ověřování uživatelů přes active directory

dobré odpoledne všem

popis problemu:
mam windows server s active directory a uživatele kteří používají windows nicméně každý uživatel má dualboot s fedorou 17 a počítače často střídají.
ve widlich funguje síťový disk a cestovní profil
chci využít aspoň část služeb poskytovaných win serverem nebo najít přinejmenším nejméně bolestnou alternativu
ideální varianta je jedno centralizované místo pro správu co největšího rozsahu uživatelů kteří mají právo se přihlásit.

moje řešení:




http://docs.fedoraproject.org/en-US/Fedora/17/html/System_Administrators_Guide/ch-Configuring_Authentication.html
http://technet.microsoft.com/cs-cz/magazine/2008.12.linux(en-us).aspx

wget http://download.beyondtrust.com/PBISO/7.5.0.1513/linux.rpm.x64/pbis-open-7.5.0.1513.linux.x86_64.rpm.sh

chmod u+x pbis-open-7.5.0.1513.linux.x86_64.rpm.sh

./pbis-open-7.5.0.1513.linux.x86_64.rpm.sh

reboot / shutdown -h now

zařazení do domény

domainjoin-cli join myserver.company.cz root

heslo
SUCCES
==============================>
sice to zařve že mu chybí konfigurace pam_permit.so ale i přes warovani se k domeně připojí jinou alternativu pro připojení k domeně je konfigurace ale baliček který by to sfouknul za mě je jenom ten který popisuji.

dale tedy ssh domain\user@stroj.company.cz funguje vytvoří si adresářovou strukturu v home a již lze přihlašovat ke stroji
kamen urazu nastava s přihlašením z desktopu gnome3 a fedora17 3.9.8-100.fc17.x86_64 kde je seznam jmen dlouhý jako rulička od toaletního papíru je nepřehledný a špatně se přes něj přihlašuje

zkoušel jsem stahnout kdm xdm system-switch-displaymanager ti jsou fajn ale pouze pro uživatele kteří počítač již použili a maji na localu vytvořený účet buď uspěšným přihlašením do domeny nebo v passwd

pro nově příchozí to funguje tak že musí klepnout nejsem na seznamu a přihlasit se domena\login a domenovéHeslo přičemž obohatí naš seznam.
v gdm jsem se pokoušel najít nějaký návod na to jak uživatele skrýt ale bez uspěchu (/etc/gdm/custom.conf nebo /usr/share/… ) neschopnost manageru fungovat s domenou to shazuje na přihlašovací obrazovku gnome kterou se mi nedaří konfigurovat

příkaz #gconftool-2 --type bool --set /apps/gdm/simple-greeter-disable_user_list ‘true’
je taky bezúspěšný a někde jsem se dočetl že v seznamu se nezobrazují jmena kteří mají UID pod 1000 což je pro moje učely docela málo.

příkaz #gdm3setup je už dlouho mrtvým

příkaz #gnome-session jsem už taky z nějakého duvodu vyloučil…

napadlo mě ověřování ldap serverem čimž dubluji uživatele stroj pro lin a stroj pro win :frowning:

další možností je system-config-autheti* ale jak to nastavit?

ma někdo nějaký nápad co s tím nebo případně ideu na lepší řešení? možná to beru uplně za špatný konec a bude lepší pro uživatele linuxu vytvořit jinou infrastrukturu k přihlašovani a spravovat je odděleně…
děkuji všem kteří nějak zareagují

Nikdy jsem tohle neresil, takze jen komentar.

Linux by se mel umet k AD (coz je v podstate LDAP) pripojovat i bez 17MB binarky z neduveryhodneho zdroje. Ten MS navod je fakt pekny - vcetne konfigurace IPv4 adres, NTP a kompilace samby… divim se ze v kazdem navodu nemaji jeste kompletni popis instalace OS… pritom jedine relevatni z toho navodu je podle me povoleni LDAP a pripadne ten Winbind pro autentizaci a zrejme nastaveni samby pro pripojeni domovskeho adresare.

Problem s GDM: tedy - aby bylo jasno, co vlastne chces aby se tam zobrazovalo/nezobrazovalo? GDM zobrazuje proste vsechny uzivatele s ID nad 1000. Zmenit by to mozna slo v /etc/login.defs UID_MIN ale nezarucuji ze to zohlednuje i GDM.

Ve volani gconf mas podle me chybu
gconftool-2 --type bool --set /apps/gdm/simple-greeter-disable_user_list ‘true’
za simple-greeter ma byt lomitko.

KDM a XDM zase seznam nezobrazuji, resp. zobrazuji jen zname uzivatele. Myslel jsem. ze to je to co si chtel, takze novy uzivatel musi zadat jmeno, ktere dosud v seznamu neni, coz by melo jit.
http://docs.kde.org/stable/en/kde-workspace/kdm/configuring-kdm.html#kdmconfig-users

jak říkaš kdm a xdm dělaji to co chci jen s tou “pochybnou” binarkou se nechtěji autentizovat oproti serveru…
když do kdm nebo xdm napišu domain\user a heslo tak ho to nerozpozna a tvaři se jakože nema prava… nejspiše se po víkendu kouknu na tu konfiguraci od microsoftu… chtěl jsem se tomu nechci říkat za každou cenu vyhnout ale je tam spousta zakoutí kde se to může po**** asi podobně jak stim lomitkem v gconftool-2 což vyzkouším hned zítra.

děkuji za tip.

To o tom MS navodu byla ironie - delaji tam ze spravce tupce a v navodu jak zprovoznit LDAP ho instruuji jak konfigurovat IP adresu pomoci (starych) grafickych udelatek, coz je zcela nepodstatne. Postatne je pouze pusteni system-config-authentication a nastaveni LDAPu, cimz by se tento obludny navod, ktery te samozrejme odradil, smrskl na jednodusse pochopitelnou jednou stranku.