Newsgroup: it.comp.os.linux.sys
Titolo: Consigli e riflessioni su samba PDC

Buongiorno,
sto mettendo in piedi un pdc aziendale (è la mia prima volta :)).
Ho seguito alla lettera le varie guide samba + openldap e ho letto
parecchia documentazioni di entrambe, ma ho ancora parecchi dubbi.
Ha senso usare i roaming profiles se gli utenti bene o male rimangono
sempre alla loro postazione?
Se non ho capito male dopo aver creato profiles con i giusti permessi
tutti gli utenti dovrebbero essere in grado di crearsi il proprio.
Però quando mi loggo nel dominio come utente non riesce a trovare
alcun profilo e non ci prova nemmeno a crearlo sul server, ma ne usa
uno temporaneo.
Quali sono i programmi che entrano in gioco nel processo di
autenticazione presso il dominio?
Se non ho capito male non usando winbind o altre amenità:
smbd -> slapd -> pam.
Avrei altri problemi ma cerco di formularli meglio, questo comunque il
mio smb.conf
# Samba config file created using SWAT
# from 192.168.97.1 (192.168.97.1)
# Date: 2007/11/15 19:56:55
[global]
	passwd chat = *Enter\snew\sUNIX\spassword:* %n\n *Retype\snew\sUNIX
\spassword:* %n\n *passwd:*password\supdated\ssuccessfully* .
	obey pam restrictions = Yes
	delete user from group script = /usr/sbin/smbldap-groupmod -x "%u"
"%g"
	passwd program = /usr/bin/passwd %u
	dns proxy = No
	netbios name = ubuntu
	ldap passwd sync = Yes
	workgroup = CALZITEX
	os level = 255
	ldap admin dn = cn=admin,dc=mura
	add machine script = /usr/sbin/smbldap-useradd -w "%u"
	max log size = 1000
	delete user script = /usr/sbin/smbldap-userdel "%u"
	log file = /var/log/samba/log.%m
	ldap user suffix = ou=Users
	add group script = /usr/sbin/smbldap-groupadd -p "%g"
	delete group script = /usr/sbin/smbldap-groupdel "%g"
	add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
	domain master = Yes
	passdb backend = ldapsam:ldap://
127.0.0.1
	ldap delete dn = Yes
	server string = %h server (Samba, Ubuntu)
	ldap group suffix = ou=Groups
	ldap machine suffix = ou=Computers
	ldap suffix = ou=montichiari,dc=mura
	logon path = \\%N\%U\profile
	add user script = /usr/sbin/smbldap-useradd -m "%u"
	set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
	syslog = 0
	ldap idmap suffix = ou=Idmap
	unix charset = ISO8859-1
	panic action = /usr/share/samba/panic-action %d
	domain logons = Yes
[netlogon]
	comment = Network Logon Service
	path = /var/lib/samba/netlogon
	guest ok = Yes
	share modes = No
[homes]
	comment = Home Directories
	read only = No
	create mask = 0700
	directory mask = 0700
	browseable = No
[profiles]
	comment = Users profiles
	path = /var/lib/samba/profiles
	create mask = 0600
	directory mask = 0700
	browseable = No

Nessuno mi sa aiutare almeno per le domande "teoriche"?
Ho forse posto male il problema?

Mandi! andrea
  In chel dì si favelave...
a> Ha senso usare i roaming profiles se gli utenti bene o male rimangono
a> sempre alla loro postazione?
...se riesci a fare lavorare gli utenti solo du dischi di rete (e nel
normale lavoro di ufficio ci riesci senza problemi) uno dei vantaggi è
quello di poter cambiare il PC ai tuoi utenti senza che praticamente se
ne accorgano.
a> Se non ho capito male dopo aver creato profiles con i giusti permessi
a> tutti gli utenti dovrebbero essere in grado di crearsi il proprio.
a> Però quando mi loggo nel dominio come utente non riesce a trovare
a> alcun profilo e non ci prova nemmeno a crearlo sul server, ma ne usa
a> uno temporaneo.
...hai sbagliato qualche path, classico errore.
a>         logon path = \\%N\%U\profile
non credo tu abbia nis, quindi %N è lo stesso di %L; ma io scriverei
esplicitamente il nome della tua macchina...
-- 
  Il problema ? che, in questa epoca di grande comunicazione globale,
  quando ti fa male il culo non ? per le emorroidi...	(Beppe Grillo)


Fatto ma a quanto pare il problema non era quello, nonostante il nome
e la password siano corretti non si autentica al server ldap.
Dà ad esempio questo
Nov 25 23:23:30 ubuntu slapd[6792]: <= bdb_equality_candidates:
(sambaGroupType) index_param failed (18)
Che non sarebbe un errore grave da quello che ho capito studiando
ldap, significa solo che non è un indice, ma per quale motivo allora
non si autentica?
Queste le opzioni di slapd.conf per indexing e acl:
# Indexing options for database #1
index           objectClass eq
# aggiungo altre info
index 	uid,uidNumber,gidNumber,memberUid 	eq
index 	cn,mail,surname,givenname	eq,subinitial
index 	sambaSID	eq
index 	sambaPrimaryGroupSID	eq
index 	sambaDomainName	eq
# Save the time that the entry gets modified, for database #1
lastmod         on
# Where to store the replica logs for database #1
# replogfile	/var/lib/ldap/replog
# The userPassword by default can be changed
# by the entry owning it if they are authenticated.
# Others should not be able to see it, except the
# admin entry below
# These access lines apply to database #1 only
access to
attrs=userPassword,shadowLastChange,sambaNTPassword,sambaLMPassword
        by dn="cn=admin,dc=mura" write
        by anonymous auth
        by self write
        by * none

 [Kevin on <empty>, 10/05/2007]
Dunque grazie della risposta esaustiva.
In realtà la macchina windoze è una macchina virtuale win xp e il
server pdc è un'altra macchina virtuale.
Avevo già joinato il dominio tempo fa e sembravo esserci riuscito
senza problemi, tra l'altro non ho ben capito perché negli Users mi ha
creato un utente con il nome del client joinato.
Ora però ho impressione di aver fatto qualche danno io, perché neanche
root@ubuntu:/var/log/samba# smbclient -v -L localhost -U arianna
Password:
session setup failed: NT_STATUS_LOGON_FAILURE
funziona.
Con questo errore in slapd (con loglevel 256)
Nov 26 00:13:57 ubuntu slapd[8637]: <= bdb_equality_candidates: (uid)
index_param failed (18)
Nov 26 00:13:57 ubuntu slapd[8637]: conn=10 op=50 SEARCH RESULT
tag=101 err=0 nentries=1 text=
A quanto avevo capito winbind non lo uso, però in log.winbind trovo
questi
[2007/11/26 00:11:52, 0] libsmb/clientgen.c:cli_receive_smb(112)
  Receiving SMB: Server stopped responding
Non riesco a capire cosa possa essere, forse non riesce a prendere la
password? Forse il metodo di hash della password non è compatibile?
Altri problemi possibili?

 ne accorgano.
Peccato che ci siano impostazioni che volenti o nolenti sono locali 
sempre (Local data), per cui non è trasparente al 100%. In ogni caso è 
già un buon compromesso.

Mannaggia non c'è verso di far andare questo pdc, sul server ora samba
mi dice
[2007/11/26 15:39:52, 0] passdb/secrets.c:fetch_ldap_pw(768)
  fetch_ldap_pw: neither ldap secret retrieved!
Senza vedere alcun log in slapd.log, però ad esempio questo
ldapsearch -x -D"uid=francesco,ou=Users,ou=Montichiari,dc=mura" -W
uid=francesco userPassword
Funziona! Quindi il bind di questo utente funziona, che cavolo è che
non va?
Le impostazioni del server sono praticamente uguali a quelle della
macchina virtuale, helP!

 [Kevin on <empty>, 10/05/2007]
/etc/pam_ldap.conf non c'è ma è tutto in /etc/ldap.conf (questo è
giusto perché lo dice nella conf).
Per il resto il bind anonimo funziona tranquillamente, il problema si
verifica ad esempio quando dò un
root@ubuntu:~# smbclient -L localhost -U Administrator
Password:
session setup failed: NT_STATUS_LOGON_FAILURE
Con in slapd.log questo:
Nov 26 23:20:32 ubuntu slapd[4328]: <= bdb_equality_candidates:
(sambaSIDList) index_param failed (18)
:(

Questa comunque la mia configurazione	
root@ubuntu:~# ./getconf.sh /etc/ldap.conf
base ou=montichiari,dc=mura
uri ldap://localhost
ldap_version 3
rootbinddn cn=admin,dc=mura
port 389
scope sub
pam_password md5
root@ubuntu:~# ./getconf.sh /etc/smbldap-tools/smbldap.conf
SID="S-1-5-21-3792353663-2412707967-4180599803"
slaveLDAP="127.0.0.1"
slavePort="389"
masterLDAP="127.0.0.1"
masterPort="389"
ldapTLS="0"
verify="require"
cafile="/etc/opt/IDEALX/smbldap-tools/ca.pem"
clientcert="/etc/opt/IDEALX/smbldap-tools/smbldap-tools.pem"
clientkey="/etc/opt/IDEALX/smbldap-tools/smbldap-tools.key"
suffix="ou=montichiari,dc=mura"
usersdn="ou=Users,${suffix}"
computersdn="ou=Computers,${suffix}"
groupsdn="ou=Groups,${suffix}"
idmapdn="ou=Idmap,${suffix}"
sambaUnixIdPooldn="sambaDomainName=CALZITEX,${suffix}"
scope="sub"
hash_encrypt="SSHA"
crypt_salt_format="%s"
userLoginShell="/bin/bash"
userHome="/home/%U"
userHomeDirectoryMode="700"
userGecos="System User"
defaultUserGid="513"
defaultComputerGid="515"
skeletonDir="/etc/skel"
defaultMaxPasswordAge="45"
userSmbHome="\\UBUNTU\%U"
userProfile="\\UBUNTU\%U\profile"
userHomeDrive="H:"
userScript="logon.bat"
mailDomain="
calzitex.com
"
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"
smb.conf::

         add user script = /usr/sbin/smbldap-useradd -m "%u"
         set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
         syslog = 1
         ldap idmap suffix = ou=Idmap
         unix charset = ISO8859-1
         panic action = /usr/share/samba/panic-action %d
         domain logons = Yes
[netlogon]
         comment = Network Logon Service
         path = /var/lib/samba/netlogon
         guest ok = Yes
         share modes = No
[homes]
         comment = Home Directories
         read only = No
         create mask = 0700
         directory mask = 0700
         browseable = No
[profiles]
         comment = Users profiles
         path = /var/lib/samba/profiles
         create mask = 0600
         directory mask = 0700
         browseable = No
root@ubuntu:~# ./getconf.sh /etc/pam.d/common-auth
auth    sufficient      pam_ldap.so
auth    required        pam_unix.so
root@ubuntu:~# ./getconf.sh /etc/pam.d/common-*
account sufficient      pam_ldap.so
account required        pam_unix.so
root@ubuntu:~# ./getconf.sh /etc/pam.d/common-session
session sufficient      pam_ldap.so
session required        pam_unix.so
session optional        pam_foreground.so
root@ubuntu:~# ./getconf.sh /etc/pam.d/common-
common-account   common-auth      common-password  common-session
root@ubuntu:~# ./getconf.sh /etc/pam.d/common-password
password   sufficient pam_ldap.so
password   required   pam_unix.so nullok obscure md5
Vedete qualcosa che non va?

Credo di aver trovato il motivo per cui non funziona niente, non ho la 
voce cn=admin,dc=mura nel mio database bdb.
Ma ho solo questo come base
dn: dc=mura
objectClass: top
objectClass: dcObject
objectClass: organization
dc: mura
o: mura
description: mura
structuralObjectClass: organization
entryUUID: a6d7292c-2c92-102c-8688-372be852aaab
creatorsName: cn=admin,dc=mura
createTimestamp: 20071121153202Z
entryCSN: 20071121153202Z#000000#00#000000
modifiersName: cn=admin,dc=mura
modifyTimestamp: 20071121153202Z
Ma dunque com'è possibile con con ldapsearch ad esempio il bind lo fa 
senza problemi?
C'è qualcosa che mi sfugge mi sa..
Come posso aggiustare questo tedioso problema?

andrea ha scritto:

No come non detto forse non è necessario, però ho notato che ottengo 
questo errore mentre samba cerca di partire
Nov 28 13:22:06 server slapd[19936]: conn=316 fd=20 ACCEPT from 
IP=
127.0.0.1:50922
 (IP=
0.0.0.0:389
)
Nov 28 13:22:06 server slapd[19936]: conn=316 op=0 BIND 
dn="cn=admin,dc=mura" method=128
Nov 28 13:22:06 server slapd[19936]: conn=316 op=0 RESULT tag=97 err=49 
text=
Nov 28 13:22:06 server slapd[19936]: conn=316 op=1 UNBIND
Nov 28 13:22:06 server slapd[19936]: conn=316 fd=20 closed
err=49, che secondo me rigurda decisamente le password
Mentre se dò questo comando:
ldapsearch -x -D"cn=admin,dc=mura" -W
va tutto bene
slapNov 28 13:23:22 server slapd[19936]: conn=317 fd=20 ACCEPT from 
IP=
127.0.0.1:50923
 (IP=
0.0.0.0:389
)
Nov 28 13:23:22 server slapd[19936]: conn=317 op=0 BIND 
dn="cn=admin,dc=mura" method=128
Nov 28 13:23:22 server slapd[19936]: conn=317 op=0 BIND 
dn="cn=admin,dc=mura" mech=SIMPLE ssf=0
Nov 28 13:23:22 server slapd[19936]: conn=317 op=0 RESULT tag=97 err=0 text=
Nov 28 13:23:22 server slapd[19936]: conn=317 op=1 SRCH 
base="ou=Montichiari,dc=mura" scope=2 deref=0 filter="(objectClass=*)"
Nov 28 13:23:22 server slapd[19936]: conn=317 op=1 SEARCH RESULT tag=101 
err=0 nentries=19 text=
Nov 28 13:23:22 server slapd[19936]: conn=317 op=2 UNBIND
Nov 28 13:23:22 server slapd[19936]: conn=317 fd=20 closed
Quindi deduco che il problema è la password, ma ho anche ridato più volte
smbpasswd -w "password"
e me l'ha salvata correttamente in secrets.tdb, quindi non so più cosa 
pensare, aiutoO!

 pensare, aiutoO!
C'era anche un errore di scrittura in smb.conf ma non era nemmeno quello 
il problema.
Ora non riesco nemmeno a fare questo
net getlocalsid
[2007/11/28 14:09:10, 0] utils/net.c:net_getlocalsid(622)
   Can't fetch domain SID for name: SERVER
Ho idea che ci sia un po' di casino :(

Mandi! andrea
  In chel dì si favelave...
a> Ho idea che ci sia un po' di casino :(
Decisamente. Un po' a casaccio:
1) il bind funziona con ldapserach perchè usi il bind anonimo che in
 openldap è sempre disponibile di default.
Prova a forzare il bind non anonimo, o a cercare una entru 'protetta0
da qualche ACl come userPassword...
2) cn=admin può anche non esistere nell'albero, basta che esista in
ldap.conf.
3) normalmente si crea una ou per gli host, ovvero per gli account
macchina, per fare in modo che non si mescolino agli utenti normali...
è solo una questione estetica a dire il vero.
-- 
  Se si insegna a un bambino a programmare in qualche linguaggio
  informatico, questo esercizio logico lo render? padrone e non
  schiavo del computer.					(Umberto Eco)

 
Ok grazie, ora sto facendo un altro po' di prove, poi farò sapere..

Sto notando una cosa molto strana (per me almeno), se cambio la
password di un utente con smbldap-passwd (ma anche da phpldapadmin)
poi viene effettivamente cambiata, perché il bind è corretto quando
faccio ricerche (e non anonimo), però il campo userPassword ha sempre
lo stesso valore!
Il metodo utilizzato è SSHA, non dovrebbe dare valori diversi per ogni
password??
E perché se faccio più volte per dire
smbldap-passwd -s "segreto" ottengo sempre risultati diversi :O, c'è
qualcosa che mi sfugge?

Mi sono sbagliato nel post di prima, intendevo slappasswd,
tipo
root@pdc:~# slappasswd -s "segreto"
{SSHA}Vr1Cry4k0BF4GeWVUnf3L2MsMh//Ho3P
root@pdc:~# slappasswd -s "segreto"
{SSHA}AZTmJg+EV13QvVDDPZg409GgsG2RV+M6
root@pdc:~# slappasswd -s "segreto"
{SSHA}bMnk6O4VV68idijaKDYM/2jXo+CgsGGe

Inoltre il caro vecchio samba mi dà sempre questo errore
[2007/11/29 08:48:09, 0] auth/auth_util.c:create_builtin_users(758)
  create_builtin_users: Failed to create User
Sia che usi con ldap sia che usi senza, mi pare di aver capito che
dipenda da un aggiornamento di samba (dalla 3.0.23, io invece uso
Version: 3.0.26a-1ubuntu2.2).
Ma non ho proprio capito come cavolo si risolve...

Non si sa bene come ma ho risolto :)
Ora il dominio funziona, alleluja alleluja!
Dunque ora dovrei fare diversi shares, ognuno di questi "appartiene" a
un certo reparto dell'azienda, e solo gli utenti appartenenti a quel
reparto (più i vari admins) possono leggere e scrivere, gli altri solo
in lettura.
In questo modo si risolvono automaticamente anche le questioni di
locking??
Devo studiarmi bene i permessi e le mappature tra gruppi/utenti unix e
samba, se avete consigli di qualche tipo su trappole possibili sono
ben accetti...

> da qualche ACl come userPassword...
a> No il bind funziona anche non anonimo, avevo già provato a cercare 
a> attributi nascosti come userPassword.
Scusa, intendevo dire 'prova ad usare il bind da cn=admin' e a cercare
userPassword...
-- 
  ...la piu' grande per chi guerra
  insegno` a disertare.					(F. De Andre`)

Mandi! andrea
  In chel dì si favelave...
a> Sto notando una cosa molto strana (per me almeno), se cambio la
a> password di un utente con smbldap-passwd (ma anche da phpldapadmin)
a> poi viene effettivamente cambiata, perché il bind è corretto quando
a> faccio ricerche (e non anonimo), però il campo userPassword ha sempre
a> lo stesso valore!
a> Il metodo utilizzato è SSHA, non dovrebbe dare valori diversi per ogni
a> password??
Si, sicuro di eseguire smbldap-passwd con i parametri giusti? O di
averlo configurato correttamente?
a> E perché se faccio più volte per dire
a> smbldap-passwd -s "segreto" ottengo sempre risultati diversi :O, c'è
a> qualcosa che mi sfugge?
Questo è normale, la 'S' si SHA sta per 'Salt'...
 
http://en.wikipedia.org/wiki/Salt_%28cryptography%29
-- 
  Molti italiani sognavano di vedere Berlusconi in un cellulare,
  prima o poi...			(Stardust?, da i.n.n-a)

Mandi! andrea
  In chel dì si favelave...
a> Dunque ora dovrei fare diversi shares, ognuno di questi "appartiene" a
a> un certo reparto dell'azienda, e solo gli utenti appartenenti a quel
a> reparto (più i vari admins) possono leggere e scrivere, gli altri solo
a> in lettura.
[...]
a> Devo studiarmi bene i permessi e le mappature tra gruppi/utenti unix e
a> samba, se avete consigli di qualche tipo su trappole possibili sono
a> ben accetti...
...io ho sostanzialmenyte preferito fare uno share unico e gestire i
permessi con le ACl...
-- 
  ? come se Mendeleev quando ha scoperto gli elementi, il giorno che ha
  scoperto l'ossigeno avesse detto: "benissimo, ho scoperto l'ossigeno, chi
  respira mi paga una royalty"... chi respira paga, pensa a Genova che
  casino, morivano tutti in apnea.			(Beppe Grillo)

 
Ah interessante, ma quali vantaggi si hanno?
C'è qualche buon link a riguardo?
Un altra cosa, con net groupmap list ottengo ad esempio questi due gruppi:
Replicators (S-1-5-32-552) -> Replicators
Commerciale (S-1-5-21-3371693845-3198794924-2554049557-3007) -> Commerciale
Uno creato in fase iniziale da smbldap-populate e l'altro creato con 
smbldap-groupadd.
Il SID del secondo è completo (sid del server + gruppo), qual è la 
giusta modalità?

> permessi con le ACl...
a> Ah interessante, ma quali vantaggi si hanno?
...le ACl sono assolutamente flessibili, quindi haiquesto vantaggio.
Di contro sono flessibili, quindi è difficilissimo documentare e
manutenere le politiche di accesso al filesystem. ;)
a> C'è qualche buon link a riguardo?
...che io sappia no, ma se lo trovi mi interessa. ;)
a> Il SID del secondo è completo (sid del server + gruppo), qual è la 
a> giusta modalità?
Entrambe. Uno è per un account di dominio, l'altro per degli accunt
locali, se guardi anche in ogni semplice windows xp le cose stanno
così.
[oddio, come si vedono i SID in windows? nonmiricordo... ;((( ]
-- 
  C'era un tempo in cui l'Italia era sull'orlo di un precipizio.
  Ma grazie a Berlusconi abbiamo fatto un passo avanti.		(?)

Accidenti a me mi sta facendo diventare scemo samba.
Dunque vediamo se ho capito bene, io aggiungo il mio bel gruppo con
smbldap-groupadd -a <gruppo> e ci metto gli utenti con smbldap-usermod
-G.
Poi in samba creo uno share di questo tipo, ad esempio:
[commerciale]
        comment = directory relativa al commerciale
        path = /home/calzitex/commerciale
        read list = "@Domain Users"
        write list = @Commerciale
        read only = No
        vfs objects = recycle
        recycle:versions = True
        recycle:maxsize = 0
        recycle:directory = /home/%U/Cestino
Ora in lettura mi fa entrare ma non mi fa scrivere! Entrando nei
criteri di protezione da win Domain Users me lo mostra correttamente
ma il gruppo "Commerciale" no, mostra tutto il SID (facendo capire che
non lo riconosce).
E samba dice questo
  Error opening file Nuovo Immagine bitmap.bmp
(NT_STATUS_ACCESS_DENIED) (local_flags=66) (flags=578)
[2007/12/03 17:34:19, 3] smbd/error.c:error_packet_set(106)
  error packet at smbd/nttrans.c(803) cmd=162 (SMBntcreateX)
NT_STATUS_ACCESS_DENIED
Ora avevo poi notato che il sid impostato era diverso (chissà perché)
da quello ottenuto con "net getlocalsid", quindi ho riimpostato e
rifatto, ottenendo questo
root@server:/home/calzitex# net groupmap list
Domain Admins (S-1-5-21-3371693845-3198794924-2554049557-512) ->
Domain Admins
Domain Users (S-1-5-21-3371693845-3198794924-2554049557-513) -> Domain
Users
...
Commerciale (S-1-5-21-4246970894-1314141821-2748001410-3011) ->
Commerciale
I primi due gruppi funzionano ma il terzo no (e non andava nemmeno
quando c'era il sid uguale agli altri).
Help help...

Accidenti a me mi sono letto tutta la documentazione possibile, il sid
è giusto e il mapping è questo
root@server:~# net groupmap list
Domain Admins (S-1-5-21-3371693845-3198794924-2554049557-512) ->
Domain Admins
Domain Users (S-1-5-21-3371693845-3198794924-2554049557-513) -> Domain
Users
Domain Guests (S-1-5-21-3371693845-3198794924-2554049557-514) ->
Domain Guests
Domain Computers (S-1-5-21-3371693845-3198794924-2554049557-515) ->
Domain Computers
Administrators (S-1-5-32-544) -> Administrators
Account Operators (S-1-5-32-548) -> Account Operators
Print Operators (S-1-5-32-550) -> Print Operators
Backup Operators (S-1-5-32-551) -> Backup Operators
Replicators (S-1-5-32-552) -> Replicators
Produzione (S-1-5-21-3371693845-3198794924-2554049557-3003) ->
Produzione
Non capisco perché diavolo uno share che gli utenti di Produzione
possono leggere/scrivere non venga riconosciuto (ma mi mostri un sid
peraltro sbagliato).
Devo forse azzerare brasare qualcosa su win?

andrea ha scritto:

Credo di aver capito perché non mi mostra la giusta mappatura su win, 
non facendo parte del dominio (che non riesco a trovare per probabili 
problemi di netbios irrisolti), non ha alcuna informazioni su cosa 
significhino quei SID, è corretto?

Ho notato anche questo
Produzione
         SID       : S-1-5-21-3371693845-3198794924-2554049557-3003
         Unix gid  : 1001
         Unix group: Produzione
         Group type: Domain Group
         Comment   :
Il rid finale (3003) è differente dal gid unix, a differenza degli altri 
gruppi creati automaticamente.
  Potrebbe essere questo il problema? Smbldap-tools si droga o sono io?

Questa poi è proprio bella, se faccio un testpam -s della mia conf mi 
sparisce netbios name!!
Ma poi c'è da dire che il nome viene impostato, perché ad esempio 
facendo così
andrea$ nmblookup -U 10.8.23.1 server
querying server on 10.8.23.1
192.168.1.202 server<00>
(tra l'altro dovrei ottenere 10.8.23.1 ma non perché su quella 
interfaccia proprio non ci vuole stare)
Ho provato con un altro file stupido e funziona tranquillamente.
Global è questo:
[global]
         workgroup = LCALZITEX
         netbios name = SERVER
         wins support = Yes
         obey pam restrictions = Yes
         delete user from group script = /usr/sbin/smbldap-groupmod -x 
"%u" "%g"
         remote announce = 192.168.1.255 10.8.23.255
         hosts allow = 
192.168.1.0/24
 
10.8.23.0/24
         ldap passwd sync = Yes
         logon script = logon.bat
         os level = 35
         ldap admin dn = cn=admin,dc=mura
         add machine script = /usr/sbin/smbldap-useradd -w "%u"
         delete user script = /usr/sbin/smbldap-userdel "%u"
         log level = 2
         ldap user suffix = ou=Users
         add group script = /usr/sbin/smbldap-groupadd -p "%g"
         delete group script = /usr/sbin/smbldap-groupdel "%g"
         socket options = TCP_NODELAY
         add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
         logon drive = H:
         domain master = Yes
         interfaces = eth0 tun0
         bind interfaces only = No
         passdb backend = ldapsam:ldap://localhost
         logon home = \\%L\%U
         ldap delete dn = Yes
         ldap machine suffix = ou=Computers
         ldap group suffix = ou=Groups
         ldap suffix = dc=mura
         logon path = \\%L\Profiles\%U
         # aggiungere %a per cambiare a seconda del sistema operativo
         add user script = /usr/sbin/smbldap-useradd -m "%u"
         set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
         ldap idmap suffix = ou=Idmap
         preferred master = Yes
         domain logons = Yes
E
testparm -s | grep netbios
Load smb config files from /etc/samba/smb.conf
Processing section "[homes]"
Processing section "[netlogon]"
Processing section "[Profiles]"
Processing section "[software]"
Processing section "[commerciale]"
Processing section "[produzione]"
Loaded services file OK.
Server role: ROLE_DOMAIN_PDC
root@server:/var/lib/samba/netlogon#
Niente! :(

Mandi! andrea
  In chel dì si favelave...
a>         path = /home/calzitex/commerciale
I permessi (unix) di questa cartella?
-- 
  The Twentieth Century was shaped largely by three trends: the growth of
  democracy, the growth of corporate power, and the growth of corporate
  propaganda as a means of protecting corporate power against democracy.
							(Alex Carey)

Mandi! andrea
  In chel dì si favelave...
a> Questa poi è proprio bella, se faccio un testpam -s della mia conf mi 
a> sparisce netbios name!!
...tu dovresti leggere un po' di documentazione, però, sai? ;)
testparam elimina/ignora i settaggi superflui, ovvero quelli che sono
già impostati al default, e lascia solo i settaggi che effettivamente
settano qualcosa. ;)
-- 
  And did you exchange a walk on part in the war
  for a lead role in a cage?				(Pink Floyd)

 
Di documentazione ne ho letta una tonnellatina per adesso ma sicuramente 
sono ancora un pivellino, però mi spieghi perché mi ignora netbios name, 
che HO SETTATO a un certo valore? (e quindi non default).
Su un altra conf di prova infatti non si comporta in questo modo...

 
uhm forse ho capito, cambiando a un altro netbios name non in uso me lo 
mostra poi, ma allora perché non mi nasconde anche tutte le altre 
impostazioni "in uso", tipo workgroup etc etc??

 
Dunque dunque ripensiamo da capo...
Vorrei fare tutto senza usare acl e altre amenità.
Ogni utente può appartenere a più gruppi, ma ogni share "appartiene" a 
un solo gruppo definito.
Però gradirei che quando un utente cancella un file da uno share 
condiviso vada nel SUO di cestino.
E fin qui ci siamo.
Dunque direi di forzare un certo gruppo per ogni certo share e cambiare 
l'umask in modo tale che ogni file sia r/w per tutto il gruppo.
Comincia ad avere senso in questo modo? Ora provo

andrea ha scritto:

Sigh sob non me ne va bene una, ho tentato a mettere force group = gruppo
e anche
+ gruppo ma samba si rifiuta di farmi loggare anche come admin
[2007/12/06 00:10:49, 2] lib/access.c:check_access(323)
   Allowed connection from  (10.8.23.6)
[2007/12/06 00:10:49, 2] passdb/pdb_ldap.c:init_group_from_ldap(2158)
   init_group_from_ldap: Entry found for group: 3003
Mi domando cosa cavolo abbia di male questo gruppo con gid 3003
smbldap-groupshow Produzione
dn: cn=Produzione,ou=Groups,dc=mura
objectClass: top,posixGroup,sambaGroupMapping
cn: Produzione
sambaSID: S-1-5-21-3371693845-3198794924-2554049557-3003
sambaGroupType: 2
displayName: Produzione
memberUid: francesco
gidNumber: 3003
description: Gruppo adibito alla produzione
Il sid è uguale a quello degli altri gruppi, e il gid è messo come il 
rid finale, che cosa c'è di sbagliato?
Questa la conf dello share maledetto
[produzione]
         writeable = yes
         read list = @"Domain Users"
         delete readonly = yes
         path = /home/calzitex/produzione
         write list = @Produzione
         vfs object = recycle
         force group = +Produzione
         comment = produzione
         create mode = 0775
         recycle:repository = %H/Cestino
         recycle:versions = True
         directory mode = 0775
Meglio che mi dò all'ippica??

Forse ho capito dove sta il problema, ora da un windows (già joinato
nel dominio) con quella conf mi dà che non riesce a trovare il gruppo.
Se non ho capito male è ldap che non restituisce il valore come
dovrebbe, dal log ottengo questo
Dec  6 11:52:12 server slapd[1420]: conn=10 op=12 SRCH
base="ou=Groups,dc=mura" scope=2 deref=0
filter="(&(objectClass=sambaGroupMapping)(|(displayName="produzione")
(cn="produzione")))"
Dec  6 11:52:12 server slapd[1420]: conn=10 op=12 SRCH attr=gidNumber
sambaSID sambaGroupType sambaSIDList description displayName cn
objectClass
Dec  6 11:52:12 server slapd[1420]: <= bdb_equality_candidates:
(displayName) index_param failed (18)
Dec  6 11:52:12 server slapd[1420]: conn=10 op=12 SEARCH RESULT
tag=101 err=0 nentries=0 text=
Che non ottiene alcun risultato se non sbaglio, ma facendolo da linea
di comando
ldapsearch -x "(&(objectClass=posixGroup)(cn="produzione"))"
# extended LDIF
#
# LDAPv3
# base <> with scope subtree
# filter: (&(objectClass=posixGroup)(cn=produzione))
# requesting: ALL
#
# produzione, Groups, mura
dn: cn=produzione,ou=Groups,dc=mura
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
cn: produzione
sambaSID: S-1-5-21-3371693845-3198794924-2554049557-3007
sambaGroupType: 2
displayName: produzione
memberUid: francesco
gidNumber: 3007
# search result
search: 2
result: 0 Success
# numResponses: 2
# numEntries: 1
Quindi che accidenti è? Perché ldap mi fa questi scherzetti? problema
con l'utente forse? (ho fatto il bind anonimo anche da linea di
comando).
HElllllp

Ho creato un nuovo gruppo senza "-a" (con mapping automatico) e
funziona, ora posso anche morire felice :D!!
Ma perché!?!?
Tutti gli altri gruppi hanno il mapping, sigh sob

> I permessi (unix) di questa cartella?
a> Comincia ad avere senso in questo modo? Ora provo
...quello che ti sto dicendo è che samba non 'salta' i permessi UNIX,
anche settando tutti i parametri del mondo (a parte se l'utenete samba
ha uid UNIX =0).
Qundi se i permessi UNIX (acl o meno) della directory UNIX esportata
come share samba non danno permessi di lettura al gruppo 'CICIO',
questo non leggerà nulla punto e basta.
-- 
  A: 
http://en.wikipedia.org/wiki/Top_post
  Q: Were do I find info about this thing called top-posting?
  A: Because it messes up the order in which people normally read text.
  Q: Why is top-posting such a bad thing?
  A: Top-posting.
  Q: What is the most annoying thing in e-mail?
  A: No.
  Q: Should I include quotations after my reply?