Anmeldung mit NT Namen

[LinuxGimp]

Hi...

Also ich würde mich gerne auf dem Linuxrechner mit Namen die in der NT4 Domäne sind anmelden...

Alles was ich zu winbind in die finger bekommen habe, habe ich durchgelesen und entsprechen meine smb.conf konfiguriert.

Mit dem Befehl getend passwd kann ich mir nun auch alle Namen aus der Domäne anzeigen lassen. Ebenfalls sehe ich alle Namen beim Loginfenster von KDE. Allerdings kann ich mich nicht anmelden! Es existieren auch keine Home Verzeichnisse...
Also was bitte kann ich tun?

Hier meine smb.conf

# Samba config file created using SWAT
# from 127.0.0.1 (127.0.0.1)
# Date: 2004/08/25 14:29:29

# Global parameters
[global]
workgroup = testdomain
bind interfaces only = Yes
security = DOMAIN
map to guest = Bad User
password server = pdc01
os level = 10
preferred master = No
local master = No
domain master = No
wins server = 172.30.17.42
ldap ssl = no
idmap uid = 10000-20000
idmap gid = 10000-20000
template shell = /bin/bash
winbind separator = +
winbind use default domain = Yes
create mask = 0766
directory mask = 0777

Vielen Dank schon jetzt für eure Hilfe... Irgendwie spüre ich das ich kurz vorm Ziel bin aber mir der entscheidene Schritt fehlt.

[LinuxGimp]

hier noch ein auszug aus der log.winbindd


2004/08/25 14:00:43, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:00:46, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:00:48, 1] nsswitch/winbindd_group.c:winbindd_getgroups(1032)
user 'root' does not exist
[2004/08/25 14:00:48, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:00:51, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:00:53, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:00:56, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:00:58, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:01, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:03, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:06, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:06, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:06, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:06, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:06, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:06, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:08, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:11, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:13, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:16, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:18, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:21, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:23, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients
[2004/08/25 14:01:26, 0] nsswitch/winbindd.c:process_loop(726)
process_loop: Invalid request size from pid 2160: 1568 bytes sent, should be 1824
This usually means that you are running old wbinfo, pam_winbind or libnss_winbind clients

[LinuxGimp]

kann mir damit aber leider auch nicht wirklich weiterhelfen...

[Columbo0815]

Ich habe von Samba nicht wirklich die große Ahnung, aber dienen die "Sambauser" nicht lediglich dazu, dass du mit diesen Usern (Berechtigung vorausgesetzt) auf den Linuxrechner zugreifen kannst?

Entsprechen Sambauser zuerstmal nicht den Systemusern? Dh, wenn du einen Sambauser hast, hast du nicht zwingend gleich einen Systemuser.

Mag sein, dass ich falsch liege.

HTH
Gruß Columbo

Edit:
PS: Hätte ich


kann mir damit aber leider auch nicht wirklich weiterhelfen...

früher entdeckt, hätt ich mir es evtl anders überlegt und nicht geantwortet. Dies ist ein Forum, kein Chatroom.

[emba]

du musst hier unterscheiden zwischen linuxanmeldung und sambaanmeldung

für dich könnte das [1] interessant sein

greez


[1]
http://www.csn.ul.ie/~airlied/pam_smb/

[LinuxGimp]

Das Problem ist jeder sagt mir etwas anderes. Ich will mich nur am Linux System mit meiner NT Kennung anmelden. Nicht mehr und nicht weniger.

von pam habe ich schonmal gehört, allerdings wurde mir gesagt dass ich NUR winbind dafür brauche, deswegen habe ich das mal komplett weggelassen.

[emba]

besser als hier kann man es gar nicht beschreiben

http://us3.samba.org/samba/docs/man/winbindd.8.html

greez

[LinuxGimp]

danke für den Link!
Allerdings bin ich auch genau nach dieser vorgegangen.

Ich habe mittlerweile herausgefunden, dass ich mich (nur) in der Konsole (nicht die KDE Konsole) mit allen in der Domäne verfügbaren Namen anmelden kann. Allerdings würde ich das auch gerne für den KDE haben, da geht es leider nicht.

Folgende Fehlermeldung kommt wenn ich mich über die Konsole anmelde:

No directory /home/DOMÄNE/user!
Logging with home = "/"

Das der User auf der Linuxkiste kein Homeverzeichnis hat, ist mir klar, allerdings hätte ich gerne, dass er eins anlegt, sobald sich jemand anmeldet, der noch keins hat. Wie mache ich das?

Und vor allem wie mache ich es, dass ich mich mit den NT Namen auch beim KDE anmelden kann? Wie gesagt im Anmeldefenster des KDE erscheinen in der Linken Spalte alle Namen, die es in der Domäne gibt, aber leider kann ich mich damit nicht anmelden.

[emba]

kopiere mal den inhalt von /etc/pam.d/login nach /etc/pam.d/xdm, wenn login einwandfrei mit dem user funktioniert

das homeverzeichnis legst du automatisch mit dem pam_mkhomedir.so [1] modul an

greez


[1]
Bsp.:
http://lists.samba.org/archive/samba-ntdom/2001-November/020800.html

[LinuxGimp]

Danke,

habe mein erstes Erfolgserlebnis heute gehabt!
Kann mich mit einem NT Namen anmelden, wenn das Home Verzeichnis existiert.
Wo muss ich denn nun das pam_mkhomedir.so einbinden? In die /etc/pam.d/login oder in die /etc/pam.d/xdm? Oder in beide?

Habe nun festgestellt, dass die /etc/pam.d/xdm den login von meinem root verhindert.

#%PAM-1.0
##auth required /lib/security/pam_securetty.so
##auth sufficient /lib/security/pam_winbind.so
##auth sufficient /lib/security/pam_UNIX.so use_first_pass
# auth required /lib/security/pam_stack.so service=system-auth
##auth required /lib/security/pam_nologin.so
##account sufficient /lib/security/pam_winbind.so
# account required /lib/security/pam_stack.so service=system-auth
# password required /lib/security/pam_stack.so service=system-auth
# session required /lib/security/pam_stack.so service=system-auth
# session optional /lib/security/pam_console.so
# auth requisite pam_unix2.so nullok #set_secrpc
# auth required pam_homecheck.so
# auth required pam_env.so
# auth required pam_mail.so# account required pam_unix2.so
# password required pam_pwcheck.so nullok
# password required pam_unix2.so nullok use_first_pass use_authtok
# session required pam_unix2.so none # debug or trace
# session required pam_limits.so

auth optional pam_xauth.so
auth sufficient pam_winbind.so
auth requisite pam_unix2.so nullok #set_secrpc
auth required pam_securetty.so
auth required pam_nologin.so
auth required pam_env.so
account sufficient pam_winbind.so
account required pam_unix2.so
password required pam_winbind.so
password required pam_pwcheck.so nullok
session required pam_unix2.so none #debug or trace
session required pam_limits.so
password required pam_unix2.so nullok use_first_pass use_authtok
auth required pam_mail.so

Das ist sie!

[emba]

lies dir mal diesen artikel durch
http://www.tecchannel.de/betriebssysteme/720/12.html

evtl. verhindert securetty den rootlogin

checke bitte die xserver logs auf errors
die pam datei schaut io aus

greez

[LinuxGimp]

also der root login geht nun wieder...


welche log datei brauchst du denn?


das anlegen der homes geht auch noch nicht...

ich habe eine neue datei "system-auth" angelegt und den entsprechenden text aus deinem link reingeschrieben.

in die login oder in die xdm muss aber nichts neues rein oder?

[emba]

was war denn mit dem rootlogin? in einem forum gehört es dazu, die lösungen zu posten, wenn man schon fragt ;)

bei system-auth musst du afaik aufpassen, denn es ist distributionsspezifisch (nagel mich nicht drauf fest!)

trag den homedirparameter doch mal in /etc/pam.d/login ein und versuch dich mit einem NT benutzer anzumelden, der noch kein homedir hat

durchforste auch mal deine messages datei und bei xdm/kdm die xfree-logs

greez

[LinuxGimp]

also für den root login musste die auskommentierung der beiden zeilen

auth required /lib/security/pam_securetty.so
auth required /lib/security/pam_nologin.so

weggenommen werden.

ich werde sobald ich das am laufen habe, die /etc/pam.d/login und die /etc/pam.d/xdm beide posten!

der befehl:
session required /lib/security/pam_mkhomedir.so skel=/etc/skel
umask=0022

muss in die xdm eingetragen werden, und schon wird beim anmelden an das system das home verzeichnis angelegt...

[emba]

also für den root login musste die auskommentierung der beiden zeilen

auth required /lib/security/pam_securetty.so
auth required /lib/security/pam_nologin.so

wenn ich mir dein posting weiter oben anschaue, dann war das dort aber nicht auskommentiert ;)



auth optional pam_xauth.so
auth sufficient pam_winbind.so
auth requisite pam_unix2.so nullok #set_secrpc
auth required pam_securetty.so
auth required pam_nologin.so
auth required pam_env.so
account sufficient pam_winbind.so
account required pam_unix2.so
password required pam_winbind.so
password required pam_pwcheck.so nullok
session required pam_unix2.so none #debug or trace
session required pam_limits.so
password required pam_unix2.so nullok use_first_pass use_authtok
auth required pam_mail.so

Das ist sie!


muss in die xdm eingetragen werden, und schon wird beim anmelden an das system das home verzeichnis angelegt...
wie bereits gesagt: bootest du im runlevel 3 kommt es in die login datei oder welchen dienst auch immer du mit dem mk_homedir bestücken willst

greez

[LinuxGimp]

ja recht hast du.

allerdings will ich mit dem system einen Terminalserver betreiben...
Die erste Hürde ist nunmal die, dass man die vorhandenen User der NT Domäne dort anmelden kann. Dieser Schritt scheint getan zu sein.
Nun muss ich noch kontrollieren, inwieweit ich Berechtungen für die Usernamen brauche...

Bin gerade dabei die Anleitung zu schreiben, denn unterm Strich, wenn man weiß wie es geht, dann braucht man max 30 Minuten um das so zu konfigurieren.

Aber danke dir! Du hast mir sehr geholfen.

[LinuxGimp]

So hier ist die Anleitung!

Ich hoffe ich habe alles korrekt notiert.
Wenn jemand ein Problem hat bei dem was ich geschrieben hat. Einfach kurz nachfragen!

Anleitung zur Anmeldung mit NT Kennungen an einem Linuxsystem


Um sich an einem Linuxsystem mit den Kennungen einer Windows NT 4.0 Domäne anzumelden müssen vorher Samba installiert sein. Zusätzlich wird das winbind Paket und das pam_smb Paket benötigt.

Die vorläufige Konfiguration der /etc/samba/smb.conf ist wie folgt:

# Global parameters
[global]
workgroup = domäne #Domänenname
bind interfaces only = Yes
security = DOMAIN
map to guest = Bad User
password server = NTPDC #NT 4.0 PDC
log level = 5
os level = 10
preferred master = No
local master = No
domain master = No
ldap ssl = no
idmap uid = 10000-20000
idmap gid = 10000-20000
template shell = /bin/bash
winbind separator = +
winbind use default domain = Yes
create mask = 0766
directory mask = 0777


Als nächstes muss die Datei /etc/pam.d/login konfiguriert werden. Diese dient dem Login der NT Kennungen auf der Konsole. Sie sieht wie folgt aus:

auth optional pam_xauth.so
auth sufficient pam_winbind.so
auth requisite pam_unix2.so nullok #set_secrpc
auth required pam_securetty.so
auth required pam_nologin.so
auth required pam_env.so
account sufficient pam_winbind.so
account required pam_unix2.so
password required pam_winbind.so
password required pam_pwcheck.so nullok
session required pam_unix2.so none #debug or trace
session required pam_limits.so
password required pam_unix2.so nullok use_first_pass use_authtok
auth required pam_mail.so









Um mit dem KDE einzuloggen muss die Datei /etc/pam.d/xdm konfiguriert werden.
Sie sieht wie folgt aus:

auth optional pam_xauth.so
auth sufficient pam_winbind.so
auth requisite pam_unix2.so nullok #set_secrpc
auth required pam_securetty.so
auth required pam_nologin.so
auth required pam_env.so
account sufficient pam_winbind.so
account required pam_unix2.so
password required pam_winbind.so
password required pam_pwcheck.so nullok
session required pam_unix2.so none #debug or trace
session required pam_limits.so
password required pam_unix2.so nullok use_first_pass use_authtok
auth required pam_mail.so
session required /lib/security/pam_mkhomedir.so skel=/etc/skel umask=0022

Der letzte Eintrag wird gebraucht, damit der User beim ersten Login ein Home Verzeichnis bekommt. Dieses wird im Verzeichnis /home/Domäne/User angelegt. Das Skelett liegt im Verzeichnis /etc/skel/

Damit der PC allerdings auch den lokalen User root akzeptiert muss die Datei /etc/securetty geändert werden. Die Datei muss wie folgt aussehen:

# This file contains the device names of tty lines (one per line,
# without leading /dev/) on which root is allowed to login.
#
tty1
tty2
tty3
tty4
tty5
tty6
:0
# for devfs:
vc/1
vc/2
vc/3
vc/4
vc/5
vc/6

[edDz]

also erstmal vielen dank für die anleitung !
Hat alles wunderbar geklappt :)

Ausser das ich mich nicht mit root anmelden kann.
Habe auch die /etc/securetty bearbeitet wie hier beschieben, aber hilft nichts.
Also rootlogin geht in der konsole und auch in kde nicht!
ausser ich melde mich zuerst mit einem domainuser an, und dann "su ..."

Hat da jemand eine idee ?
Meine Configurationsdateien sind eigentlich alle identisch wie hier beschrieben...

[LinuxGimp]

gleiches problem hatte ich auch...

mit bearbeiten der securetty hatte es sich gelöst, abgesehen von der tatsache, dass ich nun nicht mehr mit ssh auf den rechner komme, was im prinzip aber auch gut so ist.

[edDz]

ja, aber das problem ist das meine securetty schon genauso aussah wie hier beschrieben, ohne das ich sie ändern musste :(
und login funktioniert mit root trotzdem nicht.

[LinuxGimp]

tut mir leid, da muss ich passen, bei mir läuft das mittlerweile auf 4 servern so...