Forum Debian Users Gang

grom992 · 2015-01-25 15:04:36

Cześć,

EDIT: chodzi mi w jaki sposób można zamapować posixowe konta i grupy z ldapa do /etc/passwd tak aby można było użyć pam_unix.so, teoretycznie nssswitch powinien załatwić sprawę ale niestety nie działa :(

Chcę ustawić autentykację do nginx za pośrednictwem ldapa,

nginx.conf:

Kod:

    location / {

  auth_pam              "Restricted Zone";
  auth_pam_service_name "nginx";

/etc/pam.d/nginx:

Kod:

auth    required     pam_listfile.so onerr=fail item=user sense=allow file=/etc/nginx/restricted_users
auth    required     pam_unix.so
account required     pam_unix.so

nslcd jest odpowiednio skonfigurowany, po wpisaniu getent passwd wyświetlają się userzy, mogą się zalogować przez ssh na serwer, natomiast autentykacja w nginx nie działa, gdy użyję pam_ldap.so jest ok ale chcę używać pam_unix.so aby móc poprzez atrybut PosixGroup w ldap przydzielać dostępy.
Czy ktoś ma jakiś pomysł?

Ostatnio edytowany przez grom992 (2015-01-25 15:15:29)

Jacekalex · 2015-01-25 15:42:41

To widziałeś:
http://web.iti.upv.es/~sto/nginx/ngx_http_auth_pam_module-1.2/README.html
?

Bo chyba zamiast pam_unix.so powinieneś użyć pam-ldap.so.

grom992 · 2015-01-25 16:02:19

tak widziałem, jeśli używam pam_ldap.so to autentykacja przechodzi poprawnie, problem w tym że chce mieć możliwość przydzielania dostępu na podstawie grup, niestety ldapowe grupy nie chcą się sparować z modułem pam_nginx
Dlatego chcę wykorzystać pam_unix.so
zmapować userów z ldapa - > do /etc/passwd
i grupy do /etc/group
i na tej podstawie przydzielać dostęp ( tak jakby użytkownicy ldapa byli normalnymi userami)

Jacekalex · 2015-01-25 16:20:25

Pacjentów masz w bazie LDAP, czy w jakimś SQL, albo na Windows Serwer?

Pytam, bo ja bym w ogóle nie pchał się w LDAPA, tylko co najwyżej w Radiusa, albo Pam_sql, żeby sobie życia nie utrudniać.

Żeby pam_unix chodził przez bazę ldap, to chyba musisz cały mechanizm pam w systemie przerobić, żeby z ldapa korzystał, a to już kawal drobi od Nginxa.

Tam z resztą w sznurku (i Twoim konfigu) masz opcję pam_listfile.so - może to jest jakieś rozwiązanie?
Podejrzewam, że łatwiejsze, niż gimnastyka z mapowaniem ldap do /etc/group.

Ostatnio edytowany przez Jacekalex (2015-01-25 16:23:17)

Time (s)	Query
0.00011	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00123	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.138.170.67' WHERE u.id=1
0.00092	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.138.170.67', 1732431462)
0.00029	SELECT * FROM punbb_online WHERE logged<1732431162
0.00050	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=26956 AND t.moved_to IS NULL
0.00026	SELECT search_for, replace_with FROM punbb_censoring
0.00104	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=26956 ORDER BY p.id LIMIT 0,25
0.00084	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=26956
Total query time: 0.00523 s

Forum Debian Users Gang

Ogłoszenie

#1 2015-01-25 15:04:36

grom992 - Nowy użytkownik

nginx_pam_auth + ldap

Kod:

Kod:

#2 2015-01-25 15:42:41

Jacekalex - Podobno człowiek...;)

Re: nginx_pam_auth + ldap

#3 2015-01-25 16:02:19

grom992 - Nowy użytkownik

Re: nginx_pam_auth + ldap

#4 2015-01-25 16:20:25

Jacekalex - Podobno człowiek...;)

Re: nginx_pam_auth + ldap

Stopka forum

Informacje debugowania