<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
  <head>
    <meta content="text/html; charset=ISO-8859-1"
      http-equiv="Content-Type">
  </head>
  <body bgcolor="#ffffff" text="#000000">
    On 03/28/2012 09:59 AM, Olivier wrote:
    <blockquote
cite="mid:CA+5QeXRYnUJ9Lh_XDLzWUDOeo+SqE=VStpcCCSJSK7AgVjTE8A@mail.gmail.com"
      type="cite">Hello there<br>
      <br>
      Not sure that this is feasable nor that this is the right place<br>
      to submit this question but I think it is.<br>
      <br>
      I use sssd to deal with authentication on my linux boxes :<br>
      OK<br>
      <br>
      I also know how to use external SASL_MECH to bind my<br>
      ldap server : I have produced and install a certificate with<br>
      an appropriate subject and signed it by a CA that is known<br>
      by my ldap server. Like this, I can bind the server over TLS<br>
      with my identity and without providing any passwd.<br>
      <br>
      $ ldapsearch -ZZ uid=olivier<br>
      SASL/EXTERNAL authentication started<br>
      SASL username:
      0.9.2342.19200300.100.1.1=guillard,ou=staff,dc=example,dc=fr<br>
      SASL SSF: 0<br>
      ...response...<br>
      <br>
      Right : nothing new.<br>
      <br>
      I was now wondering if there would have any way to annonce<br>
      my certificate using the "external SASL_MECH"&nbsp; mechanism<br>
      over a login process to a linux box (let say using ssh), so that<br>
      pam would not ask me to type a "login" and a "password" to<br>
      log in ?<br>
      <br>
      Don't hesitate to fire if my question is stupid.<br>
      <br>
      Thanks,<br>
      <br>
      ---<br>
      Olivier<br>
      <br>
      <br>
      PS, to rephrase that : I'm looking for a way to use a personnal
      key<br>
      to login without having to provide a password. ssh keys are not<br>
      the right solution because I would need to install the public key<br>
      in every authorized_key on my network ( I would like a centralized<br>
      solution ).<br>
      <br>
      I also found this :<br>
      <a moz-do-not-send="true"
        href="http://code.google.com/p/openssh-lpk/">http://code.google.com/p/openssh-lpk/</a><br>
      <br>
      But I don't want to patch ssh if possible since I highly prefere
      to<br>
      use standard tools provided as much as possible<br>
      <br>
      I'm on RedHat6<br>
      <br>
      <br>
    </blockquote>
    <br>
    Are you sshing from Windows or Linux?<br>
    I am not sure how you can do it with just a key or a cert. <br>
    SSH does not support cert authentication but in RHEL there have been
    some patches to support X509 certs though I am not sure how exactly
    it would work.<br>
    <br>
    If you use Kerberos and/or IPA for your Lunix/UNIX environment you
    can provision a user keytab to the machine from which you ssh and <br>
    script around&nbsp; ssh call to do kinit with the user key in the keytab.
    Then you will not be asked for anything. kinit will acquire the
    ticket using the principal you scripted. It would use the key that
    you provisioned. And the SSH would use GSSAPI to log you into the
    box. <br>
    <br>
    <blockquote
cite="mid:CA+5QeXRYnUJ9Lh_XDLzWUDOeo+SqE=VStpcCCSJSK7AgVjTE8A@mail.gmail.com"
      type="cite"><br>
      <pre wrap="">
<fieldset class="mimeAttachmentHeader"></fieldset>
_______________________________________________
sssd-devel mailing list
<a class="moz-txt-link-abbreviated" href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a>
<a class="moz-txt-link-freetext" href="https://fedorahosted.org/mailman/listinfo/sssd-devel">https://fedorahosted.org/mailman/listinfo/sssd-devel</a>
</pre>
    </blockquote>
    <br>
    <br>
    <pre class="moz-signature" cols="72">-- 
Thank you,
Dmitri Pal

Sr. Engineering Manager IPA project,
Red Hat Inc.


-------------------------------
Looking to carve out IT costs?
<a class="moz-txt-link-abbreviated" href="http://www.redhat.com/carveoutcosts/">www.redhat.com/carveoutcosts/</a>


</pre>
  </body>
</html>