OpenLDAP, Samba y contraseña

Como stop-gap he creado el script para la Samba que la actualización de la shadowLastChange de cambio de contraseña:

#!/bin/sh
# script to update shadowLastChange when samba updates passwords
# it's not needed when using 'passwd', it does update the field,
# even if pam_ldap is using LDAP Extented Operation to change password

LDAP_MODIFY="/usr/bin/ldapmodify"
LDAP_SEARCH="/usr/bin/ldapsearch"
LDAP_USER="uid=shadow-update,ou=Services,dc=example,dc=com"
LDAP_PASSWORD="change-me"
LDAP_HOST="localhost"

# get date
SLC=$((`date '+%s'` / 24 / 3600))

# get user login name
user=$1

# find user's DN
dn=$($LDAP_SEARCH -x -h $LDAP_HOST -LLL -b dc=example,dc=com "(uid=$user)" dn)
dn=${dn#dn:}

# check if DN is not base64 encoded
if [ "${dn:0:1}" = ":" ]; then
        # update password change date
        echo "dn:$dn
changetype: modify
replace: shadowLastChange
shadowLastChange: $SLC" | cat | $LDAP_MODIFY -x -h "$LDAP_HOST" \
 -D "$LDAP_USER" -w "$LDAP_PASSWORD" > /dev/null 2>&1
else
        # update password change date
        echo "dn: $dn
changetype: modify
replace: shadowLastChange
shadowLastChange: $SLC" | cat | $LDAP_MODIFY -x -h "$LDAP_HOST" \
 -D "$LDAP_USER" -w "$LDAP_PASSWORD" > /dev/null 2>&1
fi

err=$?

if [ ! $err -eq 0 ]; then
   echo "error: can't update shadowLastChange: $err"
   echo "`date`: shadow.sh: can't update shadowLastChange: $err"\
       >> /var/log/shadow-update.log
   exit;
fi

echo OK

En config Samba necesita unix password sync conjunto a yes, passwd chat conjunto a *OK* y passwd program a la secuencia de comandos anterior con "%u" como param.

Una cuenta especificada en LDAP_USER debe ser creado en LDAP y dar permisos para leer en uid de todos los usuarios Samba y el derecho a escribir shadowLastChange.

Yo escribí mi propio OpenLDAP superposición de llamada shadowlastchange a actualizar la shadowLastChange atributo siempre un EXOP de cambio de contraseña se produce. Se activa en slapd.conf:

moduleload smbk5pwd
moduleload shadowlastchange
...

database bdb
...
overlay smbk5pwd
overlay shadowlastchange

He configurado smb.conf a cambio de contraseñas a través de EXOP:

ldap passwd sync = Only

Luego, para cada cuenta, establezca shadowMax el número de días de validez de la contraseña. El OpenLDAP módulos encargamos del resto!

Tengo respuesta de uno de los desarrolladores de GOsa. En este momento GOsa no admite ppolicy recubierto de ninguna manera.