ผู้ใช้โดเมนที่เชื่อถือได้ (AD) ไม่สามารถเข้าสู่ระบบเซิร์ฟเวอร์ SLES โดยใช้ Winbind

มีสองโดเมน (ฟอเรสต์ Active Directory-2019 ที่แตกต่างกัน) abc.คอม (โดเมนเริ่มต้น) และ xyzde5.com (โดเมนที่เชื่อถือได้), ความไว้วางใจขาเข้าทางเดียวไปยัง xyzde5.com และความไว้วางใจขาออกจาก abc.com เราสามารถเข้าสู่ระบบผู้ใช้โดเมนเริ่มต้น (abc.com) ในเซิร์ฟเวอร์ SLES 15 SP2 Clint (abc.com) , แต่ ไม่สามารถเข้าถึงผู้ใช้โดเมนที่เชื่อถือได้ (xyzde5.com) จากเซิร์ฟเวอร์ไคลเอนต์ SLES เดียวกัน. อย่างไรก็ตามเราทำได้ สามารถเข้าสู่ระบบผู้ใช้ที่เชื่อถือได้ในระบบไคลเอนต์ windows ปัญหาเฉพาะในไคลเอนต์ SLES

บันทึก: นอกจากนี้ เราต้องใช้ UUID และ GID ที่สะท้อนจากไดเรกทอรีที่ใช้งานอยู่เท่านั้น (ในโดเมนเริ่มต้นทุกอย่างทำงานได้ดี โซลูชันที่คล้ายกันกำลังมองหาผู้ใช้โดเมนที่เชื่อถือได้)

เราจำเป็นต้องเปิดหมายเลขพอร์ตใด ๆ จากสมาชิกโดเมนเริ่มต้น SLES ไปยังโดเมนที่เชื่อถือได้ xyzde5.com หรือไม่ และจำเป็นต้องมีการกำหนดค่าเพิ่มเติมสำหรับการเข้าสู่ระบบของผู้ใช้ที่เชื่อถือได้หรือไม่ ขอคำแนะนำเกี่ยวกับเรื่องนี้! ขอบคุณล่วงหน้า!

เราพบข้อความแสดงข้อผิดพลาดต่อไปนี้ใน winbindd.log

ข้อความผิดพลาด: ไม่สามารถแปลง sid S-1-5-21-1090010102-1892896508-1865459154-1106: NT_STATUS_NO_SUCH_USER

ด้านบนการจับคู่ SID กับผู้ใช้โดเมนที่เชื่อถือได้

โปรดดูการกำหนดค่า Windind ดังนี้:

smb.conf`

[ทั่วโลก]
กลุ่มงาน = abc
อาณาจักร = ABC.COM
usershare อนุญาตให้แขก = ใช่
idmap config * : แบ็กเอนด์ = tdb
การกำหนดค่า idmap * : ช่วง = 5000000-5999999
idmap config ABC : แบ็กเอนด์ = โฆษณา
idmap config ABC : range = 10-9999
idmap กำหนดค่า ABC : schema_mode = rfc2307
idmap config ABC : unix_nss_info = ใช่

idmap config XYZDE5 : แบ็กเอนด์ = โฆษณา
idmap config XYZDE5 : range = 10,000-19999
การกำหนดค่า idmap XYZDE5 : schema_mode = rfc2307
idmap config XYZDE5 : unix_nss_info = ใช่
วิธี kerberos = ความลับและแท็บคีย์
ความปลอดภัย = โฆษณา
แม่แบบ homedir = /home/%U
เปลือกแม่แบบ = /bin/bash
เข้าสู่ระบบ winbind ออฟไลน์ = ใช่
ไฟล์บันทึก = /var/log/samba/%m.log
ระดับบันทึก = 5
วัตถุ vfs = acl_xattr
แผนที่ acl สืบทอด = ใช่
เก็บแอตทริบิวต์ dos = ใช่

winbind ใช้โดเมนเริ่มต้น = ใช่

winbind enum กลุ่ม = ใช่
กลุ่มที่ซ้อนกันของ winbind = ไม่
winbind ขยายกลุ่ม = 2
ผู้ใช้ winbind enum = ใช่
ตั๋วรีเฟรช winbind = ใช่
ตัวคั่น winbind = +
ลูกค้าใช้ spnego = ใช่

krb5.conf

    รวมir /etc/krb5.conf.d
[libdefaults]
default_realm = abc.com
เข็มนาฬิกา = 300
[อาณาจักร]
abc.com = {
    kdc = adserver001.abc.com
    default_domain = abc.com
    admin_server = adserver001.abc.com
}
xyzde5.com = {
    kdc = trustad001.xyzde5.com
    admin_server = trustad001.xyzde5.com
}
[domain_realm]
abc.com = เอบีซี.คอม
.abc.com = เอบีซี.คอม
xyzde5.com = xyzde5.com
.xyzde5.com = xyzde5.com
[ค่าเริ่มต้นของแอป]
แพม = {
    Ticket_lifetime = 1 วัน
    ต่ออายุ_lifetime = 1d
    ส่งต่อได้ = จริง
    ใกล้เคียง = เท็จ
    ขั้นต่ำ_uid = 1
}