Newsgroup: it.comp.os.linux.sys
Titolo: Problemini con Samba PDC

Sto scontrandomi un po' con le funzionalità in oggetto, se c'e'
qualcuno che mi può dare delle illuminazioni...
Il sistema: un serverino con su Suse 9.2 che fa da file server e da
mail server per una quindicina di utenti. L'idea era quella di
"upgradare" samba dal normale modello di sicurezza "user" al modello
PDC per poterne usufruire anche come server di autenticazione (i client
sono misti win Xp e w2k e finora usavano solo account locali).
Ho proceduto seguendo le indicazioni di un po' di howto raccolti per la
rete (ivi compreso il libro "ufficiale" samba by example) ed ho:
- upgradato samba a 3.0.22
- installato OpenLDAP
- installato gli script IDEALX smbldap-tools
- installato tutti i prerequisiti vari
dopodichè, ho configurato il server LDAP e l'ho popolato con gli
account di partenza. Ho provato a usare gli script PADL per migrare gli
account esistenti (per la mail), ma non ha fatto quello che prevedevo
(ha creato solo account di classe PosixAccount e non SambaAccount), ma
poco male, sono pochini e li potrei ricreare a mano.
Per quanto ho potuto vedere interrogando il server LDAP, è andato
tutto a buon fine, gli account ci sono, il server risponde ai binding e
alle query (ho lasciato tutto "in chiaro" per impazzire il meno
possibile).
Ho modificato il smb.conf in modo acconcio per fargli fare la parte del
PDC, e anche qui apparentemente tutto ok: con smbclient si vede quel
che si deve vedere, se tento dei net use da macchine client questi
funzionano ecc.
Il problema è nato quando ho cominciato a tentare di joinare i client
al dominio: come ho avuto modo di constatare interrogando il server,
quando effettuo un tentativo di join mi viene effettivamente creato un
account di macchina nel container "Computers", ma nonostante cio'
windows sulla macchina client esce con un errore di account non valido
e non procede con l'operazione di join.
Nella documentazione ho trovato svariati riferimenti a problemi legati
all'uid dell'utente impiegato per il join, ma tutti a quanto ho capito
si riferiscono a mancate creazioni dell'account di macchina, che
infatti può anche essere creato a mano. Per quanto mi riguarda non è
questo il caso, l'account viene creato, ma anche se ci riprovo con
l'account creato a mano in precedenza l'esito non cambia: errore di
utente non valido e fuori.
Dove potrei indagare per capire qual'e' il problema?
Altro aspetto, secondario e - credo - separato dal primo: dato che gli
utenti di questo sistema sono abbastanza poco smaliziati tecnicamente
avevo pensato di lasciargli usare come tool di amministrazione
l'USRMGR.EXE made in microsoft, che è molto meno disorientante delle
varie applicazioni web suggerite in alternativa allo scopo;
quest'ultimo si connette correttamente al server di dominio e mi
presenta la lista di tutti gli account, pero' si mette in modalità
"read only" e non consente alcuna modifica. Per essere sicuro ho
provato a disabilitare tutte le ACL presenti in sldap.conf e lo fa
uguale, quindi il problema non dovrebbe essere lì. Di nuovo, qualche
puntatore?
Grazie per ogni aiuto e ciao a tutti!
Fabrizio


A me usrmgr.exe funziona solamente una volta loggato nel dominio. 
 Gio'
-- 
/*
 * Solutions for New Business - 
http://www.snb.it
 */

 A me usrmgr.exe funziona solamente una volta loggato nel dominio.
Hm, quindi probabilmente il secondo problema si risolve una volta
superato il primo... 
grazie, ciao!
Fabrizio

 "administrator".
Ho verificato per sicurezza: uid e gid sono a zero
# Admin, Users, 
toplevel.it
dn: uid=Admin,ou=Users,dc=toplevel,dc=it
cn: Admin
sn: Admin
objectClass: inetOrgPerson
objectClass: sambaSamAccount
objectClass: posixAccount
objectClass: shadowAccount
gidNumber: 0
uid: Admin
uidNumber: 0
homeDirectory: /home/Admin
sambaLogonTime: 0
sambaLogoffTime: 
2147483647
sambaKickoffTime: 
2147483647
sambaPwdCanChange: 0
sambaPrimaryGroupSID: S-1-5-21-3380643222-2118996450-2706801107-512
sambaSID: S-1-5-21-3380643222-2118996450-2706801107-500
loginShell: /bin/false
gecos: Netbios Domain Administrator
sambaAcctFlags: [U]
Questo è il log del tentativo di join:
[2006/07/04 16:05:52, 2] lib/smbldap.c:smbldap_open_connection(724)
  smbldap_open_connection: connection opened
[2006/07/04 16:05:52, 0] lib/util_sock.c:send_smb(765)
  Error writing 4 bytes to client. -1. (Connection reset by peer)
[2006/07/04 16:05:52, 2] smbd/server.c:exit_server(614)
  Closing connections
[2006/07/04 16:05:52, 2] passdb/pdb_ldap.c:init_sam_from_ldap(640)
  init_sam_from_ldap: Entry found for user: root
[2006/07/04 16:05:52, 2] auth/auth.c:check_ntlm_password(307)
  check_ntlm_password:  authentication for user [Admin] -> [root] ->
[root] succ
eeded
[2006/07/04 16:05:52, 2]
rpc_server/srv_samr_nt.c:_samr_lookup_domain(2670)
  Returning domain sid for domain 
TOPLEVEL.IT
 ->
S-1-5-21-3380643222-2118996450-2
706801107
[2006/07/04 16:05:52, 0]
rpc_server/srv_samr_nt.c:_samr_create_user(2415)
  _samr_create_user: Running the command
`/usr/local/sbin/smbldap-useradd -w "ma
rco2$"' gave 9
[2006/07/04 16:05:52, 2] smbd/server.c:exit_server(614)
  Closing connections
Any hint? 
Grazie, ciao!

Mandi! Hermooz
  In chel d? si favelave...
H> Altro aspetto, secondario e - credo - separato dal primo: dato che gli
No, secondo me invece sono molto correlati.
Per esperienza personale estremamente facile fare cappelle configurando il mix
samba+ldap+smbldap-tools, e errori anche minimi (come una appartenenza ad un
gruppo) provocano il malfunzionamento di tutta la baracca.
Ti consiglio, come si suol dire, un double check, e quindi inizia ad
aumentare il log e verificare nei file di log se ci trovi qualcosa di
interessante; in teoria i comandi falliti di smbldap-tools dovrebbero essere
loggatti anche a livelo zero, ma probabilmente non il perchè sono falliti. ;)
-- 
  L'unico metodo naturale per arrestare la caduta dei capelli
  e` il pavimento.				(Marco d'Itri)

 loggatti anche a livelo zero, ma probabilmente non il perchè sono falliti. ;)
Provo a tirar su tutti i livelli di logging... se scopro qualcosa torno
qua sopra a rompere ;)
bye!

> gruppo) provocano il malfunzionamento di tutta la baracca.
H> Non posso che confermare :/
Ti consiglio di lasciar perdere user manager for domain, ed usare direttamente
gli script, o una interfaccia completamente LDAP, magari via web.
Anche se non ne ho mai provata una, io adoro gli script. ;)
-- 
  Fino a quando il colore della pelle sar? pi? importante del colore
  degli occhi, sar? sempre guerra.			(Bob Marley)

 Anche se non ne ho mai provata una, io adoro gli script. ;)
per me nessun problema ad usare gli script... ma di interfacce web ne
ho provate due o tre (LAM, GOA, phpldapadmin, ecc.) e mi sembrano tutte
troppo incasinate per metterle in mano agli utenti. Ho provato anche
un'utility windows, ldapadmin mi pare che si chiami, che è carina ma
non mi pare conviva bene con gli script IDEALX. Se riuscissi a fare
funzionare lo user manager sarei più tranquillo... primo, dato che i
client sono tutti xp e 2000 nessuno ce l'ha installato tranne quelli
dove ce lo metto io, e secondo non sarei costretto a tirar su pure un
apache su quel server, che già fa da mail server, da file server, da
DNS e da backup server... vero che son pochi utenti e l'hardware è
largamente sopradimensionato, ma comunque affollare troppi servizi non
mi piace troppo.
Ci risentiamo...
Fabrizio

Mandi! Hermooz
  In chel d? si favelave...
H> per me nessun problema ad usare gli script... ma di interfacce web ne
H> ho provate due o tre (LAM, GOA, phpldapadmin, ecc.) e mi sembrano tutte
H> troppo incasinate per metterle in mano agli utenti. Ho provato anche
...per me perchè sbagli approccio e cerchi di usare un ``ldap explorer'':
hai provato invece un tool per gonzi come GoSA?
E ne esiste anche un altro, ma non ricordo il nome...
-- 
  chi si convertiva nel novanta
  ne era dispensato nel novantuno			(F. De Andre`)

 hai provato invece un tool per gonzi come GoSA?
sì, ho scritto GOA ma intendevo quello, non mi è parso per nulla
semplice... ma forse può essere configurato meglio, ci ridaro'
un'occhiata.
bye!