ccb17c7352
With default priority (128), pam-auth-update put module pam_sss after module pam_unix in /etc/pam.d/common-auth, and then a user with a local account and local password synchronized with AD password will never be granted a Kerberos TGT on session opening.
2.5 KiB
D'apres PAMConfigFrameworkSpec, pam_sss devrait avoir une priorité
= 512, puisqu'il s'agit d'un profil qui "authenticates against a central network service, with rules to exclude administrative/system accounts". Or sa priorité définie dans
/usr/share/pam-configs/sssest 128 ... pourquoi ?
=> chercher dans le bugtracker ?
On dirait vraiment que pam_sss est conçu et configuré pour des
utilisateurs qui sont enregistrés dans un LDAP et pas en local (dans ce
cas ça marche direct). Moi je veux bien, c'est parfait pour un poste
fixe qui est toujours connecté au réseau, mais que se passe-t'il avec
un laptop déconnecté, si on n'a pas de mot de passe local ?
On pourrait envisager de désactiver le profil pam_unix, comme cela il
ne reste que pam_sss et le problème disparait, mais je soupçonne qu'il
va y avoir des effets de bord ;-)
Pour passer pam_sss en premier, il faut augmenter sa priorité. On peut
faire cela en modifiant le fichier /usr/share/pam-configs/sss à la
volée depuis le postinst avec sed, mais c'est très moche, et cela ne
résiste pas à une mise à jour du paquet libpam-sss, il faudrait mettre
en place un trigger ou mieux encore un divert ... ça reste du bricolage.
Autre solution, plus propre:
- ajouter un fichier
/usr/share/pam-configs/sss-yourdev, copie desss - modifier sa propriété
Nameet augmenter la valeur dePriority - rajouter une propriété
Conflicts: sss - dans le
postinst, activersss-yourdevet désactiversss
Important: ne pas utiliser --force dans les scripts, seulement --package Important: bien verifier uid >= 1000 et users interdits.
- Note: les deux profils
sssetsss-yourdevsont en conflit, mais leur - propriété
Defaultvautyes, ce qui a une conséquence particulière - quand on lance
pam-auth-updateune première fois en mode interactif, sans avoir exécuté la configuration automatique via lepostinst, alors les deux profils sont sélectionnés dans le dialoguedebconf. Si on valide à ce moment, le dialogue se plaint qu'il y a conflit, et refuse de valider la sélection. Il faut modifier et choisir l'un ou l'autre. Ensuite, le dialogue se souvient du choix qui a été fait.