Newsgroup: it.comp.os.linux.sys
Titolo: Samba PDC: dubbio sui profili

Ciao a tutti,
- Debian Squeeze
- Samba 3.5.6
- OpenLDAP
 
questa macchina è un PDC per una ventina di client Win7 Pro.
Account utente, gruppi, e account macchina sono tutti su LDAP.
Su tutti i client Win è stato fatto il join al dominio.
Per qualche motivo è andato fuori posto l'account macchina di un client Win7,
che non riesce ad accedere più al dominio o, se ci riesce, funziona malissimo.
Cercando in rete ho trovato questa possibile soluzione:
- togliere quel client dal dominio
- cancellare l'account macchina sul PDC
- rifare il join di quel client al dominio
 
Ora la domanda:
se faccio queste 3 operazioni (senza cambiare il nome macchina del client Win)
alla fine mi ritrovo i profili utente di quella macchina allo stesso posto,
oppure Win7 mi crea i profili nuovi vuoti, e mi tocca trasferire dati e
preferenze dai vecchi profili ai nuovi ?
Spero di essere stato chiaro. Lo so, potrei fare delle prove con un muletto e
vedere cosa ne esce, ma non ho un muletto sotto mano, quindi chiedo se
qualcuno a già fatto un'operazione simile, e come è andata.
 
Grazie
fulvio
 

> qualcuno a già fatto un'operazione simile, e come è andata.
            ha
Oooops, voce del verbo avere.....
 
 

 qualcuno a già fatto un'operazione simile, e come è andata.
 
E' andata a buon fine
Sfido il client a capire che l'account è diverso pur avendo gli stessi id.
 
Comunque mi piacerebbe sapere se sia davvero necessario riutilizzare gli 
id. A occhio direi di si, e così ho fatto, ma chissà..
 
Piccola chicca: quando aggiungi un pc al dominio c'e' un handshaking 
dove viene generata una password e condivisa fra i due.
Cancellando e ricreando da zero l'account su ldap accade che ti perdi 
tale password e quindi il pc rimane fuori dal dominio, anche se vengono 
riutilizzati i precedenti id.
 
Per "funziona malissimo" cosa intendi? Io dopo aver istallato LDAP mi 
sono trovato attiva l'opzione di copia dei profili di roaming.. sembrava 
una strage, i pc non si spengevano e si loggavano lentissimamente. Poi 
si è riempita la partizione delle home sul server, e lì ho capito.
 
Alessandro
 
 

 Per "funziona malissimo" cosa intendi?
 
Succede questo: sulla macchina incriminata (che si chiama pc-davide) l'utente
davide, all'accensione del Pc, con la propria password accede al dominio.
Il PDC "scambia" l'utente davide con l'utente antonio e da quel momento davide
esegue tutte le operazioni sul PDC come se fosse antonio.
Questo provoca disservizi devastanti ed imbarazzanti, cercando tra il log trovo:
[2012/10/15 08:27:46.185650,  0]
rpc_server/srv_netlog_nt.c:714(_netr_ServerAuthenticate3)
   _netr_ServerAuthenticate3: netlogon_creds_server_check failed. Rejecting
auth request from client PC-DAVIDE machine account PC-DAVIDE$
 
ed inoltre:
 
  pc-davide (::ffff:192.168.20.135) connect to service davide initially as user
antonio (uid=1001, gid=513) (pid 29162)
[2012/10/15 08:28:28.048130,  1] smbd/service.c:1070(make_connection_snum)
   pc-davide (::ffff:192.168.20.135) connect to service netlogon initially as
user antonio (uid=1001, gid=513) (pid 29162)
 
A conferma del fatto che Samba ha scambiato davide per antonio.
 
Ho verificato, su LDAP, che non ci fossero doppioni o sovrapposizioni di SID
e/o uid tra tutti gli utenti e tra tutte le macchine, non ho trovato niente di
fuori posto. A questo punto è partita la mia idea di togliere e rimettere
quella macchina nel dominio, ed è nato il mio dubbio sulla riassegnazione
corretta ed indolore del profilo.
 
fulvio

 SID
 
Magari su /etc/passwd ?
Gli utenti non dovrebbero esserci.. ma se per caso ci fossero finiti con 
un id diverso potrebbero creare confusione
 
Vado a tentoni.. voglio dire: parto dal presupposto che da qualche parte 
di debba essere un conflitto.
 
Avrai controllato anche il net groupmap list
 
Altro dubbio: l'utente antonio ha l'uid 1001 , e probabilmente è il 
primo della lista. Magari non viene scambiato l'utente "davide" con 
"antonio", ma avendo "davide" qualche problema viene preso il primo..
 
My 2 cents

 A conferma del fatto che Samba ha scambiato davide per antonio.
 
Non sono d'accordo. Viene loggato l'utente antonio che accede al servizio 
davide che probabilmente è una cartella di samba.
Non ho capito se antonio ha effettivamente lo uid 1001 in ldap.
 
Nicola.
 
-- 
chi va pian va san e va lontan


L'utente antonio ha uid = 1001 in ldap
L'utente davide ha uid = 1047 in ldap
L'utente davide sul client pc-davide, esegue il login e l'accesso al dominio 
come davide con la password di davide.
Il servizio davide è una directory di Samba che appartiene solo a davide.
Quando davide accede al dominio, Samba scrive quei log riportati qui sopra, 
inoltre se davide, dal pc-davide, entra nella directory davide (servizio 
Samba), vede ed accede alla directory antonio (servizio antonio) che è piena 
di roba, che appartiene solo ad antonio, ed accede agli altri servizi di Samba 
come se fosse antonio, e se crea in quelle directory (servizi) dei file nuovi, 
vengono creati da Samba come file appartenenti ad antonio.
 
fulvio


Non so se c'è questo comando su win7:
wmic useraccount get name,sid
 
che dice di davide e antonio?
 
Altra cosa: non puoi rasare antonio e davide da win7? Non hai i roaming 
profiles?



 
Rimando tutte le indagini e le operazioni a lunedì mattina, quando sarò dal
cliente, ed avrò accesso fisico a quel notebook.
No, non ho i roaming profiles.
Vi aggiornerò di tutto quanto, settimana prossima.
 
Per ora grazie
fulvio

 vengono creati da Samba come file appartenenti ad antonio.
 
Dubito che il join a dominio possa minimamente influenzare questa cosa.
 
A naso il casino è da qualche altra parte, ma sinceramente non saprei
neanche io dove...
 
-- 
  We have joy, we have fun, we have Linux on our Sun.