«

Samba как член AD

Файловый сервер Samba с авторизацией по AD (Active Directory) вдруг перестал пускать пользователей.

Забегая вперёд — оказалось, что он был выброшен из домена, хотя в списке AD он присутствовал!
Пришлось его оттуда удалить (а заодно и на резервном сервере AD) и завести в домен заново.
Так что, не всегда верьте глазам своим, когда смотрите на присутствие объекта в AD.

Команды на стороне сервера (командная строка):
net ads testjoin — проверка членства в домене (эта команда и помогла понять в чём дело)
Ну и дальше вводим заново в домен (предварительно удалив эту запись на сервере):
net ads join -U administrator -D DOMAIN_NAME
(DOMAIN_NAME вводим без .RU)

хотя можно было просто
net ads join -U administrator
(имя домена взялось бы из самбы)

Прочие команды, которые помогали понять что произошло.

Проверяем синхронизацию времени с контроллером домена (допустимо расхождение не более 5 минут, иначе kerberos не сможет получить тикет). Если надо — синхронизируем, например вручную:
#ntpdate pool.ntp.org

Проверка smb.conf:
#testparm

Проверка kerberos:
получить тикет для пользователя user через kerberos:
#kinit user@DOMAIN_NAME.RU
(в данном случае тикеты получались исправно)

посмотреть список тикетов:
#klist

удалить все тикеты:
#kdestroy

Проверка, что у Winbind есть доверительные отношения с AD:
#wbinfo -t
(в данном случае выдало, что всё успешно)

Ну и проверяем доступность списков пользователей и групп домена:
#wbinfo -u
должен был быть список, но выдало пустоту.

#wbinfo -g
тоже должен был быть список, но тоже выдало пустоту.

Проверка запроса Ubuntu данных о пользователях и группах через Winbind тоже не выдала ожидаемые списки:
#getent passwd
#getent group

Вот эти последние четыре команды и натолкнули на мысль проверить регистрацию этого сервера в домене…

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Можно использовать следующие HTML-теги и атрибуты: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code class="" title="" data-url=""> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong> <pre class="" title="" data-url=""> <span class="" title="" data-url="">