ldapパスワード認証

Question

Linuxにてldap認証時、認証可能なユーザーを、/etc/passwdに記載し、ログイン時一致したユーザのパスワードだけをldapサーバに問い合わせすることはかのうですか？
LDAP,サーバは他システムと共用で使用しているため、Linuxにログインできるユーザを制限したくおもいます。

Comments

[over]

/etc/passwdに記載のアカウントと関連付けでのLDAP認証は難しいと思います。
> LDAP,サーバは他システムと共用で使用しているため、Linuxにログインできるユーザを制限したくおもいます。

単にOS認証をLDAP認証にすれば良い気がしますが、それでは駄目なのでしょうか?

[Ponta]

回答ありがとうございます。
LDAPに登録されている全ユーザがLDAP認証にてログインしてしまうので、Linux側でユーザーを限定したいという趣旨があります。

[over]

このようなものはOS設計時に行っておくものなので、後での改変は手間となりますが、OS認証はLDAP Search Base DNを現在運用しているものと違うものにする、slapd.confで制御する、pamで制御する等色々手段はあると思います。

Answer 1

sssd などで LDAP ユーザーを OS ユーザーとして見えるようにした上で、PAM の account セクションで制限することになると思います。
方法はいろいろあると思いますが、pam_access で制限するとか、pam_localuser を必須とするとか。

(方法1) pam_access でユーザーを制限する

/etc/pam.d/password-auth, /etc/pam.d/system-auth などで pam_access が有効になっていることを確認します。

account     required      pam_access.so        

/etc/security/access.conf に許可するユーザーを列挙します。

+:root:ALL
+:user1:ALL
+:user2:ALL
+:user3:ALL
    :
-:ALL:ALL

(方法2) pam_localuser を sufficient (十分条件) から requisite (必須) に変更する

/etc/pam.d/password-auth, /etc/pam.d/system-auth など

account     sufficient    pam_localuser.so
    ↓
account     requisite     pam_localuser.so