При настройке нового файлового сервера Linux Samba в качестве члена AD я постоянно сталкиваюсь с проблемой аутентификации.
Похоже, что это вызвано запуском selinux в режиме Enforcing после присоединения к AD, но это не исчезнет, если я отключу selinux с помощью 0 или перезагрузиться с SELINUX=разрешительный в конфигурации selinux - по крайней мере, не на час или около того.
На первой тестовой виртуальной машине, которую я установил с тем же дистрибутивом, этапами настройки и обновлениями, она работала нормально, но сейчас я периодически сталкиваюсь с этой проблемой аутентификации на сервере, который я настраиваю для производственного использования.
Это на Rocky Linux 8.5 и Samba 4.14.5.
smb.conf в основном имеет настройки по умолчанию в [global], и я устанавливаю общедоступный [testshare]
[Глобальный]
безопасность = реклама
Серверная часть passdb = tdbsam
печать = чашки
название printcap = чашки
загружать принтеры = нет
варианты чашек = сырье
метод kerberos = секреты и keytab
домашний каталог шаблона = /home/%U@%D
оболочка шаблона = /bin/bash
idmap config ADOMAIN: диапазон = 2000000-2999999
idmap config ADOMAIN : backend = rid
Конфигурация idmap *: диапазон = 10000-999999
Конфигурация idmap * : backend = tdb
winbind использовать домен по умолчанию = да
билеты обновления winbind = да
автономный вход в систему winbind = да
# Разрешить гостевой доступ к общему ресурсу без пароля
сопоставление с гостем = плохой пользователь
# они должны быть установлены на no для использования в продукте
группы enum winbind = да
winbind перечисление пользователей = да
# Настройки Mac для ACL
карта acl наследовать = Да
хранить атрибуты DOS = Да
# Настройки Mac для вилок Apple Resource
объекты vfs = фрукты streams_xattr
фрукты: аапл = да
фрукты:машина времени = нет
фрукты:ресурс = xattr
фрукты: nfs_aces = нет
фрукты: модель = MacSamba
рабочая группа = ADOMAIN
область = ADOMAIN.LAN
[тестовый ресурс]
путь = /mnt/data01/smb/testshare
просматриваемый = да
запись = да
гость хорошо = да
только чтение = нет
присоединение к домену было выполнено с помощью
присоединение к области --membership-software=samba --client-software=winbind adomain.lan
Аутентификация Kerberos продолжает работать нормально
wbinfo -K пользователь
Этот тоже работает
получить пароль ADOMAIN\пользователь
Но следующее терпит неудачу
smbclient -L локальный хост -U гость%
wbinfo - пользователь
smbclient -d 3 //localhost/testshare -U пользователь
Последний выдает это:
lp_load_ex: параметры обновления
Инициализация глобальных параметров
rlimit_max: увеличение rlimit_max (1024) до минимального предела Windows (16384)
Раздел обработки "[глобальный]"
добавлен интерфейс ens192 ip=10.18.100.102 bcast=10.18.103.255 маска сети=255.255.252.0
Клиент запущен (версия 4.14.5).
resolve_lmhosts: попытка поиска lmhosts по имени localhost<0x20>
Подключение к 127.0.0.1 через порт 445
Введите ADOMAIN\пароль пользователя:
Серверная часть GENSEC 'gssapi_spnego' зарегистрирована
Серверная часть GENSEC 'gssapi_krb5' зарегистрирована
Серверная часть GENSEC 'gssapi_krb5_sasl' зарегистрирована
Серверная часть GENSEC 'spnego' зарегистрирована
Серверная часть GENSEC 'schannel' зарегистрирована
Серверная часть GENSEC «naclrpc_as_system» зарегистрирована
Серверная часть GENSEC sasl-EXTERNAL зарегистрирована
Серверная часть GENSEC ntlmssp зарегистрирована
Серверная часть GENSEC 'ntlmssp_resume_ccache' зарегистрирована
Серверная часть GENSEC 'http_basic' зарегистрирована
Серверная часть GENSEC 'http_ntlm' зарегистрирована
Серверная часть GENSEC 'http_negotiate' зарегистрирована
GSE для «localhost» не имеет смысла
Получил флаги вызова:
Получил NTLMSSP neg_flags=0x62898215
NTLMSSP: Установите окончательные флаги:
Получил NTLMSSP neg_flags=0x62088215
Знак/печать NTLMSSP — инициализация с флагами:
Получил NTLMSSP neg_flags=0x62088215
Ошибка входа в систему SPNEGO: {Отказано в доступе} Процесс запросил доступ к объекту, но ему не были предоставлены эти права доступа.
ошибка установки сеанса: NT_STATUS_ACCESS_DENIED
В журнале аудита обычно не отображаются ошибки отказа в AVC.Я попытался отключить правила dontaudit и разрешить появление сообщений об отказе AVC, но это не помогло.
Нужно ли мне отказываться от selinux, чтобы получить эту стабильную версию? Любые другие советы?
