Баг в samba + ldap, давайте обсудим...

grep dbus /etc/passwd
messagebus:x:102:107::/var/run/dbus:/bin/false

grep ":/:" /etc/passwd
<пусто>

хороший, годный у тебя дистрибутив, чо!

и ссылку на баг ты, конечно, не дашь, чтобы, не дай б-же, кто-нить не привнёс туда новых подробностей/описал лучше по-английски/whatever

а ты для начала, переведи на английской свое чо

ну-ну..

на примере другого ресурса

apache:x:48:48:Apache:/var/www:/sbin/nologin
mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/bash

Администратор домена (который не является администратором сервера) сможет открыть \\server\mysql или \\server\apache и внести любые изменения.

Пользователь домена скопирует файлы доступные на чтение.

ну ну...

меня интересует мнения администраторов у кого это воспроизводится

Проверить очень просто, на клиенте, из под пользователя домена,
открываем например ресурс:
\\server\dbus

ну попробовал я сейчас так. открываю \\servername\www-data
а пароль с логином ввожу от любого доменного пользователя.
в результате подмотированная шара называется \\servername\www-data, а содержимое у неё - домашний каталог пользователя, от которого логинились.

какие подробности моей конфигурации тебя интересуют?

security = user

Э? Так кто еще делает?

кто-то

Для воспроизведения бага необходимо:

1. настроенный ldap сервер
2. nsswitch.conf настроен, getent passwd выдает список пользователей
3. samba как домен контроллер настроен на ldap

так и есть

значит пока воспроизводится на redhat5 и подобных, и возможно что в поздних версиях samba это было пофиксено.

если тебя всё-таки интересует, то
samba: 3.5.8
openldap: 2.4.23

это не баг, это фича.

баг в том что я определил для samba базу пользователей из LDAP каталога, у меня в каталоге LDAP нет системных пользователей, зачем samba лезет еще дополнительно в passwd?

фича, которая не работает в более новых версиях самба, предлагаю зарегистрировать баг что это заработало!

эта фича, так же не работает на domain members, это так же надо поправить))

зачем samba лезет еще дополнительно в passwd

samba не лезет в passwd, в passwd лезет nss, а вы просто не понимаете, как оно на самом деле работает.

passdb backend = ldapsam:ldap://ldap.server

вы не заметили?

ldap user suffix = ou=users
ldap group suffix = ou=group
ldap machine suffix = ou=computers

так же используются

passdb backend = ldapsam:ldap://ldap.server

вы не заметили?

И чо? еще раз повторяю, nss, а не samba. Вам в кредит повторить несколько раз, чтобы заставить вас подумать?

И чо? еще раз повторяю, nss, а не samba.
Вам в кредит повторить несколько раз, чтобы заставить вас подумать?

да, пожалуйста, повторите два раза, с выводами, чтобы общественность не волновалась. а чо? пацан сказал.. не?

Все с вами понятно. Продолжайте свои бессмысленные вопли.

Все с вами понятно. Продолжайте свои бессмысленные вопли.

так сами предложили объяснить, что по русски писать предложения не умеем? обязательно нужны оскорбления собеседников?

Я вам уже всё, что нужно объяснил.
Баг в samba + ldap, давайте обсудим... (комментарий)

Если продолжаете упорствовать, то это не моя проблема.

Т.е. вы как специалист, утверждаете, что все нормально, все так и должно быть? Что вам был известен факт получения доступа на файловую систему сервера для систем redhat5? То что в более новых версиях samba если это не работает так же, то это уже будем считать багом (иначе см пункт 1)?

это прокатывает и без лдапа

Т.е. вы как специалист, утверждаете, что все нормально, все так и должно быть?

Я не утверждаю, что все нормально, я утверждаю, что это давно известная вещь.

Что вам был известен факт получения доступа на файловую систему сервера для систем redhat5?

И не только. Если у вас права на файловой системе позволяют обычному пользователю samba туда зайти.

то это уже будем считать багом (иначе см пункт 1)?

Вы просто развели помойку, можете считать это чем хотите.

Конечно.

я имел ввиду то что вы правы и лдап тут непричом - у меня лдапа нет и теже проблемы.

Вы просто развели помойку...

конкретизировать будете? это вы о чем вообще?

конкретизировать будете? это вы о чем вообще?

О том, что большинство ваших постов - бесполезные.

О том, что большинство ваших постов - бесполезные.

т.е. например, у вас сервер centos5, domain controller. вас не напрягает факт, что пользователь домена, может зайти на сервер, и устроить себе видеоархив например здесь //server/dbus/dev/shm?

У меня например серверы на freebsd, и ldap пользователь может получить доступ к home папке другого пользователя, при условии, что права на fs позволяют это.

Я понятия не имею, зачем нужен dbus и еще больше не имею понятия, почему ему в качестве homedir задан /.

1) Задайте ему /blah
или
2) Уберите [homes] из smb.conf
или
3) Поставьте ограничение на доступ правами fs

В каком месте у вас проблемы? O_o

У меня например серверы на freebsd, и ldap пользователь может получить
доступ к home папке другого пользователя, при условии, что права на fs
позволяют это.

Я понятия не имею, зачем нужен dbus и еще больше не имею понятия,
почему ему в качестве homedir задан /.

1) Задайте ему /blah
или
2) Уберите [homes] из smb.conf
или
3) Поставьте ограничение на доступ правами fs

В каком месте у вас проблемы? O_o

я вас не задерживаю, можете быть свободны, в данной теме жду пользователей redhat5 и подобных дистрибутивов..

Не вопрос, ждите дальше.

Собственно этой ошибки не было бы, если при наличии параметра passdb backend в конфиге, имена проверялись и в этой базе.

Конечно легко обозвать ошибку фичей, чем ее исправить.

Легче значит отслеживать home параметр для всех системных сервисов, отслеживать umask, чтобы не дай бог не создался файл для чтения с приватными данными. Что в RedHat5 и не сделано. Сейчас вот параметры valid users и invalid users для ресурса, оказываются бесполезны без дополнительного дублирования ACL на файловой системе. Бесполезны в том плане, что используя этот баг можно зайти через другой ресурс.

Ну и как успехи, много людей набежало поделиться «проблемой»? :/

а что жаба душит?

перечитай рассылку самбы, так делается по дефолту с чёрти-знает-каких-времён. security=shared deprecated и нафиг не нужен, неосиляторы man smb.conf тоже не нужны