SAMBA: Authentifizierung am Active Directory

[Basti_litho]

Hallo,

ich kämpfe jetzt hier schon eine weile mit samba und der Authentifizierung am Active Directory. Klappt leider nicht so wie ich es will :)

Zur Konfiguration:

1x Windows2003 Domänen Controller (Name: Windows2003)
1x Samba 3.0.23d (frisch aus den orginal Paketen installiert (mit ads und ldap)

Domänennamen: "DAHEIM.LOCAL"

Hier die wichtigen Konfigs (smb.conf, krb5.conf, nsswitch.conf, resolv.conf):


smb.conf
[global]

workgroup = DAHEIM.LOCAL
realm = DAHEIM.LOCAL
security = ADS
encrypt passwords = yes
netbios name = Samba Server
realm = PRODAS.LOCAL
idmap uid = 10000-15000
idmap gid = 10000-15000
winbind separator = /
winbind use default domain = Yes
password server = windows2003.daheim.local
client use spnego = yes




krb5.conf
[libdefaults]
default_realm = DAHEIM.LOCAL

[realms]
DAHEIM.LOCAL = {
kdc = windows2003.daheim.local
}

[domain_realm]
.daheim.local = DAHEIM.LOCAL




nsswitch.conf:
passwd: files winbind
group: files winbind
shadow: files winbind



resolv.conf:
nameserver 192.168.1.102
domain daheim.local

nameserver 212.18.3.5


Während meiner suche nach der Lösung des Problems habe ich gelesen das es jemand geschafft hat indem er die "Heimdal kerberos" mit der "MIT Kerberos" ersetzen - was ich auch gemacht habe - das hat aber leider nicht geholfen. :(

Momentan ist "MIT Kerberos5 1.5.1" im Einsatz.

Wenn ich nun ein "kinit Administrator@DAHEIM.LOCAL" absetze funktionierts auch. Kein Problem.

Aber sobald ich versuche diesen Server ins AD zu integrieren bekomme ich folgende Fehlermeldung:


[root@archlinux ~/Download]# net ads join -U Administrator
Administrator's password:
[2007/01/01 20:05:28, 0] utils/net_ads.c:ads_startup(289)
ads_connect: Datei oder Verzeichnis nicht gefunden

und danach kommt immer wieder:


Administrator's password:
[2007/01/01 20:05:54, 0] utils/net_ads.c:ads_startup(289)
ads_connect: Ungültiges oder unvollständiges Multi-Byte- oder Wide-Zeichen

Die syntax für "net" habe ich natürlich auch schon in ein paar kombinationen ausprobiert (mit "-S server, mit -U Administrator@DAHEIM, usw..) - immer mit dem selben Ergebnis
Und dabei komme ich einfach nicht weiter - ich weiß nichtmal warum ich einmal eine Fehlermeldung mit "...nicht gefunden..." und danach eine völlig andere bekomme.

DNS Auflösung funktioniert.
Weiß nicht was man noch so an infos braucht.
Selbst google.de liefert bei der zweiten Fehlermeldung nicht viel.

Hoffe jemand kennt diese Fehlermeldung :)

Danke & Schönen Gruß
Basti

[emba]

saug dir mal ein binary von sernet oder samba. mit der "d" habe ich gehoert, hat der ein oder andere probleme im zusammenhang mit ADS. evtl. probierst du auch mal die 3.0.23c

greez

[Basti_litho]

So, konnte mir jetzt doch noch weiterhelfen.

Hier meine Lösung:

1. Ich habe die smb.conf und krb5.conf nach folgender Anleitung eingerichtet:
http://wiki.samba.org/index.php/Samba_&_Active_Directory
Zusätzlich (auf anraten der Anleitung) habe ich noch zur Zeit sync. ntpd installiert.

Danach habe ich es nochmal versucht - und es kam immerhin eine neue Fehlermeldung:


Using short domain name -- DAHEIM
Failed to set servicePrincipalNames. Please ensure that
the DNS domain of this server matches the AD domain,
Or rejoin with using Domain Admin credentials.
Disabled account for 'SAMBA SERVER' in realm 'DAHEIM.LOCAL'


Diese Fehlermeldung hing anscheinden mit meiner konfiguration der smb.conf und der /etc/hosts zusammen.

Diese habe ich so angepasst, dass in der "/etc/hosts" der domänennamen stimmt (von archlinux.local auf archlinux.daheim.local).
Bei der smb.conf habe ich die Option "netbios name = "samba server auf "netbios name = archlinux" geändert.

Da der Rechnernamen noch unter "/etc/rc.conf" eingetragen war - habe ich hier lieber einen neustart gemacht (sicher ist sicher ;) )

Um den hostnamen nochmal zu überprüfen kann man mit "hostname -f"
sich den vollen domänen namen ansehen.


Zu guter letzt bekam ich natürlich noch eine Fehlermeldung:



[2007/01/01 21:35:08, 0] libads/kerberos.c:ads_kinit_password(208)
kerberos_kinit_password Administrator@DAHEIM.LOCAL failed: Clock skew too great


Nach einem beenden des NTP Daemons und manuelles syncronisieren per "ntpdate...", war auch das Problem erledigt und ich bekam ein:


Using short domain name -- DAHEIM
Joined 'ARCHLINUX' to realm 'DAHEIM.LOCAL'

Endlich! :)

Schönen Gruß
Basti