Самба-шара недоступна для пользователя AD.

Я пытаюсь установить сервер Samba для аутентификации в Active Directory и общих ресурсов.

Мне удалось настроить Kerberos (kinit klist работает). Я настроил smb.conf.

wbinfo -u<br>
wbinfo -g<br>
getent group *показывает все группы домена)<br>
getent users (показывает всех пользователей домена)<br>
net join выполнен успешно

Изменение nsswitch и common-session также сработало. Я могу войти в систему, используя учетные данные AD, локально и по ssh. Даже добавление группы администраторов домена в sudoer сработало. Так что я предполагаю, что аутентификация настроена правильно.

Теперь я хотел создать общий ресурс. Один с [homes] и один с доступом для группы AD.

Если я сейчас подключаюсь к общему ресурсу с компьютера под управлением Win7, мне запрашивается имя пользователя/пароль. Если я ввожу данные из первоначальной локальной учетной записи, которая была создана в процессе установки, я вижу оба общих ресурса: публичный и домашний каталог локального пользователя.

Если я использую учетные данные AD, я получаю отказ в доступе.

Я даже пытался включить гостевой доступ и отключить любой контроль доступа. Но ничего не меняется. Локальный пользователь может подключиться, но пользователь AD даже не видит общие ресурсы.

Если я включаю уровень логирования 10, я вижу, что компьютер пытается аутентифицироваться, но не может.

Что я упускаю?

[Обновление]
Я нашел проблему. Я не совсем понимаю, почему это вызывало такой эффект, но теперь общий ресурс работает почти так, как я хочу.

Я использовал

idmap uid = 10000-20000<br>
idmap gid = 10000-20000

из учебника на http://wiki.ubuntuusers.de/Samba_Winbind. Я не думал, что предупреждение о том, что эти строки устарели, вызовет проблемы, так как устаревание обычно означает, что они все еще поддерживаются. Это правда для локального входа. Но общие ресурсы ломаются. Я заменил эти две строки на

idmap config * : range = 10000-20000

и теперь общий ресурс работает.

Единственная оставшаяся проблема: чтобы подключиться к общему ресурсу [homes], мне нужно использовать COMPUTERNAME\USERNAME, но я хотел, чтобы [homes] работало с DOMAIN\USERNAME?

Если кто-то знает, как это изменить, я был бы признателен, но так как я могу использовать обычный домашний ресурс с подпапками для пользователей, я не считаю это реальной проблемой.

Ответ пользователя user305136, взятый из вопроса:

Иногда задаешь вопрос и находишь решение на следующий день. В случае если у кого-то будет та же проблема, что и у меня, вот мои конфигурационные файлы, которые сейчас работают. Я заменил Windowsserver на SERVER и домен на DOMAIN.LOCAL.

krb5.conf:
[логирование]
default = FILE:/var/log/krb5.log
[libdefaults]
ticket_lifetime = 24000
clock_skew = 300
default_realm = DOMAIN.LOCAL
dns_lookup_realm = true
dns_lookup_kdc = true

[realms]
DOMAIN.LOCAL = {
kdc = SERVER.DOMAIN.LOCAL:88
admin_server = SERVER.DOMAIN.LOCAL
default_domain = DOMAIN.LOCAL
}

[domain_realm]
.domain.local = DOMAIN.LOCAL
domain.local = DOMAIN.LOCAL
.DOMAIN.LOCAL = DOMAIN.LOCAL
DOMAIN.LOCAL = DOMAIN.LOCAL

smb.conf:
[глобальные]
security = ADS
realm = DOMAIN.LOCAL
workgroup = DOMAIN
idmap config * : range = 10000-20000
server string = Linuxserver
winbind enum users = yes
winbind enum groups = yes
winbind cache time = 10
winbind use default domain = yes
winbind nested groups = yes
template homedir = /home/%U
template shell = /bin/bash
client use spnego = yes
ntlm auth = yes
lanman auth = no
client ntlmv2 auth = yes
encrypt passwords = yes
restrict anonymous = 2
domain master = no
local master = no
preferred master = no
os level = 0
map to guest = bad user
guest account = nobody
unix extensions = yes
valid users = @domänen-benutzer
[homes]
comment = Userdirectory
browseable = no
valid users = %S, DOMAIN.LOCAL\%S
writeable = yes
create mode = 0600
directory mode = 0700
[home]
comment = Userdata
path = /data/home/%U
browsable = no
valid users = %U
writeable = yes
create mode = 0600
directory mode = 0700
[Data]
comment = Data
path = /data/H
writeable = yes
valid users = @domänen-benutzer
create mode = 0660
directory mode = 770

Теперь это работает.