Отказ в доступе к экрану блокировки (аутентификация AD через sssd)

Question 1

На xenial экран блокировки у меня не работает. Введу ли я правильный пароль или нет, он не позволит мне войти. Однако, если я нажму на меню в верхнем правом углу экрана и выберу «сменить пользователя», но выберу того же пользователя, что и на экране блокировки это позволяет мне прямо.

На экране блокировки аутентификация, кажется, работает правильно. Это просто не разрешает мне. Вот что я вижу в /var/log/auth.log:

May  3 11:57:44 hostname compiz: pam_krb5(unity:auth): user myuser authenticated as myuser@MYDOMAIN.NET
May  3 11:57:44 hostname compiz: gkr-pam: unlocked login keyring
May  3 11:57:44 hostname compiz: pam_sss(unity:account): Access denied for user myuser: 6 (Permission denied)

Аутентификация происходит из домена Active Directory. Я использую sssd. Эта же конфигурация отлично работает на Trusty, Vivid и Wily. Только кажется, что сломан на Xenial. Я попробовал на рабочей станции, которая была обновлена с Wily, а также на новую установку. У меня чертовски много времени, чтобы понять, что нужно сделать по-другому.

Это влияет только на учетные записи AD. Локальных учетных записей нет.

Также происходит сбой при запуске чего-либо через графический интерфейс, который требует повышенных привилегий. Например, при установке программного обеспечения из Ubuntu Software Center. Это не позволит учетной записи AD авторизовать установку, но позволит локальному пользователю авторизовать ее. Однако из командной строки учетные записи AD могут использовать sudo без проблем.

Что-то делает Пэм несчастной. Есть идеи, что бы это могло быть?

Question 2

Эта фиксация была отправлена как комментарий на ошибку это отправленный vargax. Если Вы добавляете:

ad_gpo_map_interactive = +unity

к [домен/доменное имя] раздел/etc/sssd/sssd.conf, экранная проблема блокировки уходит.

, К сожалению, это не решает проблему с поднятыми полномочиями в gui.

Question 3

Question 4

Проверьте, установлен ли/etc/fstab правильно на разделы диска.

Затем я реконфигурировал бы сам lightdm

Для последнего ресурса, я попытаюсь переустановить саму человечность, ища пользователя и установки пароля во время установки.

PAM, кажется, очень хитер.

Question 5

Они равняются два отдельные (но вероятно связанный) ошибки. Никто не отправил журнал, который демонстрирует ошибку поднятых полномочий, таким образом, я не могу сказать Вам что опцию добавить к sssd.conf для фиксации ее.

я получил "единицу" от "pam_sss (unity:account): Доступ запрещен" (текст перед ": учетная запись" является названием службы PAM, с которой связываются).

ошибка здесь - то, что нисходящий специалист по обслуживанию Ubuntu не скорректировал множество значений по умолчанию для AD поставщика для включения независимо от того, что сервис PAM используется здесь, и он отклоняет по умолчанию, если это неизвестно.

Эти ad_gpo_map_interactive = +unity обходное решение; я отправил патч к SSSD в восходящем направлении для добавления этого по умолчанию. Я мог бы сделать то же для того, что влияет на поднятые полномочия, если оно не конфликтует ни с чем больше. Иначе это будет обязанность Ubuntu изменить это в нисходящем пакете.

Question 6

Я просто отправляю отчет об ошибках: https://bugs.launchpad.net/ubuntu / + source/sssd / + ошибка/1578415

, Возможно, Вы парни могут отметить себя, как затронуто...

mrwboilers · Accepted Answer · 4 May 2016 в 08:55