Щоб увімкнути офлайн-автентифікацію, налаштуйте Samba на використання winbind у nsswitch та для PAM (Setting up PAM)
Потім переконайтеся, що smb.conf містить:
"winbind offline logon = yes"
Увімкнення офлайн-автентифікації в pam_winbind
Перш за все, переконайтеся, що ви можете увійти за допомогою PAM та своїх облікових даних Windows, наприклад, через ssh:
ssh YOURDOM\\youruser@localhost
Ви не можете продовжити, якщо вхід через PAM (pam_winbind) не працює.
Тепер pam_winbind також має встановити прапорець офлайн-режиму; це можна зробити одним із таких способів:
- додати "cached_login = yes" до /etc/security/pam_winbind.conf. Цей файл має виглядати так:
# # pam_winbind configuration file # # /etc/security/pam_winbind.conf # [global] # request a cached login if possible # (needs "winbind offline logon = yes" in smb.conf) cached_login = yes
Це увімкне офлайн-можливість глобально для всіх застосунків, що використовують PAM. Якщо ви хочете мати більш детальний контроль над службами, які використовують офлайн-режим pam_winbind, то можете зробити це так:
- додати опцію "cached_login" до окремих файлів конфігурації pam (зазвичай у /etc/pam.d/$SERVICE)
Тестування офлайн-автентифікації
Запустіть winbindd, успішно автентифікуйтеся принаймні один раз, поки winbind перебуває онлайн
/etc/init.d/winbind start wbinfo -K YOURDOM\\youruser%password
Тепер ви можете вручну перевести winbindd в офлайн-режим (для тестування) за допомогою команди smbcontrol.
smbcontrol winbind offline
Якщо тепер повторити команду
wbinfo -K YOURDOM\\youruser%password
Ви маєте отримати
user_flgs: LOGON_CACHED_ACCOUNT
у виводі.
Ваша система тепер готова використовувати pam_winbind в офлайн-режимі. Будь ласка, спробуйте увійти до вашого localhost, наприклад, через ssh
ssh YOURDOM\\youruser@localhost
решил так создал файл /etc/security/pam_winbind.conf с такими опциями Код:
#
# pam_winbind configuration file
#
# /etc/security/pam_winbind.conf
#
[global]
# turn on debugging
debug = no
# request a cached login if possible
# (needs "winbind offline logon = yes" in smb.conf)
cached_login = yes
# authenticate using kerberos
krb5_auth = yes
# when using kerberos, request a "FILE" krb5 credential cache type
# (leave empty to just do krb5 authentication but not have a ticket
# afterwards)
krb5_ccache_type = FILE
# make successful authentication dependend on membership of one SID
# (can also take a name)
;require_membership_of =
silent = yes
а /etc/pam.d/gnome-screensaver теперь выглядит так
auth sufficient pam_unix.so nullok_secure
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so
/etc/pam.d/common-auth
auth optional pam_group.so
auth sufficient pam_unix.so nullok_secure use_first_pass
auth sufficient pam_winbind.so use_first_pass
auth required pam_deny.so