linux - 具有组成员身份的 LDAP 身份验证

Question

我需要管理多个 linux 主机，我尝试使用 OpenLDAP 设置集中式身份验证机制。所以在 ldap 服务器上:

ou=Group,dc=example,dc=com
 \_cn=test_group (groupOfNames),ou=Group,dc=example,dc=com
    \_ member: uid=test_user,ou=User,dc=example,dc=com
ou=User,dc=example,dc=com
 \_uid=test_user (posixAccount),ou=User,dc=example,dc=com
 \_uid=another_user (posixAccount),ou=User,dc=example,dc=com

在一个 linux 客户端上，我只想允许 test_group 组的成员访问，因此在/etc/ldap.conf 中:

base dc=example,dc=com
uri ldap://ldap_server_ip
ldap_version 3
rootbinddn cn=admin,dc=example,dc=com
pam_filter objectclass=posixAccount
pam_login_attribute uid
pam_groupdn cn=test_group,ou=Group,dc=example,dc=com
pam_member_attribute member

但是another_user用户也可以登录!我做错了什么？谢谢

Answer 1

好的，问题出在/etc/pam.d目录下的自动配置。例如，带有以下内容的普通帐户文件:

account [success=2 new_authtok_reqd=done default=ignore]        pam_unix.so 
account [success=1 default=ignore]      pam_ldap.so

需要改为:

account sufficient  pam_ldap.so
account required    pam_unix.so

现在一切正常。