abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 02:33 | Komunita

    V Amsterdamu probíhá Blender Conference 2025. Videozáznamy přednášek lze zhlédnout na YouTube. V úvodní keynote Ton Roosendaal oznámil, že k 1. lednu 2026 skončí jako chairman a CEO Blender Foundation. Tyto role převezme současný COO Blender Foundation Francesco Siddi.

    Ladislav Hagara | Komentářů: 0
    dnes 02:22 | Zajímavý článek

    The Document Foundation, organizace zastřešující projekt LibreOffice a další aktivity, zveřejnila výroční zprávu za rok 2024.

    ZCR | Komentářů: 0
    včera 17:33 | Nová verze

    Byla vydána nová stabilní verze 7.6 webového prohlížeče Vivaldi (Wikipedie). Postavena je na Chromiu 140. Přehled novinek i s náhledy v příspěvku na blogu.

    Ladislav Hagara | Komentářů: 0
    včera 16:22 | Nová verze

    Byla vydána verze 1.90.0 programovacího jazyka Rust (Wikipedie). Podrobnosti v poznámkách k vydání. Vyzkoušet Rust lze například na stránce Rust by Example.

    Ladislav Hagara | Komentářů: 0
    včera 16:11 | Nová verze

    GNUnet (Wikipedie) byl vydán v nové major verzi 0.25.0. Jedná se o framework pro decentralizované peer-to-peer síťování, na kterém je postavena řada aplikací.

    Ladislav Hagara | Komentářů: 0
    včera 12:11 | Nová verze

    Byla vydána nová major verze 7.0 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Nově je postavena je na Debianu 13 (Trixie) a GNOME 48 (Bengaluru). Další novinky v příslušném seznamu.

    Ladislav Hagara | Komentářů: 0
    včera 04:44 | IT novinky

    Společnost Meta na dvoudenní konferenci Meta Connect 2025 představuje své novinky. První den byly představeny nové AI brýle: Ray-Ban Meta (Gen 2), sportovní Oakley Meta Vanguard a především Meta Ray-Ban Display s integrovaným displejem a EMG náramkem pro ovládání.

    Ladislav Hagara | Komentářů: 0
    včera 01:11 | Nová verze

    Po půl roce vývoje od vydání verze 48 bylo vydáno GNOME 49 s kódovým názvem Brescia (Mastodon). S přehrávačem videí Showtime místo Totemu a prohlížečem dokumentů Papers místo Evince. Podrobný přehled novinek i s náhledy v poznámkách k vydání a v novinkách pro vývojáře.

    Ladislav Hagara | Komentářů: 11
    17.9. 16:22 | Nová verze

    Open source softwarový stack ROCm (Wikipedie) pro vývoj AI a HPC na GPU od AMD byl vydán ve verzi 7.0.0. Přidána byla podpora AMD Instinct MI355X a MI350X.

    Ladislav Hagara | Komentářů: 0
    17.9. 15:22 | Nová verze

    Byla vydána nová verze 258 správce systému a služeb systemd (GitHub).

    Ladislav Hagara | Komentářů: 6
    Jaké řešení používáte k vývoji / práci?
     (39%)
     (55%)
     (6%)
     (9%)
     (12%)
     (9%)
     (12%)
     (9%)
     (15%)
    Celkem 33 hlasů
     Komentářů: 5, poslední včera 22:30
    Rozcestník

    Dotaz: Samba: přihlášení do domény s již existujícím machine accountem

    2.8.2016 19:20 MadCatX | skóre: 28 | blog: dev_urandom
    Samba: přihlášení do domény s již existujícím machine accountem
    Přečteno: 336×
    Ahojte,

    řeším následující problém. V síti je servřík, na kterém je Sambou nasdíleno několik adresářů, ke kterým mají přístup je vybraní uživatelé. Uživatelské účty jsou ověřovány proti Active Directory, na kterém je pro server zřízen machine account. Vše funguje až na následující nedostatek. Po restartu serveru je nutné ručně spustit
    kinit mujUsername
    $ Enter password for mujUsername%DOMAIN: (tajné heslo)
    systemctl restart winbind
    
    aby měla Samba k AD přístup. Všude na netu se doporučuje použít net ads join, který ale jak jsem pochopil zároveň vytvoří na ADčku potřebný machine account, k čemuž uživatel, skrze kterého přihlašuji Sambu do domény nemá oprávnění a nic se tudíž neprovede. Existuje způsob, jak říci Sambě „tady máš přihlašovací údaje, použij je a neřeš machine account, protože už existuje?“ Brr, snad to dává smysl. Díky.

    CentOS 7, Samba 4, ADčko tuším na WinServ 2012.

    Řešení dotazu:


    Odpovědi

    Řešení 1× (MadCatX (tazatel))
    2.8.2016 19:46 Sten
    Rozbalit Rozbalit vše Re: Samba: přihlášení do domény s již existujícím machine accountem
    Ten winbind server potřebuje nějakou identitu, aby se mohl připojit. Standardně se používá klíč pro příslušný service principal, který je vázaný na host identity. Ve vašem případě spouštíte winbind s principalem vašeho uživatele, což je dost v rozporu s tím, jak má Kerberos fungovat. Ten winbind totiž může v doméně dělat cokoliv, co vy.

    Pokud to ale přeci jen chcete udělat, doporučuji alespoň používat nepředávatelné lístky (kinit -FP). Pro winbind můžete vytvořit drop-in konfiguraci, kam lze přidat potřebný kinit, kterému lze předat keytab s přihlašovacími údaji, aby nepotřeboval heslo: /etc/systemd/system/winbind.service.d/kinit.conf
    [Service]
    ExecStartPre=/usr/bin/kinit -FPkt /home/$username/krb5.keytab $username
    
    Potřebný keytab můžete vytvořit pomocí ktutil:
    ktutil
    > addent -password -p $username -k 1 -e RC4-HMAC
    > wkt /home/$username/krb5.keytab
    Pozor na to, že kdokoliv, kdo získá přístup k tomuto keytabu, se může kdekoliv v doméně vydávat za vás!
    2.8.2016 21:38 MadCatX | skóre: 28 | blog: dev_urandom
    Rozbalit Rozbalit vše Re: Samba: přihlášení do domény s již existujícím machine accountem
    Ten winbind server potřebuje nějakou identitu, aby se mohl připojit. Standardně se používá klíč pro příslušný service principal, který je vázaný na host identity. Ve vašem případě spouštíte winbind s principalem vašeho uživatele, což je dost v rozporu s tím, jak má Kerberos fungovat. Ten winbind totiž může v doméně dělat cokoliv, co vy.

    Jasné, bohužel musím vyžít v rámci politiky místní sítě, kde se to takto zřejmě řeší. User, kterým se identifikuji by měl mít v doméně minimální práva.
    Pokud to ale přeci jen chcete udělat, doporučuji alespoň používat nepředávatelné lístky (kinit -FP). Pro winbind můžete vytvořit drop-in konfiguraci, kam lze přidat potřebný kinit, kterému lze předat keytab s přihlašovacími údaji, aby nepotřeboval heslo: /etc/systemd/system/winbind.service.d/kinit.conf
    [Service]
    ExecStartPre=/usr/bin/kinit -FPkt /home/$username/krb5.keytab $username
    
    Potřebný keytab můžete vytvořit pomocí ktutil:
    ktutil
    > addent -password -p $username -k 1 -e RC4-HMAC
    > wkt /home/$username/krb5.keytab
    Pozor na to, že kdokoliv, kdo získá přístup k tomuto keytabu, se může kdekoliv v doméně vydávat za vás!
    Super, tohle vypadá dobře, vyzkouším. Díky.
    4.8.2016 20:36 MadCatX | skóre: 28 | blog: dev_urandom
    Rozbalit Rozbalit vše Re: Samba: přihlášení do domény s již existujícím machine accountem
    Skvěle, vyzkoušeno a zatím se zdá, že to funguje.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.