Dotaz: LDAP + Kerberos + Samba

[Huhaf]

Dobrý den, nastavoval jsem Kerbera a LDAP podle navodu na http://mindref.blogspot.com/2011/02/debian-openldap-kerberos-authentication.html Logovani uživatelů mi funguje do správně nastaveného Debian klienta. Teď bych chtěl integrovat Sambu za účelem centrální správy domovských adresářů a možnosti jednoduše přiřadit Win7 počítače do domény. Zkoušel jsem postupovat podle tohoto návodu https://help.ubuntu.com/community/Samba/Kerberos

Příkaz smbclient -k -L //server/ nejdřív nešel, podle logu jsem zjistil, že nemůže najít uživatele. Vytvořil jsem tedy unixového uživatele a předpokládaný výstup přikazu se ukázal. Ale tím jaksi popírám logiku centrální správy uživatelů. Jak mám tedy dát Sambě vědět, aby si brala informace o účtech z LDAP ?

/etc/samba/smb.conf je výchozí, vyjma informací z ubuntu návodu

[global]
   workgroup = DOMENA
   server string = %h server
   dns proxy = no
   interfaces = eth1
   bind interfaces only = yes
   log file = /var/log/samba/log.%m
   max log size = 1000
   panic action = /usr/share/samba/panic-action %d

  security = ADS
  realm = DOMENA.CZ
  kerberos method = system keytab
  encrypt passwords = true
  passdb backend = ldapsam:ldap://127.0.0.1/

   obey pam restrictions = yes
   unix password sync = yes

   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
   pam password change = yes


[homes]
   comment = Home Directories
   browseable = no
   read only = yes
   create mask = 0700
   directory mask = 0700

[share]
   path = /tmp

s tím asi souvisí chyba ze Samba logu, ta se opakuje 2x každou sekundu:

[2012/04/13 00:07:37.943483,  0] lib/smbldap.c:731(smb_ldap_start_tls)
  Failed to issue the StartTLS instruction: Protocol error
[2012/04/13 00:07:37.943716,  1] lib/smbldap.c:1330(another_ldap_try)
  Connection to LDAP server failed for the 1 try!

---

---

Odpovědi

[majales]

Dobrý den, Doporučil bych sérii článků zde na abclinuxu od uživatele Jiří Mlíka. Zde: http://www.abclinuxu.cz/autori/jiri-mlika. Postupoval jsem podle něj a fungovalo mi to. Jediný problém na který jsem narazil byl problém s tím že různé verze windows fungují různě při přístupu na chráněný samba share a proto jsem musel přidat do keytab všechny myslitelné formy jména stroje s velkými i malými písmeny kde běží samba. Tj. nestačilo mít tam pouze "host/stroj.domena.cz" muselo tam být i "HOST/stroj.DOMENA.CZ" a taky "host/stroj" či "HOST/STROJ" nebo "host/Stroj".

[Huhaf]

Děkuji za příspěvek. I když postupuji podle návodu od pana Mlíky, dostanu se do stejné situace. Když se snažím přistoupit k Samba sdíleným adresářům, dostanu:

cli_session_setup_blob: receive failed (NT_STATUS_LOGON_FAILURE)
SPNEGO login failed: Logon failure
session setup failed: NT_STATUS_LOGON_FAILURE

Vyřešit to lze opět přidáním lokálního uživatelem na serveru a to znamena, že jsem tam, kde jsem začal :)

Samba log:

[2012/04/14 00:34:56.749196,  1] smbd/sesssetup.c:454(reply_spnego_kerberos)
  Username BP.CZ\josef_vosahlo is invalid on this system

[Huhaf]

Tak mi to nakonec docvaklo. Vzpomněl jsem si, že jsem někde viděl, že LDAP klient musí být funkční i na serveru. A ono je to celkem logické, když v nsswitch.conf nenajde lokálního uživatele, tak se podívá do LDAP.