Клиент ALD:

Создание мандатных домашних каталогов пропатченной самбой порождается командой
mount //ald.aldd.le/alduser /ald_home/alduser -o user=alduser,sec=krb5i,rw,setuids,perm,soft,iocharset=utf8,nosharesock,cruid=2501,vers=1.0
где 2501 - это UID alduser-а (кстати, сейчас уже можно просто имя юзера писать).

Эта команда вызывается на PAM-этапе session pam_ald.so (в etc/pam.d/common-session), файл src/modules/ald-cfg-smbc/ALDCfgSmbc.cpp, DoMountCIFSUserHome(), где для монтирования просто вызывается system() cо сформированной нужной строкой команды.

Выполнение этой команды (от sudo) из командной строки имеет аналогичный эффект.
Ключевым является параметр vers=1.0, без него backdoor не срабатывает.
При этом билет Керберос для авторизации берётся из файлов вида /tmp/krb5cc_2501_*, которые создаются при логинах юзера (и почему-то остаются доступны при неудачно завершившемся входе).

Дефолтные параметры, которые прописаны в ALD, видимо их можно убрать:
rw (mount)
perm (cifs.mount)
soft (cifs.mount)

Клиент FreeIPA:
Аналог команды ALD выглядит так:
1.
sudo kinit ipauser01
sudo mount //ipa0.ipadomain0.ru/homes /mnt -o user=ipauser01,sec=krb5i,rw,setuids,perm,soft,iocharset=utf8,nosharesock,cruid=ipauser01,vers=1.0

В таком варианте команда не выполняется, так как параметры Для того, чтобы заработало сочетание параметров sec=krb5i и vers=1.0 почему-то несовместимы:
mount error(524): Unknown error 524
Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)необходимо в конфигурацию сервера samba добавить параметр "server signing = required" и перазапустить сервер samba (перезапустить даже если используется samba-registry):

2.
Если sec=krb5i заменить на sec=krb5:
sudo kinit ipauser01
sudo mount //ipa0.ipadomain0.ru/homes /mnt -o user=ipauser01,sec=krb5,rw,setuids,perm,soft,iocharset=utf8,nosharesock,cruid=ipauser01,vers=1.0
Команда не выполняется, так не может найти билет Керберос для ipauser01 (ищет KEYRING:persistent:UID:UID, а полученный от имени sudo билет лежит в KEYRING:persistent:0:0)

3.
cruid=ipauser01 заменить на cruid=0
sudo kinit ipauser01
sudo mount //ipa0.ipadomain0.ru/homes /mnt -o user=ipauser01,sec=krb5,rw,setuids,perm,soft,iocharset=utf8,nosharesock,cruid=0,vers=1.0

Монтирование выполняется при условии, что уже существует /home/ipauser01/ (домашний каталог пользователя), backdoor срабатывает, и, если метка ненулевая, то создаёт мандатные пользовательские подкаталоги. При этом подкаталоги создаются только при условии, что вызванная шара самбы - специальная шара homes (в ALD для этого используется каталог /ald_export_home).

Парсек написан для работы на локальной машине, и он работает от имени суперпользователя игнорируя все мандатные ограничения. В том числе - выполяет монтирование мандатных домашних каталогов находясь на нулевом уровне конфиденциальности. При подключении через сеть ему приходится работать от имени пользвателя, и вступают в силу мандатные ограничения, не позволяющие работать с конфиденциальной информацией. В результате Парсек просто не видит разделяемых каталогов с ненулевой конфиденциальностью.

*** pam_mac.c.old       2020-08-12 15:56:29.411358560 +0300
--- pam_mac.c   2020-08-18 17:06:54.619453502 +0300
--- 1526,1549 ----
        }
  
        /* bind cuurent session's dir to home*/
+ 
+     T("Setting intermediate mac label");
+     PDPL_T *bind_mac_set=pdpl_dup(md->label);
+     if( !bind_mac_set)
+             T("Session label is NULL");
+     else {
+         pdpl_set_ilev(bind_mac_set,pdp_get_max_ilev());
+         if( pdp_set_current( bind_mac_set))
+             T("Can not set mac");
+         pdpl_put(bind_mac_set);
+     }
        if( !(session_home=pdplugm_make_session_dir(homes_root,md->user,MACDIR,md->label,md->uid,md->gid,HOME_MODE)) )
        {
                L(pamh,LOG_ERR,"Error making home dir %m");
                return PAM_SYSTEM_ERR;
        }
  
!       T("Home dir is %s. Export environment variable MACDIR", session_home);
        if( set_env(pamh,ENV_MACDIR,session_home) ) return PAM_SYSTEM_ERR;
  
        if( bind_dir(session_home,md->home,0,md) )
*

ToDo:

При работе с конфиденциальными данными в обязательном порядке следует настроить ограничения на файловом сервере: установить в конфигурации samba в секции [global] параметры:

client max protocol = NT1
use socket MAC label = YES

В используемой в данной статье конфигурации (когда конфигурация samba хранится в реестре samba) это можно сделать из командной строки (сервис при этом перезапускать не обязательно, изменения применятся автоматически). Команды:

Если конфигурация хранится в файле, то внести изменения в файл, после чего перезапустить сервис.

cat << EOT > homes.txt
[homes]
comment = Home Directories
create mask = 0600
directory mask = 0700
read only = No
valid users = %S
browseable = No
EOT

cat << EOT > pdp_homes.txt
[pdp_homes]
comment = pdp homes share
create mask = 0600
directory mask = 0700
path = /home/.pdp/%U
read only = No
browseable = No
valid users = %U
EOT

sudo net conf import homes.txt homes
sudo net conf import pdp_homes.txt pdp_homes

sudo mkdir /home/.pdp/ipauser
sudo chown ipauser:ipauser /home/.pdp/ipauser
sudo pdpl-file 3:0:-1:CCNRA /home/.pdp/ipauser

<volume 
fstype="cifs"
server="ipa0.ipadomain.ru"
path="%(USER)"
mountpoint="/home/%(USER)"
options="user=%(USER),cruid=%(USER),nosharesock,sec=krb5,vers=1.0"
/>

<volume 
fstype="cifs"
server="ipa0.ipadomain.ru"
path="pdp_homes"
mountpoint="/home/.pdp/%(USER)"
options="user=%(USER),cruid=%(USER),uid=%(USERUID),gid=%(USERGID),nosharesock,sec=krb5,vers=1.0"
/>

<mntoptions allow="nosuid,nodev,loop,encryption,fsck,nonempty,allow_root,allow_other,uid,gid,nosharesock,vers" />

<logout wait="0" hup="no" term="no" kill="yes" />