Newsgroup: it.comp.os.linux.sys
Titolo: winbind e getent che non vede gli utenti AD

Ciao a tutti
Stavo un pò spippolando con samba e winbind per inserire un print server in un
dominio AD, mi sono un pò documentato e sono riuscito a fare il join del server
nel dominio, il problema adesso è che mentre winbind vede gli utenti del
dominio con wbinfo -u facendo invece getnet passwd vedo solo gli utenti locali,
nonostante abbia già modificato nnswitch.conf nel seguente modo:
passwd:         files winbind
group:          files winbind
Cosa dimentico?
nel log di winbind trovo questo
[2006/12/15 11:37:12, 1] nsswitch/winbindd_user.c:winbindd_fill_pwent(50)
  error getting user id for sid S-1-5-21-1229272821-1547161642-725345543-1172
[2006/12/15 11:37:12, 1] nsswitch/winbindd_user.c:winbindd_getpwent(566)
  could not lookup domain user scan230up
Che dice di non riuscire a trovare l'utente, però a veder nel log ci trovo sia
il sid che il nome utente!!!
Luca

 Cosa dimentico?
La tua macchina Linux fa parte di AD ?

 wrote:


Si, con net ads join - U Administrator, infatti con wbinfo poi riesco ad
ottenere tutte le informazioni degli utenti presenti nel dominio
Luca

 ottenere tutte le informazioni degli utenti presenti nel dominio
klist cosa dice ?


Ticket cache: FILE:/tmp/krb5cc_0
Default principal: Administrator@DOMINIO
Valid starting     Expires            Service principal
12/15/06 11:51:24  12/15/06 21:51:24  krbtgt/DOMINIO@DOMINIO
Kerberos 4 ticket cache: /tmp/tkt0
klist: You have no tickets cached

 klist: You have no tickets cached
/etc/pam.d/system-auth e /etc/pam.d/login gli hai sistemati ?

 wrote:

Si, ovviamente, debian usa dei file common-auth/session/account/password,etc
che poi vengono inclusi dai file di configurazione di login e tutti gli altri,
ho aggiunto la riga  "*	sufficient 	pam_winbind.so" dove* è auth session
password etc etc seguendo alcune guide che ho trovato in giro, in particolare
questa 
http://www.enterprisenetworkingplanet.com/netos/article.php/3487081
 ma
ne ho trovate parecchie altre, e tutte seguono gli stessi passi, solo che io
non riesco a far sputare fuori a getent la lista degli utenti AD
Luca

 ...
rimane solo krb5.conf, controllare se i demoni girano e se c'è [CIFSD]

 wrote:

Eccolo:
[libdefaults]
        default_realm = 
BMSHIPPING.MS
# The following krb5.conf variables are only for MIT Kerberos.
        krb4_config = /etc/krb.conf
        krb4_realms = /etc/krb.realms
        kdc_timesync = 1
        ccache_type = 4
        forwardable = true
        proxiable = true
# The following encryption type specification will be used by MIT Kerberos
# if uncommented.  In general, the defaults in the MIT Kerberos code 
# are correct and overriding these specifications only serves to disable
# new encryption types as they are added, creating interoperability problems.
#       default_tgs_enctypes = aes256-cts arcfour-hmac-md5 des3-hmac-sha1
des-cbc-crc des-cbc-md5
#       default_tkt_enctypes = aes256-cts arcfour-hmac-md5 des3-hmac-sha1
des-cbc-crc des-cbc-md5
#permitted_enctypes = aes256-cts arcfour-hmac-md5 des3-hmac-sha1 des-cbc-crc
des-cbc-md5
# The following libdefaults parameters are only for Heimdal Kerberos.
        v4_instance_resolve = false
        v4_name_convert = {
                host = {
                        rcmd = host
                        ftp = ftp
                }
                plain = {
                        something = something-else
                }
        }
[libdefaults]
         default_realm = 
BMSHIPPING.MS
[realms]
BMSHIPPING.MS
 = {
         kdc = 
bmhqs.bmshipping.ms
        admin_server = 
bmhqs.bmshipping.ms
        default_domain = 
bmshipping.ms
}
[domain_realm]
        .
bmshipping.ms
 = 
BMSHIPPING.MS
 
[login]
        krb4_convert = true
        krb4_get_tickets = true
L'ultima parte l'ha installata krbc5-kdc ma mi è parso di capire che serve solo
per per avere il kdc locale e non utilizzare quello già presente sul domino,
dico bene? (anche perchè sulla guida la sezione login non c'è, ho provato cmq a
levarla e non cambia nulla)
I demoni girano, ma effettivamente non trovo [CIFSD]
Quello che non capisco è come mai wbinfo trovi tutto correttamente, funzionano
anche le opzioni -n e -s che restituiscono rispettivamente sid di un nome e
viceversa :-/
Inizio a non capirci piu nulla
Luca

 viceversa :-/
Forse c'è bisogno di reinizializzare qualcosa dentro PAM, ti potresti
permettere un riavvio del server ?

permettere un riavvio del server ?
Si, il server al momento č di prova, deve fare da print server per 2 vecchie
stampanti ad aghi, ma per il momento sono staccate, cosě mi sono messo a
sperimentare un pň una migliore integrazione con il dominio AD
Luca

In article  Gordon Freeman
 >wrote:






In compenso adesso pam tenta di autenticarmi  prima rispetto al dominio, per
cui via ssh devo inserire la password di root 2 volte :-/
Ovviamente tentando di inserire un utente del dominio non funziona 
Luca

wrote:








Ok questa era stupida, basta mettere il flag use_first_pass in common-auth per
far si che pam riutilizzi la prima password inserita se questa fallisce il
primo controllo, ossia winbind
Luca

>>sperimentare un pň una migliore integrazione con il dominio AD
TROVATO!!!!
maledetto me, e sopratutto maledetto il log di winbind che č incasinato da
leggere, il problema era che mancava come mappare gli uid
  winbindd: idmap uid range missing or invalid
č bastato aggiungere in smb.conf:
idmap uid = 10000-20000
idmap gid = 10000-20000
perchč funzioni tutto
Luca

 perchè funzioni tutto
Cazzo l'avevo dato per stra-stra-scontato anche io (sono 5 anni che su 
tutti gli how-to per joinare AD trovi scritto di settare gli idmap - 
magari poi non trovi buone parte delle cose che abbiamo detto ma IDMAP 
lo trovi seeeemmpreeee =)

lo trovi seeeemmpreeee =)
Era anche semplice da risolvere, a patto di riuscire a leggere la cosa nel log
:-)
Ora mi preparo una bella guida così che tutte queste perle non vadano perse.
Aggiungo anche un'altra cosa, per autenticarsi con un utente AD non è
necessario utilizzare come utente DOMAIN+user come ho letto su tante guide, se
questo DOMINIO è il default realm
Luca