☰

Как получить список членов группы с компьютера Linux в домене? Samba AD/DC

tag-icon • tag-icon linux samba groups
Как получить список членов группы с компьютера Linux в домене? Samba AD/DC

Если я запускаю следующую команду на компьютере, работающем как Samba AD/DC, у меня нет проблем. Это работает. sudo samba-tool group listmembers 'domain users'

Проблема в том, что я хотел бы прочитать тот же (и другие группы) список пользователей с другого компьютера Linux в домене. Я вошел в систему как пользователь домена в Linux, установил PAM winbind.

Я попробовал wbinfo, это работает, но я не смог получить список участников группы с этим. getentдает мне группы и пользователей домена. Но я все еще не могу найти правильный способ перечислить участников группы.

Любое предложение?

решение1

Я считаю, что вам нужно использовать ldapsearch вместо smb-tools. Что-то вроде этого;

ldapsearch -LLL -b "dc=example,dc=com" "(&(cn=*)(memberUid=user))" dn

решение2

Вы почти у цели, вашей команде просто не хватает важной части информации. Вам нужно добавить '-H ldap://samdom.example.com' к команде, где 'samdom.example.com' — ваш домен DNS.

решение3

Спасибо @CryptoJones, я посмотрел на LDAP. Вот что я сделал, чтобы это заработало.

Прежде всего, оба компьютера, которые я использую в этом примере, — это Debian 10. Samba и все остальное программное обеспечение были установлены как пакет Debian. Конфигурация Samba AD/DC следовала примеру на официальном сайте Samba.

Мой AD/DC создает домен "windom.borghi.lan" и его имя "dc1.windom.borghi.lan". Я вызываю AD с машины "linte.windom.borghi.lan", где я вошел как пользователь домена "WINDOM\nicola".

В машине "linte" я установил два пакета:

$> sudo apt-get install libsasl2-modules-gssapi-mit
$> sudo apt-get install libsasl2-modules-gssapi-heimdal

Затем, чтобы запросить всех членов моей группы домена «g-leggiTutto», я делаю:

linte WINDOM\nicola> ldapsearch  -H ldap://dc1 -Y GSSAPI -b "dc=windom,dc=borghi,dc=lan" '(memberOf=CN=g-leggitutto*)'

AFAIC, говорят, что невозможно использовать предыдущий метод для поиска всех пользователей группы "Пользователи домена". Но вы можете искать всех пользователей, а затем фильтровать их. Это первый раз, когда я использую LDAP, возможно, есть лучшие способы.

linte WINDOM\nicola> ldapsearch  -H ldap://dc1 -Y GSSAPI -b "dc=windom,dc=borghi,dc=lan" '(sAMAccountName=*)'

Затем я отфильтровываю групповые записи и записи компьютеров и получаю приемлемый результат.

linte WINDOM\nicola> ldapsearch  -H ldap://dc1 -Y GSSAPI -b "dc=windom,dc=borghi,dc=lan" '(&(sAMAccountName=*)(!(objectClass=group))(!(objectClass=computer)) )'

пока

Связанный контент