Feste Gruppe für Winbind-User

[romeofox]

Hallo.

Ich setzte ein Samba-Sever u.a. als File-Server ein, er ist so konfiguriert, dass er die Benutzerdaten mittels winbind gegen den PDC prüft. Dadurch bekommt aber jeder Benutzer eine eigene GID, was zum Datenaustausch nicht wirklich nützlich ist. Wie bekommen ich es hin, dass alle User automatisch die primäre Gruppe users haben?
Die Konfig (Das Share data ist das "Austausch-Laufwerk"):



[global]
workgroup = OMC
printing = BSD
load printers =no
map to guest = Bad User
logon path = \\%L\profiles\.msprofile
logon home = \\%L\%U\.9xprofile
logon drive = P:

password server = 192.168.130.10
security = domain
encrypt passwords = yes
wins server = 192.168.130.10
log level = 2 passdb:5 auth:5 winbind:5
# Trenne Domäne und Benutzername durch '\', wie DOMÄNE\benutzername
winbind separator = \\
# Verwende UIDs von 10000 bis 20000 für Domänen-Benutzer
idmap uid = 10000-20000
# Verwende GIDs von 10000 bis 20000 für Domänen-Gruppen
idmap gid = 10000-20000
# Erlaube die Aufzählung von winbind-Benutzern und -Gruppen
winbind enum users = yes
winbind enum groups = yes
template shell = /bin/bash
[homes]
comment = Home Directories
valid users = %S
browseable = No
read only = No
inherit acls = Yes
[profiles]
comment = Network Profiles Service
path = %H
read only = No
store dos attributes = Yes
create mask = 0600
directory mask = 0700
[users]
comment = All users
path = /home
read only = No
inherit acls = Yes
veto files = /aquota.user/groups/shares/
[groups]
comment = All groups
path = /home/groups
read only = No
inherit acls = Yes
[data]
comment = Data from FTP
path = /srv/ftp/data
#valid users = @users
#guest ok = yes
browseable = yes
read only = No
#inherit acls = Yes



Ciao, René

[emba]

wieso bekommt denn jeder nutzer eine eigene gid? wenn winbind gg. den DC authentifiziert, so bekommt dieser auch die gruppen uebermittelt, in denen der user ist. und das legt man auf dem DC fest. wie sieht also ein nutzer auf dem DC aus?

greez

[romeofox]

wieso bekommt denn jeder nutzer eine eigene gid? wenn winbind gg. den DC authentifiziert, so bekommt dieser auch die gruppen uebermittelt, in denen der user ist. und das legt man auf dem DC fest. wie sieht also ein nutzer auf dem DC aus?


Gute Frage, warum jeder User eine eigene Gruppe bekommt. Auf dem PDC (auch ein Samba, aber 2.2.5) sind die User in der primären Gruppe "users" (GID 100). Auf dem Fileserver bekommen sie aber die GID 10001, 10002 usw. Liegt das vielleicht an dem "winbind enum groups = yes"? Ich hab das so aus einem Howto übernommen.

Ich habe mittlerweile herausgefunden, dass man bei einem Share mit "force group" eine Gruppe erzwingen kann, werde das mal ausprobieren.

Ciao, René

[emba]

um dem phänomen mit den gids auf den grund zu gehen, müsstest du die logs studieren. als workaround empfehle ich auch force group

greez

[romeofox]

Werde mir das mal in den Logs ansehen.

Ich habe aber gerade in http://www.linux-magazin.de/Artikel/ausgabe/2003/09/024_samba/samba.html
das folgende entdeckt:

Eine wesentliche Eigenschaft eines PDC fehlt Samba 2.2: Die Möglichkeit, Gruppenmitgliedschaften von Domänenbenutzern an Mitgliedsmaschinen weiterzugeben.
[...]
Um auf Mitgliedsservern Domänengruppen zur Zugriffskontrolle verwenden zu können, muss der Domänencontroller bei Anmeldung des Benutzers die Gruppenmitgliedschaften feststellen und dem Mitgliedsserver mitteilen. Genau dies tut Samba 2.2 nicht, erst Samba 3.0 ist entsprechend erweitert.

Es scheint also nicht am Fileserver zu liegen, sondern an der alten Samba-Version des PDC. Nun gut, der soll demnächst sowieso umgebaut werden, mal sehen ob sich das Problem dann löst.

Ciao, René