Tôi muốn sử dụng PAM để gắn kết chia sẻ cho người dùng miền trên máy trạm Xubfox của mình vì nó không lưu trữ mật khẩu, nhưng cho đến nay tôi vẫn chưa thành công. Mọi sự trợ giúp sẽ rất được trân trọng.
Phiên bản Xubfox 20.04 thử nghiệm của tôi là một máy ảo (tên: vmlx01) đã tham gia vào một miền Active Directory (dom01.dom) được quản lý bởi Zentyal 7.04 Community Edition DC (tên: zen01). tôi đã sử dụng những hướng dẫn này để kết nối máy trạm với miền -- chúng hoạt động như một bùa mê -- và cũng đã cài đặt các gói keyutils, cifs-utils và libpam-mount. DNS và NTP được cấu hình đúng.
Người dùng tên miền "người dùng1" có thể đăng nhập vào vmlx01 bằng GUI. user1 là thành viên của nhóm "Người dùng miền" AD và trên máy trạm Xubfox, thành viên của nhóm sudo cục bộ.
Trên máy chủ TrueNAS CORE 12.0-U5.1 (tên: nas02), SMB chia sẻ "Âm nhạc" được cấu hình như vậy:
Người dùng: USER1 -- Đọc/Ghi/Thực thi
Nhóm: Người dùng miền -- Đọc/Ghi/Thực thi
Quyền cho "Những người khác" được đặt thành Đọc/Thực thi
Khi đăng nhập vào máy trạm Xubfox, user1 có thể ánh xạ tới chia sẻ TrueNAS SMB "Âm nhạc" thủ công với lệnh này:
sudo mount -t cifs -o [email protected],password=*********,uid=84401108,gid=84400513 //nas02/Music /home/user1/Music
nhưng cố gắng gắn kết cùng một chia sẻ bằng cách sử dụng PAM mount không thành công. Lệnh đầu cuối "dmesg" trả về:
[ 28.759653] CIFS: Đang cố gắn \nas02.dom01.dom\Music
[ 28.776805] CIFS: Mã trạng thái được trả về 0xc000006d STATUS_LOGON_FAILURE
[ 28.776823] CIFS: VFS: \nas02.dom01.dom Gửi lỗi trong SessSetup = -13
[ 28.776837] CIFS: VFS: cifs_mount không thành công với mã trả về = -13
[ 29.899013] [drm:vmw_msg_ioctl [vmwgfx]] *ERROR* Không mở được kênh.
[ 29.899043] [drm:vmw_msg_ioctl [vmwgfx]] *ERROR* Không mở được kênh.
[ 34.189831] kauditd_printk_skb: 11 cuộc gọi lại bị chặn
[ 34.189834] kiểm toán: type=1400 kiểm toán(1631746734.135:79): apparmor="ALLOWED" operation="open" profile="/usr/sbin/sssd" name="/proc/1267/cmdline" pid=679 comm= "sssd_nss" request_mask="r" deny_mask="r" fsuid=0 ouid=84401108
Tập tin /etc/pam.d/common-auth
auth [thành công=2 mặc định=bỏ qua] pam_unix.so nullok_secure
auth [success=1 default=ignore] pam_sss.so use_first_pass
auth cần thiết pam_deny.so
yêu cầu xác thực pam_permit.so
auth tùy chọn pam_mount.so
auth tùy chọn pam_cap.so
Tập tin /etc/pam.d/common-password
yêu cầu mật khẩu pam_pwquality.so retry=3
mật khẩu [success=2 default=ignore] pam_unix.so tối nghĩa use_authtok try_first_pass sha512
đủ mật khẩu pam_sss.so use_authtok
yêu cầu mật khẩu pam_deny.so
yêu cầu mật khẩu pam_permit.so
mật khẩu tùy chọn pam_mount.so
mật khẩu tùy chọn pam_mount.so disable_interactive
mật khẩu tùy chọn pam_gnome_keyring.so
Tập tin /etc/pam.d/common-session
phiên [mặc định=1] pam_permit.so
phiên cần thiết pam_deny.so
phiên bắt buộc pam_permit.so
phiên tùy chọn pam_umask.so
phiên bắt buộc pam_unix.so
phiên tùy chọn pam_sss.so
phiên tùy chọn pam_mount.so disable_interactive
phiên tùy chọn pam_systemd.so
Tập tin /etc/security/pam_mount.conf.xml
<pam_mount>
<debug enable="0" />
<!-- Volume definitions -->
<volume fstype="cifs" domain="dom01.dom" uid="84401108" gid=",84401109" username="*"
server="nas02.dom01.dom" sec="krb5" options="vers=3.0" path="Music" mountpoint="/home/user1/Music"> <not><user>root</user></not> <not><user>sddm</user></not> </volume>
<!-- pam_mount parameters: General tunables -->
<!--
<luserconf name=".pam_mount.conf.xml" />
-->
<!-- Note that commenting out mntoptions will give you the defaults.
You will need to explicitly initialize it with the empty string
to reset the defaults to nothing. -->
<mntoptions allow="nosuid,nodev,loop,encryption,fsck,nonempty,allow_root,allow_other" />
<!--
<mntoptions deny="suid,dev" />
<mntoptions allow="*" />
<mntoptions deny="*" />
-->
<mntoptions require="nosuid,nodev" />
<!-- requires ofl from hxtools to be present -->
<logout wait="0" hup="no" term="no" kill="no" />
<!-- pam_mount parameters: Volume-related -->
<mkmountpoint enable="1" remove="true" />
</pam_mount>
Tập tin /etc/sssd/sssd.conf
[sssd]
dịch vụ = nss, pam
config_file_version = 2
tên miền = dom01.dom
[nss]
entry_negative_timeout = 0
#debug_level = 5
[pam]
#debug_level = 5
[tên miền/dom01.dom]
#debug_level = 10
liệt kê = sai
id_provider = quảng cáo
auth_provider = quảng cáo
chpass_provider = quảng cáo
access_provider = quảng cáo
dyndns_update = sai
ad_hostname = vmlx01.dom1.dom
ad_server = zen01.dom1.dom
ad_domain = dom1.dom
ad_gpo_access_control = dễ dãi
ldap_schema = quảng cáo
ldap_id_mapping = true
override_homedir = /home/%u
#fallback_homedir = /home/%u
default_shell = /bin/bash
ldap_sasl_mech = gssapi
ldap_sasl_authid = VMLX01$
krb5_keytab = /etc/sssd/dom1-keytab.keytab
ldap_krb5_init_creds = true
use_fully_qualified_names = Sai
Tập tin /etc/krb5.conf
[libdefaults]
default_realm = DOM1.DOM
rdns = không
dns_lookup_kdc = đúng
dns_lookup_realm = đúng
[cõi]
DOM1.DOM = {
kdc = zen01.dom1.dom
admin_server = zen01.dom1.dom
