Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по Linux » ALTLinux - Winbind и AD 2k3 authentication

< Предыдущая 1 2 3 Следующая >
Ответить
Настройки темы
ALTLinux - Winbind и AD 2k3 authentication

Новый участник


Сообщения: 11
Благодарности: 0

Профиль | Отправить PM | Цитировать

Изменения
Автор: Fannynub
Дата: 08-10-2007
Всем Удачи и хорошего настроения!
Настраиваю авторизацию пользователей SQUID в AD. Третьи сутки бьюсь, перечитал всё что можно,- нужна Ваша помощь:
!Проблема 2!
Решить не удалось. Спасло обновление.
id userAD (Пользователь AD не определяется)
id: userAD: No such user
!Проблема 1!
Спасибо решили (следовало добавить имя домена: wbinfo -a MYDOMEN+adminAD%passwordAD)
wbinfo -a adminAD%passwordAD
plaintext password authentication failed
error code was NT_STATUS_NO_SUCH_USER (0xc0000064)
error messsage was: No such user
Could not authenticate user adminAD%passwordAD with plaintext password
challenge/response password authentication succeeded
id root OK (Unix пользователи определяются нормально)

Что делаю чтоб работало:

Samb.conf
читать дальше »


[global]
log file = /var/log/samba/log.%m
smb passwd file = /etc/samba/smbpasswd
load printers = yes
socket options = TCP_NODELAY
encrypt passwords = yes
dns proxy = no
netbios name = post
netbios aliases = post server
server string = SS %h (v. %v)
printing = cups
password server = base.MyDomen.LOCAL
workgroup = MyDomen
realm = MyDomen.LOCAL
use sendfile = yes
os level = 20
printcap name = cups
security = ads
max log size = 50

hosts allow = 192.168. 127.
interfaces = 192.168.0.101/24

winbind uid = 10000-20000
winbind gid = 10000-20000
winbind separator = +
winbind enum groups = yes
winbind enum users = yes
winbind cache time = 60

template homedir = /home/%D/%U
template shell = /bin/bash

force directory mode = 0777
force create mode = 0777

[homes]
comment = Home Directory for '%u'
browseable = yes
writable = yes

[sharefolder]
comment = Admin's share for Technical Unit, Press Unit, User
path = /home/key/share
valid users = MyDomen\elax
public = no
writable = no
printable= no
write list = MyDomen\elax




Nsswitch.conf
читать дальше »


passwd: files winbind # nisplus nis
shadow: tcb files winbind # nisplus nis
group: files winbind # nisplus nis

hosts: files dns # nisplus nis

ethers: files
netmasks: files
networks: files
protocols: files
rpc: files
services: files

bootparams: nisplus [NOTFOUND=return] files

netgroup: nisplus

publickey: nisplus

automount: files nisplus
aliases: files nisplus



Kerberos.conf
читать дальше »
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
default_realm = MYDOMEN.LOCAL
dns_lookup_kdc = false

[realms]
MYDOMEN.LOCAL = {
default_domain = MYDOMEN.LOCAL
kdc = BASE.MYDOMEN.LOCAL:88
admin_server = BASE.MYDOMEN.LOCAL:749
}

[domain_realm]
MyDomen.LOCAL = MYDOMEN.LOCAL
.MyDomen.local = MYDOMEN.LOCAL



net ads join -U adminAD%passwordAD OK

kinit -p adminAD@MYDOMEN.LOCAL OK
klist OK

Winbind 3.0.5
winbind -t OK
winbind -u OK (MYDOMEN+userAD....)
winbind -g OK (MYDOMEN+groupAD....)

PS:
Почему не проходит plaintext authentication? (следовало добавить имя домена: wbinfo -a MYDOMEN+adminAD%passwordAD)
Почему не работает id с доменными юзерами?
Помогите разобратся, время уже поджимает

Отправлено: 12:22, 24-09-2007

 

Новый участник


Сообщения: 11
Благодарности: 0

Профиль | Отправить PM | Цитировать

OS ALT linux master 2.4
Samba version 3.05

log.winbindd
читать дальше »


[2007/09/24 13:49:39, 1] nsswitch/winbindd.c:main(843)
winbindd version 3.0.5 started.
Copyright The Samba Team 2000-2004
[2007/09/24 13:49:39, 1] nsswitch/winbindd_util.c:add_trusted_domain(180)
Added domain MYDOMEN MYDOMEN.LOCAL S-0-0
[2007/09/24 13:49:39, 1] libsmb/clikrb5.c:ads_krb5_mk_req(306)
krb5_cc_get_principal failed (No credentials cache found)
[2007/09/24 13:49:40, 1] nsswitch/winbindd_util.c:add_trusted_domain(180)
Added domain BUILTIN S-1-5-32
[2007/09/24 13:49:40, 1] nsswitch/winbindd_util.c:add_trusted_domain(180)
Added domain POST S-1-5-21-2598127683-2868193808-2578808510
[2007/09/24 13:49:46, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD' does not exist
[2007/09/24 13:49:53, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD' does not exist
[2007/09/24 13:53:13, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD' does not exist
[2007/09/24 13:53:13, 1] nsswitch/winbindd_util.c:add_trusted_domain(180)
Added domain MYDOMEN MYDOMEN.LOCAL S-0-0
[2007/09/24 13:53:13, 1] libsmb/clikrb5.c:ads_krb5_mk_req(306)
krb5_cc_get_principal failed (No credentials cache found)
[2007/09/24 13:53:13, 1] nsswitch/winbindd_util.c:add_trusted_domain(180)
Added domain BUILTIN S-1-5-32
[2007/09/24 13:53:13, 1] nsswitch/winbindd_util.c:add_trusted_domain(180)
Added domain POST S-1-5-21-2598127683-2868193808-2578808510
[2007/09/24 13:53:13, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD' does not exist
[2007/09/24 13:53:18, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD' does not exist
[2007/09/24 13:53:27, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD@MYDOMEN.LOCAL' does not exist
[2007/09/24 13:53:41, 1] nsswitch/winbindd_user.c:winbindd_getpwnam(159)
user 'adminAD' does not exist
[2007/09/24 14:01:01, 1] nsswitch/winbindd_group.c:winbindd_getgroups(1032)
user 'root' does not exist
[2007/09/24 14:02:56, 1] nsswitch/winbindd_group.c:winbindd_getgroups(1032)
user 'postfix' does not exist

Отправлено: 14:25, 24-09-2007 | #11



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для Dm1try

Старожил


Сообщения: 215
Благодарности: 33

Профиль | Отправить PM | Цитировать

1. Обновиться - хотя бы до samba-3.20b
2. Вывести машину их домена, сначала взять билет kinit-ом, потом ввести в домен: net ads join -U adminAD.

ИМХО - обновление решит Вашу проблему.

Отправлено: 14:43, 24-09-2007 | #12


Новый участник


Сообщения: 11
Благодарности: 0

Профиль | Отправить PM | Цитировать

Dm1try,

Вывел LinuxHost из AD путём блокировки и последующим удаления учёной записи.
time out 45 минут.
1. Синхронизация времени с контроллером домена (net time SET -S base)
2. Получен ключ командой kinit -p adminAD@MYDOMEN.LOCAL
3. Выполнено присоединение к домену: net ads join -U adminAD.
4. Попытка:

id adminAD
ответ: No such user
5. Команда getent passwd
Список пользователей без указания домена через разделитель!
6. id adminAD
!!!!!!!!!!OK!!!!!!!
Другие доменные пользователи OK
7. id groupeAD
No such user
8. Команда getent group
Список групп без указания домена через разделитель!
9. id groupeAD
No such user
10. services smb restart OK
services winbind restart OK
11. id adminAD
ответ: !!!No such user!!!

Отправлено: 15:40, 24-09-2007 | #13


Аватара для Dm1try

Старожил


Сообщения: 215
Благодарности: 33

Профиль | Отправить PM | Цитировать

Синхронизируйте время на FreeBSD и на контроллере домена (ntpdate). Проверьте часовой пояс на FreeBSD в частности.

Отправлено: 16:05, 24-09-2007 | #14


Аватара для [mzd]

Линуксоид-стакановец


Сообщения: 2391
Благодарности: 186

Профиль | Отправить PM | Цитировать

Как это сделать, расписано тут

-------
Живя в реальном мире, стремись к невероятному... Эрнесто Че Гевара
Everybody lies. (c) House M.D.
Базовая настройка Ubuntu. Документация для новичка.
Руководство по установке, начальной настройке и основам использования операционной системы Ubuntu

Отправлено: 17:05, 24-09-2007 | #15


Новый участник


Сообщения: 11
Благодарности: 0

Профиль | Отправить PM | Цитировать

Время нормально синхронизируется
Её богу сейчас не до NTP...
В предыдущем посте имею ввиду, что после перезагузки самбы и винбинд id опять неработает, хотя после свежего вхождения в домен заработала.

PS
В целом требуется настроить SQUID пользователей на авторизацию в AD.
Без авторизации все работают, но это не есть гуд .

Отправлено: 17:33, 24-09-2007 | #16


Аватара для [mzd]

Линуксоид-стакановец


Сообщения: 2391
Благодарности: 186

Профиль | Отправить PM | Цитировать

а по какому ману настраивали? не с опеннет?

-------
Живя в реальном мире, стремись к невероятному... Эрнесто Че Гевара
Everybody lies. (c) House M.D.
Базовая настройка Ubuntu. Документация для новичка.
Руководство по установке, начальной настройке и основам использования операционной системы Ubuntu

Отправлено: 17:39, 24-09-2007 | #17


Новый участник


Сообщения: 11
Благодарности: 0

Профиль | Отправить PM | Цитировать

Сложно ответить, учусь на своих жучках
Рою гугл, читаю форумы, очень помог www.unixdoc.ru, вот и до Вас добрался...

Отправлено: 17:50, 24-09-2007 | #18


Аватара для [mzd]

Линуксоид-стакановец


Сообщения: 2391
Благодарности: 186

Профиль | Отправить PM | Цитировать

Я так настраивал, правда, в Linux.

-------
Живя в реальном мире, стремись к невероятному... Эрнесто Че Гевара
Everybody lies. (c) House M.D.
Базовая настройка Ubuntu. Документация для новичка.
Руководство по установке, начальной настройке и основам использования операционной системы Ubuntu

Отправлено: 18:27, 24-09-2007 | #19


Аватара для Dm1try

Старожил


Сообщения: 215
Благодарности: 33

Профиль | Отправить PM | Цитировать

Цитата Fannynub:
Время нормально синхронизируется
Её богу сейчас не до NTP...
В предыдущем посте имею ввиду, что после перезагузки самбы и винбинд id опять неработает, хотя после свежего вхождения в домен заработала. »
Билет Kerboros, выданный контроллером домена действителен в течении определенного промежутка времени, потом необходимо получить новый билет.
Если время на КД и на клиенте рассинхронизированно (возможно на клиенте другой часовой пояс), то при проверке подлинности билета - сервер, естественным образом, ответит клиенту, что билет просрочен и соответсвенно - не авторизует клиента и клиент не сможет получить информацию о "ресурсах домена."

ИМХО:
Исходя из этой ошибки и описанной Вами ситуации - можно предположить: синхронизировав время и получив билет - все работает.
Код: Выделить весь код
[2007/09/24 13:49:39, 1] libsmb/clikrb5.c:ads_krb5_mk_req(306)
krb5_cc_get_principal failed (No credentials cache found)
По прошествии некоторого времени FreeBSD замечает/исправляет разницу в системном времени (опять таки из-за временного пояса) - билет становится просроченым и все не работает. Синхронизация времени с КД позволит исправить данную ситуацию.



P.S> Ну обновите же samba - возьмите src.rpm из backports или сизифа, соберите и поставьте пакет - поверьте проблем поубавится.
Есть список рассылки - samba@lists.altlinux.org .

Отправлено: 09:29, 25-09-2007 | #20

< Предыдущая 1 2 3 Следующая >


Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по Linux » ALTLinux - Winbind и AD 2k3 authentication

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Настройка Internet Authentication Service (или Radius Server) в Windows Server 2003 in_terek Microsoft Windows NT/2000/2003 0 18-03-2009 12:51
FreeBSD - [решено] Winbind лезет через внешний интерфейс BachiStil Общий по FreeBSD 6 19-02-2009 07:22
winbind не хочет запускаться Gangabass Общий по Linux 7 30-12-2006 03:54
[решено] Проблема с Integrated Windows authentication в IIS 6.0 в win2003 fotohunter2006 Microsoft Windows NT/2000/2003 3 12-04-2006 14:55


« Предыдущая тема | Следующая тема »


 
Переход