Commentaires sur : Comptes ldap (3)

Par : Peck

Peck — Mon, 12 Apr 2010 08:03:29 +0000

En effet, il y a toujours un risque de conflit des uid et l’éviter n’est pas toujours choses facile. Quelque principe pour éviter les problèmes :

* mettre le ldap en premier dans pam et nss
* toujours créer les utilisateurs sur le référentiel (ldap, nis …)
* s’il y a vraiment besoin d’avoir les utilisateurs système en commun (comme ssh) les créer sur le ldap avant que le système n’en ait besoin.

Par : Junix

Junix — Sun, 11 Apr 2010 11:14:34 +0000

Merci pour ces quatre billets très utiles.

Petite question toutefois : si un paquet est installé et que celui-ci installe son propre utilisateur (au hasard, ssh), il utilisera useradd. Puisque celui-ci ne gére pas LDAP, il l’ajoutera dans le /etc/passwd et ça marchera très bien. Mais si, depuis un autre serveur, on ajoute un utilisateur avec ldapadduser, comme cela va-t-il se passer pour le premier serveur ? Car manifestement, il y a un gros risque de conflit entre les uid.

Merci.

Par : Peck

Peck — Mon, 22 Jun 2009 09:53:42 +0000

@Yann : En effet, en voulant réduire au strict minimum les options présentées dans le pam_ldap.conf, j'ai oublié une option. Il s'agit de pam_password exop qui permet à pam de passer par la fonction de changement de mot de passe de ldap qui fait ce qu'il faut.

J'ajoute ça dans l'article, merci.

Par : Yann

Yann — Mon, 22 Jun 2009 09:40:56 +0000

Changer le password via passwd c’est bien (et indispensable) mais il est stocké en clair sur le LDAP pour peu que la connexion sur le ldap soit en clair …