使用 Open Directory 透過 Kerberos 驗證 Samba 共享

使用 Open Directory 透過 Kerberos 驗證 Samba 共享

我在一台名為「minime」的機器(El Capitan,伺服器 5)上有一個 Open Directory 主伺服器。我還有一個「棘手」的 Samba 伺服器,運行 Ubuntu 和一個 Mac OS X 客戶端「wallace」。

我希望 wallace 上的使用者能夠存取tricky 上的文件,同時透過 minime 上的 Kerberos 進行身份驗證。用戶都是 Open Directory 用戶,因此理論上在登入 wallace 時都應該從 minime 獲得票證授予票證。

我之前有一個工作配置,唯一的變化是 minime 是一個 Raspberry Pi,提供 Kerberos 票證以及透過 OpenLDAP 的目錄服務。我已經用 Mac OS X 伺服器取代了 minime。

我現在正在嘗試使該配置再次進入工作狀態,但我遇到了麻煩。

wallace 的使用者可以登錄,但無法存取tricky 上的檔案。登入後,他們會收到一張授予票證的票證。當嘗試存取tricky上的文件時,會出現一個登入框。來賓存取將顯示可用共享,因此 Samba 已啟動。但是,Finder 無法正確驗證登入使用者的身份。當明確選擇「連接為」並輸入目前使用者名稱和密碼時,授予票證的票證將被銷毀,並且不允許存取。

我沒有在 Samba 日誌檔案中看到任何記錄。我很高興得到指點。

答案1

我找到了解決這個問題的方法。關鍵點是,在 OS X Server 上使用 kadmin 不足以建立可以透過 keytab 匯出並在不同伺服器上使用的有效服務主體。

OS X Server 需要使用指令「krbservicesetup」。儘管線上說明頁聲明它只能/應該用於設定本機服務,但它成功地在另一台電腦上為 Samba 建立了金鑰表。

請參閱 Apple 論壇上的線上說明頁面和討論:

蘋果論壇的討論

手冊頁

相關內容