4
OpenLDAP、Samba、およびパスワードエージング
サーバー上のシェルへのアクセス、Sambaドメイン、WiFi、OpenVPN、Mantisなどへの単一のユーザーパスワードペアを介してすべてのITリソースが利用できるシステムを構成していますグループメンバーシップまたはユーザーオブジェクトフィールド)。ネットワークには個人データがあるため、EUデータ保護指令(またはポーランド語版)に従って、パスワードエージングを実装する必要があります。 問題は、LDAPのSambaおよびPOSIXアカウントが異なるパスワードハッシュおよびエージング情報を使用することです。パスワード自体の同期は簡単ですが(ldap password sync = Yesin smb.conf)、パスワードエージングをミックスに追加すると問題が解決します。SambaはshadowLastChangeを更新しません。Togetherはobey pam restrictions = Yes、Windowsユーザーが古いパスワードを変更できないシステムを作成しますが、使用しない場合、ホームディレクトリは自動的に作成されません。別の方法は、パスワードの変更にLDAP拡張操作を使用することですが、smbk5pwdモジュールもそれを設定しません。さらに悪いことに、このフィールドは非推奨と見なされるため、OpenLDAPメンテナーはパッチを更新または受け入れません。 だから、私の質問は、最善の解決策は何ですか?それらの利点と欠点は何ですか? LDAP ppolicyおよび内部LDAPパスワードエージングを使用しますか? NSS、PAMモジュール、Samba、その他のシステムでどれだけうまく機能しますか? NSSおよびPAMモジュールは、シャドウではなくppolicyを使用するために特別な方法で構成する必要がありますか? GOsa²はppolicyで動作しますか? ppolicy-enabled LDAPで機能する他の管理ツールはありますか? LDAPのフィールドを更新するパスワード変更スクリプトを一緒にハックします。(ユーザー自身がパスワードを変更せずにフィールドを更新する可能性を残します)