Dotaz: Samba: přihlášení do domény s již existujícím machine accountem

[MadCatX]

Ahojte,

řeším následující problém. V síti je servřík, na kterém je Sambou nasdíleno několik adresářů, ke kterým mají přístup je vybraní uživatelé. Uživatelské účty jsou ověřovány proti Active Directory, na kterém je pro server zřízen machine account. Vše funguje až na následující nedostatek. Po restartu serveru je nutné ručně spustit

kinit mujUsername
$ Enter password for mujUsername%DOMAIN: (tajné heslo)
systemctl restart winbind

aby měla Samba k AD přístup. Všude na netu se doporučuje použít net ads join, který ale jak jsem pochopil zároveň vytvoří na ADčku potřebný machine account, k čemuž uživatel, skrze kterého přihlašuji Sambu do domény nemá oprávnění a nic se tudíž neprovede. Existuje způsob, jak říci Sambě „tady máš přihlašovací údaje, použij je a neřeš machine account, protože už existuje?“ Brr, snad to dává smysl. Díky.

CentOS 7, Samba 4, ADčko tuším na WinServ 2012.

---

---

Odpovědi

[MadCatX]

Ten winbind server potřebuje nějakou identitu, aby se mohl připojit. Standardně se používá klíč pro příslušný service principal, který je vázaný na host identity. Ve vašem případě spouštíte winbind s principalem vašeho uživatele, což je dost v rozporu s tím, jak má Kerberos fungovat. Ten winbind totiž může v doméně dělat cokoliv, co vy.

Pokud to ale přeci jen chcete udělat, doporučuji alespoň používat nepředávatelné lístky (kinit -FP). Pro winbind můžete vytvořit drop-in konfiguraci, kam lze přidat potřebný kinit, kterému lze předat keytab s přihlašovacími údaji, aby nepotřeboval heslo: /etc/systemd/system/winbind.service.d/kinit.conf

[Service]
ExecStartPre=/usr/bin/kinit -FPkt /home/$username/krb5.keytab $username

Potřebný keytab můžete vytvořit pomocí ktutil:

ktutil
> addent -password -p $username -k 1 -e RC4-HMAC
> wkt /home/$username/krb5.keytab

Pozor na to, že kdokoliv, kdo získá přístup k tomuto keytabu, se může kdekoliv v doméně vydávat za vás!

[MadCatX]

Ten winbind server potřebuje nějakou identitu, aby se mohl připojit. Standardně se používá klíč pro příslušný service principal, který je vázaný na host identity. Ve vašem případě spouštíte winbind s principalem vašeho uživatele, což je dost v rozporu s tím, jak má Kerberos fungovat. Ten winbind totiž může v doméně dělat cokoliv, co vy.

Jasné, bohužel musím vyžít v rámci politiky místní sítě, kde se to takto zřejmě řeší. User, kterým se identifikuji by měl mít v doméně minimální práva.

Pokud to ale přeci jen chcete udělat, doporučuji alespoň používat nepředávatelné lístky (kinit -FP). Pro winbind můžete vytvořit drop-in konfiguraci, kam lze přidat potřebný kinit, kterému lze předat keytab s přihlašovacími údaji, aby nepotřeboval heslo: /etc/systemd/system/winbind.service.d/kinit.conf

[Service]
ExecStartPre=/usr/bin/kinit -FPkt /home/$username/krb5.keytab $username

Potřebný keytab můžete vytvořit pomocí ktutil:

ktutil
> addent -password -p $username -k 1 -e RC4-HMAC
> wkt /home/$username/krb5.keytab

Pozor na to, že kdokoliv, kdo získá přístup k tomuto keytabu, se může kdekoliv v doméně vydávat za vás!

Super, tohle vypadá dobře, vyzkouším. Díky.

[MadCatX]

Skvěle, vyzkoušeno a zatím se zdá, že to funguje.