[devel] Графическая аутентификация в домен AD

[Stanislav Ievlev]

On Fri, Dec 12, 2008 at 02:50:52PM +0300, Alexander Bokovoy wrote:
> 2008/12/12 Evgeny Sinelnikov <sin на altlinux.ru>:
> > 12 декабря 2008 г. 12:15 пользователь Андрей Черепанов
> > <cas на altlinux.ru> написал:
> >> Пользователи просят предоставить графические инструменты для аутентификации в
> >> домене Active Directory.
> >>
> >> Кто может заняться этой задачей или хотя бы подскать, куда копать?
> >> У нас сейчас в десктопных дистрибутивах аутентификация через локальные файлы и
> >> LDAP. Насколько технически сложно будет добавить Active Directory в этот
> >> список?
> >>
> >
> > Я попробую посмотреть, но заняться смогу только через неделю. Пока
> > могу описать процесс. Буквально вчера подключал 64-битный Desktop 4.1
> > к университетскому домену.
> >
> > Обнаружилось, что, во-первых, в бранч ещё не приехала Samba-3.0.33,
> http://ftp.altlinux.org/pub/distributions/ALTLinux/4.0/branch/files/SRPMS/samba-3.0.33-alt1.M40.1.src.rpm
> В Сизифе тоже есть. Что касается 4.1 -- это все к перекладывателям, о
> том, что есть рассинхронизация репозитариев, я говорил довольно давно.
> 
> > во-вторых, samba у нас собрана без опции --with-dnsupdate. Пришлось
> > пересобирать... К сожалению, обновить DNS-запись в DNS от AD так и не
> > получилось:
> > [sin на kafedra03 ~]$ net ads dns register -U sin
> > sin's password:
> > DNS update failed!
> > [sin на kafedra03 ~]$ sudo net ads dns register -P
> > DNS update failed!
> Разберитесь, я не буду включать то, что не работает.
> 
> > К сожалению, для работы в домене и вообще с kerberos, в некоторых
> > случаях очень мешает вот этот баг:
> > https://bugzilla.altlinux.org/show_bug.cgi?id=17498
> Можно рекомендацию? Не надо городить новых nss модулей. Делайте, как
> делают все: добавляйте записи в /etc/hosts на любую выделенную подсеть
> в 127., благо все они гарантированно ресолвятся в пределах одного
> узла. Например, 127.127.127./24, если нужен какой-то конкретный
> вариант.
Не поможет. Некоторый особенно кривой софт для вычислительных кластеров занимается 
обратным resolv'ов hostname и ему сильно не полегчает, если он получит 127.127.127.x

nss-модуль совершенно никому не мешает и решает проблему полностью.