Этот мой проект был изначально на испытательный срок, но он уже перерос это))

Мое сообщение кто то удалил?

я вижу твое сообщение про жаву

Минуту назад на отображалась. Ладно, оставлю пока тут. Не понятно просто как сконфигурировать для бинда, если есть знающие отпишитесь лс. Код ошибки

[LDAP: error code 1 - 000004DC: LdapErr: DSID-0C0907E9, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v2580];

спасибо

Безотносительно обсуждаемой задачи, лучше начинать принимать технические решения в пределах своей компетенции и на себя ответственность, иначе никогда как специалист не вырастешь (будешь делать грязную работу по чужим указаниям).
Это обычно не то, чем просто так внезапно делятся, а то, в получении чего ты сам должен проявлять инициативу.

а еще авторизации всякие и работа с юзерами чревата большими гемороями, и по этому тут лучше действовать на опережение... хотя бы не начинать подпирать потолок швабрами...

Если делать это с изяществом, то наоборот плюс. У нас так в департаменте уже целая группа разработки образовалась, которая пилит свои сервисы для управления инфрой :)

И тогда швабры превращаются в грациозные колонны в античном стиле (швабра внутри, правда, всё еще остается :)

спасибо за совет
в любом случае в процессе работы над задачей я узнал кое что новое для себя

https://stackoverflow.com/questions/16975309/spring-security-ad-ldap-error-code-1-000004dc-ldaperr-dsid-0c0906e8.

Нужен технический пользователь, который будет проверять наличие целевой учётки. Сначала байнд (читай аутентификация) для него, затем технический пользователь убеждается, что нужная учётка существует, затем байнд для реального пользователя с реальным введённым паролем.

Нужные атрибуты шибболет отдаст, если их пропустит фильтр (именно настройки фильтра определяют, какие атрибуты получит сервис-провайдер в сообщении).
Примерно вот так:

<?xml version="1.0" encoding="UTF-8"?>
<AttributeFilterPolicyGroup id="ShibbolethFilterPolicy"
        xmlns="urn:mace:shibboleth:2.0:afp"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xsi:schemaLocation="urn:mace:shibboleth:2.0:afp http://shibboleth.net/schema/idp/shibboleth-afp.xsd">
    <AttributeFilterPolicy id="urn:aws:webservices">
        <PolicyRequirementRule xsi:type="Requester" value="urn:aws:webservices" />
        <AttributeRule attributeID="awsRoles">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="awsRoleSessionName">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="aud">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
    </AttributeFilterPolicy>

     <!-- Release some attributes to an SP. -->
     <AttributeFilterPolicy id="AWSfilter">
        <PolicyRequirementRule xsi:type="ANY" />
        <AttributeRule attributeID="cn">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="aws_acct_num">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="awsRoles">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="awsRoleSessionName">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="aud">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="principal">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="NameID">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="userLogin">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="mail">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
        <AttributeRule attributeID="aws_acct_num">
            <PermitValueRule xsi:type="ANY" />
        </AttributeRule>
    </AttributeFilterPolicy>
</AttributeFilterPolicyGroup>

Сорри за запоздавший ответ. Я знал, что у меня это есть, только нужно было повспоминать и найти.

видел. но был не до конца уверен, что ошибка в бинде для технического пользователя. если так, то спасибо, подправил с учётом моей по. видимо изменился вариант бинда,надо будет позже чекнуть)

Есть смежный вопрос с ldap.

Можно ли в sssd корректно ограничить видимость пользователей в getent passwd в соответствии с фильтром ldap_access_filter?

В sssd.conf добавлено

enumerate = True # чтобы можно было видеть пользователей в getent passwd
...
access_provider = ldap
ldap_access_order = filter
ldap_access_filter = (memberOf=CN=groupname,OU=Services,OU=Access groups,OU=Laboratory,OU=Офис Город,OU=Company,DC=Company,DC=lan)

PAM корректно блокирует пользователя на входе в SSH, но getent passwd выводит всех пользователей дерева.
sssctl user-checks username
выдает
pam_acct_mgmt: Permission denied

id username тоже отдает информацию о пользователе, а не хотелось бы.

Можно ли в getent passwd, да и в целом в ОС, видеть только тех, кто подпадает под фильтр?

PS: Ранее пользовался nslcd, там фильтр работал как раз так, что фильтровал пользователей не попадающих под фильтр. Но потребовался sssd(из-за перехода на AD)

Забанить юзерам саму команду getent

И да, я наркоман )

Ты мой герой сегодня