Newsgroup: it.comp.macintosh
Titolo: Connessione al dominio

salve,
vorrei far accedere il mio Mac con OSX alle risorse condivise su un server
con Windows Server 2003 impostato come Primary Domain.
non voglio usare gli account di windows su macos, mi interessa solo accedere
alle risorse condivise.
quando tento di entrare con Mela-K il server mi autentica, controllo con la
console di macos, ma poi mi dice access denied.
se sbaglio la password mi da un authentication error, mentre se la inserisco
in modo corretto dice solo access denied.
praticamente riconosce l'utente ma gli vieta di entrare! windows del
cacchio...
non voglio installare il server mac su windows 2003, voglio farlo funzionare
con samba.
non capisco perchč prima di farlo diventare dominio andava benissimo.
ho provato anche da terminale con mount_smbfs specificando username,
password e dominio ma mi dice sempre lo stesso errore.
come mai poi nell'smbpasswd manca l'opzione -j?
qualcuno mi puň aiutare?
grazie,
Ale.

 password e dominio ma mi dice sempre lo stesso errore.
E' un problema di autenticazione kerberos: in pratica, non attivando sul
dominio 2000 (o 2003 e' lo stesso) una retrocompatibilita' con il
vecchio metodo di autenticazione samba, sara' attivo solo il metodo di
autenticazione a livello di dominio. Questo prevede che il servizio SMB
(o samba) sia kerberizzato, cosa che non succedera' fino
all'implementazione di Samba 3.0.
Insomma, attualmente ti e' possibile autenticarti su un dominio windows
2000 con il kerberos di OsX (cosa su cui prima o poi scrivero' una faq),
ma non hai poi un servizio kerberizzato per accedere alle condivisioni
samba.
-- 
l'indignazione e' come un orgasmo
dura poco e poi viene sonno

 specifichi il domain name, che e` != workgroup, vero?
non č workgroup, č, con molta fantasia, Gruoppo1.
comunque il senso č quello.

 samba.
su un sito ho trovato il kerberos per osx ma mi da un errore durante
l'installazione, dice che sul disco di installazione deve essere presente la
cartella sistema e che non trova il file.
naturalmente sul disco è presente la cartella sistema.
se riuscissi a installarlo potre accedere al dominio?
dove la trovo la retrocompatibilità? nelle policies?
ora cerco.
grazie a entrambi per l'aiuto.
ciao.
Ale.

 Traduzione: con un client Win9x riesci ad entrare?
da windows 98 entro alla grande...
ciao.

 se riuscissi a installarlo potre accedere al dominio?
No, avresti un TGT (ticket granting ticket), che a tutti gli effetti ti
consentirebbe di usufruire dei servizi del dominio, se tu hai un client
che sfrutti kerberos.
Facciamo un cookbook minimo.
Bisogna per prima cosa editare il file di configurazione kerberos che tu
hai gia', perche' e' gia' installato di default dentro OsX.
Il file si chiama 'edu.mit.Kerberos' e si trova dentro
/Library/Preferences. Si chiama cosi' perche' il servizio e' fornito
paro paro dai creatori di Kerberos, i ragazzi al MIT.
Incollo un file funzionante per il mio dominio di prova:
 
[libdefaults]
default_realm = 
DISCARD.COM
#noaddresses = TRUE
[realms]
DISCARD.COM
 = {
kdc = aragorn.discard.com.:88
admin_server = 
aragorn.discard.com
.
default_domain = 
discard.com
}
[domain_realm]
.
discard.com
 = 
DISCARD.COM
Si deduce che il dominio si chiama 
DISCARD.COM
 e che il server che
fornisce il servizio di autenticazione kerberos si chiama ARAGORN.
La grossa differenza rispetto alla autenticazione kerberos classica e'
che nel caso di windows 2000 il dominio del server e il realm Kerberos
coincidono sempre. Nelle altre implementazioni si possono avere reami
kerberos trasversali ai domini.
Ma comunque, questo e' scarsamente importante per il nostro obiettivo.
Per ottenere un ticket di autenticazione kerberos (un ticket granting
ticket, cioe' un'autenticazione che ti consente dio presentarti da un
server dello stesso reame kerberos ed ottenere un TGS, un ticket
granting service, che consente l'utilizzo effettivo del servizio, come
samba), la maniera piu' semplice e' aprire una finestra di terminale e
digitare il comando
kinit
Questo fa si' che il client kerberos vada dal server di autenticazione
ed ottenga un TGT. 
La risposta del server e' abbastanza oscura, ma se si vuole dare
un'occhiata alle chiavi ottenute, si puo' utilizzare il comando
klist
che fornisce informazioni sulle chiavi ottenute, sui reami di
appartenenza e sui tempi di scadenza.
A questo punto un qualsiasi client kerberizzato puo' accedere la
corrispondente servizio kerberizzato.
Da notare che un server di un dominio windows 2000 funziona a tutti gli
effetti come un key distribution center di un reame kerberos.
Addirittura, un server windows 2000 puo' trustare gli utenti accreditate
presso un reame Kerberos V5.
Se vi interessa farvi una cultura su kerberos, windows 2000 e le loro
meraviglie, potete leggervi
http://www.microsoft.com/windows2000/docs/Kerbinterop.doc
Auguri.


 Scusa, ma io qui al lavoro entro benone sui server 2000...
Perche' ti hanno aperto il metodo di autenticazione adatto.


  ... =:-?
Ti trattano *cosi'* male al lavoro, negli ultimi tempi?


 ed ottenga un TGT. 
Mi son dimenticato (il caldo e l'eta' fanno brutti scherzi): bisogna
essere loggati nella sessione di OsX da cui si effettua l'operazione con
un utente che abbia uno username/password registrati all'interno di
active directory. In questo modo kinit passa direttamente la coppia u/p
al kdc criptandole nella maniera opportuna.


 workgroup... giusto?
i due coincidono...
ah ho un altro problema!
ogni tanto il mac si dimentica come si chiama e in risorse di rete di
windows compare nel gruppo giusto ma col nome di localhost e non accetta
connessioni in ingresso.
se da una finestra di explorer scrivo \\indirizzoip funziona, praticamente
non invia più nome giusto.
è una cosa strana, magari fa un giorno a inviarlo e due a non inviarlo,
senza toccare le impostazioni di condivisione e della directory.

 Perche' ti hanno aperto il metodo di autenticazione adatto.
visto che sono io l'amministratore del mio server come posso fare a darmi
l'autenticazione corretta? :)
grazie.
Ciao.

 al kdc criptandole nella maniera opportuna.
ok fatto.
però mi dice questo: Kerberos Login Failed: KDC has no support for encyption
type, se entro con un utente.
se entro con un altro invece dice: Kerberos Login Failed: KDC reply did not
match expectations.
cosa sbaglio?
grazie,
Ale.

 cosa sbaglio?
lo so io cosa sbaglio!!!
macosx è case sensitive!!
ciao.

 macosx è case sensitive!!
mm meglio non scaldarsi.
kerberos mi autentica, facendo klist compare il mio usename@dominio, però
non riesco comunque a montare le condivisioni con samba...
sempre errore 5000.

 wrote:

Adesso te lo scrivo con estrema calma:
IL METODO NON SERVE AD UN ACCIDENTE VISTO CHE SAMBA PER OSX NON E'
KERBERIZZATO!
E' PURA ACCADEMIA!
E' FUFFA!
;-)


 E' FUFFA!
ok ok.
almeno sono riuscito a farlo.
quindi non c'è modo di far accedere macosx alle risorse condivise su di un
server windows con dominio?
uscirà mai un samba kerberizzato?
ciao.

 wrote:

Samba 3.0 e' kerberizzato e su Linux pare che stia dando buoni
risultati: chissa' se su Panther lo implementeranno.


 che Tridgell & soci sonoa vanti con il reverse engineering? ;)
Questo no: significa rendere estremamente sicuro un servizio che sicuro
non e' in alcun modo e che e' uno dei servizi piu' utilizzati in una
rete.
Inoltre, e' stato reso sicuro tramite l'utilizzo di uno standard 'de
facto'.
Se il gruppo di Samba era indietro e' solo colpa loro, considerato che
Microsoft ha reso disponibili le specifiche del nuovo accesso fin dal
1998.
