Имеется две связных через VPN сети. В одном офисе есть PDC, в другом - BDC. Настроена репликация LDAP (syncrepl). PDC работает напрямую с provider LDAP, BDC - с customer.
При попытке добавления машины в домен __в сети с BDC__ стандартными средствами Windows оно пишет «не найдено имя пользователя». Добавление же машин в домен в главной, где находится PDC, сети происходит нормально.
На BDC /var/log/samba/log.machinename:
_samr_create_user: Running the command `/usr/sbin/smbldap-useradd -t 5 -w "production02$"' gave 0
[2010/02/28 20:51:52, 5] lib/username.c:Get_Pwnam_alloc(133)
Finding user PRODUCTION02$
[2010/02/28 20:51:52, 5] lib/username.c:Get_Pwnam_internals(77)
Trying _Get_Pwnam(), username as lowercase is production02$
[2010/02/28 20:51:52, 5] lib/username.c:Get_Pwnam_internals(85)
Trying _Get_Pwnam(), username as given is PRODUCTION02$
[2010/02/28 20:51:52, 5] lib/username.c:Get_Pwnam_internals(104)
Checking combinations of 0 uppercase letters in production02$
[2010/02/28 20:51:52, 5] lib/username.c:Get_Pwnam_internals(110)
Get_Pwnam_internals didn't find user [PRODUCTION02$]!
[2010/02/28 20:51:52, 3] passdb/pdb_interface.c:pdb_default_create_user(353)
pdb_default_create_user: failed to create a new user structure: NT_STATUS_NO_SUCH_USER
Как объяснил zgen (здоровья ему на многие лета) (http://www.linux.org.ru/jump-message.jsp?msgid=4598921&cid=4603301), после добавления скриптом smbldap-useradd некоторой стандартной информации в LDAP, samba ищет эту запись и вносит дополнительные, samba.scheme-специфичные аттрибуты. Как раз второй этам у ней и не удаётся.
Думается, что smbldap-useradd добавляет запись в LDAP, следуя редиректу, который посылает клиента на provider-LDAP, а вот сама samba пытается найти эту запись уже на своём, customer-LDAP сервере. Но на неё ещё ничего реплицироваться не успело.
Делаю, чтобы и BDC использовал первичный LDAP-сервер: меняю значения в smb.conf passdb backend и в /etc/smbldap-tools/smbldap.conf.
Проблема остаётся. Ничего не понимаю.
В итоге пришлось сам клиентский комп везти в главный офис и там его добавлять в домен (В LDAP-то я бы её ручками добавил, но не знаю, что и где надо дописывать во всякие реестры windows, чтобы оно увидело, что машина - вот в этом домене).
Вопрос: следует ли мне настраивать во втором офисе контроллер домена как BDC или сделать 2 PDC с репликацией LDAP? Или делать репликацию provider-provider ? Что именно меняет запись domain master в smb.conf с «yes» на «no»?
winbind не используется - всё через pam_ldap & nss_ldap. getent passwd везде нормально отрабатывает.
PDC smb.conf http://pastebin.com/kGWYU43e
BDC smb.conf http://pastebin.com/tVxdYH8X
Debian lenny.
