☰

NT4 SAM 설정을 Samba4와 동기화 - 가능합니까?

tag-icon • tag-icon domain-controller samba4
NT4 SAM 설정을 Samba4와 동기화 - 가능합니까?

백업 도메인 컨트롤러로 Samba4 설치가 설정되어 있습니다.

james@photon:~$ testparm
Load smb config files from /etc/samba/smb.conf
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
Processing section "[homes]"
Processing section "[netlogon]"
Processing section "[profiles]"
Processing section "[printers]"
Processing section "[print$]"
Loaded services file OK.
Server role: ROLE_DOMAIN_BDC
Press enter to see a dump of your service definitions

[global]
    workgroup = NT4Domain
    server string = %h NT4 BDC (Samba4, Linux)
    interfaces = lo, eth1
    bind interfaces only = Yes
    server role = classic backup domain controller
    map to guest = Bad User
    obey pam restrictions = Yes
    passdb backend = ldapsam:ldap://127.0.0.1/
    pam password change = Yes
    passwd program = /usr/bin/passwd %u
    passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
    syslog = 0
    log file = /var/log/samba/log.%m
    max log size = 1000
    name resolve order = wins, bcast, hosts
    client signing = if_required
    server signing = if_required
    add user script = /usr/sbin/smbldap-useradd -m '%u' -t 1
    add group script = /usr/sbin/smbldap-groupadd -p '%g'
    add user to group script = /usr/sbin/smbldap-groupmod -m '%u' '%g'
    set primary group script = /usr/sbin/smbldap-usermod -g '%g' '%u'
    add machine script = /usr/sbin/smbldap-useradd -w '%u' -t 1
    logon script = scripts\logon.cmd
    logon path = \\%L\profiles\%U
    logon drive = H:
    logon home = \\%L\%U
    domain logons = Yes
    domain master = No
    dns proxy = No
    wins server = ip.of.nt4.box
    ldap admin dn = cn=admin,dc=thisdomain
    ldap group suffix = ou=Groups
    ldap idmap suffix = ou=Idmap
    ldap machine suffix = ou=People
    ldap passwd sync = yes
    ldap suffix = dc=thisdomain
    ldap ssl = no
    ldap timeout = 20
    ldap user suffix = ou=People
    usershare allow guests = Yes
    panic action = /usr/share/samba/panic-action %d
    winbind cache time = 3600
    winbind enum users = Yes
    winbind enum groups = Yes
    winbind use default domain = Yes
    winbind offline logon = Yes
    idmap config * : backend = tdb
    ea support = Yes
    map acl inherit = Yes

[homes]
    comment = Home Directories
    valid users = %S
    read only = No
    create mask = 0775
    directory mask = 0775
    browseable = No

[netlogon]
    comment = Network Logon Service
    path = /home/samba/netlogon
    guest ok = Yes

[profiles]
    comment = Users profiles
    path = /home/samba/profiles
    create mask = 0600
    directory mask = 0700
    browseable = No

[printers]
    comment = All Printers
    path = /var/spool/samba
    create mask = 0700
    printable = Yes
    print ok = Yes
    browseable = No

[print$]
    comment = Printer Drivers
    path = /var/lib/samba/printers
    write list = root, @lpadmin

내 NT4 도메인에 가입되어 있습니다. 공유 프린터에 액세스할 수 있고, netlogon 공유가 표시되며, 도메인의 Windows 시스템에서 올바른(로컬로 설정된) 사용자가 사용자 공유를 보고 탐색할 수 있습니다. 시스템 계정은 NT4 도메인 컨트롤러에 표시됩니다. 효과가있다.

그러나 net rpc 뱀파이어를 작동시킬 수 없습니다. NT4 도메인 컨트롤러에는 수백 개의 사용자 계정이 저장되어 있으며 NT4 시스템을 해제하려면 Samba 시스템의 (작동하는) LDAP 인스턴스와 동기화해야 합니다.

james@photon:~$ sudo net rpc join -U NT4AdminAccount%secret
Joined domain NT4Domain.

하지만:

sudo net rpc vampire -U NT4AdminAccount%secret
DC is not running Active Directory
cli_rpc_pipe_open_schannel: failed to get schannel session key from server 127.0.0.1 for domain NT4Domain.
Could not initialise schannel netlogon pipe. Error was NT_STATUS_ACCESS_DENIED

그리고:

sudo net rpc vampire -S NT4DC -U NT4AdminAccount%secret
DC is not running Active Directory
cli_rpc_pipe_open_schannel: failed to get schannel session key from server data1 for domain ATMOS.
Could not initialise schannel netlogon pipe. Error was NT_STATUS_INVALID_COMPUTER_NAME

-d=10으로 뱀파이어를 실행하려고 할 때 표시되는 관련 줄은 다음과 같습니다.

result                   : NT_STATUS_INVALID_COMPUTER_NAME
get_schannel_session_key_common: rpccli_netlogon_setup_creds failed with result NT_STATUS_INVALID_COMPUTER_NAME to server NT4DC, domain NT4Domain, machine account SAMBASERVER.
cli_rpc_pipe_open_schannel: failed to get schannel session key from server data1 for domain ATMOS.
Could not initialise schannel netlogon pipe. Error was NT_STATUS_INVALID_COMPUTER_NAME
return code = -1
Freeing parametrics:

그럼 결국엔 무슨 문제가 있는 걸까요? 이제 뱀파이어가 망가졌나요? 더 이상 사용되지 않는다는 내용을 계속 읽고 있지만 samba-tool 도메인 가입을 사용하여 이 작업을 수행하는 방법에 대해 내가 본 모든 문서는 Active Directory 도메인 가입에 관한 것입니다. 그것은 우리가 하고 싶은 일이 아닙니다. 또한 schannel 세션 키 오류와 관련하여 Kerberos에 대해 많이 읽고 있지만 그것도 Active Directory에 관한 것 아닌가요? NT4는 현재 Kerberos에서 다루는 기능에 LANMAN을 사용했습니다. 내가 어려움을 겪고 있는 것은 뱀파이어 작전뿐인 것 같다. 다른 건 다 잘 되는 것 같은데...

미리 감사드립니다.

관련 정보