Samba 的 smbd 不再与 MIT Kerberos 和 OpenLDAP 合作进行身份验证

Question 1

PAC，即“特权属性证书”，是 KDC 向 Kerberos 票证附加额外信息的一种方式。虽然票证通常只指示主体名称而不指示其他任何内容，但 PAC 还可以提供 Windows SID、组成员身份、主目录……避免服务器从 LDAP 或其他地方获取这些信息。DCE 和 Active Directory 到处都使用 PAC；MIT/Heimdal Kerberos 传统上不使用。

Samba 在最新版本中重新设计了其 Kerberos 支持，以弥补几个主要的安全漏洞。作为重新设计的一部分（也许是不必要的部分，但它确实降低了代码复杂性），作为 Active Directory 域一部分的 Samba 服务器需要 PAC，而作为 Active Directory 域一部分的 Samba 服务器不是AD 成员则采取相反的做法，完全拒绝带有 PAC 的票证（因为传统上 MIT Kerberos 和 Heimdal 根本不使用它们）。

因此，第一个问题是您在使用security = ads时实际上根本没有 ADS。此选项启用 Samba 的“Active Directory”模式，并要求 PAC 在 Kerberos 票证中包含特定于 AD 的信息，而您无法提供这些信息，这会导致“NO_IMPERSONATION_TOKEN”错误。

您不需要security = ads只在 Samba 中使用 Kerberos。删除它并使用默认安全模式。

第二个问题是，上面的内容有点谎言，最近 MIT Kerberos做过开始使用 PAC 发出票证（以解决与 S4U 相关的另一个安全问题）...尽管它们是空的 PAC，没有 Sambaads模式所需的任何 AD 属性（没有 SID，没有组成员身份）——这些 PAC 仅仅因为它们携带的数字签名而存在——所以它们不会满足 Samba 的广告模式要求。

然而，这些空的 PAC 仍然是 PAC，当 Samba 用作独立服务器时，它们将被拒绝，并出现略有不同的“BAD_TOKEN”错误。要解决这个问题，您需要将 Samba 主体标记cifs/*为不需要 PAC：

# kadmin
kadmin:  modprinc +no_auth_data_required cifs/neatbox.example.com

...并丢弃您可能拥有的该服务的所有缓存票：

$ kinit -R

Answer

PAC，即“特权属性证书”，是 KDC 向 Kerberos 票证附加额外信息的一种方式。虽然票证通常只指示主体名称而不指示其他任何内容，但 PAC 还可以提供 Windows SID、组成员身份、主目录……避免服务器从 LDAP 或其他地方获取这些信息。DCE 和 Active Directory 到处都使用 PAC；MIT/Heimdal Kerberos 传统上不使用。