Authentification Active Directory, GNOME

Dr_I · Février 20, 2016, 9:48pm

Bonjour à tous, je viens d’essayer de rentrer mon Debian dans notre Domaine AD Windows 2003 R2 SP2.

Pour cette partie tout vas bien excepté deux choses:

1°/-Les serveurs DNS ne voient toujours pas le poste.
2°/-L’authentification GUI ne fonctionne pas.

Pour 1°/- Lors du join AD, il ma dit qu’il ne pouvais mettre à jour les informations DNS.
Pour 2°/- C’est bizarre, ça ne fonctionne pas du tout, alors qu’avec SSH ou un simple console TTY ça marche bien.

Pourtant, j’ai bien demandé à PAM d’utiliser pam_winbind.so pour gdm.

Auriez vous des tutos à jours, parce que je doit bien avouer que ceux que j’utilises ne traitent, soit que des authentifications AD Console, soit sont trop vieux.

voila. Merci d’avance.

Blacksad · Février 20, 2016, 9:48pm

Un utilisateur a fait ça y’a pas longtemps et donnait les liens vers les tutaux utilisés:

viewtopic.php?f=3&t=26549

Dr_I · Février 20, 2016, 9:48pm

Merci de ta réponse, par contre son sujet c’est Squid, hors moi tout fonctionne parfaitement sauf l’authentification avec GNOME enfin plutôt gdm pour le coup.
Je me demandais, Debian ne fournis pas de tutos ou directives à ce sujet?

Ce serais pas mal que lorsque quelque chose d’aussi important que les authentifications change, ont puisse avoir des tutos à jours.
Je vais réessayer de changer des trucs dans Pam aujourd’hui voir ce que ça donne, mais sans grand espoir.

kna · Février 20, 2016, 9:48pm

1°/ Une piste : dans certaines configurations de AD, c’est le serveur DHCP qui envoie les entrées DNS :

Integration of DHCP with DNS
With Windows Server 2003, a DHCP server can enable dynamic updates in the DNS namespace for any one of its clients that support these updates. Scope clients can use the DNS dynamic update protocol to update their host name-to-address mapping information whenever changes occur to their DHCP-assigned address. (This mapping information is stored in zones on the DNS server.) A Windows Server 2003-based DHCP server can perform updates on behalf of its DHCP clients to any DNS server.

How DHCP/DNS update interaction works
You can use the DHCP server to register and update the PTR and A resource records on behalf of the server’s DHCP-enabled clients. When you do this, you must use an additional DHCP option, the Client FQDN option (option 81). This option lets the client send its FQDN to the DHCP server in the DHCPREQUEST packet. This enables the client to notify the DHCP server as to the service level it requires.

[…]

Assume that this option is issued by a qualified DHCP client, such as a DHCP-enabled computer that is running Windows Server 2003, Microsoft Windows 2000, or Microsoft Windows XP. In this case, the option is processed and interpreted by Windows Server 2003-based DHCP servers to determine how the server initiates updates on behalf of the client.

source : support.microsoft.com/kb/816592

2°/ Si ça fonctionne en console, c’est probablement du côté de gdm qu’il faut creuser…

Dr_I · Février 20, 2016, 9:49pm

[quote=“kna”]1°/ Une piste : dans certaines configurations de AD, c’est le serveur DHCP qui envoie les entrées DNS :

Integration of DHCP with DNS
How DHCP/DNS update interaction works
You can use the DHCP server to register and update the PTR and A resource records on behalf of the server’s DHCP-enabled clients. When you do this, you must use an additional DHCP option, the Client FQDN option (option 81). This option lets the client send its FQDN to the DHCP server in the DHCPREQUEST packet. This enables the client to notify the DHCP server as to the service level it requires.
[…]
Assume that this option is issued by a qualified DHCP client, such as a DHCP-enabled computer that is running Windows Server 2003, Microsoft Windows 2000, or Microsoft Windows XP. In this case, the option is processed and interpreted by Windows Server 2003-based DHCP servers to determine how the server initiates updates on behalf of the client.

source : support.microsoft.com/kb/816592

2°/ Si ça fonctionne en console, c’est probablement du côté de gdm qu’il faut creuser…[/quote]

Oui c’est bien ça, nos DHCP mettent à jours nos DNS automatiquements, le hic c’est que je ne vois toujours pas mon poste dans le DNS, et dans le DHCP le nom est laissé à BLANK, donc je suppose que le client DHCP Linux ne fonctionne pas correctement ou est mal parametré, j’utilise le dhclient de chez ISC donc en theorie ce devrait etre niquel non?

Pour gdm ça avance, lorsque je tente de me connecter maintenant il me dit; “No Logon Server” hors dans mon gdm.com j’ai mis ce qui suis:

[code]
#GDM.CONF:

auth sufficient pam_winbind.so
account sufficient pam_winbind.so
passwd sufficient pam_winbind.so[/code]

Est ce que ça vous parait correct?

Num_s · Février 20, 2016, 9:49pm

Pour ton dhcp, fais une réservation pour ton poste Debian, comme ça tu pourras renseigner son nom… et il sera alors transmis au DNS (si il accepte les mises à jour venant du dhcp… )

(hé oui… un poste 'nux ne donne pas son nom au premier venu… … mais doit y’avoir moyen qu’il devienne “poli” et moins “timide”… …)

édit: ton poste Debian est vu dans l’AD? … normalement les postes du domaine, par défaut, sont dans l’UO “computers”…

Dr_I · Février 20, 2016, 9:49pm

Bon bah on avance de plus en plus vite, tout est bon pour l’authentification, même sous gdm ça fonctionne, j’ai du juste un peu modifier les paramètres de gnome pour l’ouverture de sessions.

Concernant le DNS, je compte déployer presque 1600 postes donc c’est mort pour la réservation.
J’ai bien mes postes de tests dans les bonnes OU pas de soucis.

Sinon, autre question, comment je fais pour rajouter des groupes du domaine toto dans le groupe Root??

j’ai essayé:

root:0:x:TOTO+Domain Admins,TOTO+France Admins mais sans résultats.

kna · Février 20, 2016, 9:49pm

[quote=“Dr I”]Concernant le DNS, je compte déployer presque 1600 postes donc c’est mort pour la réservation.
[/quote]

La partie que j’ai zappé ([…]) dans la citation précédente semble utile finalement :

The FQDN option includes the following six fields:

* Code
  Specifies the code for this option (81).
* Len
  Specifies the length of this option . (This must be a minimum of 4.)
* Flags
  Specifies the type of service.
* 0
  Client will register the "A" (Host) record.
* 1
  Client wants DHCP to register the "A" (Host) record.
* 3
  DHCP will register the "A" (Host) record regardless of the client's request.
* RCODE1
  Specifies a response code the server is sending to the client.
* RCODE2
  Specifies an additional delineation of RCODE1.
* Domain Name
  Specifies the FQDN of the client.

En regardant vite fait, il semblerait que tu puisses mettre ses options dans la conf de dhclient. Cf la page de manuel de dhclient.conf(5) et dhcp-options(5) (cherches « THE CLIENT FQDN SUBOPTIONS »).

Pour les domaines NT, tu pouvais faire correspondre un groupe Windows avec un groupe Linux en utilisant la commande net groupmap (fournie avec samba). Je ne sais pas ce qu’il en est pour les domaines Active Directory par contre, tu vas encore devoir RTFM…

Bon courage

Dr_I · Février 20, 2016, 9:49pm

[quote=“kna”]
Pour les domaines NT, tu pouvais faire correspondre un groupe Windows avec un groupe Linux en utilisant la commande net groupmap (fournie avec samba). Je ne sais pas ce qu’il en est pour les domaines Active Directory par contre, tu vas encore devoir RTFM…
Bon courage [/quote]

Merci pour tes conseils, je vais voir ce que peux faire DHClient à ce sujet.

Pour ce qui est du FM, faudrait déjà qu’il en existe un correct.

C’est promis, une fois que j’arrive à faire ce que je veux, je met en ligne une doc complete sur les interactions Windows/Linux dans un domaine AD.

EDIT: - J’ai trouvé et inscrit send host-name “toto.domainetoto.lan” du coup mon DHCP¨vois bien le nom du client, y’a juste un truc, il ne link pas avec les dns, vas savoir pourquoi.

Dr_I · Février 20, 2016, 9:49pm

Non mais c’est quoi ce délire Oo, je rentre un user du domaine sur le poste linux, pas de souci, il connais bien le contrôleur de domaine que je lui ai indiqué.

Je modifie rien, je redémarre, il ne trouve plus de serveur d’authentification. J’arrête le poste, je le laisse reposer, puis je le redémarre et Hop ça re fonctionne.

Ah et ce symptôme ce répète quoi qu’il arrive, je vais essayer avec un autre poste et une VM histoire de voir si les symptômes sont également présents.

Ça vous est jamais arrivé ce genre de trucs??

micky979 · Février 20, 2016, 9:49pm

Bonjour,

Pour envoyer le nom du hostname au serveur DNS, il faut dire à dhcpclient de le faire.

Pour ce faire, il faut ajouter ceci dans le fichier /etc/dhcp3/dhclient.conf

Dr_I · Février 20, 2016, 9:49pm

[quote=“micky979”]Bonjour,

Pour envoyer le nom du hostname au serveur DNS, il faut dire à dhcpclient de le faire.

Pour ce faire, il faut ajouter ceci dans le fichier /etc/dhcp3/dhclient.conf

Hello, merci de ton aide, mais je l’ai déjà fait. Pour le dhcp pas de souci il arrive bien à voir mon hostname, ou plutôt mon linux envoi bien son hostname au dhcp que celui-ci inscrit bien.