Cómo el módulo de servicio de nombres nss_ad recupera datos desde AD

En la siguiente sección, se describe el modo en que el módulo nss_ad resuelve las solicitudes del servicio de nombres para archivos passwd, shadow y group mediante la recuperación de datos correspondientes desde AD.

Recuperación de información de passwd

En la sintaxis siguiente, se muestra el formato correcto de una entrada de passwd:

username:password:uid:gid:gecos:home-directory:login-shell

Consulte la página del comando man passwd(4) para obtener más información.

El módulo nss_ad recupera información de passwd desde AD de la siguiente forma:

• username: el campo usa el valor del atributo AD samAccountName y está calificado por el nombre de dominio en el cual reside el objeto, por ejemplo, terryb@example.com.

• password: el campo usa el valor de x porque la contraseña de usuario no está disponible en el objeto AD.

• uid: el campo usa el SID del usuario de Windows del atributo AD objectSID, que se asigna al UID mediante el servicio idmap.

• gid: el campo usa el SID del grupo primario del usuario de Windows, que se asigna al GID mediante el servicio idmap. El SID del grupo se obtiene agregando el valor del atributo AD primaryGroupIDal SID del dominio. Para los usuarios en AD, el atributo primaryGroupID es un atributo opcional, por lo que es posible que no exista. Si el atributo no existe, nss_ad usa la utilidad de asignación diagonal idmap para asignar el SID del usuario desde el atributo objectSID.

• gecos: el valor del atributo AD CN.

• home-directory: el valor del atributo AD homeDirectory si existe un valor. De lo contrario, este campo se deja vacío.

• login-shell: el campo se deja vacío porque no hay un atributo de shell de inicio de sesión en el esquema AD nativo.

Recuperación de información de shadow

En la sintaxis siguiente, se muestra el formato correcto de una entrada de shadow:

username:password:lastchg:min:max:warn:inactive:expire:flag

Consulte la página del comando man shadow(4) para obtener más información.

El módulo nss_ad recupera información de shadow desde AD de la siguiente forma:

• username: el campo usa el valor del atributo AD samAccountName y está calificado por el nombre de dominio en el cual reside el objeto, por ejemplo, terryb@example.com.

• password: el campo usa el valor de *NP* porque la contraseña de usuario no está disponible en el objeto AD.

El resto de campos de shadow se dejan vacíos porque no son relevantes con AD y Kerberos v5.

Recuperación de información de group

En la sintaxis siguiente, se muestra el formato correcto de una entrada de group:

groupname:password:gid:user-list

Consulte la página del comando man group(4) para obtener más información.

El módulo nss_ad recupera información desde AD de la siguiente forma:

• groupname: el campo usa el valor del atributo AD samAccountName y está calificado por el nombre de dominio en el cual reside el objeto, por ejemplo, admins@example.

• password: el campo se deja vacío porque los grupos de Windows no tienen contraseñas.

• gid: el campo usa el SID del grupo de Windows del atributo AD objectSID, que se asigna al GID mediante el servicio idmap.

• user-list: el campo se deja vacío.