☰

RHEL6에서 AD에 winbind한 후 sudo가 매우 느림

tag-icon • tag-icon linux samba
RHEL6에서 AD에 winbind한 후 sudo가 매우 느림

samba/winbind를 사용하여 Linux 시스템을 AD 도메인에 바인딩한 후 sudo 명령을 실행하면 비밀번호를 묻는 메시지가 표시되기 전에 응답하는 데 10초에서 2분 정도 걸립니다.

/etc/resolv.conf를 확인했는데 DNS가 제대로 설정된 것 같습니다. dig와 같은 명령은 문제 없이 실행되므로 문제가 DNS와 관련이 없어야 한다고 가정합니다. 다른 게시물에 따라 루프백을 위해 호스트 이름과 FQDN이 모두 /etc/hosts에 나열되어 있는지도 확인했습니다.

winbind 로그 수준을 10으로 설정하고 로그를 확인했습니다. 무엇이 중요하고 중요하지 않은지 모르겠지만 로그에서 발견한 몇 가지 사항은 다음과 같습니다.

[2013/06/05 10:05:19.481689,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      in: struct wbint_LookupName
          domain                   : *
              domain                   : 'MYDOMAIN'
          name                     : *
              name                     : 'ROOT'
          flags                    : 0x00000008 (8)
[2013/06/05 10:05:19.481857,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      out: struct wbint_LookupName
          type                     : *
              type                     : SID_NAME_USE_NONE (0)
          sid                      : *
              sid                      : S-0-0
          result                   : NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482076,  5] winbindd/winbindd_getgroups.c:186(winbindd_getgroups_recv)
  Could not convert sid S-0-0: NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482121, 10] winbindd/winbindd.c:679(wb_request_done)
  wb_request_done[3787:GETGROUPS]: NT_STATUS_NONE_MAPPED

도메인에서 ROOT 사용자를 조회하려고 시도하는 것 같은데, 이런 일은 분명히 일어나서는 안 됩니다... 이것이 원인의 근본일까요? 그렇다면 어떻게 해결할 수 있나요?

답변1

분명히 그렇게 될 것입니다.

passwd       files ldap
group        files ldap
shadow       files ldap

nsswitch.conf에서. 높은 권한이 필요한 모든 시스템 호출은 그렇지 않으면 당밀처럼 느려질 것입니다.

답변2

username map도움이 될지는 모르겠지만 다음을 포함하는 파일이 있습니까 ?

root = administrator
nobody = guest

이를 가리키는 smb.conf의 전역 매개변수(예:

username map = /etc/samba/smbusers

전역 매개변수뿐만 아니라

map to guest = bad user?

답변3

추가해 보세요

winbind enum users = no
winbind enum groups = no
winbind nested groups = false

~에 /etc/samba/smb.conf, 섹션에서[global]

참고: 이렇게 하면 중첩된 그룹이 비활성화됩니다.

답변4

오래된 문제지만 매우 유사해 보입니다. 그런 문제가 있었는데 알고 보니 SAMBA 구성 interfaces목록 에 VPN 인터페이스(와이어가드)를 추가한 것이었습니다 /etc/samba/smb.conf.

서비스를 다시 시작하지 않고도 이 줄을 제거하면 sudo/su/etc에서 메시지를 표시하는 데 20초 이상 걸리는 문제가 해결되었습니다. 나는 이것이 rpcd_lsad를 시작하는 데 오랜 시간이 걸리는 samba-dcerpcd라고 믿습니다.

관련 정보