Configuración del servidor de directorios para activar la gestión de cuentas

La gestión de cuentas se puede implementar para los clientes que utilizan pam_ldap y para los clientes que utilizan los módulos pam_unix_*.

---

Precaución - No utilice los módulos pam_ldap y pam_unix_* en el mismo dominio de nombres LDAP. Todos los clientes utilizan pam_ldap o todos los clientes utilizan los módulos pam_unix_*. Esta limitación podría indicar que usted necesita un servidor LDAP dedicado.

---

Para clientes que utilizan el módulo pam_ldap

Para que pam_ldap funcione correctamente, la contraseña y la directiva de bloqueo de cuentas deben estar correctamente configuradas en el servidor. Puede utilizar la consola del servidor de directorios o ldapmodify para configurar la política de gestión de cuentas del directorio LDAP. Para obtener procedimientos y más información, consulte el capítulo “Gestión de cuentas de usuario” en la Guía de administración para la versión de Oracle Directory Server Enterprise Edition que está utilizando.

dn: oid=1.3.6.1.4.1.42.2.27.9.5.8,cn=features,cn=config
objectClass: top
objectClass: directoryServerFeature
oid:1.3.6.1.4.1.42.2.27.9.5.8
cn:Password Policy Account Usable Request Control
aci: (targetattr != "aci")(version 3.0; acl "Account Usable"; 
     allow (read, search, compare, proxy)
     (groupdn = "ldap:///cn=Administrators,cn=config");)
creatorsName: cn=server,cn=plugins,cn=config
modifiersName: cn=server,cn=plugins,cn=config

Las contraseñas de usuarios proxy nunca deben vencer. Si las contraseñas proxy caducan, los clientes que utilizan el nivel de credenciales proxy no podrán recuperar información del servicio de nombres del servidor. Para asegurarse de que los usuarios proxy tienen contraseñas que no caducan, modifique la cuentas proxy con la siguiente secuencia de comandos.

# ldapmodify -h ldapserver -D administrator DN \
-w administrator password <<EOF
dn: proxy user DN
DNchangetype: modify
replace: passwordexpirationtime
passwordexpirationtime: 20380119031407Z
EOF

Para clientes que utilizan los módulos pam_unix_*

Si desea activar clientes LDAP con el fin de que utilicen los módulos pam_unix_* para la gestión de cuentas, el servidor debe estar configurado para permitir la actualización de datos shadow. A diferencia de la gestión de cuentas de pam_ldap, los módulos pam_unix_* no requieren pasos de configuración adicionales. Toda la configuración se puede realizar mediante la ejecución de la utilidad idsconfig. Para una ejecución básica de idsconfig, consulte elEjemplo 11-1.

A continuación, se muestra el resultado de dos ejecuciones de idsconfig.

La primera ejecución de idsconfig utiliza un perfil de cliente existente.

# /usr/lib/ldap/idsconfig

It is strongly recommended that you BACKUP the directory server
before running idsconfig.

Hit Ctrl-C at any time before the final confirmation to exit.

Do you wish to continue with server setup (y/n/h)? [n] y
Enter the JES Directory Server's  hostname to setup: myserver
Enter the port number for DSEE (h=help): [389]
Enter the directory manager DN: [cn=Directory Manager]
Enter passwd for cn=Directory Manager :
Enter the domainname to be served (h=help): [west.example.com]
Enter LDAP Base DN (h=help): [dc=west,dc=example,dc=com]
  Checking LDAP Base DN ...
  Validating LDAP Base DN and Suffix ...
  sasl/GSSAPI is not supported by this LDAP server

Enter the profile name (h=help): [default] WestUserProfile

Profile 'WestUserProfile' already exists, it is possible to enable
shadow update now. idsconfig will exit after shadow update
is enabled. You can also continue to overwrite the profile
or create a new one and be given the chance to enable
shadow update later.

Just enable shadow update (y/n/h)? [n] y
Add the administrator identity (y/n/h)? [y]
Enter DN for the administrator: [cn=admin,ou=profile,dc=west,dc=example,dc=com]
Enter passwd for the administrator: 
Re-enter passwd: 
  ADDED: Administrator identity cn=admin,ou=profile,dc=west,dc=example,dc=com.
         Proxy ACI LDAP_Naming_Services_proxy_password_read does not 
         exist for dc=west,dc=example,dc=com.
  ACI SET: Give cn=admin,ou=profile,dc=west,dc=example,dc=com read/write access 
           to shadow data.
  ACI SET: Non-Admin access to shadow data denied.

  Shadow update has been enabled.

La segunda ejecución de idsconfig crea un nuevo perfil para utilizarlo más tarde. Sólo se muestra parte del resultado.

# /usr/lib/ldap/idsconfig

It is strongly recommended that you BACKUP the directory server
before running idsconfig.

Hit Ctrl-C at any time before the final confirmation to exit.

Do you wish to continue with server setup (y/n/h)? [n] y
Enter the JES Directory Server's  hostname to setup: myserver
Enter the port number for DSEE (h=help): [389]
Enter the directory manager DN: [cn=Directory Manager]
Enter passwd for cn=Directory Manager :
Enter the domainname to be served (h=help): [west.example.com]
Enter LDAP Base DN (h=help): [dc=west,dc=example,dc=com]
  Checking LDAP Base DN ...
  Validating LDAP Base DN and Suffix ...
  sasl/GSSAPI is not supported by this LDAP server

Enter the profile name (h=help): [default] WestUserProfile-new
Default server list (h=help): [192.168.0.1]
.
.
.
Do you want to enable shadow update (y/n/h)? [n] y

              Summary of Configuration

  1  Domain to serve               : west.example.com
  2  Base DN to setup              : dc=west,dc=example,dc=com
         Suffix to create          : dc=west,dc=example,dc=com
  3  Profile name to create        : WestUserProfile-new
.
.
.
 19  Enable shadow update          : TRUE
.
.
.
Enter DN for the administrator: [cn=admin,ou=profile,dc=west,dc=example,dc=com]
Enter passwd for the administrator:
Re-enter passwd:


WARNING: About to start committing changes. (y=continue, n=EXIT) y

  1. Changed timelimit to -1 in cn=config.
  2. Changed sizelimit to -1 in cn=config.
.
.
.
  11. ACI for dc=test1,dc=mpklab,dc=sfbay,dc=sun,dc=com modified to 
      disable self modify.
.
.
.
  15. Give cn=admin,ou=profile,dc=west,dc=example,dc=com write permission for shadow.
...