Нет доступа к локальным ресурсам при авторизации в домене (Нет доступа к локальным ресурсам () при авторизации в домене через Sam)

[Pavel Ghost]

День добрый

Есть виндовый домен с AD под Win2003
Есть несколько рабочих компов с openSUSE 10.2
в них сделана авторизация в домене через Samba (стандартная настройка через Yast - Сетевые службы - Членство Windows домена и там тупо поставлена галка для использования при атунтификации в линухе).

Пользователи прекрасно логинятся в домене, НО НЕ получают никакого доступа к локальным ресурсам своих компов - нет звука, нет возможности писать на DVD-R, даже флешки не монтируются.

Насколько я понимаю и по результатам поисков по форумам эти пользователи просто не включаются в соответсвующие локальные группы - audio, disk и т.п.

Как включить этих юзеров в локальные группы по-умолчанию?

Я уже описывал свою проблему на разных форумах - а вот ответ тишина, неужели у всех всё прекрасно работает? или в лом помочь? (((

С уважением....

[John Lynx]

Та же проблема, та же тишина

[7biohazard7]

Проблема и тишина скорее всего связана с тем что мало кто так делает. Да и в принципе, никс пользователей в AD не хранят - есть более приятные места

А что в логах есть что-то? Или ошибки при логоне/предупреждения какие-то выскакивают?

[Pavel Ghost]

Проблема и тишина скорее всего связана с тем что мало кто так делает. Да и в принципе, никс пользователей в AD не хранят - есть более приятные места

Честно говоря, мне кажется, это - сомнительное утверждение.
Что может быть более приятным того, чтобы использовать наработанный ресурс, а не лечить траблы в течение пары недели, заводя домен под самбой. При переезде на линух рабочих станций проще пути по-моему и придумать нельзя, если бы не эти "особенности". да и возможность такая есть, причём СТАНДАРТНАЯ КОРОБОЧНАЯ. Возможность такой авторизации ещё в процессе инсталляции предусмотрена, так что ... давайте не будем.

А что в логах есть что-то? Или ошибки при логоне/предупреждения какие-то выскакивают?

В каких именно логах? Никаких ошибок и т.п. при логоне не возникает - просто при попытке, например, запустить amarok - валится, что мол xine не может запустить аудио-дрова (от того, что нет юзера в группе audio), k3b не видит пишуший девайс опять-таки потому как не может получить доступ к cdrecord и чему-то ещё, при монтировании флешки - большое сообщение со словами про permission, даже иконка NetworkManager-а показывает, что мол находимся "Connection in progress", хотя сетка работает без проблем.
Если заходить под локальным непривилегированным пользователем, то без проблем всё работает, но неудобно работать с сетевыми ресурсами.

[7biohazard7]

>В каких именно логах?
Так как у вас самба и АД думаю логи надо смотреть Самбы, Кербероса заодно.
Да и вообще что проходит в messages при логоне.
Насчет групп сильно сомневаюсь что дело именно в этом, есть опыт хранения пользователей для НИКС в обычном LDAP-каталоге, так там все нормально проходит, только ругается на дом-й каталог. Насколько понимаю проблема в том что схемы LDAP для ВИН и НИКС сильно отличаются. К сожалению я не имею возможности у себя проверять авторизацию, AD домена у меня в принципе нет.

Вот еще нагуглил взгляните - http://reverendted.wordpress.com/2006/09/12/linux-goes-mad/

[Pavel Ghost]

>В каких именно логах?
Так как у вас самба и АД думаю логи надо смотреть Самбы, Кербероса заодно.
Да и вообще что проходит в messages при логоне.

Никаких проблем в логах я не выявил, приводить тучу строк смысла не вижу - видимо это штатная абсолютно процедура, которая и не пытается включать вновь создаваемого пользователя из AD включать в какие-либо локальные группы

Насчет групп сильно сомневаюсь что дело именно в этом

А зря. Повторюсь ещё раз - НЕТ НИКАКИХ проблем с логином и авторизацией, юзеры прекрасно получают тикеты kerberos и всё, что полагается. Но не видят они локальных устройств - audio, dvd и пр. и не могут с ними работать, потому как проги, их использующие (k3b, amarok, kmix и др. проверяются права на основе локальной групповой безопасности.
Чтобы эти проги работали достаточно запускать их через sudo с любым локальным пользователем, но это "криворукий подход", мне кажется.

Вот еще нагуглил взгляните - http://reverendted.wordpress.com/2006/09/12/linux-goes-mad/

Спасибо, почитал, первые пункты собственно и отражают ту процедуру, что проделал и я. Но и здесь ни слова про то, как побороть проблемы, возникшие у меня.

вот, например, привожу скриншотик ошибки, которая возникает при попытке открыть воткнутый DVD под юзером из AD.

[VPF]

А вот здесь говорят, что всё настраивается легко и работает нормально.
Вот и задай вопрос.

здесь

[Pavel Ghost]

А вот здесь говорят, что всё настраивается легко и работает нормально.
Вот и задай вопрос.

здесь

и они совершенно правы (в части интергации с AD)
но такое впечатление, что тестировали по принципу: "О! подключился, виндовые ресурсы видит, всё работает, ура!"

[woodlion]

У меня работает. Вот только пользователи заведены в сусе. То есть одновременно с регистрацией в системе происходит авторизация в домене. В этом случае все нормально. Даже личные папки видны в виндовом домене.

[sarutobi]

Pavel Ghost
не тестировали а интегрировали. А насчет виндовые ресурсы увидели - так для этого заморачиваться не надо, большинство ресурсов через smbclient доступно и без интеграции
Я пострюсь - когда интегрровал Suse в домен, то налетел на такие же проблемы как у Вас. Но при интеграции ASP в домен все прекрасно работает. Так что надо копать, как мне кажется, в направлении hal + пользователи домена + локальные группы доступа.

[Pavel Ghost]

Pavel Ghost
не тестировали а интегрировали.

Ну как ни назови...

А насчет виндовые ресурсы увидели - так для этого заморачиваться не надо, большинство ресурсов через smbclient доступно и без интеграции

каждая секретарша это делает элементарно )))
для меня лично такая интеграция особо не нужна, мне и так неплохо под suse, мне самба не нужна, но столько разговоров о простоте и готовности линуха к применению в качестве рядового десктопа на рабочем месте, что и боссы на это повелись... но к сожалению желаемое не всегда соответствует реальности (в полном объёме).

... при интеграции ASP в домен все прекрасно работает. Так что надо копать, как мне кажется, в направлении hal + пользователи домена + локальные группы доступа.

попробую копать, как пойму в какую сторону Вы меня "мягко направили"

У меня работает. Вот только пользователи заведены в сусе. То есть одновременно с регистрацией в системе происходит авторизация в домене. В этом случае все нормально. Даже личные папки видны в виндовом домене.

т.е. пользователи заходят под локальными учётными записями? а синхронизация паролей с доменом как осуществляется - например, если юзер поменял пароль в сусе - изменится ли он в AD и наоборот? это одна из заморочек.

[woodlion]

У меня работает. Вот только пользователи заведены в сусе. То есть одновременно с регистрацией в системе происходит авторизация в домене. В этом случае все нормально. Даже личные папки видны в виндовом домене.

т.е. пользователи заходят под локальными учётными записями? а синхронизация паролей с доменом как осуществляется - например, если юзер поменял пароль в сусе - изменится ли он в AD и наоборот? это одна из заморочек.

Пользователи заходят в сусе под локальными аккаунтами и одновременно цепляются в домен. При настройке самба сервера такая же фигня. Юзеры должны иметь аккаунты и в никсе, пусть даже пустые. Со сменой пароля не пробовал, но вряд ли они будут меняться одновремено. Тут я пас. Сколько лет мы всячески избегаем виндового домена, у нас дерево новеловское.

каждая секретарша это делает элементарно )))
для меня лично такая интеграция особо не нужна, мне и так неплохо под suse, мне самба не нужна, но столько разговоров о простоте и готовности линуха к применению в качестве рядового десктопа на рабочем месте, что и боссы на это повелись... но к сожалению желаемое не всегда соответствует реальности (в полном объёме).

А вот здесь надо подходить с другой стороны. По моему мнению, если уж переходить на suse, то надо уходить и от виндовых доменов. На едиректори тот же. То есть на дерево новеловское. На SLES вместо MS Server.

[elide]

а просто ради интереса, покажи вывод id от какого-нибудь пользователя из AD...

[Pavel Ghost]

а просто ради интереса, покажи вывод id от какого-нибудь пользователя из AD...

> id
uid=10000(DOMEN\username) gid=10000(DOMEN\пользователи домена) group=10000(DOMEN\пользователи домена),10001(DOMEN\в том же духе все группы пользователя в AD),...,10010=(BUILTIN\users)

Пользователи заходят в сусе под локальными аккаунтами и одновременно цепляются в домен. При настройке самба сервера такая же фигня. Юзеры должны иметь аккаунты и в никсе, пусть даже пустые. Со сменой пароля не пробовал, но вряд ли они будут меняться одновремено. Тут я пас. Сколько лет мы всячески избегаем виндового домена, у нас дерево новеловское.

то и оно :-/

А вот здесь надо подходить с другой стороны. По моему мнению, если уж переходить на suse, то надо уходить и от виндовых доменов. На едиректори тот же. То есть на дерево новеловское. На SLES вместо MS Server.

хочется всё-таки без шоковой терапии и не бросать всё то, что уже наработано, это вопрос денег, времени и дополнительной болезни, которую и "самому не посмотреть и другим не показать"

[elide]

ну так может просто дописать в AD нужные gid'ы?
если из AD раздаются группы 10000, 10001.... то почему бы не раздавать всякие 3, 4, 9 и проч?

[Pavel Ghost]

ну так может просто дописать в AD нужные gid'ы?
если из AD раздаются группы 10000, 10001.... то почему бы не раздавать всякие 3, 4, 9 и проч?

интересно, это как? в AD нет такого понятия как gid - тем более 10001 и т.д. - там есть SID, что совсем другая песня, а при логине в suse, видимо, тупо берутся все группы из AD и им присваиваются свободные номера групп в диапазоне, указаном в smb.conf.

[sash-kan]

эти пользователи просто не включаются в соответсвующие локальные группы - audio, disk и т.п

↑

я обошелся pam-ом. собственно, даже не для конкретных пользователей, а для всех. наверно, это не совсем правильно. но приходящий в голову альтернативный вариант - это перечислить всех пользователей домена...
делалось на debian-е. в других системах скорее всего пути/имена файлов могут отличаться.
1. для начала в /etc/security/group.conf добавил строчку

Код: Выделить всё

*; *; *; Al0000-2400; audio, cdrom

первая звездочка - «все сервисы», они же - пути авторизации (например, xdm, kdm, su, ssh и т.д. и т.п.)
вторая звездочка - «все tty».
третья звездочка - «все пользователи». вот тут можно сделать вышеупомянутое перечисление. через запятую.
четвертое поле - это время. у меня - «круглосуточно»
пятое поле - в какие, собственно группы надо включить пользователя.
2. чтобы содержимое /etc/security/group.conf было принято к сведению, добавил строку

Код: Выделить всё

auth optional pam_group.so

перед первой незакомментированой строкой в /etc/pam.d/common-auth

вот, собственно, и все.

[ntfs2]

'PavelGhost, у меня такая же ерунда, хотя в SLED 10 все прекрасно работало

[Pavel Ghost]

СПАСИБО ОГРОМНОЕ!!!
группы в списке появились!!!

насчёт работы приложений в новых условиях проверить не успел - перестала реагировать панель kicker-a и что-то как-то насовсем

на других компах, правда, после указанных действий группы не появились, но я уже видел результат, поэтому буду дальше разбираться.

мне ещё достаточно дельный совет от LinuxFormat прислали, но он в лоб не сработал, как будут стабильные результаты - напишу.

ещё раз СПАСИБО

[Pavel Ghost]

ээххх, всё разобрался и с KDE и с другими компами - я ошибся в написании маски времени в /etc/security/group.conf

НО ( ох уж это но (( HAL не даёт монтировать CD/DVD и флешки - ругается как на картинке

[UTiM]

Блин, вторую неделю с этим бьемся.
Дописали в /etc/dbus-1/system.d/hal.conf

Код: Выделить всё

<policy group="users">
    <allow send_interface="org.freedesktop.Hal.Device.SystemPowerManagement"/>
    <allow send_interface="org.freedesktop.Hal.Device.VideoAdapterPM"/>
    <allow send_interface="org.freedesktop.Hal.Device.LaptopPanel"/>
    <allow send_interface="org.freedesktop.Hal.Device.Volume"/>
    <allow send_interface="org.freedesktop.Hal.Device.Volume.Crypto"/>
  </policy>

Прописали доменного пользователя в группу "users" плюс в те-же, что у локального ручками. Теперь ругается так:

Код: Выделить всё

hal-storage-removable-mount refused uid 10000

Видимо даже попадание доменного пользователя в локальную группу не помогоает.
Здесь народ тоже самое получил - и затык? Где копать дальше?

[Dr.Akula]

Я решил данную проблему добавив в файл /etc/dbus-1/system.d/hal.conf

<policy group="16777219">
<allow send_interface="org.freedesktop.Hal.Device.SystemPowerManagement"/>
<allow send_interface="org.freedesktop.Hal.Device.VideoAdapterPM"/>
<allow send_interface="org.freedesktop.Hal.Device.LaptopPanel"/>
<allow send_interface="org.freedesktop.Hal.Device.Volume"/>
<allow send_interface="org.freedesktop.Hal.Device.Volume.Crypto"/>
</policy>

Где 16777219 было id группы "Пользователи домена"


ЗДЕСЬ еще одно решение похожей проблемы

[UTiM]

Вот еще "рецепт". Взят с www.suseclub.ru , но сейчас их сайт недоступен. Привожу дословно:


1. /etc/security/group.conf
Добавить
*; *; *; Al0000-2400; audio, cdrom, dialout, floppy, video, users
2. В файл /etc/pam.d/common-auth до первой раскоментированной строки
auth optional pam_group.so
3.Поменять доменный сепаратор с \ еа какой-нибудь другой. (В /etc/samba/smb.conf дописать строку winbind separator = +) и
удалить все пакаджи zenwork(чтоб не ругался можно или через YAST2 или с пом-ю
комманд rczmd stop; rpm -e zmd libzypp-zmd-backend sqlite-zmd rug zen-upda

Первая строка позволяет автоматически включить доменного пользования в локальные группы, на счет необходимости последней - не уверен.

После включения доменного пользователя в локальные группы звук появился, однако флэшки и CD у меня все равно не цепляет (все то-же сообщение). Возможно из-за многочисленных попыток "подкрутить" или "не все обновления одинаково полезны" (после очередного обновления САМБЫ, например - стало невозможно подключится к домену). Однако многие пишут, что "все работает"....

[ntfs2]

поставь resmgr-1.1.0_SVNr143-8.i586.rpm и вся проблема решится

[UTiM]

поставь resmgr-1.1.0_SVNr143-8.i586.rpm и вся проблема решится

Спасибо, помогло!
Все заработало (не прошло и пол года или уже прошло?)

[viliam]

Привет всем!
Подскажите кто-нибудь как включить конкретного доменного пользователя, когда описываю его в файле /etc/security/group.conf - ругается на плохой синтаксис "pam_group(su:setcred): garbled syntax; expected & or | (rule #1)"

Пробовал описывать и так domain\user и так domain+user (когда в самбе включаю winbind separator = +)

[UTiM]

Привет всем!
Подскажите кто-нибудь как включить конкретного доменного пользователя, когда описываю его в файле /etc/security/group.conf - ругается на плохой синтаксис "pam_group(su:setcred): garbled syntax; expected & or | (rule #1)"

Пробовал описывать и так domain\user и так domain+user (когда в самбе включаю winbind separator = +)

Попробуй взять в кавычки "domain\user " или так: domain\\user , а еще можно по uid попробовать..

[viliam]

Пробовал в кавычках "domain\user " и так domain\\user , и по uid - НЕ РАБОТАЕТ....

Никто не сталкивался?

[qqq1971]

Попробовал - аналогично, не работает. Но ни на что не ругается, просто не добавляет указанного пользователя в указанные группы.