與 SSSD 和 SMB 的 ID 映射

我正在嘗試讓 samba 共享在 Windows (SID) 和 Linux (uid/gid) 客戶端上使用正確的 ID。問題是 uid 和 gid 沒有正確映射回 SID 並且 SID 沒有解析為名稱。什麼可能導致這個問題，如何解決？

什麼有效

• 從 Active Directory UNIX 屬性映射到 Linux 上的 uid/gid

• 訪問共享

  • Windows：資源管理器中的 UNC-Path，接受 Kerberos 票證（憑證沒有問題）
  • Linux：sudo mount -t cifs //ribonas2/test /mnt/ribonas2/smb/ -o domain=DOMAIN,username=paul.jaehne

• 處理共享上的文件

什麼不起作用

• 在 Windows 上創建的文件具有Unix User\和Unix Group\（在打開安全選項卡時，UNIX uid 和 gid 也會在很短的時間內可見）而不是DOMAIN\作為使用者和組的前綴
• 添加權限是有缺陷的：我可以從域中添加主體，然後很快就會DOMAIN\whatever正確顯示。當我等待一段時間或從另一台電腦查看共享時，僅顯示 SID（SID 正確，但未解析為名稱）：

環境/配置

• 我使用了以下指南（由於信譽要求，無法添加真實連結）：

  • Ubuntu 16.04 SAMBA 文件伺服器指南
  • Ubuntu 16.04 SSSD AD 指南
  • SAMBA 維基域成員
  • SAMBA 維基 ACL

• 多個域控制器（Windows Server 2003 和 Windows Server 2012 R2）

• Windows Server 2003 中的 Active Directory 架構

• Ubuntu 伺服器 16.04

  • SSD 1.13.4-1ubuntu1.1
  • SMB 2:4.3.8+dfsg-0ubuntu1
  • 加入了兩者realm join和net ads join

sssd.conf:

[sssd]
domains = domain.company.com
config_file_version = 2
services = nss, pam

[domain/domain.company.com]
realmd_tags = manages-system joined-with-adcli
ad_domain = domain.company.com
krb5_realm = DOMAIN.COMPANY.COM

id_provider = ad
cache_credentials = True
krb5_store_password_if_offline = True
enumerate = True
use_fully_qualified_names = False

fallback_homedir = /home/%d/%u
default_shell = /bin/bash

# use uid and gid from active directory
ldap_id_mapping = False

# needed to use correct active directory properties (Windows Server 2003)
ldap_schema = ad
ldap_user_object_class = person
ldap_user_name = msSFU30Name
ldap_user_uid_number = msSFU30UidNumber
ldap_user_gid_number = msSFU30GidNumber
ldap_user_home_directory = msSFU30HomeDirectory
ldap_user_shell = msSFU30LoginShell
ldap_user_gecos = displayName
ldap_group_object_class = group
ldap_group_name = msSFU30Name
ldap_group_gid_number = msSFU30GidNumber

smb.conf（標準配置文件中的設置是縮進的）：

[global]
server role = member server
workgroup = DOMAIN
realm = DOMAIN.COMPANY.COM
security = ads
password server = dc1.domain.company.com # shouldn't be necessary and same problem without this line
idmap config * : backend = tdb
idmap config * : range = 100000-999999
idmap config DOMAIN : backend = ad
idmap config DOMAIN : range = 10000-20000 # the UNIX attributes are manually assigned in this range
kerberos method = secrets and keytab

   server string = %h server (Samba, Ubuntu)

   dns proxy = no

   log file = /var/log/samba/log.%m
log level = 10
   max log size = 1000
   syslog = 0

   panic action = /usr/share/samba/panic-action %d

   passdb backend = tdbsam
   obey pam restrictions = yes
   unix password sync = yes
   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
   pam password change = yes

   map to guest = bad user

   usershare allow guests = yes

# needed for Windows ACL/ACE
vfs objects = acl_xattr
map acl inherit = yes
store dos attributes = yes

[test]
   path = /srv/samba/test
   writable = yes

TL;DR：為什麼 UNIX 屬性不解析為 SID，為什麼 SID 不解析為名稱？

我也有同樣的情況。我通過安裝 samba-winbind 修復了它。我認為根本原因是 samba 不知道如何正確查找名稱。當您安裝 winbind 時，smbd 將使用 winbind 進行名稱解析。否則，它只使用 linux UID、GID，這就是為什麼您在 Windows 中看到 Unix User/Unix Group。

我無法解釋更多，但希望這對你有所幫助。

答案是使用 Samba 和 SSSD 中使用的 id-mapping 後端。Samba 的 winbind“擺脫”和“自動擺脫”不會像 SSSD 那樣將 Windows SID 映射到 uid/gid 號。因此，如果您的 CIFS 伺服器使用 Samba/winbind 加入域，並且您的客戶端使用預設選項通過 SSSD 連接，則 id 映射將失敗。

SSSD 有一個設置ldap_idmap_autorid_compat，您可以True在 sssd.conf 文件中設置該設置（應該）：“更改 ID 映射算法的行為，使其行為更類似於 winbind 的“idmap_autorid”算法。 ”因此允許您的 SSSD 客戶端解析這個問題。

引用自：https://serverfault.com/questions/832217