Samba 4.19 и Windows Server 2008

[ivul]

Приветствую!
Понимаю, что Win2008 давно устарела. Но в некой организации в качестве контроллера AD стоит именно она, замены в ближайшее время не предвидится.

Нужно на Linux-машине расшарить папку для пользователей домена. Для этого Linux нужно ввести в домен. И вот тут засада.

Linux - Ubuntu 24.04.3; Samba - 4.19.5.
На ADC включено шифрование. Опытным путём установил алгоритм шифрования. В /etc/krb5.conf добавил:

Код: [Выделить]

default_tgs_enctypes = arcfour-hmac-md5
default_tkt_enctypes = arcfour-hmac-md5

При выполнении kinit получил предупреждение: "Warning: encryption type arcfour-hmac used for authentication is deprecated and will be disabled", но тикет создался. klist его выводит.

А дальше затык. Samba 4.19 считает алгоритм arcfour-hmac-md5 устаревшим и, тут я не совсем понял, его не использует (отключен) или не поддерживает.
В общем, при выполнении "net ads join -U мой_пользователь" получаю ошибку:

Код: [Выделить]

connect_to_domain_password_server: unable to open the domain client session to machine мой_сервер. Flags[0x00000000] Error was : NT_STATUS_ACCESS_DENIED.
Failed to join domain: failed to verify domain membership after joining: {Access Denied} A process has requested access to an object but has not been granted those access rights.
Пользователь, что мне дали, входит в группу Администраторов домена, т.е. добавлять компьютер в домен право имеет. Подозреваю, что проблема в устаревшем протоколе шифрования, который Samba не поддерживает.

Есть способ включить в Samba 4.19 поддержку arcfour-hmac-md5? Как ещё можно эту проблему обойти без обновления винды?

[andytux]

Взять Linux такой-же старости, как Windows.

[ivul]

Не получится. Linux-комп уже работает, на нём сервисы крутятся. Если только Самбу старую поставить.

[AnrDaemon]

Поднять LXC контейнер с достаточно старой самбой.
Мигрировать DC на него.
Придушить старый DC.
Поднять новую самбу.
Мигрировать домен на неё.
Старую самбу обновить или придушить.
Жить дальше.

[ivul]

DC на винде. Придушить пока не получится.
Ладно. Раз это так сложно, не буду со вводом в домен заморачиваться.

[AnrDaemon]

Это просто. Просто это надо сделать. Не искать отговорки, а один раз сесть, взять себя в руки и virtualbox  в помощь, поднять тестовое окружение, проверить все возможные сценарии перехода, отладить конфиги, прогнать несколько раз одно и то же с нуля, чтобы убедиться, что ничего не забыл, и применить полученные знания на бою.

[ivul]

Это просто. ... Не искать отговорки, ... применить полученные знания на бою.

Да, всё просто. Просто ADC управляю не я. Я подключаюсь к тому, что уже есть и работает. Потому и спрашивал можно ли сделать, НЕ трогая винду.
А тут как обычно - нас чужие условия не интересуют.

[AnrDaemon]

Тебе уже ответили - надо взять достаточно старую Самбу.

[Skif_off]

Вообще, текст ошибки гуглится. Если правильно понял, алгоритм не выпилен, нужно его только включить (офсайт у меня не открывается, чтобы уточнить).