Um die Offline-Authentifizierung zu aktivieren, konfigurieren Sie Samba so, dass es winbind in nsswitch und für PAM verwendet (Einrichtung der PAM-Authentifizierung)
Stellen Sie dann sicher, dass smb.conf Folgendes enthält:
"winbind offline logon = yes"
Aktivierung der Offline-Authentifizierung in pam_winbind
Stellen Sie zunächst sicher, dass Sie sich mit PAM und Ihren Windows-Anmeldedaten anmelden können, z. B. über ssh:
ssh YOURDOM\\youruser@localhost
Sie können nicht fortfahren, wenn die Anmeldung über PAM (pam_winbind) nicht funktioniert.
Nun muss pam_winbind auch das Offline-Flag setzen. Dies können Sie entweder durch
- Hinzufügen von "cached_login = yes" zu /etc/security/pam_winbind.conf tun. Diese Datei sollte wie folgt aussehen:
# # pam_winbind configuration file # # /etc/security/pam_winbind.conf # [global] # request a cached login if possible # (needs "winbind offline logon = yes" in smb.conf) cached_login = yes
Dadurch wird die Offline-Fähigkeit global für alle Anwendungen aktiviert, die PAM verwenden. Wenn Sie eine feinere Kontrolle über Dienste haben möchten, die den Offline-Modus von pam_winbind nutzen, können Sie dies durch
- Hinzufügen der Option "cached_login" in einzelne pam-Konfigurationsdateien tun (üblicherweise unter /etc/pam.d/$SERVICE)
Testen der Offline-Authentifizierung
Starten Sie winbindd und authentifizieren Sie sich mindestens einmal erfolgreich, während winbind online ist.
/etc/init.d/winbind start wbinfo -K YOURDOM\\youruser%password
Nun können Sie winbindd manuell in den Offline-Modus versetzen (zum Testen) mit dem Befehl smbcontrol.
smbcontrol winbind offline
Wenn Sie nun den Befehl wiederholen
wbinfo -K YOURDOM\\youruser%password
Sollten Sie erhalten
user_flgs: LOGON_CACHED_ACCOUNT
in der Ausgabe.
Ihr System ist nun bereit, pam_winbind im Offline-Betrieb zu verwenden. Bitte versuchen Sie, sich an Ihrem localhost anzumelden, z. B. über ssh
ssh YOURDOM\\youruser@localhost
решил так создал файл /etc/security/pam_winbind.conf с такими опциями Код:
#
# pam_winbind configuration file
#
# /etc/security/pam_winbind.conf
#
[global]
# turn on debugging
debug = no
# request a cached login if possible
# (needs "winbind offline logon = yes" in smb.conf)
cached_login = yes
# authenticate using kerberos
krb5_auth = yes
# when using kerberos, request a "FILE" krb5 credential cache type
# (leave empty to just do krb5 authentication but not have a ticket
# afterwards)
krb5_ccache_type = FILE
# make successful authentication dependend on membership of one SID
# (can also take a name)
;require_membership_of =
silent = yes
а /etc/pam.d/gnome-screensaver теперь выглядит так
auth sufficient pam_unix.so nullok_secure
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so
/etc/pam.d/common-auth
auth optional pam_group.so
auth sufficient pam_unix.so nullok_secure use_first_pass
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so