From: uxTuaHgp <alex_dubrovsky@mail.ru.>
Newsgroups: email
Date: Mon, 24 Apr 2007 14:31:37 +0000 (UTC)
Subject: Интеграция серверов AIX в MS Active Directory
1. Пререквизиты
1) MS Active Directory и Kerberos на MS Windows 2003 Server.
2) AIX 5.3 ML03 и выше. Во избежание проблем биндинга к AD через
керберос необходимо установить APAR IY79120.
У меня на 5300-04 и на 5300-05 проблем с биндингом без этого APAR не возникало.
3) MS Services for Unix для поддержки расширений AD для UNIX и синхронизации паролей.
Сейчас есть версия MSSFU 3.5, с ней вроде как проблем быть не должно вообще,
я ставил и на 3.5 и на 2.0 - тонкости опишу.
4) На сервере KDC должны быть установлены Windows Support Tools.
5) Резолв через DNS на AIX должен быть настроен.
6) Допускаем
имя нашего домена - example.com
kerberos realm - EXAMPLE.COM
контроллеры домена - dc01, dc02
имя нашего хоста - aixhost
2. Инсталяция пакетов:
1) Рекомендую сначала найти и скопировать в одно место все необходимые пакеты.
В моем дистрибутиве они разложились так:
login as: test01
test01@aixhost's password:
*******************************************************************************
* *
* *
* Welcome to AIX Version 5.3! *
* *
* *
* Please see the README file in /usr/lpp/bos for information pertinent to *
* this release of the AIX Operating System. *
* *
* *
*******************************************************************************
$ echo $AUTHSTATE
KRB5Afiles
$
Видим что атентикация прошла через KRB5Afiles. Все аттрибуты пользователя и членство
в группах в данном случае хранятся локально в /etc/passwd и /etc/group
5. Настройка LDAP
1) Документы, которыми я пользовался, рекомендуют не используя mksecldap, а просто
руками прописать конфигурационные файлы, однако mksecldap дает один плюс - он прописывает
в конфиг пароль нашего принципала в зашифрованом DES виде.
где у вас будет расположен аккаунт принципала, я не знаю :)
2) Правим /etc/security/ldap/ldap.cfg
searchmodeS # OS необходимо, как оказалось, для MSSFU 2.0 по умолчанию стоит ALL
ldapservers:dc01.example.com,dc02.examle.com
binddn:cn=CN=host_aixhost,OU=Host Accounts,OU=Users,OU=New Vasjuki,DC=example,DC=com
bindpwd:{DES}63FABC6A5AB7B4 29ECDEDA02F DB0D38DDD37E25AF46255 # в принципе тут можно вписать пароль и в открытом виде
userattrmappath:/etc/security/ldap/sfu20user.map # опять же для MSSFU 2.0
groupattrmappath:/etc/security/ldap/sfu20group.map
userbasednU=Users,OU=New Vasjuki,DC=example,DC=com # тут должно быть ясно - юнит под которым искать
groupbasednU=Groups,OU=New Vasjuki,DC=example,DC=com
userclasses:user
groupclasses:group
Пояснения:
searchmode: по умолчанию ALL и по умолчанию работает отлично с MSSFU 3.*,
однако с 2.0 демон LDAP клиента падал в кору при попытках сделать id на некоторых пользователей AD.
По сути дела, методом тыка было выведено, что нужно в этом случае прописывать OS.
userattrmappath и groupattrmappath мапфайлы, где стыкуются юникс атрибуты с AD атрибутами.
Для MSSFU 3.0 и 3.5 есть шаблоны
4) Чтобы пользователь успешно аутентифицировался, нужно поменять атрибут SYSTEM на KRB5ALDAP
# chuser SYSTEM=KRB5ALDAP test02
Если пользователей AD будет гораздо больше, чем локальных, а локальные
будут заводиться редко, можно сделать и иначе:
В файле /etc/security/user
для default прописать
SYSTEM=KRB5ALDAP
всем локальным пользователям прописать
SYSTEM=compat
Если существующим не проставить compat - у них будут проблемы при
попытке войти :)
5) Пытаемся логиниться
login as: test02
test02@aixhost's password:
*******************************************************************************
* *
* *
* Welcome to AIX Version 5.3! *
* *
* *
* Please see the README file in /usr/lpp/bos for information pertinent to *
* this release of the AIX Operating System. *
* *
* *
*******************************************************************************
$ echo $AUTHSTATE
KRB5ALDAP
$
Вот собственно и все!
Ссылки на использованную литературу:
1. IBM RedBook Integrating AIX into Heterogeneous LDAP Environments
2. AIX5 LDAP user management
1082 Прочтений • [Интеграция серверов AIX в MS Active Directory (aix domain windows kerberos samba)] [08.05.2012] [Комментариев: 0]
S # OS необходимо, как оказалось, для MSSFU 2.0 по умолчанию стоит ALL
Vova
