URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID14
Нить номер: 1044
[ Назад ]
Исходное сообщение
"samba не видит группы"
Отправлено kub , 09-Окт-06 10:30 
Извиняюсь за то, что возможно некоретно звуцит тема
дело вот в чем:
настраиваю связку самба с лдап (samba 3.0.23c openldap-2.2.30 freebsd 6.1)
вот часть smb.conf
    passdb backend= ldapsam:ldap://127.0.0.1/
    ldap admin dn= cn=admin,dc=чччч,dc=ru
    ldap suffix= dc=palcons,dc=ru
    ldap user suffix= ou=Users
    ldap group suffix = ou=Groups
    ldap machine suffix= ou=Computers
    ldap idmap suffix = ou=Users
    ldap ssl= off
    ldap passwd sync = Yes
    ldap delete dn= Yes
    passwd program = /usr/local/sbin/smbldap-passwd "%u"
        passwd chat = "Changing password for*\nNew password*" %n\n "*Retype new password*" %n\n"
    add user script = /usr/local/sbin/smbldap-useradd -m "%u"
    delete user script = /usr/local/sbin/smbldap-userdel "%u"
    add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
    add group script = /usr/local/sbin/smbldap-groupadd -p "%g"
    delete group script = /usr/local/sbin/smbldap-groupdel "%g"
    add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g"
    delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g"
    set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u"

пользователей добовляю с помощью smbldap-tools
система видит пользователей в лдапе скажем id admin выдает id пользователя лдап
грим getent group выдает ВСЕ группы
но вот если грим
root[/etc/script]#>net rpc info -S linux                                                      
Password:
Domain Name: xxxx
Domain SID: S-1-5-21-703746687-2398079630-2454373809
Sequence number: 1160288628
Num users: 5                          <-т.е пользователей выдает без проблем
Num domain groups: 0                  <-а группы нет :(
Num local groups: 0                   <-

группы есть в базе вот скажем группа USERS
dn: cn=Domain Users,ou=Groups,dc=xxxx,dc=ru
objectClass: top
objectClass: posixGroup
objectClass: sambaGroupMapping
gidNumber: 513
cn: Domain Users
description: Netbios Domain Users
sambaSID: S-1-5-21-703746687-2398079630-2454373809-513
sambaGroupType: 2
displayName: Domain Users
structuralObjectClass: posixGroup

как уже быть не знаю, всё испрбовал. Может кто что подскажет?!

Содержание
Сообщения в этом обсуждении
"samba не видит группы"
Отправлено kub , 09-Окт-06 13:44 
вопрос снят проблема была в схеме
"samba не видит группы"
Отправлено DRVTiny , 21-Окт-06 19:51 
У меня буквально до мелочей абсолютно та же самая проблема :( Я тоже замучался с поиском причины этой проклятой "неисправности".
Как же Вы её решили??? ПОЖАЛУЙСТА, напишите хотя бы вкратце.

СПАСИБО!

"samba не видит группы"
Отправлено DRVTiny , 21-Окт-06 21:43 
>У меня буквально до мелочей абсолютно та же самая проблема :( Я
>тоже замучался с поиском причины этой проклятой "неисправности".
>Как же Вы её решили??? ПОЖАЛУЙСТА, напишите хотя бы вкратце.
>
>СПАСИБО!


Слава Богу, я догадался подписаться на списки рассылки Samb'ы... Оказывается, долб..., т.е., простите, разработчики Samb'ы, напороли что-то в схемах для версии 3.0.23, так что только последняя samba.schema, от версии 3.0.23c, будет нормально работать, а с моей схемой от 3.0.23b ни одна группа и не должна быть видна в домене, потому как сие есть БАГ. В понедельник поменяю схему, посмотрю, поможет ли. Судя по списку рассылки, в котором каждое второе сообщение касается этого идиотизма с группами, помочь должно. Кстати, у меня до 3.0.23b была Samba 3.0.8, и тогда действительно проблем с отображением групп не было.

"samba не видит группы"
Отправлено kub , 25-Окт-06 12:22 
поменял схему, интуитивно догадался! :(

"samba не видит группы"
Отправлено DRVTiny , 25-Окт-06 20:35 
>поменял схему, интуитивно догадался! :(
Да, верно, замена схемы помогает. Только после этого нужно ещё строчку в slapd.conf добавить, изменить существующую и дать команду slapindex :)

"samba не видит группы"
Отправлено DogEater , 27-Окт-06 09:49 
>>поменял схему, интуитивно догадался! :(
>Да, верно, замена схемы помогает. Только после этого нужно ещё строчку в
>slapd.conf добавить, изменить существующую и дать команду slapindex :)


Уважаемый, а не подскажете размер и дату файла правильной схемы, а то у меня в дистре 3.0.23с файл такой:
$ls -l /usr/share/doc/samba-3.0.23c/examples/LDAP/samba.schema
-rw-r--r--  1 root root 19093 Апр 20  2006 /usr/share/doc/samba-3.0.23c/examples/LDAP/samba.schema

т.е. меня терзают смутные сомнения, что у меня файл апрельский

"samba не видит группы"
Отправлено kub , 27-Окт-06 11:00 

>Уважаемый, а не подскажете размер и дату файла правильной схемы, а то
>у меня в дистре 3.0.23с файл такой:
>$ls -l /usr/share/doc/samba-3.0.23c/examples/LDAP/samba.schema
>-rw-r--r--  1 root root 19093 Апр 20  2006 /usr/share/doc/samba-3.0.23c/examples/LDAP/samba.schema
>
>т.е. меня терзают смутные сомнения, что у меня файл апрельский

сомнения должны быть чем то подтверждены!
у меня именно эта схема используеться

"samba не видит группы"
Отправлено DogEater , 27-Окт-06 13:15 
>
>>Уважаемый, а не подскажете размер и дату файла правильной схемы, а то
>>у меня в дистре 3.0.23с файл такой:
>>$ls -l /usr/share/doc/samba-3.0.23c/examples/LDAP/samba.schema
>>-rw-r--r--  1 root root 19093 Апр 20  2006 /usr/share/doc/samba-3.0.23c/examples/LDAP/samba.schema
>>
>>т.е. меня терзают смутные сомнения, что у меня файл апрельский
>
>сомнения должны быть чем то подтверждены!
>у меня именно эта схема используеться
samba.schema.3.0.23c-4
---cut here--
attributetype ( 1.3.6.1.4.1.7165.2.1.20 NAME 'sambaSID'
        DESC 'Security ID'
        EQUALITY caseIgnoreIA5Match
        SUBSTR caseExactIA5SubstringsMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} SINGLE-VALUE )
---cut here--
samba.schema.3.0.22-1
---cut here--
attributetype ( 1.3.6.1.4.1.7165.2.1.20 NAME 'sambaSID'
        DESC 'Security ID'
        EQUALITY caseIgnoreIA5Match
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} SINGLE-VALUE )
---cut here--
пожалуйста, посмотри, какое именно описание атрибута используетсся у тебя в рабочей схеме, ибо для версии 3.0.23c-4 явно требуется совпедение регистра для подстрок, а в версии 3.0.22-1 совпадение не требуется (см описатель SUBSTR)
сомнения мои в том, что версия 3.0.23c является правильной, поскольку она не отличается ничем от версии 3.0.23-6
--cut here--
$ diff samba.schema.3.0.23-6 samba.schema.3.0.23c-4 | wc -l
0
--cut here--

"samba не видит группы"
Отправлено kub , 30-Окт-06 11:45 
root[~]#>pkg_info|grep samba                                          
samba-3.0.23c_2,1   A free SMB and CIFS client and server for UNIX

##
## SID, of any type
##

attributetype ( 1.3.6.1.4.1.7165.2.1.20 NAME 'sambaSID'
        DESC 'Security ID'
        EQUALITY caseIgnoreIA5Match
        SUBSTR caseExactIA5SubstringsMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} SINGLE-VALUE )

"samba не видит группы"
Отправлено DogEater , 30-Окт-06 12:19 
>root[~]#>pkg_info|grep samba                                          
>samba-3.0.23c_2,1   A free SMB and CIFS client and server for
>UNIX
>
>##
>## SID, of any type
>##
>
>attributetype ( 1.3.6.1.4.1.7165.2.1.20 NAME 'sambaSID'
>        DESC 'Security ID'
>        EQUALITY caseIgnoreIA5Match
>        SUBSTR caseExactIA5SubstringsMatch
>        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26{64} SINGLE-VALUE )
>


:-/
что ж, совпадение налицо. Где же тогда сердешные самбовцы ошибку то сделали?
Схемы то в 3.0.23-6 и 3.0.23c-4 по diff совпадают.

Группы у меня видятся и через srvtools и через net rpc. А вот через 'wbinfo -g' ну никак не хотят(впрочем как и юзеры). только для домена builtin :-(
С wbinfo -t и wbinfo -p - всё в порядке, getent passwd, getent group и getent shadow тоже
DRVTiny, судя по диалогу на community.asplinux.ru, у Вас всё работает, подскажите вы встречались с тем, что wbinfo -g не хочет  показывать группы?
Гугль к сожалению не рулит :-(. Советов много, но ни один не помог, хотя проблема весьма  распространённая

"samba не видит группы"
Отправлено Аноним , 31-Окт-06 18:16 
в настройках лдап-а надо ковырять. что-то про индекс, там где строка "суб"
сорри, сейчас кофиг не под рукой, точно не напишу.