URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 5090
[ Назад ]

Исходное сообщение
"OpenNews: Smtp аутентификация клиентов postfix в Aсtive Directory"

Отправлено opennews , 04-Фев-05 19:04 
Игорь Полянский прислал статью с пошаговым описанием настройки Postfix для SMTP аутентификации в LDAP директории, используя PAM модуль pam_ldap под FreeBSD.

URL: http://www.opennet.me/base/net/smtp_ad_auth.txt.html
Новость: http://www.opennet.me/opennews/art.shtml?num=5029


Содержание

Сообщения в этом обсуждении
"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Vladimir , 04-Фев-05 19:04 
1. интересно, а есть ли auxprop_plugin для аутентификации через AD, не в курсе ?

2. Что нужно сделать, чтобы postfix искал пользователей, алиасы(и т.д.)  в AD ?


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Vladimir , 04-Фев-05 19:08 
И вообще хочется почитать про то, как максимально можно "срастить" Postfix,Cyrus-Imapd c AD и возможно ли это ?

В принципе вместо Postfix и Cyrus-Imapd может быть что угодно, главное посмотреть как использовать openLDAP для взаимодествия с AD.


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Автор , 04-Фев-05 21:17 
Я забыл одну из ключевых позиций. Тем пользователей, кому нужна smtp аутентификация:

в FreeBSD 4.x - нужно их добавить в файл паролей,  достаточно:
user:*:1001:1001::0:0:smtp user:/nonexistent:/sbin/nologin  
т.е. группу, дом. дир., shell, пароль задавать не нужно.

в FreeBSD 5.1 и выше, Linux, Solaris что-бы не вносить пользователей в файл паролей можно использовать дополнительно модуль nss_ldap. Но в этом случае нужно расширить схему AD при помощи SFU или чего либо еще и добавить настройки касающиеся nss_ldap в ldap.conf, но это выходит за рамки этой статьи.


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Dimez , 04-Фев-05 22:02 
А без PAM как-нибудь можно обойтись?

Не нравится мне он...


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Аноним , 05-Фев-05 00:19 
У меня работает прекрасно связка Sendmail+milter-ahead+Exchange.
все алиасы и т.д. работает замечательно. может не так красиво как с LDAP, но как вариант. Причем milter-ahead (http://www.milter.info) умеет даже кэшировать информацию.


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено sauron , 05-Фев-05 10:10 
господа вы о чем вообще ? Для взаимодействия с AD достаточно использовать его LDAP интерфейс. Плюс указать нужные поля в записи и где они находятся. Об этом я писал аж год назад.

PS Pam в целом и не нужен.


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Andrey , 05-Фев-05 11:36 
>господа вы о чем вообще ? Для взаимодействия с AD достаточно >использовать его LDAP интерфейс. Плюс указать нужные поля в записи и где >они находятся. Об этом я писал аж год назад.

>PS Pam в целом и не нужен.

А где ссылка?


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено sauron , 05-Фев-05 11:39 
http://sauron.opennet.ru/postfix+courier-imap+cyrus-sasl+ope...
замените слова LDAP на AD. А так же измените на используемые в AD названия аттрибутов.

"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено v0v0 , 13-Ноя-06 01:24 
LDAP_HOMEDIR        homeDirectory
Такой хрени нет в АД. Расширять схему? э, не очень бы хотелось

"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Автор , 06-Фев-05 15:26 
Ну хорошо, есть самый простой способ:
запускать saslauthd со следующими опциями:
saslauthd -a rimap -O host
где host ваш Exchange сервер. Как вы знаете Exchange использует учетные записи AD и поддерживает протокол IMAP. В этом случае вам не нужно использовать PAM. Случай который я описал в статье, дает вам возможность использовать учетную запись из AD не только для smtp аутентификации, но и для других служб: telnet, ssh, ftp... Вообщем для всего, что может работать с PAM.


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено sauron , 07-Фев-05 08:04 
saslauthd и так удлиняет цепочку. Зачем удлинять ее еще на одно звено PAM модулем? Кроме этого использование pam_ldap авторизации не совсем верно. Поидее надо использовать pam_krb5. Т.к. AD его поддерживает. Потом кто мешает использовать saslauthd с ldap, а остальные с pam модулями ?

"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Автор , 07-Фев-05 12:05 
Теперь у нас есть несколько вариантов:
saslauthd -a pam;
saslauthd -a ldap (я этот вариант с AD не тестировал, а Вы?);
saslauthd -a rimap;
Выбирайте любой.

>Кроме этого использование pam_ldap авторизации не совсем верно.
Я писал о smtp аутентификации. Для авторизации еще необходим nss_ldap.

>Поидее надо использовать pam_krb5.
Да, pam_krb5 можно использовать, а Вы пробовали?



"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено sauron , 08-Фев-05 08:33 
>saslauthd -a ldap (я этот вариант с AD не тестировал, а Вы?);
Должно работать.

>Да, pam_krb5 можно использовать, а Вы пробовали?
Если правильно настроить MIT-Kerberos V на взаимодействие с AD должно работать. Там есть только один минус. Увы он не работает в паре с nss_ldap.


"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено kex2k , 03-Окт-05 11:59 
Так как все-таки настроить подключение к Exchange посредством saslauthd? Если не использовать pam_ldap откуда будет брать данные для подключения к EXchange'у saslauthd?
Спасибо.

"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено 4tune , 09-Фев-05 20:23 
>>saslauthd -a ldap (я этот вариант с AD не тестировал, а Вы?);
>Должно работать.
Более того, прекрасно работает.

"Smtp аутентификация клиентов postfix в Aсtive Directory"
Отправлено Аноним , 18-Апр-05 13:10 
Всё это хорошо, но расскажите подробнее как именно настроить авторизацию пользователей(sendmail, postfix - неважно) например посредством saslauthd -a ldap
где там какие % и фильтры в saslauthd.conf ставить - вообще непонятно.
С настройкой pam_ldap парюсь с неделю уже ничего не выходит. использовал для этого fedora 2 с родными пакетами и sentos 4.0 и с установленным pam_ldap с сайта PADL ничего не выходит всё делаю как в вышеобозначенной статье. чего где ещё прописать? в логах всё время одно и тоже:
saslauthd[...]:do_auth   :auth failure:[user=asd][service=smtp][realm=][mech=pam][reason=PAMauth error]
я готов оставить это дело если бы кто рассказал как sasl заставить работать с AD через ldap