Dotaz: Samba4 share s AD autorizaci

[MP]

Zdravim,

ma nekdo zprovoznenou samba4 jako AD member s tim, ze poskytuje sitovy share s autorizaci vuci AD? Drzel jsem se postupu na netu (Debian Jessie), ale at uz s winbind, tak s sssd narazim porad na tyto problemy:

1] nekonzistentni uid/guid na AD member - fakt jako nebudu u kazdyho usera psat uid,guid pri vytvareni pres RSAT.

ale hlavne:

2] nefunguje nastavovani prav na slozkach - viz http://linuxtot.com/add-a-simple-samba-file-server-as-a-domain-member/ ale proste ne a ne to donutit. Na samotnem DC tvorenym taktez samba4 to funguje samozrejme ok. Klasicka chyba kterou dostanu je "Nepodarilo se zobrazit vycet objektu v kontejneru. Pristup byl odepren". Proste jako kdyby samba4 na tom share nemela propoj do AD.

S 1] se da jeste neco udelat, ale bez 2] je mi to cele k nicemu.

Diky, MP

Odpovědi

[j]

... AD neni nic jinyho nez LDAP ... popremejslej o tom.

[SAM:]

Máme Sambu 4.2 jako member server integrovanou do AD domény spravované Windows 2012R2 serverem, navíc to máme komplikované tím, že máme navázaný krb5 cross-realm trust s hlavním Kerberos serverem. Funguje to OK. Uživatelé mají v AD UNIX atributy, které jsou jim do AD importovány z centrální databáze uživatelů při založení.

[MP]

Presne tohle me zajima. Bylo by mozne ziskat konfiguraci samba.conf, krb5.conf? Predpokladam spravne, ze ten hlavni kerberos server bezi na 2012R2? Samba pouziva winbind(d) nebo jiny zpusob autorizace?

[SAM:]

Ten Kerberos server nám běží na MIT Kerberosu. Zrovna připravujeme testovací prostředí pro vyzkoušení krb5 cross realm trustu mezi dvojicí AD serverů.

[SAM:]

Žádný velký magic v tom našem smb.conf není - je to z toho Samba member serveru. Běží na Gentoo, ZFS a Samba 4.2.3. Hlavní záležitosti se řeší klikáním na tom Win AD serveru (usermapping: user@REALM.OU.CORP.TLD -> user@CORP.TLD). Konfiguraci k hlavnímu Krb5 serveru dodat nemohu, protože k ní nemám přístup, ale tam se asi vytvářel pouze trust principal pro naše Win AD.

Pokud vím, tak Samba zatím trusty implementované asi nemá.

[global]
        netbios name = hostname
        workgroup = REALM
        security = ADS
        realm = REALM.OU.CORP.TLD

        dedicated keytab file = /etc/krb5.keytab
        kerberos method = secrets and keytab

        idmap config *:backend = tdb
        idmap config *:range = 2000-9999
        idmap config AD:backend = ad
        idmap config AD:schema_mode = rfc2307
        idmap config AD:range = 10000-999999
        winbind nss info = rfc2307
        winbind trusted domains only = no
        winbind use default domain = yes
        winbind enum users  = yes
        winbind enum groups = yes
        winbind refresh tickets = Yes
        vfs objects = acl_xattr
        map acl inherit = Yes
        store dos attributes = Yes

        load printers = no
        printing = bsd
        printcap name = /dev/null
        disable spoolss = yes

[home-external]
        path = /srv/home/external/%U
        read only = no
        admin users = "@AD\Domain Admins"
        valid users = %U

[home-staff]
        path = /srv/home/staff/%U
        read only = no
        admin users = "@AD\Domain Admins"
        valid users = %U

[home-student]
        path = /srv/home/student/%U
        read only = no
        admin users = "@AD\Domain Admins"
        valid users = %U


[group1]
        path = /srv/group1
        read only = no
        admin users = "@AD\Domain Admins"
        valid users = "@AD\Domain Users"

[profiles]
        path = /srv/profiles
        read only = no
        admin users = "@AD\Domain Admins"
        create mask = 0600
        directory mask = 0700
        profile acls = yes
        csc policy = disable

[zipi]

Máš ten linux přiřazen do domény ..? Co ty vypíšou příkazy wbinfo -u (vypíše seznam uživatelů) a wbinfo -g (vypíše seznam skupin)

[MP]

Do domeny to pripojene je. Momentalne pres sssd, winbind je kompletne purged, takze wbinfo prikaz neni:

#id prochazka
uid=1000(prochazka) gid=1000(prochazka) groups=1000(prochazka),24(cdrom),25(floppy),29(audio),30(dip),44(video),46(plugdev),108(netdev),395600513(domain users),395601220(admins)

root@vstor1:/home/prochazka# realm list
lan.site.cz
  type: kerberos
  realm-name: LAN.SITE.CZ
  domain-name: lan.site.cz
  configured: kerberos-member
  server-software: active-directory
  client-software: winbind
  required-package: winbind
  required-package: libpam-winbind
  required-package: samba-common-bin
  login-formats: SITE\%U
  login-policy: allow-any-login
lan.site.cz
  type: kerberos
  realm-name: LAN.SITE.CZ
  domain-name: lan.site.cz
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin
  login-formats: %U
  login-policy: allow-realm-logins