pam_winbind — Winbind 機構の PAM モジュール
このツールは、samba(7) システムの一部である。
pam_winbind は Winbind デーモンと通信を行なうことで、 ローカルドメインによるユーザ認証を実現する PAM モジュールである。
pam_winbind では PAM の設定ファイルや
pam_winbind の設定ファイルである
/etc/security/pam_winbind.conf
で設定可能な幾つかのオプションがサポートされている。
PAM 設定ファイルのオプションは、設定ファイル中のオプションに優先する。
syslog にデバッグ出力を行なう。
syslogに詳細なPAMの状態のデバッグ情報を出力する。
このオプションが設定されると、 pam_winbind
は、認証するユーザが指定された SID もしくは NAME に所属する時のみ認証を成功させる。
SID にはグループの SID か alias の SID 、もしくはユーザの SID を指定することも可能である。
SID の代わり名前で指定することも可能である。
この名前は、
MYDOMAIN\\mygroup
形式か、
MYDOMAIN\\myuser
形式である必要がある。
名前で指定された場合、pam_winbind は内部的に SID を検索する。
名前には空白文字を含めることができないため、SID で指定することが推奨される。
wbinfo --user-sids=SID
により、あるユーザが所属するグループの SID 一覧を表示できる。
pam_winbind のデフォルト設定では、前のモジュールから引き渡される認証トークンを使用する。 トークンが使用できない場合、ユーザに対してパスワードを問い合わせるが、このオプションを使用することで、pam_winbind は前のモジュールから認証トークンが引き渡されなかった場合に、エラー終了するようになる。
その前の、スタックされたpasswordモジュールによって、 提供された、新しいパスワードを設定する。このオプションが 設定されていない場合、pam_winbindは新しいパスワードを 問い合わせる。
Active Directory のドメインコントローラと通信可能な場合、
pam_winbind は Kerberos 認証を用いて認証することが可能である。
このパラメータを指定することで、Kerberos 認証が有効になる。
(時刻が同期されていない場合など) Kerberos 認証に失敗した場合、
winbindd は MSRPC を用いた samlogon 認証を試行する。
このパラメータと共に、
winbind refresh tickets
が指定された場合、
Winbind 機構は、必要な時に TGT を更新することで、TGT を保持し続ける。
krb5_auth
オプションにより、pam_winbind
が Kerberos 認証を行なうように構成されていた場合、
Winbindd は TGT を資格情報キャッシュ中に保持する。
このオプションにより資格情報キャッシュの形式を指定することが可能である。
現在のところ、サポートされている唯一の値は FILE
である。
この場合、資格情報キャッシュは /tmp/krb5cc_UID ファイル中に作成される。UID はユーザの UID の数値である。
このオプションを空に設定した場合は、ログオン成功後にチケットキャッシュを用いた Kerberos 認証が行なわれない。
winbind offline logon
が有効な場合、Winbind 機構によるキャッシュされた資格情報を用いたログオンが可能となる。
PAM モジュールからこの機能を用いたい場合は、このオプションを設定すること。
出力をすべて抑止する。