Dotaz: samba+ldap: problém s přidáním uživatele

[Johny z Podoli]

Ahoj, mám sambu+ldap, ldap jsem nastavil, do slapd.conf jsem přidal schéma a index, upravil jsem konfig samby pro práci s ldap /dle readme.debian.gz z ldap-utils/. Vše zdá se super, smbldap-populate projde (až na jednu chybu).

bohužel při přidání počíteče/uživatele do domény mi v logu vypadne

Error looking for next uid at /usr/share/perl5/smbldap_tools.pm line 1044.

zistil jsem v google že i další lidé mají tento problém, bohužel nikde jsem nenašel řešení. Napadá Vás něco?

Přidávání PC do domény /komplet log celé akce/

[2007/12/03 22:44:02, 2] lib/smbldap.c:smbldap_open_connection(788)
  smbldap_open_connection: connection opened
[2007/12/03 22:44:02, 2] passdb/pdb_ldap.c:init_sam_from_ldap(541)
  init_sam_from_ldap: Entry found for user: root
[2007/12/03 22:44:02, 2] auth/auth.c:check_ntlm_password(309)
  check_ntlm_password:  authentication for user [root] -> [root] -> [root] succeeded
[2007/12/03 22:44:02, 2] lib/access.c:check_access(323)
  Allowed connection from  (192.168.10.67)
[2007/12/03 22:44:02, 2] smbd/reply.c:reply_tcon_and_X(711)
  Serving IPC$ as a Dfs root
[2007/12/03 22:44:02, 2] lib/smbldap.c:smbldap_open_connection(788)
  smbldap_open_connection: connection opened
[2007/12/03 22:44:02, 2] passdb/pdb_ldap.c:init_sam_from_ldap(541)
  init_sam_from_ldap: Entry found for user: root
[2007/12/03 22:44:02, 2] auth/auth.c:check_ntlm_password(309)
  check_ntlm_password:  authentication for user [root] -> [root] -> [root] succeeded
[2007/12/03 22:44:02, 2] lib/access.c:check_access(323)
  Allowed connection from  (192.168.10.67)
[2007/12/03 22:44:02, 2] smbd/reply.c:reply_tcon_and_X(711)
  Serving IPC$ as a Dfs root
[2007/12/03 22:44:02, 2] rpc_server/srv_samr_nt.c:_samr_lookup_domain(2797)
  Returning domain sid for domain PPDSK -> S-1-5-21-394292652-2743396045-2681092514
Error looking for next uid at /usr/share/perl5/smbldap_tools.pm line 1044.
[2007/12/03 22:44:03, 0] passdb/pdb_interface.c:pdb_default_create_user(368)
  _samr_create_user: Running the command `/usr/sbin/smbldap-useradd -w "dsbvma43e4zvfsn$"' gave 127

Odpovědi

[timeos]

Ten smbldap-populate ti pravdepodobne nevytvorilo objekt samaDomainName (kuoly zlym ACL?), v ktorom je pouzivany objectClass sambaDomain. Sucastou tohto objectClassu je aj atribut uidNumber, ktory samba pouziva nasledujuci mozny uid pre usera/PC pri jeho vytvarani (Error looking for next uid).

[Johny z Podoli]

Děkuji,

problém jsem vyřešil - optavil jsem chybu v konfigu /etc/smbldap-tools/smbldap.conf kde jsem zapoměl nastavit :smbldap.conf:sambaUnixIdPooldn="sambaDomainName=IDEALX-NT,${suffix}" na moji doménu.

Problém se tedy vyřešil, když přidám stanici do domény tak mi to ale stejně spadne na chybě windows "Nebylo nalezeno uživatelské jméno". Linux zaloguje tento pokus o připojení následovně:

Bohužel, dle logu zdá se je všechno v pořádku a pořítač v LDAPu je, vypadá to, jako by linux ten stroj přidal korektně ale windows o nějak "neakceptovali"

[2007/12/04 08:16:20, 2] lib/smbldap.c:smbldap_open_connection(788)
  smbldap_open_connection: connection opened
[2007/12/04 08:16:20, 2] passdb/pdb_ldap.c:init_sam_from_ldap(541)
  init_sam_from_ldap: Entry found for user: root
[2007/12/04 08:16:20, 2] passdb/pdb_ldap.c:init_group_from_ldap(2140)
  init_group_from_ldap: Entry found for group: 513
[2007/12/04 08:16:20, 2] auth/auth.c:check_ntlm_password(309)
  check_ntlm_password:  authentication for user [root] -> [root] -> [root] succeeded
[2007/12/04 08:16:20, 2] lib/access.c:check_access(323)
  Allowed connection from  (192.168.10.67)
[2007/12/04 08:16:20, 2] smbd/reply.c:reply_tcon_and_X(711)
  Serving IPC$ as a Dfs root
[2007/12/04 08:16:20, 2] lib/smbldap.c:smbldap_open_connection(788)
  smbldap_open_connection: connection opened
[2007/12/04 08:16:20, 2] passdb/pdb_ldap.c:init_sam_from_ldap(541)
  init_sam_from_ldap: Entry found for user: root
[2007/12/04 08:16:20, 2] passdb/pdb_ldap.c:init_group_from_ldap(2140)
  init_group_from_ldap: Entry found for group: 513
[2007/12/04 08:16:20, 2] auth/auth.c:check_ntlm_password(309)
  check_ntlm_password:  authentication for user [root] -> [root] -> [root] succeeded
[2007/12/04 08:16:20, 2] lib/access.c:check_access(323)
  Allowed connection from  (192.168.10.67)
[2007/12/04 08:16:20, 2] smbd/reply.c:reply_tcon_and_X(711)
  Serving IPC$ as a Dfs root
[2007/12/04 08:16:20, 2] rpc_server/srv_samr_nt.c:_samr_lookup_domain(2797)
  Returning domain sid for domain PPDSK -> S-1-5-21-253881171-297877546-2228349407

[Johny z Podoli]

Ještě jsem našel zajímavé chování. Pokud pomocí příkazu net rpc join přidám server do svojí domény tak mi to hodí následující chybu:

server:~# net rpc join
Password:
Creation of workstation account failed
Unable to join domain PPDSK.

server:~# smbldap-usershow "server$"
dn: uid=server$,ou=Computers,dc=ppd,dc=cz
objectClass: top,person,organizationalPerson,inetOrgPerson,posixAccount
cn: server$
sn: server$
uid: server$
uidNumber: 1006
gidNumber: 515
homeDirectory: /dev/null
loginShell: /bin/false
description: Computer
gecos: Computer

nicméně server se v LDAP DB zobrazuje.. :(

nenapadá Vás, proč hhlásí

[timeos]

Mate rozchodeny nss_ldap? Samba totiz pouziva pri vytvarani uzivatelov (a tyka sa to aj PC stanic) na ich resolvovanie prave nss_ldap (resp nss_winbind). Pokial nakonfigurovana nieje, tak sice samba skript smbldap-useradd zavola a ten uzivatela (alebo PC) vytvori, ale pre sambu sa stale tvari ako keby neexistoval.

[Johny z Podoli]

nemám. Koukal jsem, že homediry mi vznikají pouze s číslením uid a gid, passwd a group soubor jsou bez zásahu.
Zkoumám tedy nsswitch.conf jak jej nastavit pro LDAP.

[timeos]

Odporucam pouzit smbldap-howto_20060710.pdf. Perfektny step-by-step navod.

[timeos]

Este ma napadlo, ze ak pri vytvarani uzivatelov problem nenastava (napr cez usrmgr.exe)(a nss_ldap mate nakonfigurovane), kak pravdepodobne ste nepridali do libnss_ldap.conf (resp /etc/ldap.conf vo fedora-like distre) nasledovne:

nss_base_passwd         ou=Computers,dc=example,dc=com?one

...co vlastne znamena, ze okrem resolvovania userov, skupin, treba povolit aj resolvovanie PC stanic (ak ich mate v inom podstrome ako beznych userov)

[Johny z Podoli]

děkuji moc všem za pomoc, až na prá trablů které nemají vliv na fungování všechno jede!

Neměl jsem nastaven nsswtich.conf (bohužel jsem se o něm nikde nedočetl)

dík, Johny