Samba+AD

[andr0n]

Вопрос по Самбе

1. Имеется лес в AD LAB.LOCAL из 1000 рабочих мест  в каждом OU (01, 02, ... 10) по 100 машин. 
2. Настроена доменная авторизация пользователей AD + прокси AD+NTLM+squid+sams
Сейчас samba настроена так что в ней виден весь лес AD wbinfo -u но мне поставлена задача так чтобы ограничить доступ к другим и видеть только одну OU т.к наше подразделение отвечает только за одну OU а видеть других не дано.

Вопрос 1: как это реализовать?
У меня есть предположения что можно или в smb.conf или параметрами команды ввода в домен net ads join LAB.LOCAL -U user_ad

Вопрос 2: какова нагрузка на контроллер домена AD при имеющейся настройке когда прокся цепляется ко всему лесу AD?

[AnrDaemon]

1. В этом нет смысла. Теоретически ограничить можно, но геморроя это добавит изрядно.
2. Нулевая. Практически.

[n2011all]

Если я правильно понял Вашу задачу, то
1- Задача распределенного просмотра (browse_master) по юнитам (OU) решается со стороны домена AD применением политик а не наоборот со стороны юнита. Исключение может быть если у Вас есть права на установление политик в Вашем юните и то только начиная с 2008R1
2- Насчет самой самбы, есть интересный вариант в связке с Ldap (поднимаете Ldap, в нем ограничиваете базу юсеров только Вашим юнитом)
Такая же схема возможна и со стороны домена АD (особенно на 2012-м - службы федерации и лдап в нем встроены изначально) Подробно поищите на technet (ad+ldap+samba)

[AnrDaemon]

n2011all, а ничего, что АД изначально работает на LDAP?

[Elvis14015]

Здравствуйте, помогите советом и делом. Имеется сервер с AD  под управлением Win server 2003  и порядка 20-ти рабочих станций с Windows xp. Поставлена задача перевести часть рабочих станций на линукс, в качестве дистрибутива был выбран Ubuntu 12.04 лтс. Сказано-сделано , установил, добавил самбу, керберос и вингбинд...настроил...и тут приехали. Компьютеры сети он видит,но при входе на ресурс требует пароль. При печати по сети та же ситуация...авторизуемся по каждому принтеру отдельно...естественно бухгалтер это делать не будет, тем более в терминале... При попытке входа через окно входа не авторизуется... Пробовал настроить через линквайз (удаляя вингбинд) та же история... пишет что все хорошо и мы в домене, а по факту нет...

[AnrDaemon]

А теперь то же самое, но минус лирика и плюс конкретика.

[Elvis14015]

Итак по порядку:
работа велась согласно вот этой инструкции
http://jtprog.ru/ubuntu-in-domen-windows/
вот содержание файла krb5.conf

(Нажмите, чтобы показать/скрыть)

[libdefaults]
   default_realm = BG.COM
   kdc_timesync = 1
   ccache_type = 4
   forwardable = true
   proxiable = true
   v4_instance_resolve = false
   v4_name_convert = {
      host = {
         rcmd = host
         ftp = ftp
      }
      plain = {
         something = something-else
      }
   }
   fcc-mit-ticketflags = true

[realms]
   BG.COM = {
      kdc = main
      admin_server = main
      default_domain = BG.COM
   }

[domain_realm]
   .bg.com = BG.COM
   bg.com = BG.COM
[login]
   krb4_convert = false
   krb4_get_tickets = false

на введение команды  klist выдает следующее:
klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_1000)

[AnrDaemon]

net ads testjoin
?

wbinfo -t
?

[Elvis14015]

(Нажмите, чтобы показать/скрыть)

serge@serge-1:~$ sudo net ads testjoin
[sudo] password for serge:
Join is OK
serge@serge-1:~$ wbinfo -t
Приложение 'wbinfo' может быть найдено в следующих пакетах:
 * winbind
 * winbind4
Попробуйте: sudo apt-get install <выбранный пакет>
serge@serge-1:~$
 

вингбинд был удален так как он не совместим с likewise

[AnrDaemon]

Ясно.