拒绝不在AD“域管理员”组中的用户登录Linux计算机?

我要回答我自己的问题!Jim的思路似乎很有希望,但我对此进行了试验,它看起来不像是同样开放的LDAP身份验证使用了/etc/passwd文件中的任何内容。

正确的方法是编辑/etc/security/pam lwidentity.conf并取消注释和编辑以下部分:

# make successful authentication dependent on membership of one of
# the following SIDs/groups/users (comma-separated)
require_membership_of = MYDOMAIN\domain^admins

正在关闭3…2…一

当像这样的问题(非编程)结束时,我无法忍受。

在Windows上,这是通过组策略完成的。Samba目前不支持使用组策略管理*nix客户(Samba 4可能是吗??)

您可以尝试允许“域管理员”完全控制计算机对象,并删除“所有人”的所有权限,但我认为这不会阻止登录。我只是想知道,如果没有“允许验证”权限,是否会无意中阻止登录。我远非广告专家,所以这只是个猜测。

Likewise does have a product to handle this, but I think it's only in their enterprise package .

[编辑]补遗

您可以尝试在/etc/password中使用netgroup语法。 您可以通过运行“id”来验证您所在组的全名。如果您的groupname有“\”或“”,您可能需要避开它们。

在/etc/password文件的末尾添加行

+@AdminGroup::::::/bin/bash
+@Everyone::::::/sbin/nologin

这是为NIS网络组设计的,但值得一试。

这里还有一些可能有用的信息,

Ubuntu - Joining / Logging into Windows Domains

皮特