решено: Samba в домене Win 2k3 AD не отображает состав группы домена (отображается пустая доменная группа domain users)

[McSim]

Доброго времени, коллеги.
Воюю с сервером Samba, который пытаюсь сделать Файловым в составе домена AD...
К домену подключение через net ads join происходит корректно. При этом, спосок пользователей домена и групп отображается:

Код: Выделить всё

root@samba:~# wbinfo -u
SAMBA^nobody
guest
administrator
krbtgt
nov
kos
s_mat
.....
root@samba:~# wbinfo -g
domain computers
cert publishers
domain guests
ras and ias servers
domain users
group policy creator owners
domain controllers
domain admins
enterprise admins
schema admins
....
root@samba:~# net ads info
LDAP server: 10.0.0.4
LDAP server name: dc.xxx.local
Realm: XXX.LOCAL
Bind Path: dc=XXX,dc=LOCAL
LDAP port: 389
Server time: Вск, 17 Июл 2011 18:43:18 MSD
KDC server: 10.0.0.4
Server time offset: 0

Авторизация/аутентификация на основе NSS и winbind. Конфиг самба следующий:

Код: Выделить всё

root@samba:~# testparm -s
Load smb config files from /etc/samba/smb.conf
rlimit_max: rlimit_max (1024) below minimum Windows limit (16384)
Processing section "[share]"
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER
[global]
        workgroup = XXX
        realm = XXX.LOCAL
        security = ADS
        auth methods = winbind
        password server = dc.xxx.local dc2.xxx.local
        log level = 3
        log file = /var/log/samba/log.new
        smb ports = 139
        load printers = No
        disable spoolss = Yes
        show add printer wizard = No
        panic action = /usr/share/samba/panic-action %d
        idmap uid = 10000-20000
        idmap gid = 10000-20000
        winbind separator = ^
        winbind use default domain = Yes

[share]
        comment = Общий ресурс на сервере Samba
        path = /var/shares/papka
        read only = No
        inherit permissions = Yes
        inherit acls = Yes
        inherit owner = Yes
        map acl inherit = Yes

НО, не пойму почему не отображается состав доменной группы:

Код: Выделить всё

root@samba:~# getent group "domain users"
domain users:x:10002:

при этом:

Код: Выделить всё

root@samba:~# getent passwd kra
kra:*:10000:10002::/home/XXX/kra:/bin/false
root@samba:~# id kra
uid=10000(kra) gid=10002(domain users) группы=10002(domain users),10006(it-dep),10008(it),10001(BUILTIN^users)

то есть пользователи принадлежат группе. Некоторые другие группы отображаются корректно:

Код: Выделить всё

root@samba:~# getent group "Бухгалтерия"
бухгалтерия:x:10021:jul...,gre...,sta...,mik...,sap...

Подскажите, как такое может быть? и Почему не отображается состав группы?
заранее спасибо!

[Ленивая Бестолочь]

потому, что "domain users" для вашего пользователя kra - это "primary group ID". а другие группы, в которые он входит - это "supplementary group ID".
первое в линуксе задаётся через поле gid в /etc/passwd (или другом аналогичном name service-е), а второе - через /etc/group (-----//-----).
винда для того, чтобы у её администраторов не возникали подобные вопросы, не выносит на поверхность такие различия и в mmc вы видете группу "domain users" такой же, как остальные. на самом деле она волшебная и непосредственно в ней пользователей нет.

короче говоря, это нормальное явление, так и должно быть %).

[McSim]

Спасибо, Ленивая Бестолочь.
как я сам не догадался