☰

sudo muito lento após winbind para AD no RHEL6

tag-icon • tag-icon linux samba
sudo muito lento após winbind para AD no RHEL6

Quando executo um comando sudo depois de vincular minha máquina Linux a um domínio AD usando samba/winbind, leva entre 10 segundos e 2 minutos para responder antes de solicitar minha senha.

Verifiquei meu /etc/resolv.conf e o DNS parece estar configurado corretamente. Comandos como dig são executados sem problemas, então presumo que o problema não deve estar relacionado ao DNS. De acordo com outras postagens, também verifiquei se meu nome de host e FQDN estão listados em /etc/hosts para loopback.

Eu configurei meu nível de log do winbind para 10 e verifiquei os logs. Não sei o que importa e o que não importa, mas algumas coisas que notei nos logs:

[2013/06/05 10:05:19.481689,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      in: struct wbint_LookupName
          domain                   : *
              domain                   : 'MYDOMAIN'
          name                     : *
              name                     : 'ROOT'
          flags                    : 0x00000008 (8)
[2013/06/05 10:05:19.481857,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      out: struct wbint_LookupName
          type                     : *
              type                     : SID_NAME_USE_NONE (0)
          sid                      : *
              sid                      : S-0-0
          result                   : NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482076,  5] winbindd/winbindd_getgroups.c:186(winbindd_getgroups_recv)
  Could not convert sid S-0-0: NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482121, 10] winbindd/winbindd.c:679(wb_request_done)
  wb_request_done[3787:GETGROUPS]: NT_STATUS_NONE_MAPPED

Parece que estou tentando procurar o usuário ROOT no domínio, o que obviamente não deveria estar acontecendo... Será essa a raiz da causa? Se sim, como posso corrigir isso?

Responder1

Definitivamente faria isso, certifique-se de ter

passwd       files ldap
group        files ldap
shadow       files ldap

em nsswitch.conf. Caso contrário, toda chamada de sistema que requer privilégios elevados será lenta como melaço.

Responder2

Não tenho certeza se isso ajudará, mas você tem um username maparquivo que contém:

root = administrator
nobody = guest

e um parâmetro global em smb.conf apontando para ele, como

username map = /etc/samba/smbusers

bem como o parâmetro global

map to guest = bad user?

Responder3

Tente adicionar

winbind enum users = no
winbind enum groups = no
winbind nested groups = false

para /etc/samba/smb.conf, na seção[global]

Nota: isso desativa grupos aninhados

Responder4

Problema antigo, mas parece muito semelhante. Eu tive um problema e descobri que adicionei uma interface VPN (wireguard) à interfaceslista da minha /etc/samba/smb.confconfiguração do SAMBA.

A remoção desta linha mesmo sem reiniciar nenhum serviço corrigiu os mais de 20 segundos que o sudo/su/etc levou para me fornecer um prompt. Eu acredito que o samba-dcerpcd demorou muito para iniciar o rpcd_lsad.

informação relacionada