FreeBSD, pam_ldap, samba4

Question

[MrSelfDestruct]

Пытаюсь настроить аутентификацию пользователей во FreeBSD через ldap каталог (samba4).
Для этого хочу использовать связку pam_ldap + nss_ldap.
ldapsearch -D «cn=administrator,cn=Users,dc=office,dc=local» -W -x -b «cn=Users,dc=office,dc=local» пользователей выдаёт, а вот getent и id выдают только локальных пользователей, хотя запрос на ldap сервер приходит и вывод пользователей формируется (посмотрел через ngrep port 389 со стороны сервера и debug в nss_ldap.conf на стороне клиента)
Как я понимаю, проблема в схеме samba4 и перенаправлении атрибутов, в интеренете так же находил отзыв, что RFC 2307 не подходит для samba4, хотя в конфиге самой samba4 idmap_ldb:use rfc2307 = Yes.
В какую сторону копать?

Конфиг nss_ldap.conf:

base dc=office,dc=local
uri ldap://192.168.xxx.xxx/
ldap_version 3
binddn cn=administrator,cn=users,dc=office,dc=local
bindpw pa$$word
port 389
scope sub
timelimit 30
bind_timelimit 30
debug 1
logdir /var/log/nss
nss_connect_policy persist
nss_base_passwd cn=users,dc=office,dc=local
nss_base_group cn=users,dc=office,dc=local
nss_map_objectclass posixAccount user
nss_map_attribute uid sAMAccountName
pam_login_attribute sAMAccountName
pam_filter objectclass=User
pam_password ad
ssl no

uname -a

FreeBSD ipv6fbsd.ipv6.local 8.4-RELEASE FreeBSD 8.4-RELEASE

Answer 1

[Zyamilon]

Я конечно не трогал freebsd, но настраивал подобное на linux.

getent и id выдают только локальных пользователей

Стало быть, проблема в nss_ldap или схеме.

ldapsearch -D «cn=administrator,cn=Users,dc=office,dc=local»

nss_base_passwd cn=users,dc=office,dc=local
nss_base_group cn=users,dc=office,dc=local

Поправьте users, у вас в ldap по-дефлоту с заглавной буквы, а nss ищет с маленькой. Регистр важен.
Т.е.
nss_base_passwd cn=Users,dc=office,dc=local
nss_base_group cn=Users,dc=office,dc=local

И еще мысль,

nss_map_objectclass posixAccount user

По-дефолту хорошо, но у вас ведь в ldap объектный класс отличается?

Comments

[MrSelfDestruct]

И еще мысль

В samba4 схема не содержит posixAccount, поэтому, если это не перенаправить, то летит фильтр (&(objectClass=posixAccount )(sAMAccountName=)) и следовательно ничего в ответ не отдаётся.

Поправьте users, у вас в ldap по-дефлоту с заглавной буквы, а nss ищет с маленькой. Регистр важен.

Не помогло

Стало быть, проблема в nss_ldap или схеме.

Я вот тоже думаю, что проблема где то есть, но пока не выявил способ как найти различие.