Samba не пускает пользователей в AD

Файловый сервер Samba с авторизацией по AD (Active Directory) вдруг перестал пускать пользователей.

Забегая вперёд — оказалось, что он был выброшен из домена, хотя в списке AD он присутствовал!
Пришлось его оттуда удалить (а заодно и на резервном сервере AD) и завести в домен заново.
Так что, не всегда верьте глазам своим, когда смотрите на присутствие объекта в AD.

Решение

Команды на стороне сервера (командная строка):
net ads testjoin — проверка членства в домене (эта команда и помогла понять в чём дело)
Ну и дальше вводим заново в домен (предварительно удалив эту запись на сервере):
net ads join -U administrator -D DOMAIN_NAME
(DOMAIN_NAME вводим без .RU)
хотя, можно было просто:
net ads join -U administrator
(имя домена взялось бы из самбы)

ПС через много лет: сейчас я бы сначала изучил старую запись сервера на сервере AD, а не сразу удалял.
Но, тогда - не сейчас...

Прочие команды, которые помогали понять что произошло

Проверяем синхронизацию времени с контроллером домена (допустимо расхождение не более 5 минут, иначе kerberos не сможет получить тикет). Если надо — синхронизируем, например вручную:
#ntpdate pool.ntp.org

Проверка smb.conf:
#testparm

Проверка kerberos.
Получить тикет для пользователя user через kerberos:
#kinit user@DOMAIN_NAME.RU
в данном случае тикеты получались исправно

посмотреть список тикетов:
#klist

удалить все тикеты:
#kdestroy

Проверка, что у Winbind есть доверительные отношения с AD:
#wbinfo -t
в данном случае выдало, что всё успешно

Ну и проверяем доступность списков пользователей и групп домена:
#wbinfo -u
опа... должен быть список, но выдало пустоту.

#wbinfo -g
тоже должен был быть список, но тоже выдало пустоту.

Проверка запроса Ubuntu данных о пользователях и группах через Winbind тоже не выдала ожидаемые списки:
#getent passwd
#getent group

Вот эти последние четыре команды и натолкнули на мысль проверить регистрацию этого сервера в домене…

Напишите свой комментарий - мне интересно знать ваше мнение :)

info-7.ru ©

Комментарии: