Ограничение аутентификации LDAP PAM

В ldap вы можете установить хост, доступный для входа в систему. Также вы можете создать группу и установить доступ для входа в определенную систему.

Если для входа в систему всего несколько пользователей, вы можете добавить это в свой / etc / passwd

+user1::::::/bin/bash
+user2::::::/bin/bash
+::::LDAP user::/usr/sbin/nologin

. Это перезапишет GECOS с "пользователем LDAP" и всеми, кроме пользователя {1,2} имеет / usr / sbin / nologin.

Другим решением было бы использовать /etc/security/access.conf , посмотрите это сообщение: https://serverfault.com/a / 229131/11340

Я использую SSSD , а затем помещаю строку ldap_access_filter в файл conf следующим образом:

...
id_provider = ldap
auth_provider = krb5
chpass_provider = krb5
access_provider = ldap
...
ldap_access_filter = memberOf=CN=IT,CN=Users,DC=example,DC=com

Строго говоря, это вопрос контроля доступа, а не вопрос аутентификации. Лучшее решение - использовать pam_access . См. Справочную страницу access.conf (5) . Вы должны создать группы или сетевые группы в LDAP, а затем включить

+: (groupname) @netgroupname: ALL
-: ALL: ALL

в /etc/security/access.conf .