Configurare un client Debian GNU/Linux Squeeze per l'autenticazione ldap con sss

System Security Services Daemon (SSSD)

Il sistema System Security Services Daemon è alternativo ai tradizionali libnss-ldap e libpam-ldap.

Installazione

apt-get install libnss-sss libpam-sss sssd openssl ldap-utils

Seguire i punti:

• Scaricare i certificati
• Editare ldap.conf
• Modificare pam
• Creare i soft link per shell e home

dell'articolo: Configurare un client Debian GNU/Linux Squeeze per l'autenticazione ldap

Configurazione

Editare il file /etc/sssd/sssd.conf (il template in wheezy e': /usr/share/doc/sssd/examples/sssd-example.conf) in due punti:

domains = LDAP

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
ldap_schema = rfc2307
ldap_uri = ldap://ldap5.unimore.it
ldap_search_base = dc=unimore,dc=it
ldap_tls_reqcert = demand
cache_credentials = true
enumerate = False

Il file /etc/sssd/sssd.conf deve essere chmod 600 e chown root:root, altrimenti il servizio sssd non si avvia. La causa precisa dell'errore e' in /var/log/syslog.

Lanciare il comando:

sudo pam-auth-update

e scegliere

   [*] SSS authentication     
   [*] Unix authentication

NOTA BENE: questo servizio è più rispettoso della privacy, quindi getent passwd non restituisce gli utenti anche se è possibile fare il login con ssh. E' molto più lento di libnss-ldapd se un utente e' membro di un gruppo molto numeroso e la versione di sssd e' precedente alla 1.8.1-1 (bug su Debian).

Svuotare la cache

Talvolta sssd mantiene la cache dei gruppi pittosto a lungo.

Per un refresh, usare sss_cache -g gruppo per il refresh di un gruppo.

Nelle versioni più antiche, sss_cache non esiste e bisogna spegnere sssd e cancellare il file /var/lib/sss/db/cache_LDAP.ldb