https://losst.ru/nastrojka-samba-v-ubuntu-15-10

У шапок есть подробная инструкция - https://access.redhat.com/documentation/en-us/red_hat_enterp...

Есть альтернативный подход - выбросить AD и использовать FreeIPA. Сразу отпадают грабли вроде папок вида admin1@dc.com. Из приятных фишек - NFSv4 сильно быстрее SAMBA.

> <code>
> </code>
> <code>
> </code>

Шо, аналитики с хабра ниасилили?

> Пытаюсь
> samba-tool user create test --given-name=Тест --mail-addres=test@example.local
> Ругается на кириллицу.
> Можно это как то победить

убедитесь что локаль окружения выставлена правильно и понимает входящий поток в UTF-8 формате. попробуйте в консоле проверить через:
#env
#set LC_ALL=en_US.UTF-8
#samba-tool user create test --given-name='Тест' --mail-addres=test@example.local

А что, на windows-клиентах
> net use z: \\nitbiosname\"зашаренная дмректория" не срабатывает?
> Добрый день!
> Как настроить зашаренную ufs файловую систему так, чтобы можно было по smb
> протоколу windows-клиентам получить доступ к ней?
> И можно ли так сделать?
> Файловая система настроена на Oracle Solaris 11.3 и SMB Server настроен в
> Workgroup Mode.
> Заранее благодарен.
> С уважением, Борис.

> Пытаюсь запустить самбу,

Для чего? С какой целью?

> помогите чайнику решить проблему

Зайди на гугл транслейт - если в техническом английском совсем ни бе, ни ме, и загони то, что тебе "выдает" winbind в переводчик. В частности, перевод фразы "Could not fetch our SID - did we join?" по идее, должен навести на правильные мысли, что возвращает нас к первому моему вопросу - на кой тебе запускать самбу? Ты вообще понимаешь, что это, и для чего те или иные службы предназначены?

> winbindd[1597]: Could not fetch our SID - did we join?
> winbindd[1597]: unable to initialize domain list

ответ

>[оверквотинг удален]
> details.
> systemctl status winbind
> winbindd[1597]: [2018/09/10 14:28:24.103693, 0] ../source3/winbindd/winbindd_cache.c:3170(initialize_winbindd_cache)
> winbindd[1597]: initialize_winbindd_cache: clearing cache and re-creating with version
> number 2
> winbindd[1597]: [2018/09/10 14:28:24.108913, 0] ../source3/winbindd/winbindd_util.c:891(init_domain_list)
> winbindd[1597]: Could not fetch our SID - did we join?
> winbindd[1597]: [2018/09/10 14:28:24.109046, 0] ../source3/winbindd/winbindd.c:1404(winbindd_register_handlers)
> winbindd[1597]: unable to initialize domain list
> помогите чайнику решить проблему

Надо ввести в домен sambу. Что то типа #net ads join -U administrator.

> Всем доброго дня!
> Каталоги создаются в /home/domain/username и все бы хорошо, но так же создаются
> и хомяки для машинных учеток, типа - machinename$. Они ничего не
> ломают, но очень мешают. Когда я попытался отрубить аутентификацию машин и
> оставил только domain users, некоторым пользователям стало отказывать в доступе.
> Хотелось бы понять зачем эти системные учетки ходят на samba сервер и
> можно ли от них как-то избавиться?

  Вы плохо знаете домен винды, там ведь помимо учеток пользователей присуствуют и учетки компов, введенных в домен со всеми вытекающими отсюда следствиями...

>[оверквотинг удален]
> пользователей при логине из домена Windows. В smb.conf есть опция "obey
> pam restrictions = yes", что позволяет управлять сессией пользователя при помощи
> pam (кроме аутентификации). В конфиге /etc/pam.d/samba подключен модуль pam_mkhomedir.so
>  и сейчас все работает.
> Каталоги создаются в /home/domain/username и все бы хорошо, но так же создаются
> и хомяки для машинных учеток, типа - machinename$. Они ничего не
> ломают, но очень мешают. Когда я попытался отрубить аутентификацию машин и
> оставил только domain users, некоторым пользователям стало отказывать в доступе.
> Хотелось бы понять зачем эти системные учетки ходят на samba сервер и
> можно ли от них как-то избавиться?

для учетных записей компьютеров установить параметр $HOME в /dev/null

Достаточно и на "проблемном боевом" сервере удалить ключ SMB1 в SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters и перезагрузить, чтобы mount_smbfs прекрасно начал отрабатывать. так что проблема действительно в том, что mount_smbfs не умеет в SMB2/3 :(

>  могли бы записать файлы и не иметь возможности редактировать их.

fsnotify на эвент create повесь

>[оверквотинг удален]
> [distrib]
>     comment = Admins share
>     path = /home/shares/distrib
>     browseable = no
>     writable = yes
>     create mask = 0770
>     directory mask = 0777
>     valid users = "@RK\admins"
>     inherit owner = yes
> Подскажите как запретить группе admins права на запись в samba?

[distrib]
path = /home/shares/distrib
valid users = "@RK\admins"
directory mask = 0740
create mask = 0740
read only = no
guest ok = no

sudo chmod -R 0740 /home/shares/distrib
sudo chown -R admin:admins /home/shares/distrib

владельцу полные права, группе - только чтение, остальные пусть гуляют лесом. в крайней строчке необходимо прописать владельца и основную группу.
з.ы. лично мне неизвестна возможность записывать файлы, но не иметь возможности их редактировать. разве что организовать перекладку в каталог только для чтения...

>[оверквотинг удален]
> Есть: AD (2003) + Kerio Mail + The Bat (клиент).
> Нужно: чтобы пользователи The Bat могли получать актуальную адресную книгу из AD
> Решил поставить OpenLDAP-сервер для этого. Поставить - вроде поставил. Демон даже запустился.
> Только не пойму как дальше-то быть? Сможет оно брать из AD
> данные, чтобы потом по 389 порту отдавать клиентам и как это
> проверить? Или это вообще не нужно и можно сделать проще?
> Вопрос смены софта не обсуждает - предыдущий админ всё это купил, деньги
> уже уплочены. Хотя я бы перешёл на CommuniGate, но "Боржоми" пить
> уже поздновато :(
> Спасибо за советы и ответы.

Active Directory это и есть LDAP, берите контакты напрямую из нее.
Исходя из собственного опыта скажу одно - связка LDAP+TheBat затея плохая, адресная книга не добавляется - контакты из лдап достаются только поиском.
У себя в конторе просто разместили в шаре файл адресной книги, с которой все работают. А для ее установки написал приложение, которое эту адресную книгу добавляет в TheBat опираясь на данные из реестра.
Если надо - скину =)

krb5.conf:
[libdefaults]
ticket_lifetime = 24000
default_realm = GOU.LOCAL
default_tgs_entypes = rc4-hmac des-cbc-md5
default_tkt__enctypes = rc4-hmac des-cbc-md5
permitted_enctypes = rc4-hmac des-cbc-md5
dns_lookup_realm = true
dns_lookup_kdc = true
dns_fallback = yes

[realms]
GOU.LOCAL = {
kdc = GOU.LOCAL:88
default_domain = GOU.LOCAL
}

[domain_realm]
.GOU.LOCAL= GOU.LOCAL
GOU.LOCAL = GOU.LOCAL

[appdefaults]
pam = {
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwardable = true
krb4_convert = false
}

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

> С новыми файлами все в порядке, а со старым беда...да, еще и разность в версиях большая..тут может быть банальная несовместимость или просо повредили файл, так что попробуйте исправление mpp

чрезе то, что выдает поисковик https://onlinefilerepair.com/ru/project-repair-online.html
ну или сами подобное попробуйте....ваше право

Стартуй самбу ни как демон, и будет тебе счастье:
Вот тебе пример: http://pastebin.com/i0yHp50P

Не силён в АД, но может в этом случае имеет значение, является ли AD2 глобальным каталогом?

> [2017/05/02 17:15:23.692846,  0] ../source3/lib/access.c:338(allow_access)
>   Denied connection from 10.10.10.2 (10.10.10.2)

"hosts allow" на Самбе?

Перегружайся... были бы у вас XP или хотя win98/2000 можно было бы и подумать, а так...

> Для win7 там нужно было

От Windows 3.11 до Windows 99 вообще никогда не трогал. Всё в самбе.

>  ибо шара в конфиге описана , а вот с IPC$ как быть ?

Сам ответил, сам спросил... :)  

> в гугле как будто просто не обращают внимание на это.

https://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/...

> В данный момент "дыры Samba залатаны", на данном сервере хранились резервные копии,
> поэтому не особо интересны, но все же...

Авторизация через winbind в nsswitch.conf прикручена?
Доступ извне по ssh к машине есть?
В sshd_config есть ограничения в AllowUsers?

>[оверквотинг удален]
> «New files inherit their read/write bits from the parent directory. Their execute
> bits continue to be determined by map archive, map hidden and
> map system as usual».
> (https://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.h...)
> И здесь же про inherit acls —
> «Enabling this option sets the unix mode to 0777, thus guaranteeing that
> default directory acls are propagated».
> (https://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.h...)
> То есть при наследовании ACL принудительно выставляются в rwx и изменить это
> нельзя?

Насколько я помню, наследуются default acl родительского каталога. Я не вижу в Вашем getfacl ни одного default acl.

> помогите советом, как решить эту проблему:
> есть два контроллера домена win2003, в событиях пишет что произошла ошибка реплекации
> файлов.
> " Службе репликации файлов не удалось выполнить репликацию с компьютером, являющимся партнером
> репликации, поскольку разница в показаниях часов превышает 30 мин. "
> Код 13548
> что нужно сделать на контроллерах чтобы восстановить репликацию.
> если нужно могу выложить dcdiag и netdiag

первый контроллер

C:\Documents and Settings\admin>dcdiag

Domain Controller Diagnosis

Performing initial setup:
   Done gathering initial info.

Doing initial required tests

   Testing server: Default-First-Site-Name\DC
      Starting test: Connectivity
         ......................... DC passed test Connectivity

Doing primary tests

   Testing server: Default-First-Site-Name\DC
      Starting test: Replications
         ......................... DC passed test Replications
      Starting test: NCSecDesc
         ......................... DC passed test NCSecDesc
      Starting test: NetLogons
         ......................... DC passed test NetLogons
      Starting test: Advertising
         ......................... DC passed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... DC passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... DC passed test RidManager
      Starting test: MachineAccount
         ......................... DC passed test MachineAccount
      Starting test: Services
         ......................... DC passed test Services
      Starting test: ObjectsReplicated
         ......................... DC passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... DC passed test frssysvol
      Starting test: frsevent
         There are warning or error events within the last 24 hours after the
         SYSVOL has been shared.  Failing SYSVOL replication problems may cause
         Group Policy problems.
         ......................... DC failed test frsevent
      Starting test: kccevent
         ......................... DC passed test kccevent
      Starting test: systemlog
         ......................... DC passed test systemlog
      Starting test: VerifyReferences
         ......................... DC passed test VerifyReferences

   Running partition tests on : ForestDnsZones
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test CrossRefValidation

      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test CheckSDRefDom

   Running partition tests on : DomainDnsZones
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test CrossRefValidation

      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test CheckSDRefDom

   Running partition tests on : Schema
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom

   Running partition tests on : Configuration
      Starting test: CrossRefValidation
         ......................... Configuration passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Configuration passed test CheckSDRefDom

   Running partition tests on : amanbank
      Starting test: CrossRefValidation
         ......................... amanbank passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... amanbank passed test CheckSDRefDom

   Running enterprise tests on : domen.local
      Starting test: Intersite
         ......................... domen.local passed test Intersite
      Starting test: FsmoCheck
         ......................... domen.local passed test FsmoCheck

C:\Documents and Settings\admin>

второй контроллер

C:\Documents and Settings\admin>dcdiag

Domain Controller Diagnosis

Performing initial setup:
   Done gathering initial info.

Doing initial required tests

   Testing server: Default-First-Site-Name\DCRESERVE
      Starting test: Connectivity
         ......................... DCRESERVE passed test Connectivity

Doing primary tests

   Testing server: Default-First-Site-Name\DCRESERVE
      Starting test: Replications
         ......................... DCRESERVE passed test Replications
      Starting test: NCSecDesc
         ......................... DCRESERVE passed test NCSecDesc
      Starting test: NetLogons
         ......................... DCRESERVE passed test NetLogons
      Starting test: Advertising
         ......................... DCRESERVE passed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... DCRESERVE passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... DCRESERVE passed test RidManager
      Starting test: MachineAccount
         ......................... DCRESERVE passed test MachineAccount
      Starting test: Services
         ......................... DCRESERVE passed test Services
      Starting test: ObjectsReplicated
         ......................... DCRESERVE passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... DCRESERVE passed test frssysvol
      Starting test: frsevent
         There are warning or error events within the last 24 hours after the
         SYSVOL has been shared.  Failing SYSVOL replication problems may cause
         Group Policy problems.
         ......................... DCRESERVE failed test frsevent
      Starting test: kccevent
         ......................... DCRESERVE passed test kccevent
      Starting test: systemlog
         An Error Event occured.  EventID: 0x0000165B
            Time Generated: 08/29/2011   09:58:27
            (Event String could not be retrieved)
         An Error Event occured.  EventID: 0x000016AD
            Time Generated: 08/29/2011   10:00:35
            (Event String could not be retrieved)
         An Error Event occured.  EventID: 0x0000165B
            Time Generated: 08/29/2011   10:05:51
            (Event String could not be retrieved)
         An Error Event occured.  EventID: 0x000016AD
            Time Generated: 08/29/2011   10:08:10
            (Event String could not be retrieved)
         An Error Event occured.  EventID: 0x0000165B
            Time Generated: 08/29/2011   10:20:54
            (Event String could not be retrieved)
         An Error Event occured.  EventID: 0x000016AD
            Time Generated: 08/29/2011   10:23:13
            (Event String could not be retrieved)
         ......................... DCRESERVE failed test systemlog
      Starting test: VerifyReferences
         ......................... DCRESERVE passed test VerifyReferences

   Running partition tests on : ForestDnsZones
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test CrossRefValidation

      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test CheckSDRefDom

   Running partition tests on : DomainDnsZones
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test CrossRefValidation

      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test CheckSDRefDom

   Running partition tests on : Schema
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom

   Running partition tests on : Configuration
      Starting test: CrossRefValidation
         ......................... Configuration passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Configuration passed test CheckSDRefDom

   Running partition tests on : amanbank
      Starting test: CrossRefValidation
         ......................... amanbank passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... amanbank passed test CheckSDRefDom

   Running enterprise tests on : domen.local
      Starting test: Intersite
         ......................... domen.local passed test Intersite
      Starting test: FsmoCheck
         ......................... domen.local passed test FsmoCheck

C:\Documents and Settings\admin>

вобще на выходных были проблеммы с питанием, возможно какой-то контроллер был недоступен некоторое время, но не точно. Как восстановить репликацию между ними? Помогите

> помогите советом, как решить эту проблему:
> есть два контроллера домена win2003, в событиях пишет что произошла ошибка реплекации
> файлов.
> " Службе репликации файлов не удалось выполнить репликацию с компьютером, являющимся партнером
> репликации, поскольку разница в показаниях часов превышает 30 мин. "
> Код 13548
> что нужно сделать на контроллерах чтобы восстановить репликацию.
> если нужно могу выложить dcdiag и netdiag

Синхронизируте время от одного источника

> помогите советом, как решить эту проблему:
> есть два контроллера домена win2003, в событиях пишет что произошла ошибка реплекации
> файлов.
> " Службе репликации файлов не удалось выполнить репликацию с компьютером, являющимся партнером
> репликации, поскольку разница в показаниях часов превышает 30 мин. "
> Код 13548
> что нужно сделать на контроллерах чтобы восстановить репликацию.
> если нужно могу выложить dcdiag и netdiag

во-первых, вы не на тот форум обратились;
во-вторых, в вашей ситуации я бы на вашем месте в первую очередь сверил часы, и, по всей видимости, вообще не пришлось бы обращаться на форум

> помогите советом, как решить эту проблему:
> есть два контроллера домена win2003, в событиях пишет что произошла ошибка реплекации
> файлов.
> " Службе репликации файлов не удалось выполнить репликацию с компьютером, являющимся партнером
> репликации, поскольку разница в показаниях часов превышает 30 мин. "
> Код 13548
> что нужно сделать на контроллерах чтобы восстановить репликацию.
> если нужно могу выложить dcdiag и netdiag

А чой это вы со своими закрытыми вендами лезете в форум по опен-сорс? Обратитесь к производителю ваших контроллеров домена, они обязаны вам предоставить суппорт

> Как разрешить или запретить диапазон адресов для доступа к серверу?
> Например: 192.168.0.1 - 192.168.0.100 разрешить, 192.168.0.101 - 192.168.0.254 запретить.

Раскидать по подсетям и прописать «адрес/маска». Или же тупо перечислить адреса. Можно комбинировать эти варианты.

Вендузятник должен страдать.

> в гугле ничего подобного не нашел.

Какой-то у вас неправильный гугл.

> Добрый день!
>      Коллеги, кто-нибудь пробовал ставить freeipa-client под Астру.
>      Т.к дистрибутив Astra берет начало от Debian
> Wheezy, попробовал прикрутить unstable репу где есть этот пакет. Но к
> сожалению установить не дает т.к постоянно проблемы с зависимостями.

из исходников собрать религия^W тов. майор не разрешает?

> Добрый день!
>      Коллеги, кто-нибудь пробовал ставить freeipa-client под Астру.
>      Т.к дистрибутив Astra берет начало от Debian
> Wheezy, попробовал прикрутить unstable репу где есть этот пакет. Но к
> сожалению установить не дает т.к постоянно проблемы с зависимостями.

Клиента freeipa можно не ставить. Он лишь нужен для разовой настройки конфигов и создания хоста на стороне сервера. К сожалению, не для всех дистрибутивов есть freeipa-client и не для всех ОС. Достаточно пакетов sssd, kerberos.
Хост создать на IPA сервере. На клиенте получить keytab и положить его куда нужно (/etc/krb5.keytab). Настроить sssd.conf (например, по аналогии с RHEL/CentOS/Ubuntu клиента). И опционально pam для создания домашних директорий.
Пример как все это сделать есть на сайте freeipa.org для альтернативных ОС (FreeBSD/AIX/..)

Есть подозрение, что что-то недокрутил с маппингом SFU, но понятия не имею, что докручивать.
Хотя getent passwd и getent group показывают правильные uid и gid.

Но в старой успешно работающей самбе конфиг такой:

pam_login_attribute sAMAccountName
pam_lookup_policy       yes
pam_password ad
pam_password    crypt
nss_initgroups_ignoreusers      root,ldap
nss_schema      rfc2307bis
nss_map_attribute       uniqueMember member
nss_map_objectclass posixAccount User
nss_map_objectclass shadowAccount User
nss_map_attribute uid msSFU30Name
nss_map_attribute uniqueMember msSFU30PosixMember
nss_map_attribute userPassword unixUserPassword
nss_map_attribute homeDirectory unixHomeDirectory
nss_map_objectclass posixGroup Group
pam_login_attribute msSFU30Name
pam_filter objectclass=User
pam_password ad
nss_map_attribute uidNumber uidNumber
nss_map_attribute gidNumber gidNumber
nss_map_attribute cn sAMAccountName
nss_map_attribute gecos name
nss_map_attribute loginShell loginShell
ssl off

Я попробовал добавить на проблемный сервер:

map    group  gidNumber        gidNumber
или
map    group  gidNumber        gid

- ничего не изменилось, как не работало, так и не работает авторизация по группам. Куда еще смотреть?

Самба это тупиковая ветвь развития. У разработчиков самбы никогда не было цели сделать продукт, качественно отличающийся от других. Они всегда плелись позади паровоза, молясь на подачки в виде свежих спецификаций для взаимодействия с микрософтовыми клиентами.
Хотите централизованную систему для управления пользователями/политиками и пр. - смотрите в сторону FreeIPA.

>[оверквотинг удален]
>  #8 /lib64/libtevent.so.0(_tevent_loop_once+0x8d) [0x7f911473936d]
>  #9 winbindd(main+0xb14) [0x7f911c011c54]
>  #10 /lib64/libc.so.6(__libc_start_main+0xf5) [0x7f9114141b15]
>  #11 winbindd(+0x2536d) [0x7f911c01236d]
> dumping core in /var/log/samba/cores/winbindd
> Аварийный останов (core dumped)
> На сервере AD (windows 2012) компьютер smbserver прописывается если удалить и снова
> подключить, в DNS присутствует. Ошибка "PANIC (pid 8230): Could not find
> our domain" не гуглится почему-то совсем. Подскажите, пожалуйста, в какую сторону
> смотреть.

Может он хочет wins server = 1.2.3.4. Это при security = domain. А так можно поменять security = ADS (если в resolv.conf прописан KDC).

>[оверквотинг удален]
> password=$$15f6e647b2629441c
> При попытке смонтировать вижу вот это
> root@BSD:~ # mount -a
> mount_smbfs: can't get server address `//administrator@sv-vd16/key':
> Unknown host
> mount_smbfs: can't get server address: syserr = Network is down
> В hosts
> 192.168.0.10            
> sv-vd16
> Подскажите где собака порылась...

Имя пользователя и пароль в fstab пропишите в поле "опции монтирования", а не в UNC.

Сам задал вопрос - сам пишу ответ!
Уже 4й день весь интернет перерываю и не мог наткнутся на эту статью раньше: https://www.howtoforge.com/samba-server-installation-and-con...
Все источники которые ранее я открывал опускали один момент, а именно :
"chcon -t samba_share_t anonymous/" и у них почему то всё работало, возможно эти "писцы" отключали SELinux сразу после установки дистра и по этому у них не было таких проблем.
Вот после этой строчки у меня всё заработало как нужно!

Оказывается нужно было крутить SELinux, а не samba, но кто же знал, когда в логах всё чисто.