Форум русскоязычного сообщества Ubuntu


Следите за новостями русскоязычного сообщества Ubuntu в Twitter-ленте @ubuntu_ru_loco

Автор Тема: SAMBA4+winbind+kerberos+AD  (Прочитано 1764 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
SAMBA4+winbind+kerberos+AD
« : 16 Ноябрь 2016, 13:53:33 »
Суть проблемы: настраиваю SAMBA-сервер на Ubuntu 16.04 (samba 4.3.11) с подключением к виндовому домену (уровня 2003 Server, но схема AD обновлена до 56-й версии).

smb.conf (только секция global):
(Нажмите, чтобы показать/скрыть)

Керберос и подключение к домену выполнены все норм. Однако в локальную базу nss доменные пользователи не маппируются.
В логах примерно следующее (winbindd-idmap):
(Нажмите, чтобы показать/скрыть)

Если idmap config * : backend = tdb (или другой локальный бэкэнд), то маппирование отрабатывает (разумеется в общий домен, с соответствующим преобразованием SID-uid). MYDOM, как я понимаю, преобразуется самбой в mydom и не может найти реалм для авторизации. Собственно, testparm все названия доменов в idmap config выводит в нижнем регистре (просто остальные домены у меня не задействованы). Может кто сталкивался, как можно изменить такое поведение самбы и заставить увидеть указанный домен?

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #1 : 16 Ноябрь 2016, 14:42:19 »
samba-tool testparmпод спойлер.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #2 : 16 Ноябрь 2016, 15:45:58 »
Вывод samba-tool:
(Нажмите, чтобы показать/скрыть)
« Последнее редактирование: 16 Ноябрь 2016, 15:54:07 от civilization »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #3 : 16 Ноябрь 2016, 17:16:43 »
        idmap config mydom : range = 1000000 – 1099999
        idmap config mydom : default = yes
        idmap config mydom : backend = ad
А вы в AD UNIX UID пользователям назначаете из этого диапазона?…
По умолчанию там от 10к идёт вообще-то.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #4 : 16 Ноябрь 2016, 18:48:50 »
По умолчанию, у меня в AD вообще ничего не идёт  ???, т.е. эти поля в AD пустые, я скромно надеялся, что idmap_uid их и заполнит. Для проверки сделал пользователя с заполненными полями uid и uidNumber и getent passwd опять не выдал ни одного пользователя домена (вывод в логи идентичный). Собственно, диапазон для домена в idmap был в начальных версиях конфига 10000-50000 (это ничего не давало тогда и сейчас тоже ничего не дало). Полагаю, дело всё же в трансляции имени домена в нижний регистр. Но возможно нужно присвоить uid'ы всем пользователям домена и тогда winbind сможет предоставить их в nss.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #5 : 16 Ноябрь 2016, 18:58:12 »
Диапазон в AD и диапазон в конфиге самбы должны совпадать.
И система должна быть настроена на смотрение в эту сторону.
cat /etc/nsswitch.confпоказывайте.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #6 : 16 Ноябрь 2016, 19:25:50 »
Чем задаётся диапазон в AD?
nsswitch.conf:
(Нажмите, чтобы показать/скрыть)

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #7 : 16 Ноябрь 2016, 19:36:29 »
В AD он задаётся схемой. Но лучше её не менять. Просто настройте Самбу на 10к+ и раздайте UID/GID пользователям, которым нужен доступ к линукс-серверу.
Внимательно смотрите, какую примари группу вы даёте пользователям… Там часто подсовывается "Administrators".
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #8 : 16 Ноябрь 2016, 19:57:01 »
Цитировать
Просто настройте Самбу на 10к+ и раздайте UID/GID пользователям
Про диапазон idmap в Самбе уже говорил - назначал 10к+ раньше (и теперь стоит тоже 10000-50000) - это на сложившуюся проблему не влияет. Раздавать UID/GID (как я понимаю) в AD необходимо руками? Автоматическую генерацию настроить не получится? Достаточно ли будет всем пользователям и группам домена прописать легитимные UID/GID чтобы заработал idmap, или нужно будет проверять-прописывать UID всем объектам в AD (например компьютерам)? И почему тогда не смаппировался пользователь которому я назначил корректный UID (из указанного в Самбе диапазона) и ругань на некорректный диапазон в логах idmap?

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #9 : 16 Ноябрь 2016, 19:59:44 »
Я раздавал руками, у меня немного пользователей.
Вероятно, можно что-то сделать скриптом.
Достаточно прописать пользователям и группам, причём только тем, которые вы собираетесь использовать на линухе (ну и системным, типа Domain Users/Admins).
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #10 : 16 Ноябрь 2016, 22:55:58 »
Тогда вопрос остаётся открытым - очевидно, что прописывание UID/GID отдельным пользователям и группам ничем не отличается от прописывания одному пользователю, а это проблему не решило (и даже никак на неё не повлияло). То же отсутствие пользователя домена в базе nss, те же записи в логах idmap. Перепробовал разные бэкэнды (tdb, rid, ad) и разные диапазоны для них - одна и та же запись в логе idmap: invalid range '...-...' specified for domain 'mydom'. Потом ошибки неинициализирован ADS. Т.е. nss получает доменных пользователей в базу если прописать для idmap config * : backend = tdb (или другой локальный) - пользователи получают uid'ы из диапазона назначенного домену *. А вот домен прописанный по имени не работает...

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #11 : 17 Ноябрь 2016, 01:24:56 »
Вы всё слова говорите. А диагностику скрываете.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #12 : 17 Ноябрь 2016, 12:08:08 »
Так, словами я описал ситуацию быстро и точно, если интересны логи - скажите какие (в логе idmap ничего нового от того, что я приводил в первом посте, только имена бэкэнда и пределы диапазона меняются - смысл ровно тот же). Что касается случая с локальным бэкэндом и доменом * то лог winbind вот (здесь видно, что домен получен в верхнем регистре и доменные пользователи отрабатывают, однако при обращении getpwnam уже нижний регистр домена):
(Нажмите, чтобы показать/скрыть)
лог idmap вот:
(Нажмите, чтобы показать/скрыть)
Если этих логов не достаточно - подскажите какие нужны еще.
« Последнее редактирование: 17 Ноябрь 2016, 12:10:41 от civilization »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 26066
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #13 : 17 Ноябрь 2016, 20:28:54 »
Диагностику - покажите getent passwd с системы с настроенным
idmap config mydom : range = 10000-131071
Пользователь добавил сообщение 17 Ноябрь 2016, 20:32:17:
P.S.
Вотпрямщазрабочая конфигурация.
(Нажмите, чтобы показать/скрыть)
« Последнее редактирование: 17 Ноябрь 2016, 20:32:17 от AnrDaemon »
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн civilization

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
Re: SAMBA4+winbind+kerberos+AD
« Ответ #14 : 17 Ноябрь 2016, 21:22:54 »
Показываю:
(Нажмите, чтобы показать/скрыть)
Последние 7 строк - доменные пользователи (и ниже тоже - их много, обрезал - ситуация вроде понятна). Cейчас конфигурация idmap аналогична вашей только диапазон для mydom с 10000 начинается, ну и в AD прописал uid из указанного диапазона только одному пользователю (он в конце списка и здесь обрезан, но uid idmap ему тоже назначил из диапазона домена *, а не из AD, или хотя бы просто из диапазона mydom). А, если не секрет, откуда такая граница диапазона (131071)?
« Последнее редактирование: 17 Ноябрь 2016, 21:30:55 от civilization »

 

Страница сгенерирована за 0.067 секунд. Запросов: 24.