Agregar usuarios autentificados vía ldap a grupos locales

<div style="text-align: justify;">Cuando los usuarios de nuestros centros hacen login, pertenecen a los grupos a los que hayan sido añadidos en ldap. Y os preguntaréis: ¿Cómo hacemos para que esos usuarios pertenezcan a grupos del equipo local, como por ejemplo, el grupo plugdev (para que el usuario pueda utilizar dispositivos usb) o el grupo cdrom (para que el usuario pueda utilizar el cdrom del equipo)? Muy fácil: Haciendo uso del módulo PAM <b>pam_group</b>.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">El módulo PAM <b>pam_group</b> no autentifica al usuario, sino que le otorga la pertenencia a grupos  durante la fase de autentificación. Para utilizar este módulo, añadimos la siguiente línea al fichero <b>/etc/pam.d/common-auth</b>:</div><pre class="source-code"><code>auth optional pam_group.so</code></pre><div style="text-align: justify;">Y definimos a qué grupos va a pertenecer el usuario que acceda a través de un determinado terminal, en el fichero <b>/etc/security/group.conf</b>.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Este fichero debe estar correctamente formateado y además:</div><ul style="text-align: justify;"><li>Los espacios en blanco son ignorados.</li><li>Podemos extender la longitud de una línea en la siguiente, añadiendo el símbolo \ al fianl de la misma. </li><li>Podemos comentar una línea, colocando el símbolo # al principio de la misma.</li></ul><div style="text-align: justify;">Cada línea que asigne grupos a los usuarios define una regla que debe tener la siguiente sintaxis:</div><pre class="source-code"><code>services;ttys;users;times;groups</code></pre><br />Donde:<br /><ul style="text-align: justify;"><li>El primer campo (<b>services</b>) es una lista de nombres de servicios PAM a los que queremos aplicar la regla.</li><li>El segundo campo (<b>ttys</b>) es una lista de nombres de terminales a los que queremos aplicar la regla.</li><li>El tercer campo (<b>users</b>) es la lista de usuarios o grupos de usuarios a los que aplicar la regla.</li><li>El cuarto campo (<b>times</b>) se utiliza para indicar cuándo se deben asignar los grupos de la regla al usuario.</li><li>El quinto campo (<b>groups</b>) está formado por la lista de grupos que queremos asignar al usuario.</li></ul><div style="text-align: justify;">Respecto a los campos <b>services, ttys y users</b>, es importante destacar que es posible utilizar un asterisco (*) para representar cualquier servicio, cualquier terminal y/o cualquier usuario.</div><br /><div style="text-align: justify;">En cuanto al campo <b>times</b>, tiene un formato determinado por una lista de entradas  con rangos de días/horas, teniendo en cuenta lo siguiente:</div><ul style="text-align: justify;"><li>Los días se especifican con una secuencia de dos caracteres que representan el nombre del día en inglés. Por ejemplo, si queremos indicar lunes, miércoles y viernes, la secuencia sería: MoWeFr.</li><li>Los días que se pueden representar son: Mo Tu We Th Fr Sa Su Wk Wd Al. </li><ul><li>Wk representa los días de la semana de lunes a viernes. </li><li>Wd representa los días del fin de semana.</li><li>Al representa los 7 días de la semana.</li></ul><li>Si se repite un día, el valor se considera inválido.</li><li>Si especificamos AlFr, estaremos indicando todos los días excepto el viernes.</li><li>El rango horario se representa en formato de 24 horas separando ambas horas por un guión, indicando el comienzo y el final del período. Ejemplo 0000-2400. Si la hora de finalización es menor que la de comienzo, se tomará como la hora del siguiente día.</li></ul><div style="text-align: justify;">El campo groups es la lista de grupos separados por comas o espacios que el usuario adquirirá al aplicar la regla, de manera que el usuario recibirá los grupos si se cumplen las reglas de los campos anteriores.</div><br /><div style="text-align: justify;">De este modo, si en vuestro fichero <b>/etc/security/group.conf</b>, tenéis una línea como la siguiente, ya la entenderéis:</div><pre class="source-code"><code>*; *; *; Al0000-2400; audio,cdrom,floppy,plugdev,video,lp,lpadmin,netdev,games,fuse</code></pre><div style="text-align: justify;">Para cualquier usuario que inicie sesión mediante cualquier servicio PAM en cualquier terminal, se le asignarán los grupos de la lista cualquier día a cualquier hora.</div><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Agregar usuarios autentificados vía ldap a grupos locales

Cuando los usuarios de nuestros centros hacen login, pertenecen a los grupos a los que hayan sido añadidos en ldap. Y os preguntaréis: ¿Cómo...

Leer más »