Взял srvtools, создал доменную группу, добавил юзеря в нее, судя по записям в лдап она получилась идентичной той которая создавалась с помощью ldapscripts
А именно:
Код: Выделить всё
#ldapsearch -LLL -b "ou=groups,dc=bsz,dc=local" "(cn=testgroup)"
dn: cn=testgroup,ou=groups,dc=bsz,dc=local
objectClass: posixGroup
objectClass: sambaGroupMapping
cn: testgroup
gidNumber: 10011
sambaSID: S-1-5-21-2293229792-676733038-2369889758-1046
sambaGroupType: 2
displayName: testgroup
description: testgroup
memberUid: testuser4
Добавляю в "доступ" и "безопасность" группу... опять не фурычит... Для domain users и domain admins все работает, хотя записи в лдапе идентичны testgroup, кроме гидов, сидов и названий.
Дальше, в лдапе в ou=groups вижу 2 записи о локальных группах Administrators и Users
Код: Выделить всё
#ldapsearch -LLL -b "ou=groups,dc=bsz,dc=local" "(sambagrouptype=4)"
dn: sambaSID=S-1-5-32-545,ou=groups,dc=bsz,dc=local
objectClass: sambaSidEntry
objectClass: sambaGroupMapping
sambaSID: S-1-5-32-545
sambaGroupType: 4
displayName: Users
gidNumber: 10028
sambaSIDList: S-1-5-21-2293229792-676733038-2369889758-513
dn: sambaSID=S-1-5-32-544,ou=groups,dc=bsz,dc=local
objectClass: sambaSidEntry
objectClass: sambaGroupMapping
sambaSID: S-1-5-32-544
sambaGroupType: 4
displayName: Administrators
gidNumber: 10029
sambaSIDList: S-1-5-21-2293229792-676733038-2369889758-512
Здесь есть поля sambaSIDList, с сидами соответсвующих доменных групп (domain admins, domain users), в которых хранится список членов групы (поля memberuid). Из гугла смутно понял, что винда не может(?в каких-то случаях?) вытащить список членов по memberuid, но может через sambaSIDList. Ну думаю раз админы и юзеры работают, сделаю локальную группу testg и запишу в поле sambasidlist сид группы testgroup. Сделал:
Код: Выделить всё
#ldapsearch -LLL -b "ou=groups,dc=bsz,dc=local" "(displayname=testg)"
dn: sambaSID=S-1-5-21-2293229792-676733038-2369889758-1044,ou=groups,dc=bsz,dc=local
objectClass: sambaSidEntry
objectClass: sambaGroupMapping
sambaSID: S-1-5-21-2293229792-676733038-2369889758-1044
sambaGroupType: 4
displayName: testg
gidNumber: 10041
description: testgroup
sambaSIDList: S-1-5-21-2293229792-676733038-2369889758-1046
В "доступе" и "безопасности" не появилось группы testg (как собственно и administrators, users не было), добавил опять testgroup... не работает.
Вот что в логах на win2k при заходе testuser4 на компьютер
Код: Выделить всё
Успешный сетевой вход в систему:
Пользователь: testuser4
Домен: BSZ
Код входа: (0x0,0xED4476)
Тип входа: 3
Процесс входа: NtLmSsp
Пакет проверки: NTLM
Рабочая станция: TEST
Код GUID: -
Имя вызывающего пользователя: -
Домен вызывающего: -
Код входа вызывающего: -
Код процесса вызывающего: -
Промежуточные службы:-
Адрес сети источника: 192.168.1.203
Порт источника: 0
В момент входа в какую-нибудь шару, пишет:
Код: Выделить всё
Успешный сетевой вход в систему:
Пользователь:
Домен:
Код входа: (0x0,0xED44B6)
Тип входа: 3
Процесс входа: NtLmSsp
Пакет проверки: NTLM
Рабочая станция: TEST
Код GUID: -
Имя вызывающего пользователя: -
Домен вызывающего: -
Код входа вызывающего: -
Код процесса вызывающего: -
Промежуточные службы:-
Адрес сети источника: 192.168.1.203
Порт источника: 0
а через секунду
Код: Выделить всё
Выход пользователя из системы:
Пользователь: АНОНИМНЫЙ ВХОД
Домен: NT AUTHORITY
Код входа: (0x0,0xEF95FF)
Тип входа: 3
то есть на компьютер входит под testuser4, а на шару под анонимусом... Причем если на сервере есть шара "для всех" открывая там какой-нибудь файл в "Сеансах" пишется, что файл открыт под testuser4, а не анонимом.
Что это может значить и как с таким бороться?