ldap_client

Учетные записи UNIX через LDAP (nslcd) (Debian, FreeBSD)

Переменные (по умолчанию)

Обязательные

• ldap_base ('') пример: 'dc=univ,dc=fr'
• ldap_uri ('') пример: 'ldaps://ldapr.univ.fr/ ldaps://ldap.univ.fr/'

Проверьте значения по умолчанию:

• ldap_force_shell ('/usr/sbin/nologin') оставьте пустым, чтобы разрешить shell из ldap, или задайте другой (по умолчанию подходит, если вам нужны только учетные записи без возможности входа пользователей)
• ldap_binddn ('')
• ldap_bindpw ('')
• ldap_tls_cacert ('')
• ldap_passwd_ou ('ou=People')
• ldap_group_ou ('ou=Group')
• ldap_passwd_filter ('(objectClass=posixAccount)')
• ldap_authz_filter (ldap_passwd_filter)
• ldap_group_filter ('(objectClass=posixGroup)')
• ldap_min_uid (1000)
• ldap_nss (true)
• ldap_starttls (false)

Необязательные

• pam_ldap_services ([]) - только для FreeBSD - ничего не делает, если пусто вам могут понадобиться 'login', возможно 'sshd', 'imap' и т.д. - любые сервисы pam, которые вам нужны
• ldap_validnames ('') см. man nslcd.conf
• ldap_autofs (False) разрешить автоматическое монтирование nss в nslcd.conf

Пример плейбука

• Для машины входа:

- hosts: mymachines
  roles:
    - criecm.ldap_client
  vars:
    ldap_base: dc=univ,dc=fr
    ldap_uri: 'ldaps://myldap.mydomain ldaps://myldapbackup.mydomain'

    x509_ca_path: /etc/ssl/myca.crt
    x509_ca_file: files/ca.crt
    ldap_tls_cacert: '{{x509_ca_path}}'
    ldap_tls_reqcert: 'demand'

    ldap_force_shell: /bin/bash

• Для почтового сервера:

- hosts: mailsrv
  roles:
    - criecm.ldap_client
    - роль почтового сервера
  vars:
    ldap_base: dc=univ,dc=fr
    ldap_uri: 'ldaps://myldap.mydomain ldaps://myldapbackup.mydomain'

    x509_ca_path: /etc/ssl/myca.crt
    x509_ca_file: files/ca.crt
    ldap_tls_cacert: '{{x509_ca_path}}'
    ldap_tls_reqcert: 'demand'

    ldap_passwd_filter: ('(&(objectClass=inetMailRecipient)(mail=*@mydomain))')
    pam_ldap_services: [ dovecot, imap, submission ]