☰

RHEL6 で AD に winbind した後、sudo が非常に遅くなる

tag-icon • tag-icon linux samba
RHEL6 で AD に winbind した後、sudo が非常に遅くなる

samba/winbind を使用して Linux マシンを AD ドメインにバインドした後、sudo コマンドを実行すると、パスワードの入力を求める前に応答するまでに 10 秒から 2 分ほどかかります。

/etc/resolv.conf を確認しましたが、DNS は適切に設定されているようです。dig などのコマンドは問題なく実行されるので、問題は DNS に関連していないはずです。他の投稿と同様に、ループバックのためにホスト名と FQDN の両方が /etc/hosts にリストされていることも確認しました。

私は winbind ログ レベルを 10 に設定し、ログをチェックしました。何が重要で何が重要でないのかはわかりませんが、ログで気づいたことがいくつかあります。

[2013/06/05 10:05:19.481689,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      in: struct wbint_LookupName
          domain                   : *
              domain                   : 'MYDOMAIN'
          name                     : *
              name                     : 'ROOT'
          flags                    : 0x00000008 (8)
[2013/06/05 10:05:19.481857,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      out: struct wbint_LookupName
          type                     : *
              type                     : SID_NAME_USE_NONE (0)
          sid                      : *
              sid                      : S-0-0
          result                   : NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482076,  5] winbindd/winbindd_getgroups.c:186(winbindd_getgroups_recv)
  Could not convert sid S-0-0: NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482121, 10] winbindd/winbindd.c:679(wb_request_done)
  wb_request_done[3787:GETGROUPS]: NT_STATUS_NONE_MAPPED

ドメイン内のユーザー ROOT を検索しようとしているようですが、これは明らかに起こるべきではありません...これが原因の根本でしょうか? もしそうなら、どうすれば修正できますか?

答え1

それは間違いなくそうするでしょう、あなたが持っていることを確認してください

passwd       files ldap
group        files ldap
shadow       files ldap

nsswitch.conf で。そうしないと、昇格された権限を必要とするすべてのシステム コールが非常に遅くなります。

答え2

役に立つかどうかはわかりませんが、次の内容username mapを含むファイルはありますか?

root = administrator
nobody = guest

そして、smb.conf内のグローバルパラメータでそれを指定します。

username map = /etc/samba/smbusers

グローバルパラメータ

map to guest = bad user?

答え3

追加してみてください

winbind enum users = no
winbind enum groups = no
winbind nested groups = false

/etc/samba/smb.confセクションの[global]

注: これによりネストされたグループが無効になります

答え4

古い問題ですが、非常に似ています。私も同じような問題を抱えていましたが、SAMBA 構成interfacesのリストに VPN インターフェイス (wireguard) を追加していたことが判明しました。/etc/samba/smb.conf

この行を削除すると、サービスを再起動せずに、sudo/su/etc がプロンプトを表示するのに 20 秒以上かかっていた問題が解決しました。これは、samba-dcerpcd が rpcd_lsad を起動するのに時間がかかっていたためだと思います。

関連情報