用户登录需要输入密码

用户登录需要输入密码

背景

新入职的用户在登录服务器的时候需要输入密码。

排查过程

1. 查看登录日志发现他有权限登录，并且应用树的认证已经通过

# cat secure
Dec 30 11:50:59 5b [sshd.pam_blf_stat_check][67947]: time: 10, home: /home, file_path: /home/chunshen.wang/.ssh/authorized_keys_status.
Dec 30 11:50:59 5b [sshd.pam_blf_stat_check][67947]: ignore, stat file error: No such file or directory.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: user: chunshen.wang.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[0]: host=userdb.corp.bianlifeng.com.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[1]: uri=/api/v1/auth/apptree_code.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[2]: root.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[3]: jenkins.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[4]: tomcat.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[5]: blibee.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: argv[6]: git.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: host: userdb.corp.bianlifeng.com, port: 443, uri: /api/v1/auth/apptree_code?username=xxxxxxxxx&hostname=5b.qa.w.beta.bj1.wormpex.com.
Dec 30 11:50:59 5b [sshd.pam_blf_apptree_auth][67947]: http_get() ok, code: 200, passed.

2. 查看sssd服务的日志，看到在通过了应用数的认证以后走了ipa的认证。freeipa的认证是降级的方案，是需要输入用户名密码的。

# cat /var/log/sssd/sssd_wormpex.com.log
(Mon Dec 30 11:50:59 2019) [sssd[be[wormpex.com]]] [sdap_initgr_nested_search] (0x0040): Search for group ipaUniqueID=a2e50970-87d8-11e7-bb81-246e966818e0,cn=hbac,dc=wormpex,dc=com, returned 0 results. Skipping
(Mon Dec 30 11:50:59 2019) [sssd[be[wormpex.com]]] [sdap_initgr_nested_search] (0x0040): Search for group ipaUniqueID=06199114-1d5b-11e9-8609-246e966818e0,cn=hbac,dc=wormpex,dc=com, returned 0 results. Skipping
(Mon Dec 30 11:51:55 2019) [sssd[be[wormpex.com]]] [sdap_initgr_nested_search] (0x0040): Search for group ipaUniqueID=a2e50970-87d8-11e7-bb81-246e966818e0,cn=hbac,dc=wormpex,dc=com, returned 0 results. Skipping
(Mon Dec 30 11:51:55 2019) [sssd[be[wormpex.com]]] [sdap_initgr_nested_search] (0x0040): Search for group ipaUniqueID=06199114-1d5b-11e9-8609-246e966818e0,cn=hbac,dc=wormpex,dc=com, returned 0 results. Skipping

3. 查看userdb中没有用户xxxx

解决方案

1. 手动添加用户
   curl xxxxxx
2. 和用户中心查询问题出现的原因和解决方案