Hallo,
ich bin gerade dabei, das aktuelle UCS 4.0 zu evaluieren. Dabei hatte ich Probleme, ein frisch aufgesetztes Linux Mint 17.1 System in die Domäne zu integrieren. Vorgangen bin nach der Beschreibung auf docs.univention.de/domain-4.0.html.
Nach Abschluss der Konfiguration gemäß Kapitel 1.2. Configuration of the System Security Services Daemon (SSSD) zeigte der Client mit getent passwd und getent group keine Domänendaten an.
Nach etlichen Versuchen mittels trial and error habe ich es dann doch geschafft, den client anzubinden.
Falls also jemand hier im Forum das gleiche Problem haben sollte, hier ist meine Lösung:
Der Anleitung bis zum Kapitel 1.2 folgen, dann die Codesektion von Kapitel 1.2 durch wie folgt ersetzen:
[code]1.2. Configuration of the System Security Services Daemon (SSSD)
SSSD provides a set of daemons to manage access to remote directories and authentication mechanisms.
Become root
sudo bash
Set some environment variables
. /etc/univention/ucr_master
Install SSSD based configuration
DEBIAN_FRONTEND=noninteractive apt-get -y install sssd
libpam-sss libnss-sss sssd-tools
Create sssd.conf
cat >/etc/sssd/sssd.conf <<EOF
[sssd]
config_file_version = 2
reconnection_retries = 3
sbus_timeout = 30
services = nss, pam, sudo
domains = $kerberos_realm
[nss]
reconnection_retries = 3
[pam]
reconnection_retries = 3
[domain/$kerberos_realm]
auth_provider = krb5
krb5_kdcip = ${master_ip}
krb5_realm = ${kerberos_realm}
krb5_server = ${ldap_master}
krb5_kpasswd = ${ldap_master}
id_provider = ldap
access_provider = simple
chpass_provider = krb5
ldap_uri = ldap://${ldap_master}:7389
ldap_search_base = ${ldap_base}
ldap_tls_reqcert = never
ldap_tls_cacert = /etc/univention/ssl/ucsCA/CAcert.pem
cache_credentials = false
enumerate = true
dns_discovery_domain = ${kerberos_realm}
ldap_default_bind_dn = cn=$(hostname),cn=computers,${ldap_base}
ldap_default_authtok_type = password
ldap_default_authtok = $(cat /etc/ldap.secret)
ldap_id_use_start_tls = true
EOF
chmod 600 /etc/sssd/sssd.conf
Install auth-client-config
DEBIAN_FRONTEND=noninteractive apt-get -y install auth-client-config
Create an auth config profile for sssd
cat >/etc/auth-client-config/profile.d/sss <<EOF
[sss]
nss_passwd= passwd: compat sss
nss_group= group: compat sss
nss_shadow= shadow: compat
nss_netgroup= netgroup: nis
pam_auth=
auth [success=3 default=ignore] pam_unix.so nullok_secure try_first_pass
auth requisite pam_succeed_if.so uid >= 500 quiet
auth [success=1 default=ignore] pam_sss.so use_first_pass
auth requisite pam_deny.so
auth required pam_permit.so
pam_account=
account required pam_unix.so
account sufficient pam_localuser.so
account sufficient pam_succeed_if.so uid < 500 quiet
account [default=bad success=ok user_unknown=ignore] pam_sss.so
account required pam_permit.so
pam_password=
password sufficient pam_unix.so obscure sha512
password sufficient pam_sss.so use_authtok
password required pam_deny.so
pam_session=
session required pam_mkhomedir.so skel=/etc/skel/ umask=0077
session optional pam_keyinit.so revoke
session required pam_limits.so
session [success=1 default=ignore] pam_sss.so
session required pam_unix.so
EOF
auth-client-config -n -a -p sss
Start sssd
start sssd
Exit sudo bash
exit
[/code]
Nun funktioniert getent passwd, getent group und man kann mit Kapitel 1.3 fortfahren.
Vielleicht hilft es ja dem einen oder anderen, der vor dem selben Problem steht.
Grüße
Rupi
