Verständnisfrage Meldungen /var/log/auth.log

UCS - Univention Corporate Server
#1

Hallo zusammen,

bei jeder Anmeldung an den Webinterface von Nagios entstehen bei mir folgende Meldungen :

 Feb 13 10:59:04 xxxxx108 unix_chkpwd[2145]: check pass; user unknown Feb 13 10:59:04 xxxxx108 unix_chkpwd[2145]: password check failed for user (Administrator) Feb 13 10:59:04 xxxxx108 apache2: pam_unix(nagios:auth): authentication failure; logname= uid=33 euid=33 tty= ruser= rhost=192.168.0.52 user=Administrator Feb 13 10:59:04 xxxxx108 apache2: pam_krb5(nagios:auth): user Administrator authenticated as Administrator@xxxxx.LAN Feb 13 10:59:04 xxxxx108 unix_chkpwd[2146]: could not obtain user info (Administrator) Feb 13 10:59:04 xxxxx108 unix_chkpwd[2148]: check pass; user unknown Feb 13 10:59:04 xxxxx108 unix_chkpwd[2148]: password check failed for user (Administrator) Feb 13 10:59:04 xxxxx108 apache2: pam_unix(nagios:auth): authentication failure; logname= uid=33 euid=33 tty= ruser= rhost=192.168.0.52 user=Administrator Feb 13 10:59:04 xxxxx108 apache2: pam_krb5(nagios:auth): user Administrator authenticated as Administrator@xxxxx.LAN Feb 13 10:59:04 xxxxx108 unix_chkpwd[2151]: could not obtain user info (Administrator) Feb 13 10:59:05 xxxxx108 unix_chkpwd[2153]: check pass; user unknown Feb 13 10:59:05 xxxxx108 unix_chkpwd[2153]: password check failed for user (Administrator) Feb 13 10:59:05 xxxxx108 apache2: pam_unix(nagios:auth): authentication failure; logname= uid=33 euid=33 tty= ruser= rhost=192.168.0.52 user=Administrator Feb 13 10:59:05 xxxxx108 apache2: pam_krb5(nagios:auth): user Administrator authenticated as Administrator@xxxxx.LAN Feb 13 10:59:05 xxxxx108 unix_chkpwd[2154]: could not obtain user info (Administrator) Feb 13 10:59:05 xxxxx108 unix_chkpwd[2156]: check pass; user unknown Feb 13 10:59:05 xxxxx108 unix_chkpwd[2156]: password check failed for user (Administrator) Feb 13 10:59:05 xxxxx108 apache2: pam_unix(nagios:auth): authentication failure; logname= uid=33 euid=33 tty= ruser= rhost=192.168.0.52 user=Administrator Feb 13 10:59:05 xxxxx108 apache2: pam_krb5(nagios:auth): user Administrator authenticated as Administrator@xxxxx.LAN Feb 13 10:59:05 xxxxx108 unix_chkpwd[2157]: could not obtain user info (Administrator) Feb 13 10:59:16 xxxxx108 CRON[2115]: pam_unix(cron:session): session closed for user root 

Was ich nicht verstehe ist warum werden die Meldungen

Feb 13 10:59:04 xxxxx108 unix_chkpwd[2146]: could not obtain user info (Administrator) Feb 13 10:59:04 xxxxx108 unix_chkpwd[2151]: could not obtain user info (Administrator) Feb 13 10:59:05 xxxxx108 unix_chkpwd[2154]: could not obtain user info (Administrator) Feb 13 10:59:05 xxxxx108 unix_chkpwd[2157]: could not obtain user info (Administrator) 

als Warnung ausgegeben, obwohl alles zu funktionieren scheint?

Gruß,

Thomas

#2

Hallo,

Ich würde mir da keine Sorgen machen. Nagios fragt PAM ob es den Nutzer “Administrator” kennt, und bekommt nacheinander Antworten, zuerst daß PAM_UNIX den Nutzer nicht kennt, dann daß PAM_KRB5 den Nutzer kennt und das Paßwort richtig ist.

Daß unix_chkpwd nichts über Nutzer Administrator findet, scheint in diesem Zusammenhang auch verständlich. Dieses Tool nimmt die aktuelle UID (also die Identität, unter der es gerufen wird) und prüft ob dies ein lokaler Account (in /etc/passwd) ist und ob sein Paßwort stimmt (in /etc/passwd und/oder in /etc/shadow). Das trifft natürlich nicht zu für Accounts, die aus dem LDAP kommen. Den Unterschied kann man auch selber sehen:

Während

grep -Ei '^Administrator:' /etc/passwd

mit Sicherheit kein Ergebnis liefert (Administrator ist kein lokaler Account), sollte

getent passwd Administrator

eine Zeile liefern, die aussieht als käme sie aus /etc/passwd, aber in Wirklichkeit ist sie aus dem LDAP geholt worden. Erst wenn diese Abfrage nichts liefert, wäre es wirklich ein Problem, aber dann würde ja auch die Nagios Anmeldung nicht funktionieren.

viele Grüße
Frank Greif.

#3

Hallo,

vielen dank für die ausführliche Antwort.
Dann ignoriere ich die Meldung, bis ich einen passenden Filter für rsyslog habe.

Gruß

Thomas

Mastodon