Von: "Dieter Kluenter" LDAP kann so etwas nicht, das macht userdel(8).

Ja aber die User sind doch nur im LDAP - Definiert wie soll userdel sie löschen ? Ich hab es mal spaßes halber ausgetestet: userdel -r ldap_test1 no crontab for ldap_test1 LDAP information update failed: Operations error userdel: error deleting user `ldap_test1'. Häm jetzt verstehe ich nichts mehr ?! Kann ich mit useradd und userdel wenn ich LDAP benuzte User anlegen und User löschen ? und jetzt funkt mein useradd und mein userdel nicht mehr so richtig :( Gruß Merenda Luisa -- GMX DSL = Maximale Leistung zum minimalen Preis! 2000 MB nur 2,99, Flatrate ab 4,99 Euro/Monat: http://www.gmx.net/de/go/dsl

--- Ursprüngliche Nachricht --- Von: "Dieter Kluenter" Betreff: Re: Homeverzeichnis Lösen beim Entfernen eines LDAP Users

Ja, wenn du pam_ldap richtig konfiguriert hast. Du solltest auch die Manual Pages zu userdel(8) und useradd(8) lesen, da gibt es das Flag -D um sich am LDAP-Server zu binden.

Hi, also ich hab dein Rat befolgt und mir mal die manpages durch gelesen. Für useradd steht folgendes drin: "-D binddn Use dn "binddn" to bind to the LDAP directory" Für userdel gibt es keine Optionen ?! Wie dem auch sei, nach dem ich das wusste, habe ich versucht mit folgendem Befehl einen neuen User (über den LDAP-Client) in die LDAP-Datenbank einzufügen: useradd -D cn=admin,o=firma,c=de -m mars2 useradd hat einen User angelegt, aber nicht auf der LDAP-Datenbank. Der User ist nur auf dem LDAP-Client ?! Habe ich da was vergessen ? Du hast noch geschrieben, wenn ich die pam_ldap richtig konfiguriert habe, ich poste dir mal die /etc/openldap/slapd.conf und /etc/openldap/ldap.conf: # ********** # # slapd.conf # # ********** # include /etc/openldap/schema/core.schema include /etc/openldap/schema/cosine.schema include /etc/openldap/schema/nis.schema include /etc/openldap/schema/inetorgperson.schema include /etc/openldap/schema/misc.schema include /etc/openldap/schema/krb5-kdc.schema pidfile /var/run/slapd/run/slapd.pid argsfile /var/run/slapd/run/slapd.args loglevel 256 schemacheck on sizelimit 500 timelimit 3600 #### TEST - Maschinen #### ### Intel-TestMaschine access to dn.subtree="ou=mars,ou=TEST-Maschinen,o=firma,c=de" by peername="127.0.0.1" read by peername="53.139.198.186" read by * none ### g8sxA access to dn.subtree="ou=sxA,ou=TEST-Maschinen,o=firma,c=de" by peername="127.0.0.1" read by peername="10.206.176.212" read by peername="10.206.176.148" read by peername="10.206.176.74" read by * none #access to * by * read ####################################################################### # bdb database definitions ####################################################################### database bdb checkpoint 1024 5 cachesize 10000 suffix "o=firma,c=de" rootdn "cn=admin,o=firma,c=de" rootpw test directory /var/lib/ldap index default pres,eq index objectClass eq index cn pres,sub,eq index sn pres,sub,eq index uid pres,sub,eq index displayName pres,sub,eq index uidNumber eq index gidNumber eq index memberUid eq # ********* # # ldap.conf # # ********* # # Your LDAP server. Must be resolvable without using LDAP. host 192.168.100.200 # The distinguished name of the search base. base o=firma,c=de # The LDAP version to use (defaults to 3 # if supported by client library) ldap_version 3 # The port. # Optional: default is 389. port 389 # OpenLDAP SSL mechanism # start_tls mechanism uses the normal LDAP port, LDAPS typically 636 ssl no # The user ID attribute (defaults to uid) pam_login_attribute uid # Group member attribute pam_member_attribute memberUid # Use the OpenLDAP password change # extended operation to update the password. pam_password exop nss_map_attribute uniqueMember member pam_filter objectclass=posixAccount nss_base_passwd o=firma,c=de nss_base_shadow o=firma,c=de nss_base_group o=firma,c=de -- 5 GB Mailbox, 50 FreeSMS http://www.gmx.net/de/go/promail +++ GMX - die erste Adresse f�r Mail, Message, More +++

--- Ursprüngliche Nachricht --- Von: "Dieter Kluenter"

doch, auch bei userdel

SYNOPSIS userdel [-D binddn] [-P path] [-r[-f]] [--service service] [--help] [-u] [-v] account

Ok, du hast recht das steht wirklich drin. Ich hab es erst auf einer SLES8 Maschine nachgeschlagen, das stand es aber nicht drin, auf der SLES9 habe ich es dann gefunden.

Was heisst hier LDAP-Client? Ist damit /etc/passwd des Hosts gemeint?

Also ich hab mal eine Kleine Grafik erstellt (siehe Link), da habe ich mal aufgezeichnet wie ich das mit dem LDAP-Client und Server mein und wie ich das unter phpLDAPAdmin realisiert habe. http://www.directupload.net/show/d/401/c7j8re3z.jpg Wenn ich jetzt einen User auf dem LDAP-Client mars anlegen möchte z.B. mars2 dann mache ich das folgendermaßen: useradd -D cn=admin,o=firma,c=de -m mars2 Der User wird jetzt aber auf dem LDAP-Client angelegt Lokal in der /etc/passwd und nicht wie gewünscht auf dem LDAP-Server.

Ist denn nun das Homeverzeichnis angelegt?

Ja das Homeverzeichnis wird dabei angelegt.

Was sagen denn die Logdateien, wenn versucht wird, einen User anzulegen?

Das steht in den logs, wenn ich versuche einen User anzulegen: daemon: conn=112 fd=12 connection from IP=53.139.198.186:34620 (IP=0.0.0.0:389) accepted. conn=112 op=0 BIND dn="" method=128 conn=112 op=0 RESULT tag=97 err=0 text= conn=112 op=1 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=dialout))" conn=112 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text= daemon: conn=113 fd=16 connection from IP=53.139.198.186:34621 (IP=0.0.0.0:389) accepted. conn=113 op=0 BIND dn="" method=128 conn=113 op=0 RESULT tag=97 err=0 text= conn=113 op=1 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=uucp))" conn=113 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text= daemon: conn=114 fd=18 connection from IP=53.139.198.186:34622 (IP=0.0.0.0:389) accepted. conn=114 op=0 BIND dn="" method=128 conn=114 op=0 RESULT tag=97 err=0 text= conn=114 op=1 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=video))" conn=114 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text= daemon: conn=115 fd=19 connection from IP=53.139.198.186:34623 (IP=0.0.0.0:389) accepted. conn=115 op=0 BIND dn="" method=128 conn=115 op=0 RESULT tag=97 err=0 text= conn=115 op=1 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=audio))" conn=115 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=3 op=22 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixAccount)(uid=mars2))" conn=3 op=22 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=3 op=23 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixAccount)(uidNumber=60000))" conn=3 op=23 SEARCH RESULT tag=101 err=0 nentries=0 text= daemon: conn=116 fd=20 connection from IP=53.139.198.186:34624 (IP=0.0.0.0:389) accepted. conn=116 op=0 BIND dn="" method=128 conn=116 op=0 RESULT tag=97 err=0 text= conn=116 op=1 SRCH base="o=firma,c=de" scope=2 filter="(objectClass=posixAccount)" conn=116 op=1 SEARCH RESULT tag=101 err=0 nentries=1 text= conn=3 op=24 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixAccount)(uidNumber=10002))" conn=3 op=24 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=116 op=2 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=dialout))" conn=116 op=2 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=116 op=3 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=uucp))" conn=116 op=3 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=116 op=4 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=video))" conn=116 op=4 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=116 op=5 SRCH base="o=firma,c=de" scope=2 filter="(&(objectClass=posixGroup)(cn=audio))" conn=116 op=5 SEARCH RESULT tag=101 err=0 nentries=0 text= conn=112 fd=12 closed conn=113 fd=16 closed conn=114 fd=18 closed conn=115 fd=19 closed conn=116 fd=20 closed

...

[...] #### TEST - Machinen ####

### Intel-TestMaschine access to dn.subtree="ou=mars,ou=TEST-Maschinen,o=firma,c=de" by peername="127.0.0.1" read by peername="53.139.198.186" read by * none

### sxA - TestMaschine access to dn.subtree="ou=sxA,ou=TEST-Maschinen,o=firma,c=de" by peername="127.0.0.1" read by peername="10.206.176.212" read by peername="10.206.176.148" read by peername="10.206.176.74" read by * none [...]

Die access Regeln sind sehr einschränkend, da kann ja kein Client eine Authentifizierung vornehmen, wenn denn ldap.conf so stimmt und als Suchbasis o=fimra,c=de angegeben ist.

Also ich hab mal ein bisschen nachgeschlagen, ich bin gerade noch dabei zu verstehen wie ich das einrichten soll. Ich bin da noch nicht so durch gestiegen. Gibt es da keine Möglichkeit einfach den Admin-Account mit zu geben ?

...

# The distinguished name of the search base. base o=firma,c=de [...] nss_map_attribute uniqueMember member pam_filter objectclass=posixAccount nss_base_passwd o=firma,c=de nss_base_shadow o=firma,c=de nss_base_group o=firma,c=de

Das würde ich anders einrichten, schon um die Suchlast zu reduzieren. Mit dieser Suchbasis wird die gesamte Baumstruktur durchsucht.

Oh ja daran habe ich jetzt garnicht geschaut, wenn dann irgenwann mal viele Systeme am LDAP Hängen, dann würde er sich ja mit den alten Einstellungen Tot suchen, ich hab es mal folgender Maßen eingestellt: nss_base_passwd ou=mars,ou=Test-Systeme,o=firma,c=de nss_base_shadow ou=mars,ou=Test-Systeme,o=firma,c=de nss_base_group ou=mars,ou=Test-Systeme,o=firma,c=de Gibt es eigentlich eine Möglichkeit die Performance von LDAP zu Testen bzw. kann gibt es Tools um bechmarks zu erstellen ? Danke schon mal im voraus für die Hilfe Gruß Merenda Luisa -- GMX DSL = Maximale Leistung zum minimalen Preis! 2000 MB nur 2,99, Flatrate ab 4,99 Euro/Monat: http://www.gmx.net/de/go/dsl