Aby włączyć uwierzytelnianie offline, skonfiguruj Sambę tak, aby używała winbind w nsswitch oraz w PAM (Konfiguracja uwierzytelniania PAM)
Następnie upewnij się, że smb.conf zawiera:
"winbind offline logon = yes"
Włączanie uwierzytelniania offline w pam_winbind
Po pierwsze, upewnij się, że możesz zalogować się za pomocą PAM i swoich poświadczeń Windows, np. używając ssh:
ssh YOURDOM\\youruser@localhost
Nie możesz kontynuować, jeśli logowanie przez PAM (pam_winbind) nie działa.
Teraz pam_winbind musi również ustawić flagę offline, co możesz zrobić na dwa sposoby:
- dodając "cached_login = yes" do /etc/security/pam_winbind.conf. Plik ten powinien wyglądać następująco:
# # pam_winbind configuration file # # /etc/security/pam_winbind.conf # [global] # request a cached login if possible # (needs "winbind offline logon = yes" in smb.conf) cached_login = yes
To włączy możliwość offline globalnie dla wszystkich aplikacji używających PAM. Jeśli chcesz mieć bardziej szczegółową kontrolę nad usługami, które używają trybu offline pam_winbind, możesz to zrobić poprzez
- dodanie opcji "cached_login" do poszczególnych plików konfiguracyjnych pam (zwykle poniżej /etc/pam.d/$SERVICE)
Testowanie uwierzytelniania offline
Uruchom winbindd, uwierzytelnij się pomyślnie co najmniej raz, gdy winbind jest online
/etc/init.d/winbind start wbinfo -K YOURDOM\\youruser%password
Teraz możesz ręcznie przełączyć winbindd w tryb offline (do testów) za pomocą polecenia smbcontrol.
smbcontrol winbind offline
Jeśli teraz powtórzysz polecenie
wbinfo -K YOURDOM\\youruser%password
Powinieneś otrzymać
user_flgs: LOGON_CACHED_ACCOUNT
w wyjściu.
Twój system jest teraz przygotowany do używania pam_winbind w trybie offline. Spróbuj zalogować się na swój localhost, np. używając ssh
ssh YOURDOM\\youruser@localhost
решил так создал файл /etc/security/pam_winbind.conf с такими опциями Код:
#
# pam_winbind configuration file
#
# /etc/security/pam_winbind.conf
#
[global]
# turn on debugging
debug = no
# request a cached login if possible
# (needs "winbind offline logon = yes" in smb.conf)
cached_login = yes
# authenticate using kerberos
krb5_auth = yes
# when using kerberos, request a "FILE" krb5 credential cache type
# (leave empty to just do krb5 authentication but not have a ticket
# afterwards)
krb5_ccache_type = FILE
# make successful authentication dependend on membership of one SID
# (can also take a name)
;require_membership_of =
silent = yes
а /etc/pam.d/gnome-screensaver теперь выглядит так
auth sufficient pam_unix.so nullok_secure
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so
/etc/pam.d/common-auth
auth optional pam_group.so
auth sufficient pam_unix.so nullok_secure use_first_pass
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so