Reprenez ici les questions de la partie Gestion des paquets NFS.

Un montage NFSv4, qu'il soit manuel ou déclenché par autofs, suppose que le répertoire distant existe déjà côté serveur : on ne monte jamais un chemin absent. Tant que /home/exports/home/anakin n'existe pas sur le serveur, toute tentative de montage de nfs-srvr.lab.local:/home/anakin depuis le client échoue, que cette tentative soit manuelle ou automatique. Une connexion sur le client ne peut donc rien créer côté serveur : c'est uniquement une connexion ouverte directement sur le serveur, via sa racine locale /ahome (Section 5.2, « Assurer la cohérence du schéma de nommage entre serveur et client »), qui permet au module mkhomedir de créer réellement l'arborescence sur le support physique.

	Attention
	Le module mkhomedir ne doit être activé que sur le serveur. S'il l'était aussi sur le client, une connexion antérieure à la création réelle du répertoire créerait, sous /ahome, un répertoire local ordinaire au lieu de déclencher le montage NFSv4 attendu : ce répertoire local masquerait ensuite le partage réseau, sans jamais être visible depuis un autre client.

Le compte de service nslcd-proxy et son mot de passe ont déjà été créés directement sur le serveur (Section 4.4, « Configurer l'accès transparent à l'annuaire depuis le client ») : il suffit de les réutiliser, sans transfert préalable.

sudo install -m 400 ~/.ldap_nslcd-proxy_pass /root/

cat << 'SCRIPT_EOF' >configure-nslcd-server.sh
#!/usr/bin/env bash
set -euo pipefail

# 1. Vérification des privilèges
if [[ ${EUID} -ne 0 ]]; then
  echo "Erreur : ce script doit être exécuté par root (sudo $0)." >&2
  exit 1
fi

readonly PROXY_DN="uid=nslcd-proxy,ou=users,dc=lab,dc=local"
PASS_FILE="/root/.ldap_nslcd-proxy_pass"

if [[ ! -s "${PASS_FILE}" ]]; then
  echo "Erreur : secret introuvable dans ${PASS_FILE}." >&2
  exit 1
fi

PROXY_PASS=$(head -n 1 "${PASS_FILE}")
readonly PROXY_PASS

echo "=== 1. Pre-seeding debconf ==="
debconf-set-selections <<EOF
nslcd nslcd/ldap-uris string ldaps://ldap-srvr.lab.local
nslcd nslcd/ldap-base string dc=lab,dc=local
nslcd nslcd/ldap-auth-type select simple
nslcd nslcd/ldap-starttls boolean false
nslcd nslcd/ldap-reqcert select demand
nslcd nslcd/ldap-cacertfile string /etc/ssl/certs/labCA.crt
nslcd nslcd/ldap-binddn string ${PROXY_DN}
nslcd nslcd/ldap-bindpw password ${PROXY_PASS}
libnss-ldapd libnss-ldapd/nsswitch multiselect passwd, group, shadow
EOF

echo "=== 2. Installation des paquets ==="
apt update -qq
DEBIAN_FRONTEND=noninteractive apt install -y --no-install-recommends \
  nslcd libnss-ldapd libpam-ldapd nslcd-utils

echo "=== 3. Redémarrage du service ==="
systemctl restart nslcd

echo ""
echo "Succès : serveur configuré comme client LDAP."
SCRIPT_EOF
sudo bash configure-nslcd-server.sh

Vérifiez que la résolution des comptes fonctionne désormais aussi sur le serveur.

id anakin

uid=10001(anakin) gid=10001(anakin) groupes=10001(anakin),100(users)

Sur le serveur, on complète le fichier commun de gestion de session : /etc/pam.d/common-session.

sudo pam-auth-update --package --enable mkhomedir

Vérifiez le résultat en recherchant la clé mkhomedir dans les fichiers du répertoire /etc/pam.d/.

grep mkhomedir /etc/pam.d/*

/etc/pam.d/common-session:session optional                        pam_mkhomedir.so

Depuis le client clnt.lab.local, on ouvre une connexion SSH directe vers le serveur srvr.lab.local avec l'identité d'un compte qui n'existe que dans l'annuaire, par exemple anakin.

etu@clnt:~$ ssh -o StrictHostKeyChecking=accept-new anakin@srvr.lab.local
(anakin@srvr.lab.local) Password:
Linux srvr 7.1.12+deb14-cloud-amd64 #1 SMP PREEMPT_DYNAMIC Debian 7.1.12-1 (2026-08-28) x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Creating directory '/ahome/anakin'.
anakin@srvr:~$ pwd
/ahome/anakin
anakin@srvr:~$ ls -l /home/exports/home/
total 4
drwx------ 2 anakin anakin 4096  6 sept. 17:22 anakin

Le chemin affiché confirme que le répertoire vient d'être créé sous la racine commune /ahome mise en place dans la sous-partie précédente (Section 5.2, « Assurer la cohérence du schéma de nommage entre serveur et client »), alors même qu'aucun montage NFSv4 n'est intervenu : la session SSH s'est ouverte directement sur le serveur.

Une seconde connexion permet de vérifier le caractère idempotent du traitement : le message de création ne doit plus apparaître.

etu@clnt:~$ ssh anakin@srvr.lab.local
(anakin@srvr.lab.local) Password:
Linux srvr 7.1.12+deb14-cloud-amd64 #1 SMP PREEMPT_DYNAMIC Debian 7.1.12-1 (2026-08-28) x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
anakin@srvr:~$ pwd
/ahome/anakin

	Note
	Le test de l'automontage effectif du répertoire personnel depuis un client NFSv4, avec les options sec=krb5p et xprtsec=mtls, est traité séparément dans la partie Section 7.1, « Automontage NFS à partir de la configuration publiée par l'annuaire LDAP », une fois le service autofs configuré (Section 6, « Intégrer la configuration de l'automontage dans l'annuaire LDAP »).