настройка samba в роли PDC (etchR1) (отсутствуют доменные принципалы)

Обсуждение настройки и работы сервисов, резервирования, сетевых настроек и вопросов безопасности ОС.

Модераторы: SLEDopit, Модераторы разделов

LevT
Сообщения: 9

настройка samba в роли PDC (etchR1)

Сообщение LevT »

настраиваю сабж 3.0.24-etch4 по некоторой книжке, впервые

Код: Выделить всё

[global]
workgroup = WIN.EXAMPLE.NET
netbios name = SMBPDC
domain logons = yes
domain master = yes


(привёл всё на мой взгляд релевантное, но могу и подробнее; testparm не ругается).

Создал для самбы рута. Книжка далее рекомендует назначить привилегии группам.
Только вот почему-то у меня вывод команды
#net rpc rights list accounts -U root
содержит только принципалы BUILTIN\* и не содержит принципала WIN.EXAMPLE.NET\root

команда типа net rpc rights grant "WIN.EXAMPLE.NET\Domain Admins" SeMachinePrivilege -U root действия не оказывает: доменный принципал в выводе пред. команды не появляется.


Что это означает, и как это лечится?
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

после долгих рысканий случайно натолкнулся на инструкцию http://www.mail-archive.com/samba@lists.sa...g/msg82537.html
автор которой тоже, видно, долго мудохался и утверждает, что "One common thing I found in all the guides I read were unstated dependancies on the Samba version."

попытался следовать ей - и получил

Код: Выделить всё

net rpc group addmem "Domain Admins" root
Could not add root to Domain Admins: NT_STATUS_ACCESS_DENIED
Спасибо сказали:
alex_suse
Сообщения: 204
ОС: Debian, openSUSE, Gentoo

Re: настройка samba в роли PDC (etchR1)

Сообщение alex_suse »

Странная статья.
Зачем создавать в nix такие странные группы как "Domain Users"? Надо создать нормальные, типа ntusers и сопоставить их уже через groupmap c виндовыми. Тем более не ясно назначение в домене таких групп как "Administrators" и прочих подобных.
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

alex_suse писал(а):
17.11.2007 01:45
Странная статья.
Зачем создавать в nix такие странные группы как "Domain Users"? Надо создать нормальные, типа ntusers и сопоставить их уже через groupmap c виндовыми. Тем более не ясно назначение в домене таких групп как "Administrators" и прочих подобных.


Ну хорошо, пускай статья плохая - а мне-то что делать? Очевидно, когда писалась книжка, которой я следую (2006 год), рекомендовалось делать именно так. С тех пор самба в корне поменяла идеологию, и книжку мне надо выбросить на помойку? Или можно что-то подкрутить, чтобы заработал тот подход?

Авторы книжки горько сетуют на анархическую природу самбописателей и честно не гарантируют, что в следующих версиях сохранится совместимость с той, что описывают они. Рекомендуют двигаться мелкими шажками, каждый раз проверяя работоспособность конструкции. Я понимаю, что книжка может оказаться несовершенной, с моей точки зрения она идеальна для быстрого старта.
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

alex_suse писал(а):
17.11.2007 01:45
Странная статья.
Зачем создавать в nix такие странные группы как "Domain Users"? Надо создать нормальные, типа ntusers и сопоставить их уже через groupmap c виндовыми. Тем более не ясно назначение в домене таких групп как "Administrators" и прочих подобных.



создал ntadmins и сказал net groupmap add rid=512 unixgroup=ntadmins
принципала такого по-прежнему нет, и не появляется после net rpc rights grant "WIN.EXAMPLE.NET\ntadmins" SeMachineAccountPrivilege

как вырулить?
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

кажись, победил я эту хрень. В самбе, начиная с 3.0.23, отсутствуют по умолчанию виндовые доменные группы, а привилегии заранее дадены BUILTIN\Administrators

так что надо создать группу admin и сказать
net groupmap add rid=512 unixgroup=admin ntgroup="Domain Admins" type=d

теперь в выводе net rpc rights list accounts появляется и принципал WIN.EXAMPLE.NET\Domain Admins, вкупе с вслепую данными ему в предыдущих попытках привилегиями.

раньше net groupmap list (судя по книжке) выдавала сразу же дохрена всего, а теперь у меня в ее выводе только Domain Admins (<sid>) -> admin


Очевидно, поменялась идеология: где почитать, зачем эти изменения в самбе?
Спасибо сказали:
alex_suse
Сообщения: 204
ОС: Debian, openSUSE, Gentoo

Re: настройка samba в роли PDC (etchR1)

Сообщение alex_suse »

Какие изменения?
Да, в какой-то версии по дефолту убрали виндовые группы, создаются они как и раньше, дальше сопоставляются с юниксовыми.
Идеалогия никак не менялась.
А про книжку. Честно говоря меня она сильно удивила, нигде такого не видел и честно не пойму к чему там это делается, разве что-ли максимально приблизить к винде, больше никого смысла я там не увидел.
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

1) самба нахрен никому не нужна там, где нет винды. Если самба используется - значит, есть потребность в интеграции с виндой.

2) группы должны называться как угодно; менять какие-то умолчания из-за вкусовых предпочтений (ntadmins против Domain Admins) - хамское отношение к пользователям. Менять умолчания - значит инвалидировать кучу доков, конфигов и скриптов.
Спасибо сказали:
alex_suse
Сообщения: 204
ОС: Debian, openSUSE, Gentoo

Re: настройка samba в роли PDC (etchR1)

Сообщение alex_suse »

LevT писал(а):
18.11.2007 00:34
1) самба нахрен никому не нужна там, где нет винды. Если самба используется - значит, есть потребность в интеграции с виндой.

2) группы должны называться как угодно; менять какие-то умолчания из-за вкусовых предпочтений (ntadmins против Domain Admins) - хамское отношение к пользователям. Менять умолчания - значит инвалидировать кучу доков, конфигов и скриптов.


Давайте исходить из простой вещи - юникс это не винда, и он совершенно не стремится её быть. Самба это вообще только малая часть юникса, многие её не используют вообще. Поэтому группы в юниксе исторически имеют свои имена и правила написания, и никаких там Domain Admins не было и не будет скорее всего.
Вторая простая вещь - самба это некая сетевая реализация, обязательности интегрирования именно с виндой никакой нет, никто не мешает её использовать вполне самостоятельно и уж тем более совершенно не обязательно вообще использование виндовых групп, как пример RIS сервер, самба для установки винды нужна, а вот всякие Domain Admins идут в лес, через него и туже самбу можно поставить и юникс или загрузить какой-нибудь дос.
Если же вы решили самбу поставить в роли PDC, т.е. аналога PDC WinNT и подключить в домен виндовых клиентов, то будьте добры это реализовать, инструмент дан, инструмент реализованный в юниксе, не в винде, поэтому имеющий свои правила.

Менять умолчания это инвалидировать? Всякое бывает, но в данном конкретном случае достаточно было net groupmap list запустить и увидеть, что он пустой, мне вообще такая команда видится логичной перед применением команд добавления, изменения или удаления.
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

ну да, такой обычай мне известен - подводить под вкусовые предпочтения теоретическую базу и разжигать священные войны на пустом месте. (А ntadmins vs. Domain Admins место именно ПУСТОЕ; если вас это коробит - кто вам мешал настоять на исправлениях заранее, до выпуска релиза?)

Если бы ещё при этом не страдали обычные пользователи, ньюбы, читатели доков чуть-чуть устаревшей минорной версии...
Спасибо сказали:
alex_suse
Сообщения: 204
ОС: Debian, openSUSE, Gentoo

Re: настройка samba в роли PDC (etchR1)

Сообщение alex_suse »

1.Никакой теоретичиской базы нет. Группы вида Domain Admins это группы виндовс это понятно? Вы в какой ос настраиваете самбу, в виндовс? Обязательность интегрирования самбы с виндовс есть?
2. Пользователи не настраивают PDC это делают администраторы, работа так называется, если страдаете, то видимо надо работу менять.

Тему закрыл.
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

alex_suse писал(а):
18.11.2007 16:01
1.Никакой теоретичиской базы нет. Группы вида Domain Admins это группы виндовс это понятно?

Непонятно, ибо не разделяю Вашу истовую религиозность. Domain Admins - это просто этикетка, не хуже и не лучше, чем ntadmins. И в никсах, и в винде реальное значение имеет не она, а gid и rid соответственно. Ещё раз повторю риторический вопрос: что мешало вам заблаговременно, до релиза настоять на уважении ваших религиозных чувств по поводу правильных этикеток? (То же относится к вашим юниксово-незалэжным чувствам по поводу самбы.) Софт свободный, Вам и вам подобным рот никто не затыкал, кажется.

2. Пользователи не настраивают PDC это делают администраторы,

Role-based метафора вам понятна? Пользователь это роль. Администратор - пользователь софта, предназначенного для администрирования.

[off]
Тему закрыл.

Закрывалка не выросла.[off]
Спасибо сказали:
F8AIRROOT
Сообщения: 4
ОС: WinXP, Linux

Re: настройка samba в роли PDC (etchR1)

Сообщение F8AIRROOT »

А у тебя вобще в sambe виндовые машины регятся?
Спасибо сказали:
LevT
Сообщения: 9

Re: настройка samba в роли PDC (etchR1)

Сообщение LevT »

F8AIRROOT писал(а):
18.11.2007 20:37
А у тебя вобще в sambe виндовые машины регятся?


получилось сделать так, как описано выше. Входят в домен. Надо в реестре подкрутить один параметр нетлогона.
Спасибо сказали: