Не работает автоматическая авторизация при подключении сетевых папок в домене

Проверь, что на samba сервере происходит получение kerberos тикета через

kinit user@DOMAIN.LOCAL

И в klist он есть.

Далее если Linux машины в домене и подключение происходит по кербероз тикету - имена пользователей должны быть в FQDN формате.

Проверь, что на самба и клиентах разрешается доменное имя доменной зоны и возвращаются имена контроллеров домена:

nslookup domain.local

Время должно быть синхронизировано. Возможно, при включении системы (Линукс клиентов) есть существенное расхождение во времени на клиенте, самба севере и контроллерах домена.

Спасибо

С получением тикета возникла проблема:

kinit: Device or resource busy while getting initial credentials

Решилась прописыванием адресов новых доменных контроллеров в /etc/krb5.conf в секции realms. Теперь тикет приходит. по klist отображается.

По nslookup так выглядит:

Server: адрес_DC1

Address: адрес_DC1#53

Name: domain.ru

Address: адрес_DC1

Name: domain.ru

Address: адрес_DC2

Время, пока, не проверял - нет доступа к контроллерам.

Решилась прописыванием адресов новых доменных контроллеров в /etc/krb5.conf в секции realms.

Так вы пропишите вместо конкретных контроллеров - DNS суффикс домена, т.е. domain.ru или что там у вас.

Время, пока, не проверял - нет доступа к контроллерам

По идее, при расхождении времени kinit не отрабатывал бы.

В зависимости от уровня леса и версии Windows Server может быть как 5 минут, так и больше допустимо. И это ещё и изменить можно.

После того, как прописал новые контроллеры в /etc/krb5.conf на сервере и на клиентских машинах проблема решилась.

Лучше прописать в kdc и в admins_server вместо конкретного сервера суффикс домена?

Проверьте, я уже не помню. Можете посмотреть в документации по samba / krb5_user.

Не нашел про такое информации. Везде серверы прописывают. Ну, не важно. Через Анзибл разлил по машинам, работает и хорошо. Если смениться адрес, новый конфиг разлить недолго.