Как после ввода в домен samba изменить uid gid доменным пользователям (idmap)?

Question

[Александр Семененко]

Я ввел samba (Version 4.5.12-Debian) в домен, при её настройке прописал:
idmap config * : range = 1422390000-1422399999
idmap config centr:schema_mode = rfc2307
idmap config centr:range = 1422390000-1422399999
idmap config centr:backend = hash
idmap config * : backend = ad

Всё работает, getend passwd, и wbinfo показывают пользователей. С Windows клиентов в домене папки открываются без пароля.

Теперь в качестве эксперемента поменял:
этот диапазон 1422390000-1422399999 на 1442390000-1442399999 но uid не поменялись, осталисть в старом диапазоне. Я пробовал выводить и вводить в домен заного, но это не помогло. Пробовал менять backend на разные (tdb, hash) но ничего не меняется.

Думаю что нужно удалить какой-то файлик после вывода из домена, чтобы при вводе он сного создался. Но это предположение просто.

Answer 1

[Александр Семененко]

Сам же себе и отвечу, вдруг понадобится.

Этой командой смотрим где нужно почистить:
# smbd -b | egrep "LOCKDIR|STATEDIR|CACHEDIR|PRIVATE_DIR"
LOCKDIR: /usr/local/samba/var/lock/
STATEDIR: /usr/local/samba/var/locks/
CACHEDIR: /usr/local/samba/var/cache/
PRIVATE_DIR: /usr/local/samba/private/

И из всех этих каталогов удаляем .tdb и .ldb файлы. Так как winbind больше не стартует, так как файлы пропали, просто переводим в домен и файлы создадуться и winbind стартует.

Answer 2

[Andrej Gessel]

Может немного поздновато, но настойки не совсем верны:
idmap config * : range = 1422390000-1422399999
idmap config centr:schema_mode = rfc2307 <- uidNumber/gidNumber должны быть прописаны в AD
idmap config centr:range = 1422390000-1422399999
idmap config centr:backend = hash <- должно быть "ad" т.к. rfc2307, тем более hash deprecated (https://www.samba.org/samba/docs/current/man-html/...
idmap config * : backend = ad <- строчка не верна

idmpa_ad используется для того, что-бы на нескольких серверах были одинаковые uid/gid -> sid mappings. Может быть стоит использоват idmap_rid?

ну а по вопросу, у winbind есть кеш и его просто стоило очистить: "net cache flush" вроде

Comments

[Александр Семененко]

У меня в качестве контроллера домена Zentyal, и линуксовые машины вводим при помощи pbis. pbis использует hash в качестве бекенда, и выдает такие id пользователям. Самбу пришлось вводить в домен вручную без pbis, и чтобы uid и gid совпадали с другими машинами в домене, использовал hash.

rfc2307 - нужен контроллер на Windows. А у нас zentyal. (но не точно)

Вообще pbis немного разочаровал, у него устаревший winbind который с новой самбой не работает.

[Andrej Gessel]

я не использовал Zentyal, но как я понимаю по описанию они так же используют самбу как контроллер домена.

для использования rfc2307 можно использовать самбу, для этого необходимо иметь ad schema rfc2307 (https://wiki.samba.org/index.php/Setting_up_RFC230...

при быстром пробеге по коду сервера можно найти такую команду https://github.com/zentyal/zentyal/blob/efd29f5709... , тоесть в Zentyal поля из rfc2307 должны быть доступны.

это довольно легко проверить посмотрев каким-нибудь LDAP-Viewer на данные, важные поля uidNumber и gidNumber и если они есть, то стоит их использовать для одинаковых мэпингов для всех машин

pbis мне так же не знаком, это всё похоже надстройки над самбой, которые в принципе не нужны. samba-tool для AD и net для domain member, больше ничего не нужно.