[devel] Графическая аутентификация в домен AD

[Alexander Bokovoy]

2008/12/12 Evgeny Sinelnikov <sin на altlinux.ru>:
>>> во-вторых, samba у нас собрана без опции --with-dnsupdate. Пришлось
>>> пересобирать... К сожалению, обновить DNS-запись в DNS от AD так и не
>>> получилось:
>>> [sin на kafedra03 ~]$ net ads dns register -U sin
>>> sin's password:
>>> DNS update failed!
>>> [sin на kafedra03 ~]$ sudo net ads dns register -P
>>> DNS update failed!
>> Разберитесь, я не буду включать то, что не работает.
>
> То есть вы предлагаете мне самостоятельно решить этот вопрос, причём
> не будучи сами уверены в его работоспособности? :) Я, конечно, не
> против :)
Я хочу сказать, что не включено оно по вполне понятной причине
неработоспособности. Код DNS UPDATE взят из Likewise Open. В Likewise
Open он отличается, не сильно, но достаточно. Втягивать целиком весь
Likewise Open я бы пока не хотел -- там существенные отличия в
winbindd, хотя и есть все нужные графические утилиты ввода машин в
домен, о которых первоначально шла дискуссия.

>>> К сожалению, для работы в домене и вообще с kerberos, в некоторых
>>> случаях очень мешает вот этот баг:
>>> https://bugzilla.altlinux.org/show_bug.cgi?id=17498
>> Можно рекомендацию? Не надо городить новых nss модулей. Делайте, как
>> делают все: добавляйте записи в /etc/hosts на любую выделенную подсеть
>> в 127., благо все они гарантированно ресолвятся в пределах одного
>> узла. Например, 127.127.127./24, если нужен какой-то конкретный
>> вариант.
>
> Это вариант я предлагал, как статический. Для этого нужно, во-первых,
> задавать для имени хоста другой ip, например, 127.0.0.2. И, во-вторых,
> не добавлять записи, а заменять...
Это вопрос более развернутой логики скрипта в etcnet/alterator? Так
напишите, там несложно.

> Вариант динамический был предложен в процессе обсуждения, модуль
> nss_fallback (написан на чистом C, если это кого-нибудь волнует :))
> уже лежит в сизифе. В принципе, этот вариант уже можно использовать.
Я бы все-таки рекомендовал уменьшить количество ненужных сущностей,
если можно обойтись существующими механизмами. Прегенерация хорошо
справляется со своей задачей. Добавить вызов скрипта в net ads dns,
если требуется, элементарно (равно как и вызвать его после вызова net
ads dns register самостоятельно).

>>> С тех пор изменилось только одно - для получения SPN, после входа в домен
>>> # net ads join
>>> необходимо выполнить
>>> # net ads keytab create
>> В пакете samba-doc есть книга Samba-3 By Example, в ней теме
>> подключения клиентов к различным доменам (как на основе AD, так и на
>> основе Samba и NT4) уделено несколько довольно обширных глав.
>
> Отлично, правда там действительно много английских букв ;)
Других актуальных и поддерживаемых в актуальном состоянии ресурсов нет
и, по всей видимости, не будет.

-- 
/ Alexander Bokovoy