# Подключение Linux к WinServer c LDAPservice **URL:** \ **Category:** Общий форум\ **Created:** [28.Август.2009 16:39:24 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838 "2009-08-28T16:39:24Z")\ **Posts on this page:** 20\ **Page:** 1
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [28.Август.2009 16:39:24 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/1 "2009-08-28T16:39:24Z")
На клиентской машине, на которой стояла WinXP32 с аутентификацией с помощью LDAP на Windows сервере, установил openSUSE11.1x86\_64. Задача состоит в том, чтобы вход пользователей оставался прежним - с аутентификацией на сервере windows. Дополнительная информация. Нужный windows домен системой обнаруживается, но к LDAP не подключается: "udevd[719]: llnss\_ldap: failed to bind to LDAP server …: Can’t contact LDAP server udevd[719]: nss\_ldap: failed to bind to LDAP server …: Can’t contact LDAP server udevd[719]: nss\_ldap: could not search LDAP server - Server is unavailable udevd[719]: error resolving user ‘root, GROUP=’: Connection refused" Запустил (под wine) ldp.exe (которая подключается к этому LDAP сервису даже с машин, не подключавшихся к серверу вообще), но она выдаёт: “Error \<0x51\>: Fail to connect to …”, а в консоли, из-под которой я её запустил: "fixme:winsock:WSALookupServiceBeginW (0x32f8bc 0x00000710 0x32f914) Stub! fixme:advapi:LsaOpenPolicy ((nu),0x32f834,0x00000001,0x32f84c) stub fixme:advapi:LsaClose (0xcafe) stub" С DHCP всё нормально - всё получает с этого win сервера и в и-нет выходит… Что делать для решения данной задачи (не имея админ-ских прав на сервере)? Заранее благодарю. ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [28.Август.2009 18:40:17 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/2 "2009-08-28T18:40:17Z")
| **Цитата:** | | На клиентской машине, на которой стояла WinXP32 с аутентификацией с помощью LDAP на Windows сервере, установил openSUSE11.1x86\_64. Задача состоит в том, чтобы вход пользователей оставался прежним - с аутентификацией на сервере windows. | Если аутентификацией с помощью лдап вы называете вендовую AD (на самом деле в АД аутентификация керберос и авторизация лдап), то вам нужен winbind (это прямое и самое простое решение). Если же вы аутентифицируетесь именно в ЛДАП (наверное, для венды есть такие реализации) то нужно, чтобы в этом каталоге были юниксовые юзеры со своими uid и gid, а также установлены и правильно настроенные pam-ldap и nss-ldap. Судя по вашим логам, nss-ldap у вас настроен не верно, так как не может подключиться к лдап серверу. ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [04.Сентябрь.2009 12:00:16 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/3 "2009-09-04T12:00:16Z")
А по приведённым ниже портам сервера, полученным с помощью PortScan, можно определить, какие там возможны аутентификация и авторизация? 42 open name 53 open domain 88 open kerberos 135 open epmap 139 open netbios-ssn 389 open ldap 445 open microson-ds 464 open kpasswd 593 open hnp-rpc-epmap 636 open ldaps 1025 open blackjack 1027 open unknawn 1034 open activesync 1038 open mtqp 1048 open neod2 3268 open msn-qc 3269 open msn-qc-ssl 3389 open ms-wbt-server Нужно, в принципе, только, чтобы Linux просто после первого ввода в окне регистрации DM имени и пароля серверного пользователя автоматически создавал одноимённого локального пользователя с uid и gid, которые стоят у него по умолчанию для вновь создаваемых локальных пользователей, и имеющего такой же доступ к папкам сервера, как и зарегистрированный на сервере пользователь. Можно ли этого добиться с какой-либо установкой аутентификации + авторизации в Linux’e и без каких-либо изменений на Windows сервере? ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [04.Сентябрь.2009 13:38:03 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/4 "2009-09-04T13:38:03Z")
| **CAEman писал(а) Fri, 04 September 2009 16:00** | | А по приведённым ниже портам сервера, полученным с помощью PortScan, можно определить, какие там возможны аутентификация и авторизация? 42 open name 53 open domain 88 open kerberos 135 open epmap 139 open netbios-ssn 389 open ldap 445 open microson-ds 464 open kpasswd 593 open hnp-rpc-epmap 636 open ldaps 1025 open blackjack 1027 open unknawn 1034 open activesync 1038 open mtqp 1048 open neod2 3268 open msn-qc 3269 open msn-qc-ssl 3389 open ms-wbt-server | В данном случае открыт и ldap и kerberos. Все же в 95% в вендовых сетях вся авторизация в АД. Можно предположить, что у вас так же. | **Цитата:** | | Нужно, в принципе, только, чтобы Linux просто после первого ввода в окне регистрации DM имени и пароля серверного пользователя автоматически создавал одноимённого локального пользователя с uid и gid, которые стоят у него по умолчанию для вновь создаваемых локальных пользователей, и имеющего такой же доступ к папкам сервера, как и зарегистрированный на сервере пользователь. Можно ли этого добиться с какой-либо установкой аутентификации + авторизации в Linux’e и без каких-либо изменений на Windows сервере? | Для этого предназначен winbind, входящий в соcтав samba. Самба клиент вам нужен в любом случае, если хотите пользоваться сетевыми “папками”. Кроме этого нужно настроить pam-winbind для сетевой аутентификации пользователей. ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [04.Сентябрь.2009 15:20:37 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/5 "2009-09-04T15:20:37Z")
При попытке настройки через winbind выдаётся сообщение: This host is not a member of the domain… Join the domain …? После утвердительного ответа и ввода имени и пароля пользователя сервера (естественно, не администратора): Failed to join domain: Failed to set account flags for machine account (NT\_STATUS\_ACCESS\_DENIDED) При попытке подключения с того же компьютера, но из-под Windows (c тем же именем комп-а): В домене “…” обнаружена учётная запись для данного компьютера. Использовать её? А после утвердительного ответа и ввода пользователя: Не удалось присоединить этот компьютер к домену из-за следующей ошибки: Отказано в доступе (Хотя он уже присоединён через эту Windows, в которой все загружаются нормально.) Что нужно делать? ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [04.Сентябрь.2009 19:18:07 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/6 "2009-09-04T19:18:07Z")
| **CAEman писал(а) Fri, 04 September 2009 19:20** | | При попытке настройки через winbind выдаётся сообщение: This host is not a member of the domain… Join the domain …? После утвердительного ответа и ввода имени и пароля пользователя сервера (естественно, не администратора): Failed to join domain: Failed to set account flags for machine account (NT\_STATUS\_ACCESS\_DENIDED) Что нужно делать? | Для того, чтобы ввести машину в домен АД, нужны права администратора домена. Будет ли winbind полноценно работать без ввода машины в домен, я не знаю и не встречал такой реализации (последний сервер с АД я убрал три года назад). Могу предложить более простой способ, если он вас устроит. Нужно установить kerberos client. Тогда, получив билет пользователя АД (kinit имя\_юзера) вы сможете обращаться к дозволенным вам сервисам: например, смонтировать каталог можно mount.cifs с ключем -k. Далее, если хотите вместо kinit набирать этот паролль при входе в систему, нужно установить и настроить pam\_krb5 (в случае реализации MIT). Только имейте в виду, что пользователь также должен быть прописан на этой юникс машине (можно и без пароля: на керберос он будет аутентифицироваться, а uid gid … получать локально). Подобная реализация описана, например, здесь [http://www.windowsnetworking.com/articles\_tutorials/Authenti cating-Linux-Active-Directory.html](http://www.windowsnetworking.com/articles_tutorials/Authenticating-Linux-Active-Directory.html) ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [11.Сентябрь.2009 10:46:07 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/7 "2009-09-11T10:46:07Z")
> Задача как раз состоит в том, чтобы, не имея админ-ских прав на Win сервере, предоставить пользователям сервера возможность входить на локальных комп-ах с Linux (естественно, без их предварительного создания в Linux’е - создавать вручную тыщу уже имеющихся и постоянно пополняющихся пользователей - это, сами понимаете, как-то не адекватно…) и, желательно, с доступом к их сетевым папкам. > > Это решаемо в принципе? Или без допила этих виней (кому только могло стукнуть в голову сделать на них сервер ) никак не обойтись? ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [11.Сентябрь.2009 13:57:29 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/8 "2009-09-11T13:57:29Z")
| **CAEman писал(а) Fri, 11 September 2009 14:46** | | Задача как раз состоит в том, чтобы, не имея админ-ских прав на Win сервере, предоставить пользователям сервера возможность входить на локальных комп-ах с Linux (естественно, без их предварительного создания в Linux’е - создавать вручную тыщу уже имеющихся и постоянно пополняющихся пользователей - это, сами понимаете, как-то не адекватно…) и, желательно, с доступом к их сетевым папкам. Это решаемо в принципе? Или без допила этих виней (кому только могло стукнуть в голову сделать на них сервер ) никак не обойтись? | Можно разделить два различных уровня интеграции. По правилам MS залогиниться в домене AD можно только с машины, введенной в домен. А ввести машину может администратор домена. Существует ли способ это обойти - я не знаю. Перерывайте информацию по samba и winbind. Но пользоваться ресурсами windows сервера (напр. расшареными папками) можно и не вводя машину в домен. Например, если на сервере установлена поддержка старых клиентов (до win2000, насколько я знаю, по умолчанию она стоит) то можно примонтировать ресурс с ntlm аутентификацией $ mount.cifs … … -o user=… password=… Если в домене оставлена только kerberos аутентификация, то можно поступить, как я писал в прошлый раз (kinit + mount.cifs -k). Логиниться на юникс машину в этих случаях можно с любым логином (напр. одним для всех, или даже автологином). ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [11.Сентябрь.2009 15:05:57 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/9 "2009-09-11T15:05:57Z")
| **gogi писал(а) Fri, 11 September 2009 17:57** | | | Если в домене оставлена только kerberos аутентификация, то можно поступить, как я писал в прошлый раз (kinit + mount.cifs -k). Логиниться на юникс машину в этих случаях можно с любым логином (напр. одним для всех, или даже автологином). Однозначно нужно, чтобы у каждого пользователя, зарегистрированного на сервере, создавался свой локальный профиль при первом входе, которым он в дальнейшем мог пользоваться (я не говорю о сохранении его на сервере - пусть на каждой машине будет свой локальный профиль). Всё, что нужно, - это чтобы Linux при вводе в регистрационном окне графического DM имени и пароля пользователя при отсутствии такого зарегистрированного локального пользователя мог сверить введённые имя и пароль с находящимся на win сервере списком и в случае их наличия и соответсвия, создать такого же (имя и пароль) локального пользователя с настройками по умолчанию для вновь создаваемых и его загрузить (с созданием на /home настроенного по умолчанию профиля, например, из /etc/skel). При повторном же входе пользователя (т.е. при уже наличии такого локального пользователя) Linux’у даже не обязательно обращаться к серверу для проверки (с монтированием же сетевых папок, как я понял, проблем нет). Достаточно ли я чётко изложил задачу минимума (т.е. нет ли мест, допускающих неоднозначное толкование)? Решаема ли она в принципе, и если - да, то как конкретно? Если не было опыта практического её решения, то, хотя бы - теоретические соображения (с учётом всех описанных мной ранее попыток и результатов её решения). ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [11.Сентябрь.2009 15:54:10 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/10 "2009-09-11T15:54:10Z")
| **CAEman писал(а) Fri, 11 September 2009 19:05** | | Однозначно нужно, чтобы у каждого пользователя, зарегистрированного на сервере, создавался свой локальный профиль при первом входе, которым он в дальнейшем мог пользоваться (я не говорю о сохранении его на сервере - пусть на каждой машине будет свой локальный профиль). Всё, что нужно, - это чтобы Linux при вводе в регистрационном окне графического DM имени и пароля пользователя при отсутствии такого зарегистрированного локального пользователя мог сверить введённые имя и пароль с находящимся на win сервере списком и в случае их наличия и соответсвия, создать такого же (имя и пароль) локального пользователя с настройками по умолчанию для вновь создаваемых и его загрузить (с созданием на /home настроенного по умолчанию профиля, например, из /etc/skel). При повторном же входе пользователя (т.е. при уже наличии такого локального пользователя) Linux’у даже не обязательно обращаться к серверу для проверки (с монтированием же сетевых папок, как я понял, проблем нет). Достаточно ли я чётко изложил задачу минимума (т.е. нет ли мест, допускающих неоднозначное толкование)? Решаема ли оCна в принципе, и если - да, то как конкретно? Если не было опыта практического её решения, то, хотя бы - теоретические соображения (с учётом всех описанных мной ранее попыток и результатов её решения). | Задачу вы изложили достаточно ясно. Конкретно такую же решать не приходилось в силу её специфичности. (Не проще ли бы было обратиться к вендовому админу с просьбой ввести машины в домен). Тем не менее могу сказать определёно, что задача решаема. Один путь к решению (наверное, не лучший) я вам укажу. 1. Необходимо найти (скорее всего придется написать самому) модуль nss для базы passwd, чтобы он вёл локальную базу вендовых пользователей и на запросы выдавал uid,gid,shell,home. Если имеете даже небольшие навыки программирования на C, то это вполне решаемая задача. 2. Нужно установить и настроить pam\_krb5 или аналогичный модуть для аутентификации в AD. Если он не будет стыковаться с вашим модулем nss, то, возможно, самому написать ещё модуль pam для аутентификации в kerberos,например, на основе вызова kinit. Вот и выбитайте из четырёх: обратиться к вендовому админу, поискать в сети преемлемое решение, изобрести предложенные мной костыли или забросить эту затею. По теме можно почитать ещё здесь, но, увы, пароль админа АД там известен. [http://www.cyberguru.ru/operating-systems/windows-admin/linu x-authentication.html](http://www.cyberguru.ru/operating-systems/windows-admin/linux-authentication.html) ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [11.Сентябрь.2009 16:07:35 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/11 "2009-09-11T16:07:35Z")
| **gogi писал(а) Fri, 11 September 2009 19:54** | | Нужно установить и настроить pam\_krb5 или аналогичный модуть для аутентификации в AD. | Т.е., если я Вас правильно понял, Вы считаете, что у линуксовских модулей kerberos 5 или аналогичных (Winbind, LDAP?) проблем с аутентификацией на виндовском сервере нет? Проблема только в создании новых пользователей по результатам этой аутентификации? Уточните, пожалуйста. ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [11.Сентябрь.2009 16:52:41 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/12 "2009-09-11T16:52:41Z")
| **CAEman писал(а) Fri, 11 September 2009 20:07** | | Т.е., если я Вас правильно понял, Вы считаете, что у линуксовских модулей kerberos 5 или аналогичных (Winbind, LDAP?) проблем с аутентификацией на виндовском сервере нет? Проблема только в создании новых пользователей по результатам этой аутентификации? Уточните, пожалуйста. | Это относится к pam модулям kerberos и winbind (последний, как вы сами видели, требует ввода машины в домен). Молуль pam\_ldap может проходить аутентификацию в openldap или в других лдап каталогах, но НЕ в AD, поскольку аутентификация кербесос и лдап существенно различаются. ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [11.Сентябрь.2009 17:02:26 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/13 "2009-09-11T17:02:26Z")
Но в моём случае такая аутентификация пройдёт (по LDAP же не проходила, а openLDAP, судя по всему приведённому там нет, или я ошибаюсь?)? ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [11.Сентябрь.2009 17:24:55 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/14 "2009-09-11T17:24:55Z")
| **CAEman писал(а) Fri, 11 September 2009 21:02** | | Но в моём случае такая аутентификация пройдёт (по LDAP же не проходила, а openLDAP, судя по всему приведённому там нет, или я ошибаюсь?)? | Не ошибаетесь, серверы windows поддерживают аутентификацию kerberos, а также ntlm для совместимости со старыми клиентами. Аутентификация ldap там если и реализуема, то только сторонними средствами. ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [18.Сентябрь.2009 15:48:37 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/15 "2009-09-18T15:48:37Z")
| **gogi писал(а) Fri, 11 September 2009 19:54** | | 1. Необходимо найти (скорее всего придется написать самому) модуль nss для базы passwd, чтобы он вёл локальную базу вендовых пользователей и на запросы выдавал uid,gid,shell,home. Если имеете даже небольшие навыки программирования на C, то это вполне решаемая задача. 2. Нужно установить и настроить pam\_krb5 или аналогичный модуть для аутентификации в AD. Если он не будет стыковаться с вашим модулем nss, то, возможно, самому написать ещё модуль pam для аутентификации в kerberos,например, на основе вызова kinit. | 1. А нельзя ли этот модуль nss (или его содержание) как-нибудь “подцепить” из winbind (там так всё удобно настраивается в yast2, а к программированию я не имею никакого отношения)? 2. Если я Вас правильно понял из последующих сообщений, упомянутой здесь аналогичной альтернативы kerberos’у оказывается нет (без пароля серверного админ-а). В связи с этим возникает вопрос, а вызов kinit не требует ли получения так называемого “билета” с соответствующим вводом пароля серверного админ-а? Уточните, пожалуйста. ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [18.Сентябрь.2009 17:21:45 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/16 "2009-09-18T17:21:45Z")
| **CAEman писал(а) Fri, 18 September 2009 19:48** | | 1. А нельзя ли этот модуль nss (или его содержание) как-нибудь “подцепить” из winbind (там так всё удобно настраивается в yast2, а к программированию я не имею никакого отношения)? | Не знаю, с winbind не возился. | **Цитата:** | | 1. Если я Вас правильно понял из последующих сообщений, упомянутой здесь аналогичной альтернативы kerberos’у оказывается нет (без пароля серверного админ-а). В связи с этим возникает вопрос, а вызов kinit не требует ли получения так называемого “билета” с соответствующим вводом пароля серверного админ-а? Уточните, пожалуйста. | - Может быть, кроме керберос, есть смысл поискать информация о pam\_ntlm или pam\_samba. - В результате керберос аутентификации Вы получите tgt билет, выданный пользователю, а для этого достаточно ввода пользовательского пароля. ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [18.Сентябрь.2009 17:45:46 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/17 "2009-09-18T17:45:46Z")
А Вы не могли бы тогда дать пошаговое руководство настройки кербероса с кинитом без ввода пароля серверного админ-а? ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [18.Сентябрь.2009 18:16:59 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/18 "2009-09-18T18:16:59Z")
| **CAEman писал(а) Fri, 18 September 2009 21:45** | | А Вы не могли бы тогда дать пошаговое руководство настройки кербероса с кинитом без ввода пароля серверного админ-а? | Только в общих чертах. Детальные руководства, если понадобятся, ищите в гугле. Но, вообще говоря, достаточно и манов. Существуют две основные реализации керберос. Они похожи, но названия файлов могут различаться. Я предполагаю керберос от MIT. 1. Установить клиентскую чать керберос. (в дебиане пакет называется krb5-user, у Вас - что-то похожее). 2. Настроить керберос на REALM из домена AD, напр [MYORG.RU](http://MYORG.RU) редактируя файл конфирурации - krb5.conf. 3. Дать команду $ kinit имя\_пользователя и после запроса ввести пароль. В результате вы получите супер билет - tgt, который можно использовать для доступа к ресурсам указанного сервера. Юниксовый юзер (uid, gid) после выполнения пункта 3 не изменится. ---
**Author:** ![CAEman](https://linux.ru/forum/letter_avatar_proxy/v4/letter/c/b9bd4f/32.png) [@CAEman](https://linux.ru/forum/u/CAEman)\ **Post date:** [02.Октябрь.2009 09:53:21 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/19 "2009-10-02T09:53:21Z")
Керберос у меня прекрасно настроился прямо из-под Yast (без всяких дедовских способов, таких как редактирование файлов конфигурации) и выдаёт tgt билет. А вот дальше начинаются проблемы. В и-нете нашёл только описание авторизации через winbind. Через Yast без ввода машины в домен обойтись нельзя, а значит - это “не для нас”. Путём ручного редактирования smb.conf, но без последующего запуска “net ads join”, winbind после запуска выдаёт в “messages”: "initialize\_winbindd\_cache: clearing cache and re-creating with version number 1 winbindd/winbindd\_util.c:init\_domain\_list(740) Could not fetch our SID - did we join? winbindd/winbindd.c:main(1285) unable to initialize domain list" и выгружается (хотя на некоторых форумах утверждают, что должен работать). Вы писали, что подсоединялись без winbind с помощью “nss модуля”: “Необходимо найти (скорее всего придется написать самому) модуль nss для базы passwd, чтобы он вёл локальную базу вендовых пользователей и на запросы выдавал uid,gid,shell,home.” Этот модуль настраивается через nsswitch.conf? Среди служб в Yast я ничего связанного с nss, кроме winbind, не нашёл. Не могли бы Вы уточнить название модуля (или привести его содержание), а также более подробно описать его настройку? Заранее благодарю. ---
**Author:** ![gogi](https://linux.ru/forum/letter_avatar_proxy/v4/letter/g/958977/32.png) [@gogi](https://linux.ru/forum/u/gogi)\ **Post date:** [02.Октябрь.2009 10:50:57 UTC](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838/20 "2009-10-02T10:50:57Z")
Подобного pam модуля я не встречал и даже не снаю, существует ли такой. Уж слижком специфична задача. Если не прибегать к написанию своего модуля, то, видимо, придется от чего-то отказаться: либо аутентифицироваться в АД всем юзерам с одним и теж же юниксовым uid, либо узнавать пароль админа АД и использовать winbind. [Следующая страница](https://linux.ru/forum/t/linux-winserver-c-ldapservice/8838.md?page=2)