小编Dar*_*eek的帖子

使用 Kerberos 配置文件...

[realms]
  DOMAIN.COM = {
    kdc = dc1.domain.com
    admin_server = dc1.domain.com
  }

Run Code Online (Sandbox Code Playgroud)

... Linux 可以与 Active Directory 对话以进行密码验证，而不必是 AD 域成员：

$ kinit jdoe
Password for jdoe@DOMAIN.COM:
$ klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: jdoe@DOMAIN.COM

Valid starting     Expires            Service principal
01/12/15 15:36:16  01/13/15 01:36:25  krbtgt/DOMAIN.COM@DOMAIN.COM
        renew until 01/19/15 15:36:16

Run Code Online (Sandbox Code Playgroud)

此时，您可以使用 PAM 在 /etc/passwd 中定义本地 Linux 用户，但通过 Active Directory 对他们的 TTY 会话进行身份验证。通过 krb5 进行身份验证是作为每个登录上下文完成的：

auth        sufficient    pam_krb5.so use_first_pass

Run Code Online (Sandbox Code Playgroud)

但是，如果 krb5 已经作为 PAM 全局默认值的一部分实现了，为什么 Samba 不也选择它呢？我看到 /etc/pam.d/samba 包含了 Kerberized password-auth 文件，但在访问 …