LINUX.ORG.RU
ФорумAdmin

Samba - не отрабатывает ACL для supplimentary group (вторичных групп) доменных пользователей


0

0

Коллеги есть файлсервер в домене , ос Red Hat Enterprise Linux AS release 3 (Taroon Update 9), заапдейченый по полной (через up2date) шара на файловую систему ext3 c acl и xattr через setfacl розданы права, шара одна а в ней на сабфолдеры розданы права для разных доменных групп, что бы доменные админы не трогая меня давали доступ к ресурсам путём добавления в группу домены соответствуюшую НО они работают только если доменная группа - primary тоесь если есть group:MYDOM\domain users:rwx то всё отлично если же только group:MYDOM\resourse group:rwx то имеем [2007/07/26 10:26:00, 5] smbd/filename.c:unix_convert(246) unix_convert begin: name = Share/FOLDER/*, dirpath = Share/FOLDER, start = * [2007/07/26 10:26:00, 10] smbd/mangle_hash2.c:is_mangled(276) is_mangled * ? [2007/07/26 10:26:00, 10] smbd/mangle_hash2.c:is_mangled_component(215) is_mangled_component * (len 1) ? [2007/07/26 10:26:00, 5] smbd/trans2.c:call_trans2findfirst(1768) dir=Share/FOLDER, mask = * [2007/07/26 10:26:00, 5] smbd/dir.c:dptr_create(393) dptr_create dir=Share/FOLDER [2007/07/26 10:26:00, 5] smbd/dir.c:OpenDir(1078) OpenDir: Can't open Share/FOLDER. Permission denied [2007/07/26 10:26:00, 3] smbd/error.c:error_packet_set(106) error packet at smbd/trans2.c(1831) cmd=50 (SMBtrans2) NT_STATUS_ACCESS_DENIED [2007/07/26 10:26:00, 0] smbd/process.c:smb_dump(881) created /tmp/SMBtrans2.86.resp len 39

самбу пробовал разнообразных версий от 3.0.9 до 3.0.25b керберос 1.3.4-5 acl-2.2.3-1 ядро 2.4.21-37.ELsmp - коробочное (апдейченое)

сам винбинд и доступ на шары типа valid users = "@DOM\resouce group" работает какбы нормально

куда дальше копать?


Ответ на: комментарий от zgen

Коллеги 
есть файлсервер в домене , ос Red Hat Enterprise Linux AS release 3 (Taroon Update 9), 
заапдейченый по полной (через up2date)
 шара на файловую систему ext3 c acl и xattr 
через setfacl розданы права, шара одна а в ней на сабфолдеры розданы права для разных доменных групп, что бы доменные админы не трогая меня давали доступ к ресурсам путём добавления в группу домены соответствуюшую 
НО они работают только если доменная группа - primary тоесь если есть group:MYDOM\domain users:rwx то всё отлично 
если же только 
group:MYDOM\resourse group:rwx неработает

самбу пробовал разнообразных версий от 3.0.9 до 3.0.25b керберос 1.3.4-5 acl-2.2.3-1 ядро 2.4.21-37.ELsmp - коробочное (апдейченое)

сам винбинд и доступ на шары типа valid users = "@DOM\resouce group" работает какбы нормально

куда дальше копать? 

GTi
() автор топика
Ответ на: комментарий от GTi

похоже просто изза большого размера AD - несколько доменов и порядка
 10000 учёток
winbindd  зацикливается

он на
 
# id user.name

час колбасит и не может отработать...поэтому и саплиментари групсы
не может отпарсить ..и в логах я вижу пустой username []  и ругань на это


а приримари групсы smbd ловит напрямую и к winbindd не обращается
 

GTi
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.