Samba + ADS: Dateibesitzer immer root

Moin,

vielleicht kann mir hier einer helfen. Ich habe einen Debian lenny in einer 2000 ADS Domäne laufen. Er ist bereits Mitglied und das Auflisten von Domänen Benutzern und Gruppen mit wbinfo und getent funktioniert. Ich kann auch mit der write list Direktive den Zugriff auf Freigaben regeln. Wenn ich also als Domänen Benutzer in der Domänen Gruppe webserver-admins bin, darf ich schreiben, sonst nicht. Das Problem ist jetzt, das die erzeugten Dateien nicht dem Domänen Benutzer gehören, sondern immer root. Im log steht auch fast nur

smbd/service.c:make_connection_snum(928)
  Can't become connected user!

smb.conf:

[global]
   security                     = ADS
   realm                        = xxx
   workgroup                    = xxx
   password server              = xxx
   encrypt passwords            = true
   winbind separator            = +
   winbind use default domain   = Yes
   winbind enum users           = yes
   winbind enum groups          = yes
   winbind uid                  = 10000-20000
   winbind gid                  = 10000-20000
   template shell               = /bin/bash
   template homedir             = /home/%D/%u
   server string                = %h
   wins support                 = no
   wins server                  = xxx
   dns proxy                    = no
   log file                     = /var/log/samba/log.%U
   max log size                 = 1000
   syslog only                  = no
   syslog                       = 1
   panic action                 = /usr/share/samba/panic-action %d
   passdb backend               = tdbsam
   obey pam restrictions        = yes
   guest account                = nobody
   invalid users                = root
   passwd program               = /usr/bin/passwd %u  
   invalid users                = root
   passwd program               = /usr/bin/passwd %u
   passwd chat                  = *Enter\snew\sUNIX\spassword:* %n\n *Retype\snew\sUNIX\spassword:* %n\n *password\supdated\s$
   socket options               = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
   domain master                = no
   printing                     = none
   load printers                = no
   valid users                  = @xxx+Webserver-Admins
   admin users                  = @xxx+Webserver-Admins


[htdocs]
        comment = xxx
        path = /var/www/
        write list = @xxx+Webserver-Admins
        force group = www-data
        create mask = 0664
        directory mask = 0777

nsswitch und so läuft ja schon... gentent zeigt alle lokalen Nutzer, alle Nutzer der Domäne in dem der Samba Server Mitglied ist und auch alle Nutzer der alten NT Domäne (Vertrauensstellung) an.

Da ich ja mit der @webserver-admin Gruppe die Schreibberechtigung vergeben kann, fragt samba offensichtlich den DC korrekt ab. Nur beim anlegen des Files schreibt er eben nicht DOM+user als Eigentümer, sondern root. Er meckert ja auch "Can't become connected user".

Zeiten sind gleich, alle Rechner holen sich die Uhrzeit von nem ntp...

kinit liefert auch keine Fehlermeldung.

Ich habe noch in /etc/pam.d/common-* die pam_unix.so gegen die pam_unix2.so getauscht. Allerdings hab ich noch keinen Neustart gemacht. Hab vorhin irgendwo in den google.groups gelesen das nsswitch das nur beim booten übernimmt.

Ich werde nach einem Reboot berichten.

Danke schonmal

EDIT:

diese hier hab ich auch noch gefunden:

Oct 17 13:20:01 xxx winbindd[2220]:    1 (256 - 255) in safe_strcpy [ERROR: string overflow by 1 (256 - 255) in safe_strcpy [ERROR: string overflow by 1 (256 - 255) in safe_strcpy [ERROR: string overflow by 1 (256 - 255) in safe_strcpy [ERROR: string overflow by 1 (256 - 255) in safe_strcpy
Oct 17 13:20:01 xxx winbindd[2220]:  +>

Zitat

Original von slime
hi,
kannst du dich denn als domäne-benutzer an linux anmelden?

Nein, aber dafür hab ich auch nichts getan. (Automatisches Homeverzeichnis etc.) Die Authentifizierung soll auch nur die Schreibrechte des Samba per ADS Gruppen regeln.

Müsste das denn so gehen ?

Neustart durchgeführt, selbes Ergebnis.

Dat mokt mi wat mit "f" --- Ferrückt !

EDIT: Ich kann auch mit chown den Eigentümer einer Datei manuell auf ein Domänen-Nutzerkonto festlegen, warum kann Samba das nicht ?

Hmmm, in meiner /etc/pam.d/samba steht folgendes:

@include common-auth
@include common-account
@include common-session

Fehlt da nicht @include common-password ?

EDIT: Wars auch nicht. Ich glaube die erste Antwort oben könnte zutreffen. Da Samba ja die Gruppe "forced" auf eine Unix Gruppe in der die Dömänen Nutzer nicht enthalten sind / sein können. Das werde ich morgen nochmal probieren!

Jetzt wirds drollig !

Ich habe "force group" rausgenommen. Jetzt sehen die Besitzverhältnisse so aus:

drwxrwxrwx 2 root     www-data         4,0K 2007-10-18 06:59 Neuer Ordner (5)
drwxrwxrwx 2 root     domänen-benutzer 4,0K 2007-10-18 07:00 Neuer Ordner (6)

Nummer 5 war mit "force group", Nummer 6 ohne. Ich hatte mal auf der linux Kiste einen Nutzer der den gleichen Namen hatte wie mein Domänen-Nutzername, aber den habe ich mittlerweile gelöscht. Sind davon noch reste über evtl ? in der /var/lib/samba/winbindd_idmap.tdb vielleicht ? Kann aber auch nicht sein, da mein Kollege nie ein Linux Konto hatte und bei ihm das gleiche passiert: root und Domänen-Benutzer.

EDIT:
Ich habe mal winbind mit in die common-auth und so eingetragen. Ich konnte mich danach mit meinem Domänennamen anmelden und eine Datei anlegen, die mir auch gehört hat. (DOM User & Gruppe). Demnach funktioniert winbind ja wohl perfekt, oder ? Mir ist nochwas aufgefallen: Wenn ich mit dem Windowsexplorer auf eine Freigabe zugreife schreibt samba eine Zeile ins Logfile:

connect to service htdocs initially as user XXX+xxx (uid=0, gid=10099) (pid 21664)

uid 0 ist doch root !? gid 10099 ist "Domänen-Benutzer" . Welcher Prozess verhaut sich da ?

So, ich habs lösen können. Durch die Vetrauensstellung zur alten Domäne sind zwei Domänennamen vorhanden. Durch die Funktion

winbind use default domain = yes

lässt samba den Domänennamen-Teil des Namens weg. Nachdem ich die Funktion deaktiviert hatte konnte ich eine Datei anlegen die mir dann auch gehörte. "Force Group" funktioniert dabei dann übrigens auch.

Mit freundlichen Grüßen