autoconf213<\/em>. Una vez tengas todo instalado, cualquier podemos compilar el paquete mediante el comando:<\/p>\n$ rpmbuild --rebuild --target=i686 pam_smb-1.1.7-11.fc12.src.rpm<\/pre>\nSe puede no usar la opci\u00f3n –target<\/em> para usar la configuraci\u00f3n por defecto de la m\u00e1quina, o poner un objetivo distinto que soporte nuestro compilador (la alternativa m\u00e1s habitual ser\u00e1 –target=x86_64<\/em>). Este comando dejar\u00e1 (si termina correctamente) el binario en el fichero $HOME\/rpmbuild\/RPMS\/i686\/pam_smb-1.1.7-11.fc15.i686.rpm<\/strong>. En mi caso me qued\u00e9 con una copia en $HOME<\/strong> para usarla m\u00e1s tarde y poder distribuirla a otros equipos, y borr\u00e9 la ruta $HOME\/rpmbuild<\/strong> porque no la necesitaba para nada m\u00e1s. Instalamos este fichero, pero para ello adoptamos la identidad de root<\/em>:<\/p>\n$ cd\n$ sudo rpm -U --verbose pam_smb-1.1.7-11.fc15.i686.rpm<\/strong><\/pre>\nA partir de aqu\u00ed, todos los comandos deben hacerse con la identidad de root<\/em>.
\nEditamos el fichero \/etc\/pam_smb.conf<\/strong> que se ha instalado antes para que apunte a una m\u00e1quina con un servidor de Dominio de Windows (valdr\u00eda cualquier Windows NT, Windows Server, Linux+Samba, etc.). El fichero consta de tres l\u00edneas: el nombre del Dominio, la m\u00e1quina de autenticaci\u00f3n y la m\u00e1quina auxiliar de autenticaci\u00f3n (pueden ser la misma). Por ejemplo:<\/p>\nMYDOMINIO\nSERVER1\nSERVER2<\/pre>\nEn Linux la autenticaci\u00f3n se hace mediante PAM, y los ficheros de configuraci\u00f3n de PAM est\u00e1n en \/etc\/pam.d<\/strong>. Todas las configuraciones de PAM instaladas en Fedora incluyen el substack system-auth<\/em> o password-auth<\/em>, que son enlaces suaves a los ficheros system-auth-ac<\/em> y password-auth-ac<\/em>, que a su vez son ficheros generados por las herramientas de configuraci\u00f3n de Fedora. Como pam_smb<\/em> ya no es soportado por Fedora, sus herramientas ya no la contemplan, y tenemos que verlas como \u00abagentes peligrosos\u00bb que pueden estropearnos la configuraci\u00f3n sin que queramos. Vamos a proceder creando nuestro propio fichero y haciendo que estos enlaces apunten al nuestro. Si alguna vez alg\u00fan \u00abagente peligroso\u00bb deshace nuestra configuraci\u00f3n s\u00f3lo tendremos que rehacer los enlaces suaves (\u00faltimo paso). Creamos el fichero \/etc\/pam.d\/file-auth-new<\/strong>, como copia del fichero system-auth-ac<\/strong>y lo editamos:<\/p>\n$ cd \/etc\/pam.d\n$ cp -a system-auth-ac file-auth-new\n$ vi file-auth-new<\/pre>\nEl fichero debe quedar as\u00ed (en negrita ponemos lo que a\u00f1adimos y tachamos lo que quitamos):<\/p>\n
#%PAM-1.0\n# This file is auto-generated.<\/del>\n# User changes will be destroyed the next time authconfig is run.<\/del>\n\nauth required pam_env.so\nauth sufficient pam_unix.so nullok try_first_pass\nauth sufficient pam_smb_auth.so nolocal<\/strong>\nauth requisite pam_succeed_if.so uid >= 500 quiet\nauth required pam_deny.so\n\naccount required pam_unix.so broken_shadow<\/strong>\naccount sufficient pam_localuser.so\naccount sufficient pam_succeed_if.so uid < 500 quiet\naccount required pam_permit.so\n\npassword requisite pam_cracklib.so try_first_pass retry=3 type=\npassword sufficient pam_unix.so sha512 nis nullok try_first_pass use_authtok\npassword required pam_deny.so\n\nsession optional pam_keyinit.so revoke\nsession required pam_limits.so\n-session optional pam_systemd.so\nsession optional pam_mkhomedir.so umask=0077<\/strong>\nsession [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid\nsession required pam_unix.so<\/pre>\nUna vez creado, configuramos PAM para que use este fichero en vez de los que vienen por defecto en Fedora:<\/p>\n
$ cd \/etc\/pam.d\n$ ln -vsi file-auth-new system-auth\n$ ln -vsi file-auth-new password-auth<\/pre>\nY esto deb\u00eda ser suficiente, pero antes de terminar vamos a verificar que no hemos metido la pata o quiz\u00e1 no podamos volver a entrar en el sistema.<\/p>\n
Verificaci\u00f3n<\/h3>\n
La verificaci\u00f3n desde el usuario root<\/em> se hace en dos pasos: cambiando un usuario userone<\/em>y luego cambiando a un usuario cualquiera a ver si podemos (necesitamos la contrase\u00f1a de ese usuario cualquiera, as\u00ed que usa tu identidad para la prueba). En el ejemplo marco en negrita el PROMPT del sistema para que os fij\u00e9is en qu\u00e9 usuario ejecuta cada comando:<\/p>\n[root ~]#<\/strong> su - userone\n[userone ~]$<\/strong> su - usertwo\nContrase\u00f1a:\n[usertwo ~]$<\/strong> exit\n[userone ~]$<\/strong> exit\n[root ~]#<\/strong> _<\/pre>\nSi fuese la primera vez que el usuario accede al sistema, tambi\u00e9n veremos en pantalla alg\u00fan mensaje inform\u00e1ndonos de que se ha creado su directorio $HOME. Si acabada la prueba nos sobra ese directorio, y podemos borrarlo sin m\u00e1s con el comando rm -f \/home\/user<\/em><\/strong>.<\/p>\n\u00daltimas consideraciones<\/h3>\n\n- La opci\u00f3n nolocal<\/strong> de pam_smb_auth.so<\/em> se pone para que no trate de autenticar primero el usuario con el fichero \/etc\/passwd<\/strong> (es el comportamiento por defecto). Como ya tenemos encima una llamada a pam_unix.so<\/em> que hace precisamente esto, el comportamiento por defecto de pam_smb_auth.so<\/em> ser\u00eda redundante. Adem\u00e1s, como pam_unix.so<\/em> viene de serie en Fedora es de suponer que esa tarea la haga de forma m\u00e1s acorde con la distribuci\u00f3n que pam_smb_auth.so<\/em>. O visto de otra forma: si quitamos la l\u00ednea de pam_unix.so<\/em> los usuarios locales no podr\u00e1n entrar en la m\u00e1quina, ni siquiera root<\/em>, porque pam_smb_auth.so<\/em> va ignorar lo que haya en \/etc\/passwd<\/strong><\/span>.<\/li>\n
- La opci\u00f3n broken_shadow<\/strong> que incorporamos en la primera l\u00ednea de comprobaci\u00f3n de la cuenta (account<\/em>) es necesaria porque sino el m\u00f3dulo pam_unix.so<\/em> ver\u00eda que hay una cuenta obtenida desde el fichero nis:passwd<\/strong> que no puede resolver contra \/etc\/shadow<\/strong>.<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"
Este tutorial tiene por objeto documentar c\u00f3mo configurar una m\u00e1quina Linux, en concreto un Fedora 15, para que verifique el acceso de un usuario contrastando su contrase\u00f1a contra un servidor de dominio de…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5,7],"tags":[17,19,22],"class_list":["post-7","post","type-post","status-publish","format-standard","hentry","category-linux","category-tutoriales","tag-nis","tag-pam_smb_auth","tag-smb"],"_links":{"self":[{"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=\/wp\/v2\/posts\/7","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=7"}],"version-history":[{"count":0,"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=\/wp\/v2\/posts\/7\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=7"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=7"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.anadebreuil.org\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=7"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}