LINUX.ORG.RU
ФорумAdmin

pam_mount + kerberos + AD

 , ,


0

1

Добрый день!

Имеется Astra Linux SE 1.6 (обновление 8), введен в домен средствами fly-admin-ad-client (winbind). Авторизация тестового доменного пользователя проходит, добавил его в sudoers как админа. Работает. Пытаюсь подключить сетевые диски с использованием pam_mount:

volume fstype=«cifs» server=«192.168.0.5» path=«Share» mountpoint=«/home/MYDOMAIN/testuser/Share» options=«user=%(DOMAIN_USER),uid=%(USERUID),rw,setuids,soft,sec=krb5i,cruid=%(USERUID),iocharset=utf8,vers=1.0»

Каталоги существуют, права 777. При попытке авторизации пользователем в /var/log/auth.log получаем:

(mount.c:76): mount error(126): Required key not available

В /var/log/kern.log получаем: Sep 13 18:55:22 PC-1 kernel: [ 3540.149560] CIFS VFS: Send error in SessSetup = -126 Sep 13 18:55:22 PC-1 kernel: [ 3540.149571] CIFS VFS: cifs_mount failed w/return code = -126

При ручном монтировании:

testuser@PC-1:/root$ sudo mount.cifs -v //192.168.0.5/Share /home/MYDOMAIN/testuser/Share user=testuser,uid=3005,sec=krb5i,ver=1 [sudo] пароль для testuser: (pam_mount.c:365): pam_mount 2.16: entering auth stage Password for root@//192.168.0.5/Share: ********* mount.cifs kernel mount options: ip=192.168.0.5,unc=\192.168.0.5\Share,user=root,pass=******** mount error(13): Permission denied Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)

Монтирование проходит под root, соответственно в /tmp создается тикет krb5cc_0 для рута.

sudo -u testuser mount.cifs -v //192.168.0.5/Share /home/MYDOMAIN/testuser/Share user=testuser,uid=3005,sec=krb5i,ver=1 Получаем: mount.cifs: permission denied: no match for /home/MYDOMAIN/testuser/Share found in /etc/fstab

Просьба знающих людей направить на путь истинный и подсказать, где я ошибаюсь :)



Последнее исправление: Grif_Rift (всего исправлений: 1)

Возможно, он ищет тикет не в файле, а в кейринге. Посмотри, есть ли в pam_winbind.conf опция krb5_ccache_type = FILE:/tmp/krb5cc_%u

bigbit ★★★★★
()
Ответ на: комментарий от bigbit

Спасибо за наводку! Поправил конфиг, при загрузке и входе любого пользователя стал генерироваться в tmp его тикет. При входе smbclient -k //server/share -U username -N тикет каталог открывается, пароль не запрашивается. Однако при попытке смонтировать:

mount.cifs //192.168.0.5/Share home/MYDOMAIN/testuser/Share -o user=testuser,domain=MYDOMAIN,cruid=3005,sec=krb5

получаю: mount error (126): Required key not available

гугление пока внятных результатов не дало…

Grif_Rift
() автор топика
Ответ на: комментарий от bigbit

Не знал такого. Спасибо, заработало! :)

Только на одном из файловых хранилищ (Synology) при

smbclient -k //server2/share2 -U username -N

выдает NT_STATUS_ACCESS_DENIED.

Однако, общий список доступных каталогов отображает: smbclient -k -L //share2 -U username

В auth.log, daemon.log, kern.log. Ни одной записи по этому поводу…

Grif_Rift
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.