication yes
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
UsePAM yes
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
X11Forwarding yes
Subsystem       sftp    /usr/libexec/openssh/sftp-server

/etc/sssd/sssd.conf

[sssd]
config_file_version = 2
debug_level = 7
domains = mydomain.co.uk
services = nss, pam

override_homedir = /home/%d/%u
default_shell = /bin/bash

[nss]

[pam]

[domain/mydomain.co.uk]
id_provider = ad
access_provider = ad
cache_credentials = true
debug_level = 7

    

Answer 1

Eu olharia algumas coisas

  - is oddjobd running?
  - any messages related to this or PAM in authlog, messages
  - is SElinux enabled or enforced? check audit log for any AVC denial messages

Olhando novamente para o seu sssd.conf, você pode querer mover override_homedir para a seção DOMAIN , caso contrário o sssd parece obter informações do diretório home do ldap.

    

Answer 2

Para futuros Googlers: Acabei de ter um problema muito semelhante no RHEL7.

Sintomas:

• authconfig foi executado com '--enablesssd --enablesssdauth --enablemkhomedir --update'
• sssd foi (re) iniciado
• oddjob-mkhomedir instalado e oddjobd foram (re) iniciados
• Ainda não estava criando diretórios ao efetuar login com um usuário LDAP.

Descobri que, quando eu reiniciei o dbus , tudo começou na vida - acho que o oddjob registra coisas com o DBus que não estavam sendo escolhidas. Pode valer a pena um tiro!