☰

Samba+LDAP - 诊断问题（拒绝访问）

tag-icon • tag-icon samba smb ldap openldap smbclient
Samba+LDAP - 诊断问题（拒绝访问）

我真的需要一些帮助，因为我无法确定发生了什么......我在这里很迷茫......=|

问题：

我有一台服务器“server_a”，其中有一个目录“group_a_folder”（“/srv/group_a_folder”），通过 Samba 服务共享，可供 LDAP 服务中组“group_a”中的每个人使用。

有一个 LDAP 用户“user_a”，其又位于“group_a”中。

用户“user_a”可以通过 ssh 访问“server_a”（例如：）。ssh [email protected]

用户“user_a”可以访问“group_a_folder”共享...

eg.: smb://DOMAIN_A%[email protected]/group_a_folder/

...如果我们给予许可...

chmod -R 777 /srv/group_a_folder

...到文件夹“/srv/group_a_folder”。

但如果我们改变权限……

chmod -R 770 /srv/group_a_folder

... 对于文件夹“/srv/group_a_folder”，用户“user_a”无法再访问该共享。

笔记：

I - 我目前正在将 LDAP+Samba 环境迁移到新服务器（“server_a”）。在此服务器上，用户“user_a”可以访问共享“group_a_folder”（具有“770”权限）；

II - 在我们的测试中，没有权限访问组“group_a”的用户无法访问共享“group_a_folder”，即使他们拥有预期的权限“777”;

III - 据我们目前了解，问题在于让 Linux/Unix/CentOS 7“理解”组“group_a”应该有权访问共享“group_a_folder”，因为当权限为“777”时，这种情况就会完美发生。

答案1

这些是 UUID/GUID 映射不正确的症状。要验证这一点，请尝试以下操作：

ls -n /srv/group_a_folder- 您将为其指定当前组的 GUID

用户 ID- 这将为你提供他的“group_a”的 GUID

如果他们不只是更改 /etc/groups 中的“group_a”的 GUID 以匹配 LDAP 提供的。

groupmod-g $ldap_GUID“group_a”

更多详细信息请访问：

“身份映射注意事项”部分https://www.samba.org/samba/docs/current/man-html/smb.conf.5.html

答案2

据我们目前了解，问题在于让 Linux/Unix/CentOS 7“理解”组“group_a”应该有权访问共享“group_a_folder”，因为当权限为“777”时，这种情况就会完美发生。

首先，我们将服务器“server_a”放入 LDAP（域控制器）中。例如...

authconfig\
 --enableldap\
 --enableldapauth\
 --ldapserver="ldap://some_ldap_server:389"\
 --ldapbasedn="dc=some_dc,dc=some_dc,dc=some_dc"\
 --enablemkhomedir\
 --enablelocauthorize\
 --updateall

然后授予文件夹“/srv/group_a_folder”中“group_a”的访问权限...

chmod -R 770 "/srv/group_a_folder"
chown -R :"group_a" "/srv/group_a_folder"

完成！=D

相关内容