Active Directory (AD) ドメインに統合した後、サーバーに ssh できない [CentOS/RHEL 7]

問題

CentOS/RHEL 7.3 システムは、Active Directory ドメインに参加するように正常に構成されました。 OL システムのユーザーがログインできず、/var/log/messages システム ログに次のエントリが見つかります:

2017-06-28T11:28:41.404719-04:00 adclient sshd[10352]: pam_sss(sshd:auth): authentication success; logname= uid=0 euid=0 tty=ssh ruser= rhost=X.X.X.X user=test1
2017-06-28T11:28:41.573420-04:00 adclient sshd[10352]: pam_krb5[10352]: account checks fail for '[email protected]': user disallowed by .k5login file for 'test1'

解決策

上記の /var/log/messages 出力の最初の行は、Linux クライアントが test1 ユーザー資格情報を使用して AD サーバーに接続したことを示しています。 2行目は、アカウントの使用が pam_krb5 によってローカルでブロックされていることを報告しています PAM (Pluggable Authentication Modules) チェック。このモジュールは $(HOME)/.k5login によって制御されます ファイル。

対処法

推奨される解決策は、サーバー プリンシパルをユーザーごとの ${HOME}/.k5login ファイルに追加することです。 K5LOGIN を参照してください このファイルへの項目の追加に関する追加情報については、man ページを参照してください。

回避策

アクセス制御リスト (ACL) 機能を使用したくない場合は、次の手順でシステム全体で機能を無効にします:

1. /etc/krb5.conf のバックアップを必ず作成してください 変更を加える前に。

2. 次の行を /etc/krb5.conf ファイルに追加します。

# vi /etc/krb5.conf
[appdefaults]
pam = {
    debug = false
    TEST.ORACLE.COM = {
        ignore_k5login = true
    }
}

3. ファイルを保存します。