Pro povolení offline autentizace nakonfigurujte Sambu tak, aby používala winbind v nsswitch a pro PAM (Nastavení PAM)
Pak se ujistěte, že smb.conf obsahuje:
"winbind offline logon = yes"
Povolení offline autentizace v pam_winbind
Nejprve se ujistěte, že se můžete přihlásit pomocí PAM a vašich Windows přihlašovacích údajů, například pomocí ssh:
ssh YOURDOM\\youruser@localhost
Pokud přihlášení přes PAM (pam_winbind) nefunguje, nemůžete pokračovat.
Nyní musí pam_winbind nastavit také offline příznak, což můžete provést buď
- přidáním „cached_login = yes“ do /etc/security/pam_winbind.conf. Tento soubor by měl vypadat takto:
# # pam_winbind configuration file # # /etc/security/pam_winbind.conf # [global] # request a cached login if possible # (needs "winbind offline logon = yes" in smb.conf) cached_login = yes
Tím se povolí offline schopnost globálně pro všechny aplikace používající PAM. Pokud chcete mít jemnější kontrolu nad službami, které používají offline režim pam_winbind, můžete tak učinit
- přidáním možnosti „cached_login“ do jednotlivých konfiguračních souborů pam (obvykle pod /etc/pam.d/$SERVICE)
Testování offline autentizace
Spusťte winbindd, úspěšně se přihlaste alespoň jednou, zatímco je winbind online
/etc/init.d/winbind start wbinfo -K YOURDOM\\youruser%password
Nyní můžete winbindd ručně přepnout do offline režimu (pro testování) pomocí příkazu smbcontrol.
smbcontrol winbind offline
Pokud nyní zopakujete příkaz
wbinfo -K YOURDOM\\youruser%password
Měli byste získat
user_flgs: LOGON_CACHED_ACCOUNT
výstup.
Váš systém je nyní připraven k použití pam_winbind v offline režimu. Zkuste se přihlásit na svůj localhost, například pomocí ssh
ssh YOURDOM\\youruser@localhost
решил так создал файл /etc/security/pam_winbind.conf с такими опциями Код:
#
# pam_winbind configuration file
#
# /etc/security/pam_winbind.conf
#
[global]
# turn on debugging
debug = no
# request a cached login if possible
# (needs "winbind offline logon = yes" in smb.conf)
cached_login = yes
# authenticate using kerberos
krb5_auth = yes
# when using kerberos, request a "FILE" krb5 credential cache type
# (leave empty to just do krb5 authentication but not have a ticket
# afterwards)
krb5_ccache_type = FILE
# make successful authentication dependend on membership of one SID
# (can also take a name)
;require_membership_of =
silent = yes
а /etc/pam.d/gnome-screensaver теперь выглядит так
auth sufficient pam_unix.so nullok_secure
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so
/etc/pam.d/common-auth
auth optional pam_group.so
auth sufficient pam_unix.so nullok_secure use_first_pass
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so