화면 잠금은 비밀번호 파일을 확인하지만 Active Directory는 확인하지 않습니다.

화면 잠금은 비밀번호 파일을 확인하지만 Active Directory는 확인하지 않습니다.

Centos 7을 실행하는 Linux 시스템이 있는데 화면 잠금 문제가 발생했습니다. 우리는 각 사용자가 자신의 계정을 갖는 다중 사용자 환경을 가지고 있습니다. 인증은 우리 대학의 Active Directory를 사용합니다. 로컬 계정만 passwd 및 Shadow 파일을 사용합니다. 실제로 로컬 계정이 화면을 잠그면 잠금을 해제할 수 있습니다. 다른 모든 사용자는 AD를 사용하여 인증하고 시도할 때 인증 오류를 수신합니다.

We are using sssd.
This from secure log:
Oct 30 08:59:54 b400 kcheckpass[94374]: pam_listfile(kscreensaver:auth): Refused user teach for service kscreensaver
Oct 30 08:59:55 b400 kcheckpass[94374]: pam_sss(kscreensaver:auth): authentication failure; logname=syin uid=1005 euid=1005 tty=:0 ruser= rhost= user=teach
Oct 30 08:59:55 b400 kcheckpass[94374]: pam_sss(kscreensaver:auth): received for user teach: 17 (Failure setting user credentials)
Oct 30 09:00:02 b400 gdm-launch-environment]: pam_unix(gdm-launch-environment:session): session opened for user gdm by ouidad(uid=0)
Oct 30 09:00:03 b400 polkitd[663]: Registered Authentication Agent for unix-session:c243 (system bus name :1.20066 [/usr/bin/gnome-shell], object path /org/freedesktop/PolicyKit1/AuthenticationAgent, locale en_US.UTF-8)

This from messages:
Oct 30 08:59:55 b400 [sssd[krb5_child[94379]]]: Preauthentication failed
Oct 30 08:59:55 b400 [sssd[krb5_child[94379]]]: Preauthentication failed
Oct 30 08:59:55 b400 [sssd[krb5_child[94379]]]: Preauthentication failed
Oct 30 08:59:55 b400 kcheckpass[94374]: Authentication failure for teach (invoked by uid 1005)

sssd 로그는 비어 있거나 단서를 제공하지 않습니다. 화면 잠금 해제를 위한 비밀번호/섀도 파일이 아닌 로그인 시 AD가 확인되도록 하려면 어떻게 해야 합니까?

답변1

우리는 되돌리기 업데이트 중에 /etc/pam.d에 있는 kscreensaver 파일이 잘못 구성되었음을 발견했습니다. kscreensaver 구성 파일의 백업 파일이 있었고 cp 명령을 사용하여 업데이트 전의 원래 상태로 복사했습니다.

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
# auth      required      pam_listfile.so file=/etc/allowed.nmr.users item=user sense=allow onerr=fail
auth        required      pam_env.so
auth        sufficient    pam_fprintd.so
auth        [default=1 success=ok] pam_localuser.so
auth        [success=done ignore=ignore default=die] pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_sss.so forward_pass
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_sss.so
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_sss.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     optional      pam_oddjob_mkhomedir.so umask=0077
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_sss.so

systemctl rstart sssd

sssd를 다시 시작했고 Active Directory 사용자에 대한 잠금 해제 기능이 복원되었습니다.

관련 정보