Ich habe einen Open Directory-Master auf einer Maschine namens „minime“ (El Capitan, Server 5). Außerdem habe ich einen Samba-Server „tricky“, auf dem Ubuntu läuft, und einen Mac OS X-Client „wallace“.
Ich möchte, dass Benutzer auf Wallace auf Dateien auf Tricky zugreifen können, während sie über Kerberos auf Minime authentifiziert werden. Die Benutzer sind alle Open Directory-Benutzer, daher sollten sie theoretisch alle Ticket-Granting-Tickets von Minime erhalten, wenn sie sich auf Wallace anmelden.
Ich hatte vorher eine funktionierende Konfiguration. Die einzige Änderung bestand darin, dass Minime ein Raspberry Pi war, der Kerberos-Tickets sowie Verzeichnisdienste über OpenLDAP bereitstellte. Ich habe Minime durch einen Mac OS X-Server ersetzt.
Ich versuche nun, die Konfiguration wieder in einen funktionsfähigen Zustand zu versetzen, aber ich stoße auf Probleme.
Benutzer von Wallace können sich anmelden, aber nicht auf Dateien auf Tricky zugreifen. Beim Anmelden erhalten sie ein Ticket, das ihnen das Ticket gewährt. Beim Versuch, auf Dateien auf Tricky zuzugreifen, wird ein Anmeldefenster angezeigt. Der Gastzugriff zeigt die verfügbaren Freigaben an, sodass Samba aktiv ist. Der Finder authentifiziert sich jedoch nicht korrekt mit dem angemeldeten Benutzer. Wenn Sie explizit „Verbinden als“ auswählen und den aktuellen Benutzernamen und das aktuelle Passwort eingeben, wird das Ticket, das das Ticket gewährt, zerstört und der Zugriff ist nicht gestattet.
Ich sehe nichts in den Samba-Logdateien. Ich wäre für Hinweise dankbar.
Antwort1
Ich habe eine Lösung für dieses Problem gefunden. Der kritische Punkt ist, dass die Verwendung von kadmin unter OS X Server nicht ausreicht, um einen gültigen Dienstprinzipal zu erstellen, der über Keytab exportiert und auf einem anderen Server verwendet werden kann.
OS X Server erfordert die Verwendung des Befehls „krbservicesetup“. Obwohl in der Manpage steht, dass dieser nur zum Einrichten lokaler Dienste verwendet werden kann/sollte, funktionierte er erfolgreich, um auf einem anderen Rechner ein Keytab für Samba zu erstellen.
Siehe Manpage und Diskussion im Diskussionsforum von Apple hier: