|
Q23.
|
Quel est le nom du paquet relatif au
mécanisme Name Service Switch
permettant d'accéder aux ressources de l'annuaire LDAP ?
Rechercher dans les bases du gestionnaire de paquets un paquet
dont le nom débute par la chaîne libnss.
|
|
La liste ci-dessous permet d'identifier le paquet libnss-ldapd.
apt search --names-only ^libnss-
apt search --names-only ^libnss-ldap
En train de trier... Fait
Recherche en texte intégral... Fait
libnss-ldapd/testing 0.9.12-4 amd64
NSS module for using LDAP as a naming service |
|
Q24.
|
Quels sont les paquets supplémentaires qui
sont ajoutés lors de l'installation des bibliothèques
LDAP pour le mécanisme
Name Service Switch ?
Utiliser les informations fournies par le gestionnaire de
paquets pour chaque ajout.
|
|
Le lancement de l'installation du paquet libnss-ldapd donne la liste suivante.
sudo apt install libnss-ldapd
Lecture des listes de paquets... Fait
Construction de l'arbre des dépendances... Fait
Lecture des informations d'état... Fait
Les paquets supplémentaires suivants seront installés :
libpam-ldapd nscd nslcd nslcd-utils
Paquets suggérés :
kstart
Les NOUVEAUX paquets suivants seront installés :
libnss-ldapd libpam-ldapd nscd nslcd nslcd-utils
0 mis à jour, 5 nouvellement installés, 0 à enlever et 0 non mis à jour.
Il est nécessaire de prendre 390 ko dans les archives.
Après cette opération, 971 ko d'espace disque supplémentaires seront utilisés.
Souhaitez-vous continuer ? [O/n]
Plusieurs paquets supplémentaires apparaissent :
-
libpam-ldapd fournit les
fonctions PAM nécessaires à
l'authentification, aux autorisations et à la gestion de session
via un annuaire LDAP.
-
nscd (Name Service Cache Daemon) est un démon qui gère
la recherche des mots de passe, des groupes et hôtes des programmes
en cours d’exécution, et met en cache le résultat pour une
prochaine recherche.
-
nslcd fournit un autre démon
pour la collecte des informations sur les comptes utilisateurs
depuis un serveur LDAP.
-
nslcd-utils fournit des outils
pour l'interrogation et la mise à jour des entrées d'annuaire
LDAP.
![[Avertissement]](/images/warning.png) |
Avertissement |
|
Pour les besoins des travaux pratiques ou de la mise au point de
l'authentification via LDAP, il
est utile de relancer les services de cache à chaque modification
des conditions d'accès à l'annuaire.
sudo systemctl restart nslcd
sudo systemctl restart nscd |
|
|
Q25.
|
Quel est le rôle de l'interface entre les
fonctions PAM (Pluggable Authentication Modules) et l'annuaire
LDAP ?
|
|
Par définition, PAM est un
mécanisme qui permet d'intégrer différents modes d'authentification
en les rendant transparents vis à vis de l'utilisateur et des
logiciels qui accèdent aux ressources du système. Dans le contexte
de ces travaux pratiques, il s'agit de permettre à l'utilisateur de
se connecter, d'accéder au système de fichiers, de changer son mot
de passe, etc sans avoir à lancer des commandes spécifiques.
|
|
Q26.
|
Quelles sont les principales étapes de la
configuration des paquets de bibliothèques NSS et PAM ?
Lors de l'installation des principaux paquets de bibliothèques
LDAP, on passe par une série de
menus debconf qu'il faut renseigner
correctement pour accéder au serveur LDAP de façon transparente.
|
|
|
Avertissement |
|
En cas d'erreur de saisie dans la série de menus ci-dessous, il
faut reprendre la configuration de chacun des deux paquets
individuellement. Classiquement, on passe par la commande
dpkg-reconfigure.
|
sudo dpkg-reconfigure libnss-ldapd
sudo dpkg-reconfigure nslcd
|
|
Q27.
|
Quelles sont les modifications apportées au
fichier de configuration /etc/nsswitch.conf pour activer l'accès aux
ressources de l'annuaire LDAP ?
Lors de l'installation des paquets à l'étape précédente, le
fichier /etc/nsswitch.conf a été
modifié.
|
|
grep ldap /etc/nsswitch.conf
passwd: files systemd ldap
group: files systemd ldap
shadow: files systemd ldap |
|
Q28.
|
Comment illustrer simplement le
fonctionnement du mécanisme name service
switch intégrant l'utilisation de l'annuaire LDAP ?
Rechercher la commande de récupération des entrées depuis les
bases de données d'administration dans les outils fournis avec les
bibliothèques standard (paquet libc-bin).
|
|
dpkg -L libc-bin | grep "bin/"
La commande getent
fournie avec le paquet libc-bin
donne la liste des entrées accessibles pour chaque catégorie du
fichier de configuration. Voici un exemple pour la catégorie
passwd qui fait apparaître les entrées
de l'annuaire LDAP à la suite
des comptes utilisateurs système issus des fichiers locaux.
getent passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
_apt:x:42:65534::/nonexistent:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
systemd-network:x:998:998:systemd Network Management:/:/usr/sbin/nologin
systemd-timesync:x:997:997:systemd Time Synchronization:/:/usr/sbin/nologin
messagebus:x:100:107::/nonexistent:/usr/sbin/nologin
sshd:x:101:65534::/run/sshd:/usr/sbin/nologin
etu:x:1000:1000:Etudiant.e,,,:/home/etu:/bin/bash
systemd-resolve:x:996:996:systemd Resolver:/:/usr/sbin/nologin
rdnssd:x:102:65534::/var/run/rdnssd:/usr/sbin/nologin
nslcd:x:103:109:nslcd name service LDAP connection daemon,,,:/run/nslcd:/usr/sbin/nologin
padme:x:10000:10000:Padme Amidala Skywalker:/ahome/padme:/bin/bash
anakin:x:10001:10001:Anakin Skywalker:/ahome/anakin:/bin/bash
leia:x:10002:10002:Leia Organa Skywalker:/ahome/leia:/bin/bash
luke:x:10003:10003:Luke Skywalker:/ahome/luke:/bin/bash |
|
Q29.
|
Comment valider l'authentification d'un
utilisateur déclaré dans l'annuaire LDAP ?
Choisir un service qui nécessite une authentification sur le
système et qui utilise une entrée de l'annuaire LDAP.
|
|
Les exemples de services nécessitant une authentification ne
manquent pas. La commande su qui permet de changer
d'identité est le plus immédiat.
su - padme
Mot de passe :
su: avertissement : impossible de changer le répertoire vers /ahome/padme: Aucun fichier ou dossier de ce type
padme@ldap-client:/home/etu$
Dans les journaux du système, on retrouve les mêmes
éléments.
journalctl -o cat -n 20 --grep="pam_unix" | grep padme
pam_unix(su-l:session): session closed for user padme
pam_unix(su-l:session): session opened for user padme(uid=10000) by etu(uid=1000)
pam_unix(su-l:auth): authentication failure; logname=etu uid=1000 euid=0 tty=/dev/pts/0 ruser=etu rhost= user=padme
pam_unix(su-l:session): session closed for user padme
pam_unix(su-l:session): session opened for user padme(uid=10000) by etu(uid=1000)
pam_unix(su-l:auth): authentication failure; logname=etu uid=1000 euid=0 tty=/dev/pts/0 ruser=etu rhost= user=padme
Voici un autre exemple d'accès avec ssh.
ssh padme@localhost
The authenticity of host 'localhost (::1)' can't be established.
ED25519 key fingerprint is SHA256:yFLaZk+OfY7z7bHyHPXgjowRS4KMHjfoMQxracRdG9M.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added 'localhost' (ED25519) to the list of known hosts.
padme@localhost's password:
Linux ldap-client 6.4.0-3-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.4.11-1 (2023-08-17) x86_64
The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.
Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Could not chdir to home directory /ahome/padme: No such file or directory
padme@ldap-client:/$
déconnexion
Connection to localhost closed.
journalctl -o cat -n 100 -u ssh | grep padme
Il ne manque que l'accès au système de fichiers pour que la
configuration soit vraiment complète.
|
