SSSD Centos 7 AD Binding - apenas alguns usuários podem efetuar login

Question

Eu tenho tentado descobrir o processo de vincular uma instalação do Centos 7 a um domínio do Windows, mas estou com dificuldades. Eu consegui fazer isso com sucesso no passado em algumas caixas, mas agora estou tentando documentar o processo e está fazendo coisas muito estranhas.

Eu consegui realizar a ligação usando o seguinte processo:

• Instalar e configurar o ntp
• Instalar pacotes: realmd, excêntrico, oddjob-mkhomedir, sssd, samba-comum, krb5-workstation, adcli
• Crie um ticket do Kerberos: kinit [email protected]
• junção do reino
• modificar a configuração do sssd

[sssd]
domains = my.domain
config_file_version = 2
services = nss, pam

[domain/my.domain]
ad_domain = my.domain
krb5_realm = MY.DOMAIN
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = false
fallback_homedir = /home/%u@%d
access_provider = ad
override_homedir = /home/%u
override_shell = /bin/bash

• reinicie o serviço sssd

Isso funcionou no passado, mas, por algum motivo, não consegui fazer login usando minhas credenciais de rede, mas meu colega conseguiu fazer login com êxito usando apenas uma de suas contas.

Quando adicionamos a depuração à configuração sssd, o arquivo de log exibiu o erro:

Could not convert objectSID [MY AD SID HERE] to a UNIX ID

Ele também escolheu meu nome de conta real do AD, então é definitivamente puxar informações. Temos os mesmos direitos no sistema e isso não faz sentido.

Alguma sugestão sobre o que mais eu poderia tentar?

    

Answer 1

A solução era estender o intervalo do mapa de ID visível no ldap ldap, nosso anúncio é muito grande e parece que o intervalo padrão não era grande o suficiente para abranger todos os usuários no intervalo, o que significa que só seria possível para converter o objectSID que ele pode ver. Meu SID estava bem acima dos meus colegas, e é por isso que ele conseguiu fazer o login, mas eu não estava.

A solução foi adicionar o seguinte à parte principal do SSSD.conf

ldap_idmap_default_domain_sid = SID OF THE DOMAIN
ldap_idmap_range_min = 200000
ldap_idmap_range_max = 2000200000
ldap_idmap_range_size = 1000000

Ref: link