Re: Re[6]: [Comm] win2003 cannot join samba

[Alexander Bokovoy <a.bokovoy@sam-solutions.net>]

On Wed, Nov 26, 2003 at 01:27:50PM +0300, "KoLyA"  wrote:
> >> начало пускать admin после того как добавил в систему и smbpasswd юзера admin, и  
> >> сказал что он admin users. но самое обидное, что когда его пустили, я вычислил что  
> >> пускают именно как алиас для рута, т.к. даже win резолвит имя admin в fkdom\root !!  
> >> а если юзера admin удалить, то алиас не пускает!!! это глюк такой?  
> >Нет, это правильное поведение. А чтобы не получилось admin -> fkdom\root, 
> >удалите запись root = admin из /etc/samba/smbusers. 
>  
> это понятно. но тогда зачем алиасы вообще нужны? если логин admin будет работать 
> только при наличии юзера admin? а я думал, пишем admin подразумеваем root в 
> соответствии с smbusers 
Нет, думать не надо, надо читать документацию :)

$ cat samba-docs/docbook/smbdotconf/security/adminusers.xml
<samba:parameter name="admin users"
                 context="S"
                 xmlns:samba="http://samba.org/common">
<listitem>
    <para>This is a list of users who will be granted 
    administrative privileges on the share. This means that they 
    will do all file operations as the super-user (root).</para>

    <para>You should use this option very carefully, as any user in 
    this list will be able to do anything they like on the share, 
    irrespective of file permissions.</para>

    <para>Default: <emphasis>no admin users</emphasis></para>

    <para>Example: <command moreinfo="none">admin users = jason</command></para>
</listitem>
</samba:parameter>

Вообщем, алиасы совсем для другого.
В принципе, admin users обычно имеет смысл помещать в описание ресурса
IPC$, поскольку добавление машин делается через него:

[IPC$]
  admin users = "Super Puper Administrator"

> >> ладно, ради эксперимента добавляем в систему и в smbpasswd юзера netadm  
> >> (то бишь имя не нагруженное всякими ассоциациями у самбы и у винды :-)). пишем что  
> >> admin users = netadm, а на win2003 зайдя как локальный администратор, добавляем  
> >> fkdom\netadm в локальную группу administrators (поскольку admin group в моей верси  
> >> самбы почему-то не работает, и соответственно доменной группы domain admins не  
> >> существует). и после этого все работает как должно, то бишь входим как _доменный_  
> >> юзер netadm, и имеем права _локального_ админа, то бишь твори в системе все что  
> >> хочешь.  
> еще вот что: когда винду ввели в домен, она себе записала, что в группу administrators 
> входят члены fkdom\administrators. с pdc на винде все б работало сразу. но ничего не дает 
> за неимением групп в самбе, поэтому чтобы иметь локальные привелегии на виндовой 
> машине, надо вручную добавлять юзеров из домена.
Я уже говорил, net groupmap -- смотрите документацию по net(8).

> >Так и должно быть, все правильно. Вообще, имя этого пользователя может 
> >быть любым :) 
> ну да. только надо написать что admin users = он. 
В этом и смысл всей этой задачи.


-- 
/ Alexander Bokovoy
Samba Team                      http://www.samba.org/
ALT Linux Team                  http://www.altlinux.org/
Midgard Project Ry              http://www.midgard-project.org/