Если, случайно, в ALT-домене обнаружится пользователь с именем, идентичным локальному, после подключения к домену такой пользователь не сможет войти в систему. У пользователя из домена попросту не хватит прав на уже существующий локальный профиль со всей положенной руганью. В Кентаврах такой проблемы не возникало похоже по причине того, что имя сначала примеривалось к локальному профилю. Да, важность проблемы невелика, достаточно соблюдать уникальность имен в пространстве системы. Даже как бы и не баг вовсе, можно сказать особенность, но мало ли что. Обнаружено при пробе на подключение к домену Кентавра p7.
Это явно на какой-то другой компонент, т.к. недистрибутивоспецифично; но всяко спасибо.
Представляется мне, что отвечает за происходящее # rpm -qf system-auth-krb5_ccreds pam-config-1.7.0-alt1 С одной стороны, можно бы перевесить на него. А с другой стороны, влияет в основном на связку Альт Сервер - Альт Рабочая станция в режиме аутентификации через домен.
Отображение ("маппинг") глобальных пользователей на локальные - это настройки клиента - NSS (для авторизации) и PAM (для аутентификации). Пакет pam-config содержит шаблоны настроек для аутентификации и за авторизацию (назначение uid/gid/homedir/gecos и т.п.), вообще, не отвечает. Надо бы зафиксировать ожидаемое поведение. Мне кажется ожидаемым следующее поведение (и это надо бы задокументировать): - если имена локального и глобального пользователя в связке NSS (по списку модулей для passwd, group и shadow в файле /etc/nsswitch.conf) совпадают, то выбирается локальный пользователь. - домашние каталоги локального и глобального пользователя на должны совпадать на уровне настроек NSS-модулей (по умолчанию, /home/USERNAME для локальных пользователей, /home/DOMAIN/USERNAME - для глобальных). Дополнительно, нужно определиться с отображением аутентификационных имён пользователей (или принципалов, в случае с Kerberos) на авторизационные данные. Если используется домен по умолчанию, то коллизий избежать довольно сложно, поскольку локальный vasya = vasya@example.com. Как их отличать-то? На самом деле, механизм проверяющий, что если vasya локальный имеется и у него задан профиль /home/vasya, то для глобального пользователя применить замену каталога с профилем на /home/vasya.example.com, или /home/example.com/vasya, или /home/EXAMPLE/vasya в Linux, по умолчанию, отсутствует. А в на Windows клиентах имеется.
