Ubuntu Landscape - аутентификация LDAP

Функциональность LDAP может быть включена только во время процесса установки сервера Landscape, но не на более позднем этапе. Ниже приведены инструкции о том, как выполнить это с текущей последней версией Ubuntu LTS 16.04 и ландшафтным сервером 17.03.

1) Поговорим, установив подключаемый модуль аутентификации для LDAP.

sudo apt install libpam-ldap

2) Нам нужно изменить /etc/ldap.config в соответствии с вашими потребностями / настройками / требованиями.

vim /etc/ldap.config

и добавьте следующий конфиг, изменив что нужно

base OU=XX,DC=XX,DC=XX
uri ldap://ip.of.ldap.server
ldap_version 3
# we need an authenticated user to search the directory 
binddn CN=<your user>,OU=XX,DC=XX,DC=XX
bindpw <above password>
scope one
pam_filter objectclass=person
pam_login_attribute userPrincipalName
pam_password ad
ssl off

3) Для активации плагина pam создайте файл /etc/pam.d/landscape со следующими строками:

vim /etc/pam.d/landscape

и вставить

#%PAM-1.0
auth    required pam_ldap.so
account required pam_ldap.so

4) Перейдите к корневому URL для вашей установки Landscape и создайте своего администратора. Вы заметите, что появится поле Identity. Это будет соответствовать атрибуту pam_login_attribute, указанному в вашем ldap.conf.

Надеюсь, это поможет. Спасибо

Я не мог понять, почему это не работает, хотя мои настройки ldap/pam были хорошими, я продолжал получать эту ошибку:

      Nov 17 15:36:28 hostname python[31175]: pam_ldap: missing file "/etc/ldap.conf"                                                                                
Nov 17 15:36:28 hostname python[31175]: pam_ldap: missing file "/etc/ldap.conf"  

Затем я понял, что ландшафтный сервис работает как «ландшафтный» пользователь, а /etc/ldap.confразрешения не позволяли ландшафту получить к нему доступ.

Я сбрасываю такие разрешения, чтобы разрешить групповой доступ RW

      root@hostname:/opt/canonical/landscape# chmod  0770  /etc/ldap
root@hostname:/opt/canonical/landscape# chgrp -R landscape  /etc/ldap
root@hostname:/opt/canonical/landscape# chmod  0660  /etc/ldap/ldap*

и теперь я могу аутентифицироваться в ландшафте, используя учетные данные AD.

Также обратите внимание, что я выбрал эти значения для своего ldap.conf.

      pam_login_attribute sAMAccountName
pam_filter objectclass=User
pam_password ad

и у меня есть такая символическая ссылка для ldap.conf

      lrwxrwxrwx 1 root root 19 Nov 17 12:37 /etc/ldap.conf -> /etc/ldap/ldap.conf