Dans les derniers jours, j'ai configuré certains systèmes Linux avec une authentification LDAP et tout fonctionne bien, mais il y a encore quelque chose que je ne comprends pas vraiment concernant NSS et PAM, malgré beaucoup de recherches.

Citation :

NSS permet aux administrateurs de spécifier une liste de sources où les fichiers d'authentification, les noms d'hôtes et autres informations seront stockés et recherchés

et

PAM est un ensemble de bibliothèques qui fournissent une plateforme d'authentification configurable pour les applications et le système d'exploitation sous-jacent

Ce que je ne comprends pas, c'est comment PAM et NSS travaillent et interagissent ensemble. Dans ce livre, l'architecture est expliquée assez bien : je configure PAM pour utiliser pam_ldap pour les comptes LDAP et pam_unix pour les comptes locaux, puis je configure nsswitch.conf pour récupérer des informations à partir de fichiers locaux et de LDAP.

Si j'ai bien compris, LDAP est utilisé deux fois : d'abord par pam_ldap puis par NSS qui est lui-même appelé depuis pam_unix. Est-ce correct ? LDAP est-il vraiment utilisé deux fois ? Mais pourquoi dois-je configurer à la fois NSS et PAM ? Mon explication est que PAM effectue des tâches différentes de NSS et qu'il est utilisé par d'autres programmes. Mais, dans ce cas, il devrait être possible d'utiliser uniquement NSS ou uniquement PAM, comme je l'ai lu dans cette page.

Alors j'ai fait quelques expériences et j'ai d'abord essayé de supprimer LDAP du nsswitch.conf (et l'authentification a cessé de fonctionner comme si seul pam_ldap n'est pas suffisant pour faire le travail). Ensuite, j'ai réactivé LDAP dans NSS et je l'ai supprimé de la configuration PAM (cette fois tout a bien fonctionné, comme si pam_ldap est inutile et que NSS suffit pour authentifier un utilisateur).

Est-ce qu'il y a quelqu'un qui peut m'aider à clarifier cela ? Merci d'avance.

MISE À JOUR

Je viens d'essayer quelque chose maintenant. J'ai de nouveau supprimé toutes les entrées pam_ldap dans tous les champs de configuration pam et j'ai également supprimé shadow: ldap de nsswitch.conf. Maintenant, dans tout le système, il n'y a que les lignes : passwd: ldap files et group: ldap files dans nsswitch.conf. Eh bien... la connexion avec les utilisateurs LDAP fonctionne parfaitement, ces deux lignes (plus /etc/ldap.conf) suffisent pour configurer l'authentification LDAP.

D'après mes connaissances, PAM est indépendant de NSS, mais mes tests ont montré que ce n'est pas le cas. Donc je me demande est-il possible de désactiver complètement NSS et d'utiliser uniquement PAM ?