Samba, AD et 2 sous-domaines...

Bonjour,

Je dois reconnaître que je suis un peu coincé en ce moment avec Samba,
et, bien que j'ai exposé mon problème sur 2 ml spécialisées, je n'ai
encore aucune solution...
Alors sait-on jamais, si quelqu'un, ici, a une idée lumineuse ;-)

Tout d'abord, voici le début de mon smb.conf :
[global]
realm = AC-NANTES.JUSTICE.FR
workgroup = AC-NANTES
Comme il est aisé de le comprendre, il s'agit d'un domaine nantais ;-)
Bref, les comptes nantais n'ont pas de souci pour accéder aux
ressources.

Maintenant, je voudrais faire la même chose avec un utilisateur
parisien (domaine : AC.JUSTICE.FR) qui appartient à un groupe de
sécurité nantais (j'utilise donc l'appartenance à ce groupe). Et là,
j'ai le message suivant :
check_ntlm_password: Checking password for unmapped user
[AC][utilisateur.paris]@[XP-DAVID] with the new password interface
[2009/01/05 12:01:04, 3] auth/auth.c:check_ntlm_password(224)
check_ntlm_password: mapped user is:
[AC-NANTES][utilisateur.paris]@[XP-DAVID] [...] [2009/01/05
12:01:04, 2] auth/auth.c:check_ntlm_password(319) check_ntlm_password:
Authentication for user [utilisateur.paris] ->
[utilisateur.paris] FAILED with error NT_STATUS_NO_SUCH_USER
[2009/01/05 12:01:04, 3] smbd/error.c:error_packet(146) error packet at
smbd/sesssetup.c(99) cmd5 (SMBsesssetupX) NT_STATUS_LOGON_FAILURE

Et donc, là, il tente la validation en considérant que mon utilisateur
parisien appartient au domaine nantais !!!

Y a-t-il possibilité de valider un compte d'un autre domaine, dès lors
qu'on est dans le même AD ? Peut-on mettre plusieurs domaines (en
l'occurrence, sous-domaines) dans la configuration de Samba ?

Merci d'avance.

David.

Bonjour

Est ce que tu arrive depuis Windows à t'authentifier avec les compte
de Paris? Y'a t'il une relation d'approbation entre les deux
domaines? Je crois me souvenir de mes cours Microsoft qu'il faut
qu'il y ai cette relation d'approbation pour que les comptes des deux
domaines fonctionnent.

Cordialement

Kévin C

David BERCOT a écrit :
> Bonjour,
>
> Je dois reconnaître que je suis un peu coincé en ce moment av ec
> Samba, et, bien que j'ai exposé mon problème sur 2 ml spà ©cialisées,
> je n'ai encore aucune solution...
> Alors sait-on jamais, si quelqu'un, ici, a une idée lumineuse ;-)
>
> Tout d'abord, voici le début de mon smb.conf :
> [global]
> realm = AC-NANTES.JUSTICE.FR
> workgroup = AC-NANTES
> Comme il est aisé de le comprendre, il s'agit d'un domaine
> nantais ;-) Bref, les comptes nantais n'ont pas de souci pour
> accéder aux ressources.
>
> Maintenant, je voudrais faire la même chose avec un utilisateur
> parisien (domaine : AC.JUSTICE.FR) qui appartient à un groupe de
> sécurité nantais (j'utilise donc l'appartenance à ce gro upe). Et là,
> j'ai le message suivant :
> check_ntlm_password: Checking password for unmapped user
> [AC][utilisateur.paris]@[XP-DAVID] with the new password interface
> [2009/01/05 12:01:04, 3] auth/auth.c:check_ntlm_password(224)
> check_ntlm_password: mapped user is:
> [AC-NANTES][utilisateur.paris]@[XP-DAVID] [...] [2009/01/05
> 12:01:04, 2] auth/auth.c:check_ntlm_password(319)
> check_ntlm_password: Authentication for user [utilisateur.paris] ->
> [utilisateur.paris] FAILED with error NT_STATUS_NO_SUCH_USER
> [2009/01/05 12:01:04, 3] smbd/error.c:error_packet(146) error
> packet at smbd/sesssetup.c(99) cmd=115 (SMBsesssetupX)
> NT_STATUS_LOGON_FAILURE
>
> Et donc, là, il tente la validation en considérant que mon
> utilisateur parisien appartient au domaine nantais !!!
>
> Y a-t-il possibilité de valider un compte d'un autre domaine, dà ¨s
> lors qu'on est dans le même AD ? Peut-on mettre plusieurs domaines
> (en l'occurrence, sous-domaines) dans la configuration de Samba ?
>
> Merci d'avance.
>
> David.

Le Tue, 06 Jan 2009 16:22:26 +0100,
Kévin <linux@tuxalafenetre.net> a écrit :
> Bonjour
>
> Est ce que tu arrive depuis Windows à t'authentifier avec les compte
> de Paris? Y'a t'il une relation d'approbation entre les deux
> domaines? Je crois me souvenir de mes cours Microsoft qu'il faut
> qu'il y ai cette relation d'approbation pour que les comptes des deux
> domaines fonctionnent.

Disons, si je ne m'abuse, que les relations d'approbation devaient être
établies dans le cas de domaines disjoints. Là, nous sommes dans le
cadre d'un arbre ;-)
Quoi qu'il en soit, il n'y a pas de problème d'approbation et j'arrive
bien à ouvrir une session sous Windows avec un compte parisien...

Et même plus : un wbinfo --authenticate=AC\utilisateur.paris%password
fonctionne très bien !!!
A priori, ça ne vient donc que de Samba !!!

On Tue, Jan 06, 2009 at 04:40:25PM +0100, David BERCOT wrote:

Le Tue, 06 Jan 2009 16:22:26 +0100,
Kévin <linux@tuxalafenetre.net> a écrit :

Bonjour

Est ce que tu arrive depuis Windows à t'authentifier avec les compte
de Paris? Y'a t'il une relation d'approbation entre les deux
domaines? Je crois me souvenir de mes cours Microsoft qu'il faut
qu'il y ai cette relation d'approbation pour que les comptes des deux
domaines fonctionnent.

Disons, si je ne m'abuse, que les relations d'approbation devaient être
établies dans le cas de domaines disjoints. Là, nous sommes dans le
cadre d'un arbre ;-)
Quoi qu'il en soit, il n'y a pas de problème d'approbation et j'arrive
bien à ouvrir une session sous Windows avec un compte parisien...

Et même plus : un wbinfo --authenticate¬\utilisateur.paris%password
fonctionne très bien !!!
A priori, ça ne vient donc que de Samba !!!

Peux-tu nous montrer toute ta config, surtout ce qui sert à windbind, pas les partages.

Je trouve bizarre que dans les logs, il parle d'utilisateurs mappés...

Pour info, je n'ai pas de soucis avec une foret de plusieurs domaines, des serveurs de fichiers sous samba accédés par des utilisateurs de différents domaines de cette foret, même encore de domaines NT4 avec relation d'aprobation !

On Tue, Jan 06, 2009 at 04:40:25PM +0100, David BERCOT wrote:
> Le Tue, 06 Jan 2009 16:22:26 +0100,
> Kévin <linux@tuxalafenetre.net> a écrit :
> > Bonjour
> >
> > Est ce que tu arrive depuis Windows à t'authentifier avec les
> > compte de Paris? Y'a t'il une relation d'approbation entre les
> > deux domaines? Je crois me souvenir de mes cours Microsoft qu'il
> > faut qu'il y ai cette relation d'approbation pour que les comptes
> > des deux domaines fonctionnent.
>
> Disons, si je ne m'abuse, que les relations d'approbation devaient
> être établies dans le cas de domaines disjoints. Là, nou s sommes
> dans le cadre d'un arbre ;-)
> Quoi qu'il en soit, il n'y a pas de problème d'approbation et
> j'arrive bien à ouvrir une session sous Windows avec un compte
> parisien...
>
> Et même plus : un wbinfo
> --authenticate=AC\utilisateur.paris%password fonctionne très
> bien !!! A priori, ça ne vient donc que de Samba !!!

Peux-tu nous montrer toute ta config, surtout ce qui sert à windbind,
pas les partages.

Je trouve bizarre que dans les logs, il parle d'utilisateurs mappés. ..

Pour info, je n'ai pas de soucis avec une foret de plusieurs
domaines, des serveurs de fichiers sous samba accédés par des
utilisateurs de différents domaines de cette foret, même encore de
domaines NT4 avec relation d'aprobation !