#

CFLAGS="$RPM_OPT_FLAGS -DOPENSSL_DES_LIBDES_COMPATIBILITY"

./configure --enable-shared --prefix=/usr/lib/heimdal

        --with-x --mandir=%{_mandir}

        --libdir=%{_libdir}

        --infodir=%{_infodir} --libexecdir=/usr/lib/heimdal/sbin

        --includedir=/usr/include/heimdal

        --with-readline-include=/usr/include/readline

        --with-readline-lib=/usr/lib

        $with_openldap

make

Читаем предупреждение. Не верим. Снимаем комментарий с управляющей переменной и собираем пакеты заново. Протокол сборки завершается сообщениями об успешной записи новых rpm:

# rpmbuild -ba /usr/src/packages/SPECS/heimdal.spec

.....

Wrote: /usr/src/packages/SRPMS/heimdal-0.6-67.src.rpm

Wrote: /usr/src/packages/RPMS/i586/heimdal-0.6-67.i586.rpm

Wrote: /usr/src/packages/RPMS/i586/heimdal-devel-0.6-67.i586.rpm

Wrote: /usr/src/packages/RPMS/i586/heimdal-lib-0.6-67.i586.rpm

Wrote: /usr/src/packages/RPMS/i586/heimdal-tools-0.6-67.i586.rpm

Удивительно, но все собралось вопреки предупреждениям SuSE-гуру. Устанавливаем полученное.

# rpm -Uvh --force /usr/src/packages/RPMS/i586/heimdal-*.rpm

Проверяем, что теперь сборка выполнена с поддержкой LDAP:

# ldd /usr/lib/heimdal/sbin/kdc | grep ldap

libldap.so.2 => /usr/lib/libldap.so.2 (0x4007a000)

Все отлично, ссылка на библиотеку LDAP появилась. Как и следовало ожидать, в информационных технологиях здоровый скепсис всегда кстати.

Настраиваем OpenLDAP

В отличие от NSS и PAM сервер Kerberos не имеет специального файла настройки LDAP-клиента. В отличие от Postfix, Squid, Courier-IMAP он не имеет также опций настройки LDAP-клиента в своих конфигурационных файлах. И это совершенно правильное решение. Дело в том, что если подключения Kerberos к LDAP будет использовать уязвимый способ аутентификации, то грош цена всей остальной системной безопасности, которую несет технология Kerberos. Защита внутри Kerberos, а в предлагаемом способе подключения LDAP становится частью Kerberos, должна гарантироваться физическими, а не информационными условиями. Другими словами, Kerberos может работать только с локальным сервером LDAP и только через локальное подключение, не допускающее перехвата информационного обмена.

Для этого настроим LDAP на прослушивание локального сокета. В SuSE это делается путем изменения специального файла в sysconfig.