Bind users for PAM, Samba and Kerberos on Ubuntu 12.04

At this moment the ACL of our OpenLDAP server is the following (command in bold, rest is the output):

sudo ldapsearch -Q -LLL -Y EXTERNAL -b cn=config '(olcDatabase={1}hdb)' olcAccess
dn: olcDatabase={1}hdb,cn=config
olcAccess: {0}to attrs=userPassword by self write by anonymous auth by dn="cn=
 admin,dc=itthon,dc=cucc" write by * none
olcAccess: {1}to attrs=shadowLastChange,shadowMax by self write by dn="cn=admi
 n,dc=itthon,dc=cucc" write by * read
olcAccess: {2}to dn.base="" by * read
olcAccess: {3}to * by self write by dn="cn=admin,dc=itthon,dc=cucc" write by *
  read

The by * read does not look too nice. We changes this and others today.
(Ez a cikk magyarul is olvasható)

Kapcsolati felhasználók PAM-hoz, Samba-hoz és Kerberos-hoz Ubuntu 12.04-en

Jelen pillanatig az OpenLDAP-szerverünk ACL-je a következő (vastaggal a parancs, a többi a kimenet):

sudo ldapsearch -Q -LLL -Y EXTERNAL -b cn=config '(olcDatabase={1}hdb)' olcAccess
dn: olcDatabase={1}hdb,cn=config
olcAccess: {0}to attrs=userPassword by self write by anonymous auth by dn="cn=
 admin,dc=itthon,dc=cucc" write by * none
olcAccess: {1}to attrs=shadowLastChange,shadowMax by self write by dn="cn=admi
 n,dc=itthon,dc=cucc" write by * read
olcAccess: {2}to dn.base="" by * read
olcAccess: {3}to * by self write by dn="cn=admin,dc=itthon,dc=cucc" write by *
  read

A by * read nem olyan szép. Ezen és másokon változtatunk ma.
(You can read this article in English too.)

NFS4 autofs homes on Ubuntu 12.04

Last time he have arranged the mount of the directories exported by our NFS4 server using Kerberos auth. Well but what if we have lots of users? Why sould we mount the whole /home on the client? Today we help this problem.
(Ez a cikk magyarul is olvasható)

NFS4 autofs home-könyvtárak Ubuntu 12.04-en

A múltkor megoldottuk, hogy a Kerberos-hitelesítést használó NFS4-szerver által kiajánlott /home-könyvtárakat mountolni tudtuk a kliensünkön. Igen ám, de ha van jó sok felhasználónk, akkor miért is kellene az egész /home-nak látszódni a kliensen? Ma ezen segítünk.

MIT Kerberos V and NFS4 on Ubuntu 12.04

Last time we solved the problem of LDAP based Kerberos login to our PCs (and as a "satellite project" we solved the synchronisation of the Kerberos, LDAP and Samba passwords). Today we make progress in solving the centrally stored home directory mount of the user logging in to a Linux workstation.
(Ez a cikk magyarul is olvasható)

MIT Kerberos V és NFS4 Ubuntu 12.04-en

A múltkorjában megoldottuk az LDAP-ra támaszkodó Kerberos használatával való bejelentkezést a gépeinkre (meg, mintegy mellékesen, megoldottuk az LDAP és a Kerberos - és a Samba - jelszavak szinkronizálását). Ma a Linux munkaállomásra bejelentkező felhasználó home-jának központi tárhelyről való mountolását igyekszünk megoldani.
(Read this article in English)

OpenLDAP Password Policy on Ubuntu 12.04-en - Part Six

Last time we managed to set up a policy handling almost every aspect of the passwords of the users stored in OpenLDAP. This means the minimal and maximal password length; the already used password which cannot be reused for a while and we arranged to get warned of the passwords about to expire.
This works more or less with Kerberos too with the exception of remembering the last passwords. The Kerberos man page says it does not work when using LDAP backend. And we happen to use one.

OpenLDAP jelszóházirend Ubuntu 12.04-en - hatodik rész

Az előző alkalommal odáig jutottunk, hogy az OpenLDAP-ban tárolt felhasználóink jelszavainak be tudjuk állítani szinte mindenét: minimális-maximális hosszát, eltárolt és egy darabig újból meg nem adható jelszavaik számát, és azt, hogy figyelmeztessen a rendszerünk, ha a jelszó lejáróban van.
Mindez többnyire megy a Kerberos-jelszavak esetében is, a kivételt a már használt jelszavak tárolása képezi, ami a Kerberos man-oldala szerint nem megy, ha LDAP-backendet használunk. Mi meg azt használunk.

OpenLDAP Password Policy on Ubuntu 12.04 - Part Five

Creating the password policy is about to get longer than a Brasilian TV-series. Last time we completed the work with the ppolicy overlay but smbkrb5pwd and Windows will cause headaches.

Today we try to solve the smbkrb5pwd problem. May I remark right here at the beginning that although I solved the problem more or less it was not by design.

OpenLDAP jelszóházirend Ubuntu 12.04-en - ötödik rész

A jelszóházirend megoldása lassan hosszabb, mint egy brazil tévésorozat. A múltkor megbeszéltük, hogy a ppolicy overlay a helyén van és működik, de az smbkrb5pwd és a Windows okoz még gondot.

Ma az smbkrb5pwd problémájának igyekszünk a végére járni. Előrebocsátom, hogy tiszta véletlen, hogy a dolog működik.

OpenLDAP Password Policy on Ubuntu 12.04 - Part Four

Today let me think about some new darknesses of policy making. A quick recap and the phrasing of the problem follows.

OpenLDAP jelszóházirend Ubuntu 12.04-en - negyedik rész

A házirendezés újabb sötét mélységei következnek ma. Következzék egy kis összefoglaló, meg némi problémafelvetés:

OpenLDAP Password Policy on Ubuntu 12.04 - Part Three

Last time we saw our shiny new ppolicy overlay working and we have a minimal password length and the accounts are locked if we fail to enter our password correctly. But hell we are not told whether our password is about to expire and even if we ask OpenLDAP to force a password chaneg we are still let in.

OpenLDAP jelszóházirend Ubuntu 12.04-en - harmadik rész

A múltkor ott hagytuk abba, hogy a frissen telepített ppolicy overlay működni kezdett, és már megy a minimális jelszóhossz, meg zárolódik a fiókunk, ha sokszor elrontjuk a jelszót. De az istenért nem értesülünk arról, ha le fog járni a jelszavunk, és hiába kérjük az OpenLDAP-ot, hogy kényszerüljön a felhasználó a jelszava megváltoztatására, nem megy még a dolog.

OpenLDAP Password Policy on Ubuntu 12.04 - Part Two

Last time we started implementing a password policy. The server side is more or less ready. Now let us do some testing.

OpenLDAP jelszóházirend Ubuntu 12.04-en - második rész

A múltkor nekiálltunk a jelszóházirend megvalósításának. A szerveroldallal kábé meg is vagyunk. Most egy kis tesztelgetés következik.

OpenLDAP Password Policy on Ubuntu 12.04 - Part One

From today on I publish some posts about how to make an Ubuntu system using OpenLDAP auth to act as defined in a password policy.
(Ez a cikk magyarul is olvasható.)
What is a password policy good for?
In my case it's three things:

• you can define the minimum length of the passwords
• passwords expire
• before the expiration the user gets a warning to change the password

OpenLDAP jelszóházirend Ubuntu 12.04-en - első rész

A mai naptól pár alkalommal arról írok, hogy miként vehető rá egy OpenLDAP-hitelesítésű Ubuntu jelszóházirend betartására.
Mire is használható egy jelszóházirend?
Számomra a következőkre jó:

• meghatározható a jelszó minimális hossza
• lejár a jelszó
• a lejárás előtt figyelmeztetést kapunk

Kerberos with LDAP Backend on Ubuntu 12.04 - Part Five

In the previous four posts we added the Kerberos-schema to our OpenLDAP-server, did the initial Kerberos setup and created the first principals, connected PAM and MIT-Kerberos first on the server then on a client. Today we set up the smbkrb5pwd overlay.
(Ez a cikk magyarul is olvasható.)

Alapértelmezett proxy új felhasználóknak Ubuntu 12.04 alatt

Csak gyorsan, mert délután óta ezzel szenvedek (de végre megvan).

Valamikor az ember a "minden felhasználónak" való proxyt a gconftool-lal meg a gconftool-2-vel állította be. Ezek az idők elmúltak.