![带有 Samba AD 的 Ubuntu 21.10 无法创建域信任帐户](https://linux22.com/image/775840/%E5%B8%A6%E6%9C%89%20Samba%20AD%20%E7%9A%84%20Ubuntu%2021.10%20%E6%97%A0%E6%B3%95%E5%88%9B%E5%BB%BA%E5%9F%9F%E4%BF%A1%E4%BB%BB%E5%B8%90%E6%88%B7.png)
我正在尝试使用以下命令在 Samba AD DC 中为其他 kerberos5(MIT)域添加域信任帐户:
net rpc trustdom add <域名> -UAdministrator%<管理员密码>
发生的情况是,该帐户已创建到 Samba ldap 数据库中,并且我可以在 Windows 11 机器中看到它。
该命令给出错误消息:
无法设置信任帐户密码:NT_STATUS_ACCESS_DENIED
使用命令 pdbedit -Lw <account_name>$ 我看到:
<帐户名称>$:3000052:无密码XXXXXXXXXXXXXXXXXXXXX:2D2C9A3DC21D9CAFD008D1232D77B9D0:[NDU]:LCT-6207FF7A:
根据 Samba Wiki 文档,[NDU] 应该是 [I]。
我的samba版本是:版本4.13.17-Ubuntu
我看不到与此事件相关的日志。我该如何调试?
——萨米·胡尔克
答案1
在最近的 Samba 版本中,尚未实现将 Kerberos5 添加到 Kerberos5 信任(单向或双向)的可能性。只有将 Samba 添加到 Samba 信任类型的可能性。net rpc trustdom add 命令仅支持域信任类型,而 Realm 信任只能通过 FreeIpa 等工具添加。此信任功能的文档有些残缺: https://wiki.samba.org/index.php/Active_Directory_Trusts指出目前唯一可行的信任类型是域到域信任。虽然在 MIT5 和 Heimdal kerberos5 系统中添加信任密钥是一项简单的任务,但尚未实现基于 kerberos5-Kerberos5 密钥的信任。