☰

FreeNAS を LDAP 認証で動作させるにはどうすればよいですか?

tag-icon • tag-icon ldap samba openldap truenas
FreeNAS を LDAP 認証で動作させるにはどうすればよいですか?

LDAP 認証を使用した CIFS 共有を備えた FreeNAS 9.1.1 サーバーをセットアップしようとしています。

OpenLDAP サーバーをセットアップし、 を入力し、自分のユーザー アカウントを追加し、ディレクトリを利用するために FreeNAS 上の LDAP クライアントを構成しました。および出力に OpenLDAP サーバー上にセットアップしたエンティティがリストされているsmbldap-populateため、FreeNAS はユーザーとグループを正常に取得できるようです。getent passwdgetent group

ここまでは順調です。これで新しいZFSボリュームを作成し、それをLDAPユーザーアカウントが所有するように設定しました。ドメイン管理者グループ。

net use \\freenas\zfs0-shareWindows コマンド ラインで発行して共有を使用しようとすると、次の結果が得られます。

System error 59 has occured.
An unexpected network error occurred.

FreeNAS コンソールでは、次の出力が表示されます。

freenas smbd: auth/check_samsec.c:491(check_sam_security)
check_sam_security: make_server_info_sam() failed with NT_STATUS_UNSUCCESSFUL

このエラーは何を示しており、どうすれば解決できますか?

答え1

この問題の原因を突き止めるために、まず Samba をより高いデバッグ レベルで対話モードで起動し、出力に役立つ可能性のあるメッセージがあるかどうかを確認しました。

/usr/local/sbin/smbd --interactive --debuglevel=3

今では、以前よりも役立つ出力が得られました。

check_ntlm_password:  Checking password for unmapped user [WORKGROUP]\[osalzburg]@[LDAP] with the new password interface
check_ntlm_password:  mapped user is: [FREENAS]\[osalzburg]@[LDAP]
init_sam_from_ldap: Entry found for user: osalzburg
Primary group S-1-5-21-1400563477-347728745-2499486669-512 for user osalzburg is a UNKNOWN and not a domain group
Forcing Primary Group to 'Domain Users' for osalzburg
The primary group domain sid(S-1-5-21-1134279832-878937066-538846017-513) does not match the domain sid(S-1-5-21-1400563477-347728745-2499486669) for osalzburg(S-1-5-21-1400563477-347728745-2499486669-3002)
check_sam_security: make_server_info_sam() failed with 'NT_STATUS_UNSUCCESSFUL'
check_ntlm_password:  Authentication for user [osalzburg] -> [osalzburg] FAILED with error NT_STATUS_UNSUCCESSFUL
error packet at smbd/sesssetup.c(124) cmd=115 (SMBsesssetupX) NT_STATUS_UNSUCCESSFUL
Server exit (failed to receive smb request)
Terminated: 15

ここで重要なのは次の部分です:

The primary group domain sid
  (S-1-5-21-1134279832-878937066-538846017-513) does not match the domain sid
  (S-1-5-21-1400563477-347728745-2499486669) for osalzburg(S-1-5-21-1400563477-347728745-2499486669-3002)

この不一致を解決するために、私はエントリsambaSIDのFREENAS sambaDomainNameを に変更しましたS-1-5-21-1400563477-347728745-2499486669。このバグレポートのコメント。

どこで設定を間違えたのか正確にはわかりませんが、デバッグ出力付きで Samba を実行することが問題の原因を見つける鍵となりました。

関連情報