[Sysadmins] Samba 4.6.15, доменные пользователи и группы, posix acl

Москаленко Алексей Владимирович Mon, 06 Aug 2018 01:57:01 -0700

Здравствуйте.

Столкнулся с непонятным мне поведением winbind в samba 4.6.15(p8) вчасти использования доменных пользователей и групп в nss.

Есть домен на samba (nt4-style). Есть член этого домена на P8 (samba4.6.15). На нем настроен idmap backend rid. Конфиг члена домена:

[global]
        dos charset = CP866
        server string = Server (ver. %v)
        workgroup = DOMAIN
        local master = No
        os level = 200
        preferred master = No
        log file = /var/log/samba/log.%m
        max log size = 50
        load printers = No
        printcap name = /dev/null
        client ipc signing = if_required
        client signing = if_required
        security = DOMAIN
        server signing = if_required
        template homedir = /dev/null
        template shell = /dev/null
        winbind sealed pipes = No
        wins server = 192.168.0.1
        idmap config domain : range = 1000000 - 1999999
        idmap config domain : backend = rid
        idmap config * : range = 100000 - 199999
        dbwrap_tdb_mutexes:* = yes
        idmap config * : backend = tdb
        map archive = No
        map readonly = no
        store dos attributes = Yes
        printing = lprng
        map acl inherit = Yes
        inherit acls = Yes
        use sendfile = Yes
        vfs objects = acl_xattr streams_xattr

В домене заведен пользователь test.tt, входящий в одну глобальную группу- Domain users. Все описанное ниже происходит на члене домена.

Первая странность - в группы любого пользователя добавляется также игруппа с его именем. Пример:

# id domain\\test.tt

uid=1041378(DOMAIN\test.tt) gid=1000513(DOMAIN\domain users)группы=1041378(DOMAIN\test.tt),1000513(DOMAIN\domainusers),10001(BUILTIN\users)

# wbinfo -G 1041378
S-1-5-21-DOMAIN_SID-41378
# wbinfo -U 1041378
S-1-5-21-DOMAIN_SID-41378
# wbinfo --user-groups=elserv\\test.tt
1041378
1000513
10001

# for gid in $(wbinfo --user-groups=domain\\test.tt); do wbinfo -s$(wbinfo -G $gid); done

DOMAIN\test.tt 1
DOMAIN\Domain Users 2
BUILTIN\Users 4

Вопрос - что за группа DOMAIN\test.tt с GID 1041378? В домене ее нет, ана члене домена для любого доменного пользователя есть соответствующаягруппа с таким же именем, GID=UID и одинаковыми SID. Для чего этосделано и нельзя ли это как-нибудь отключить?

Вторая странность - при создании файлов/каталогов на общем ресурсе, дляних выставляются непонятные мне POSIX ACLs:

# getfacl test
# file: test
# owner: DOMAIN\\test.tt
# group: DOMAIN\\domain\040users
user::rwx
user:1000513:r-x
group::r-x
group:DOMAIN\\domain\040users:r-x
group:DOMAIN\\test.tt:rwx
mask::rwx
other::r-x
default:user::rwx
default:user:DOMAIN\\test.tt:rwx
default:group::r-x
default:group:DOMAIN\\domain\040users:r-x
default:mask::rwx
default:other::r-x

# getfacl test/q.txt
# file: test/q.txt
# owner: DOMAIN\\test.tt
# group: DOMAIN\\domain\040users
user::rwx
user:1000513:r-x
group::r-x
group:DOMAIN\\domain\040users:r-x
group:DOMAIN\\test.tt:rwx
mask::rwx
other::r-x

Появляется запись ACL пользователя для UID=1000513 (на самом деле этоGID для группы DOMAIN\domain users) и запись ACL группы для GID=1041378(а это UID для пользователя DOMAIN\test.tt, который из-за странности (1)отображается в несуществующую группу DOMAIN\test.tt). Пользователя сUID=1000513 не существует, поэтому он показывается номером.

Собственно, хочется понять корни такого поведения, чтобы принятьрешение, что с этим делать дальше.

_______________________________________________
Sysadmins mailing list
Sysadmins@lists.altlinux.org
https://lists.altlinux.org/mailman/listinfo/sysadmins

[Sysadmins] Samba 4.6.15, доменные пользователи и группы, posix acl

Ответить