Приветствую!Имеется следующая проблема: в сетевых шарах права на группу не работают.
Для примера, возьму шару scan:
# ls -la /data/scan/| grep test1
drwxrwx--- 2 root users 4096 дек 8 10:43 test1
Пытаюсь зайти из винды в эту шару: \\fileskladtest\scan\test1. Юзером, принадлежащим группе users:
Windows не может получить доступ к \\fileskladtest\scan\test1
Разрешение на доступ к \\fileskladtest\scan\test1 отсутствует.
То же самое через консоль:
C:\>net use \\fileskladtest\scan\test1 /user:tu3
Недействительный пароль для \\fileskladtest\scan\test1.Введите пароль для 'tu3' для подключения к 'fileskladtest':
Системная ошибка 5.
Отказано в доступе.
Хотя пароль правильный. В просто \scan пускает
У юзера права на группу есть:
# id tu3
uid=100278(tu3) gid=100(users) группы=100(users),1018(*****),1010(*****)
Если сменить владельца test1 на tu3 или дать на test1 права 777, то каталог test1 пускает.
Моя конфигурация:
домен - spec, он же spec.local. Работает под управлением виндовых DC 2008 R2, домен 2008. UID-GID цепляются через SFU, настроенную на виндовых DC, как UNIX-атрибуты.
Проблемный сервер - centos 7. Член домена, не DC.
# uname -a
Linux fileskladtest.spec.local 3.10.0-327.18.2.el7.x86_64 #1 SMP Thu May 12 11:03:55 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux
# smbd -V
Version 4.2.10
Авторизация в домене - kerberos, вроде с ней все ок.
getent passwd и getent group настроены по ldap и выдают список сначала локальных, а потом доменных юзеров и групп. Юзеры в группах перечислены, все UID-GID правильные.
Конфиги с моей конфигурацией:
# cat /etc/samba/smb.conf | grep -v '^#' | grep -v '^;' | grep -v '^$'
[global]
workgroup = SPEC
realm = SPEC.LOCAL
security = ads
template homedir = /home/%U
template shell = /bin/bash
kerberos method = secrets only
winbind use default domain = true
winbind offline logon = false
idmap config * : backend = ad
idmap config * : range = 0-9999999
idmap config * : schema_mode = sfu
auth methods = winbind
server string = Samba Server Version %v
netbios name = FILESKLADTEST
hosts allow = 127. 192.168.
# log files split per-machine:
log file = /var/log/samba/log.%m
# maximum size of 50KB per log file, then rotate:
max log size = 50000
log level = 0 vfs:2
syslog = 0 vfs objects = full_audit
full_audit:prefix = %u|%I|%S
full_audit:facility = local5
full_audit:priority = notice
full_audit:success = none
full_audit:failure = none
load printers = no
# obtain a list of printers automatically on UNIX System V systems:
disable spoolss = Yes
show add printer wizard = No
read only = No
create mask = 0666
directory mask = 0777
map to guest = Bad User
logon path = \\%L\profiles\.msprofile
logon home = \\%L\%U\.9xprofile
logon drive = P:
usershare allow guests = No
[scan]
comment = Сканированные документы
path = /data/scan
full_audit:success = all
full_audit:failure = all
# cat /etc/nslcd.conf | grep -v '^#' | grep -v '^;' | grep -v '^$'
uid nslcd
gid ldap
uri ldap://dc5.spec.local
uri ldap://dc1.spec.local
uri ldap://dc2.spec.local
uri ldap://dc4.spec.local
ldap_version 3
base dc=spec,dc=local
binddn CN=unix,OU=Scripts,DC=SPEC,DC=LOCAL
bindpw ***paSsWoRd***
scope sub
filter passwd (objectClass=User)
map passwd uid msSFU30Name
map passwd homeDirectory unixHomeDirectory
filter shadow (objectClass=User)
filter group (objectClass=Group)
ssl no
tls_cacertdir /etc/openldap/cacerts
# cat /etc/krb5.conf | grep -v '^#' | grep -v '^;' | grep -v '^$'
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_ccache_name = KEYRING:persistent:%{uid}
default_realm = SPEC.LOCAL
clockskew = 3600
[realms]
SPEC.LOCAL = {
kdc = dc5.spec.local
kdc = dc1.spec.local
kdc = dc2.spec.local
kdc = dc4.spec.local
admin_server = dc5.spec.local
}
DC5.SPEC.LOCAL = {
kdc = dc5.spec.local
admin_server = dc5.spec.local
}
SPEC.LOCAL = {
kdc = spec.local
admin_server = spec.local
kdc = spec.local
}
[domain_realm]
spec.local = spec.local
.spec.local = spec.local
dc1.spec.local = DC1.SPEC.LOCAL
.dc1.spec.local = DC1.SPEC.LOCAL
dc5.spec.local = DC5.SPEC.LOCAL
.dc5.spec.local = DC5.SPEC.LOCAL
# cat /etc/nsswitch.conf | grep -v '^#' | grep -v '^;' | grep -v '^$'
passwd: files ldap
shadow: files
group: files ldap
hosts: files dns
bootparams: nisplus [NOTFOUND=return] files
ethers: files
netmasks: files
networks: files
protocols: files
rpc: files
services: files sss
netgroup: files sss ldap
publickey: nisplus
automount: files ldap
aliases: files nisplus
testparm -s /etc/samba/smb.conf ошибок не выдает.
Вроде, все должно быть ок, единственный нюанс, который не удалось победить:
wbinfo -u показывает пустой вывод.
Впрочем, wbinfo -g показывает список всех групп.
Не знаю, имеет ли это какое-то отношение к проблеме.
Логи включал, там по проблеме ни слова. Только то, что мол, все права есть, все ок.
Уже кучу времени убил на проблему, все кажется перепроверил, сейчас даже не понимаю, куда копать.
В гугле - либо неверный вывод getent, либо авторизация кривая, либо еще что. У меня-то вроде все на месте.
Кроме этого сервера, есть еще несколько древних с gentoo и samba 3, на них группы работают. Но там вроде перекомпилировали модуль бекэнда для idmap или что-то вроде того, уже не помнит никто, что и зачем, да и проблема относилась вроде к баге с той древней самбой...
