Portál AbcLinuxu, 10. května 2025 05:52
Ahoj.
Zapasim se Sambou. Mam rozchozenou sambu jako PDC (security=user). Mam druhou, na jinem stroji - chci ji jako souborovy server (s raidem, ale o tom pozdeji). Jak donutit druhou sambu, overovat uzivatele v domene a implementovat podporu acl - chtel bych klikat prava z Wokem (jako standard win server).
Druha samba je v rezimu security=domain a je clenem domeny v PDC.
Potreboval bych nakopnout. Uz s tim zapasim dlouho a nemuzu to vymyslet. Mate nekdo napad? Diky.
rwx, takže jemné nastavování práv z Windows stejně nebude fungovat. Existuje možná nějaká možnost, jak ta detailní práva ukládat do rozšířených atributů, ale to by pak stejně byla jenom věc Samby a ostatní programy v linuxu by tato práva nerespektovaly.
Nevidím v dotazu žádný problém ani otázku, takže k tomu těžko napsat něco víc…
getfacl zkontroloval, jak vypadají ta nastavené práva z pohledu linuxu – tj. zda je problém při zápisu práv nebo při čtení.
getfacl normálně můžete použít, pouze místo jmen uvidíte UID. Ale možná právě v té „neexistenci účtů“ na souborovém serveru je ten problém – Samba práva uloží s patřičným UID, ale když se pak Windows na práva zeptají, nedokáže UID převést zpět na jméno. Zkuste si pro otestování pro UID uživatele, na kterém to zkoušíte, vytvořit záznam v /etc/passwd, aby se převedl na jméno. Pokud to bude fungovat, musel byste zařídit, aby oba dva počítače používaly stejný seznam účtů i pro linux.
getent passwd UID vrátí správně jméno toho uživatele? Informace o uživatelích se můžou kešovat, a může je kešovat i samotná Samba, zkusil bych jí restartovat (a pokud používáte nscd, restartujte nejprve ten). Taky bych zkusil zvýšit úroveň logování Samby a podívat se do logů, jestli něco o převodu jmen nepíše tam.
wbinfo --domain=TUX-NET --user-info=karel
could not get info for user karel
wbinfo --own-domain
could not obtain winbind interface details!
could not obtain winbind domain name!
TUX-NET
smb.conf nastaveno inherit acls = yes ? Třeba v Debianu je to po instalaci vypnuté a bez toho mi ACL z windows zrovna moc nefungují.
Co se týče ACL, tak samozřejmě ve Windows vůči Sambě fungují trochu specificky, ale dá se na to zvyknout a pak je na to spoleh. Nesetkal jsem se zatím s nějakým nevysvětlitelným chováním. V rámci Windows ACL editoru se práva omezují na analogii rwx - tedy Nic / Čtení / Úplné řízení. Pak má smysl ještě nastavení Jen tato složka / Tato složka, podsložky a soubory - ta druhá možnost je mapována na default unix ACL.
Pak asi nefunguje vynucené dědění práv, ale to podle mě není tak moc na škodu. Tohle omezení šlo snad obejít pomocí extended atributů, ale to asi funguje skutečně jen pro Sambu, jak tady někdo zmínil.
Ohledně dvou (a více) serverů, které jsou oba na Sambě, bych doporučil vykašlat se na winbind a podobné obezličky a použít LDAP. Tím je úplně "přirozeně" všechno vyřešeno - unix účty přes nssswitch, všechny Samba servery berou údaje o uživatelích z LDAPu. Mám takhle několik serverů, z toho jeden se snapshot zálohami, kde je read-only replika LDAPu a uživatelé tedy při výpadku hlavního server mají přístup alespoň k záloze (zároveň je to BDC).
smbpasswd do LDAPu. Na to se dají použít skripty z balíku smbldaptools. Já jsem to řešil vlastními skripty v bashi, které generují LDIF a posílají ho do ldapadd.
Nevím kolik tam je uživatelů, podle toho bych řešil jak moc tu migraci automatizovat.
Propojení Samby s LDAP je jednoduché - smb.conf:
passdb backend = ldapsam:ldap://localhost
ldap suffix = dc=domena,dc=cz
ldap admin dn = cn=admin,dc=domena,dc=cz
ldap delete dn = yes
ldap machine suffix = ou=machines
ldap group suffix = ou=groups
ldap user suffix = ou=users
ldap idmap suffix = ou=idmap # snad neni ani treba (nevyuziva se)
ldap passwd sync = yes
add machine script = /etc/scripts/ldap-machineadd %u
add machine scriptslouží pro automatické vytvoření účtu PC při přidání do domény (lze použít i
/usr/sbin/smbldap-useradd -w "%u" ze smbldap tools).
Je třeba nastavit ještě heslo pro LDAP admin účet, aby Samba mohla do LDAPu zapisovat:
smbpasswd -w LdapAdminHeslosmbpasswd -a logindomain logons = no, na LDAP se v LDAPu vytvořil druhý záznam:
SambaDomainName = NETBIOS_JMENO_DRUHEHO_SERVERU
security = user)
Toto bylo třeba ponechat a nastavit novému SambaDomainName stejný SID jako má PDC. To jsem udělal editací LDAPu, teoreticky by asi šlo použít i net setlocalsid.
Uživatele je teoreticky možné do Samby přidávat na obou serverech, ale doporučil bych to dělat jen na tom, který je PDC.
inherit acls = yes a nt acl support = yes? Co když nastavíš něco přes setfacl - je to vidět ve Windows?
Důležité také je, že ACL smí měnít jen vlastník souboru / složky. Zkus ve Windows vytvořit novou složku a na té pak nastavit ACL.
setfacl v Linuxu přidáš nějaká práva dalšímu uživateli, je to ve Windows vidět?
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.