Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] Comment ré-affecter les UID/GID ?

jibe74

Salut,

J'essaie d'authentifier une Fedora21 sur un serveur Samba (SME en l'occurence). Ça semble bien fonctionner, mais je réalise que j'ai utilisé TDB et que ça me fait des numéros d'UID et de GID différents sur chaque poste. Je voudrais avoir les mêmes, entre autres à cause d'un dossier local commun entre Fedora et une autre distrib en dual boot.

Je pense que l'utilisation de RID au lieu de TDB serait une bonne solution pour harmoniser l'attribution des UID/GID, mais comment faire pour modifier ceux qui ont déjà été affectés ? Où sont-ils mémorisés ?

Je précise que les utilisateurs et les groupes du réseau ne sont pas créés en local, donc il n'y a rien les concernant dans /etc/group, /etc/passwd et /etc/shadow.

ptitdernier

# chown -R n°_uid:n°_gid  /dossier_a_modifier

jibe74

Salut,

Merci pour ta réponse... mais ça je sais ! Lancé sur mon idée, je n'ai pas été assez clair dans ma question ! Je précise...

La "méthode" TDB

idmap config DOMAIN : backend = tdb

fait que idmap attribue un UID (ou un GID) au moment où il y en a besoin, en utilisant les numéros à la suite dans la plage donnée par la ligne de smb.conf

idmap config DOMAIN : range = 10000-49999

ce qui fait que toto a l'UID 10000, titi a l'UID 10001, tata a l'UID 10002 et ainsi de suite. Mais sur un autre poste, si au lieu d'attribuer les UID à toto, puis titi, puis tata, il l'a fait dans l'ordre tata, titi, toto, c'est tata qui aura l'UID 10000, toto aura le 10002 et titi aura le même UID 10001 que sur le premier poste. D'où problème lorsqu'on est en dual boot avec une partition mise en commun pour y monter un dossier commun : selon sur quel système on boote, un dossier créé par toto (UID 10000) sur l'un se retrouve attribué à tata (UID 10000 !) sur l'autre.

La "méthode" RID

idmap config DOMAIN : backend = rid

permet d'avoir un UID (ou GID) calculé d'après celui du user sur le serveur et son SID. Ainsi, on aura bien les mêmes UID attribués aux mêmes utilisateurs sur tous les postes et systèmes en multiboot. Mais cela ne sera vrai que pour ceux qui n'ont encore jamais été invoqués, et pour lesquels aucun UID n'a encore été attribué. Les autres garderont celui qu'ils ont déjà, et qui est donc différent sur chaque poste/système multiboot.

Ma question est donc : comment supprimer ou changer ces UIDs/GIDs déjà attribués ?

madko

est-ce que ce serait pas avec la commande wbinfo? On peut remapper le UID à un SID me semble.

jibe74

Je vais relire le man attentivement, mais j'avais éliminé (un peu vite ?) cette solution. Mais c'est vrai qu'à l'époque, je ne connaissais pas la différence entre TDB et RID, lequel se sert effectivement du SID, mais en faisant un savant mélange entre le SID, l'UID de l'utilisateur sur le serveur, la plage de valeurs possible indiquée dans smb.conf, une base dont je ne me souviens plus très bien du rôle... A voir donc.

J'ai vu passer, lors de mes recherches, une bidouille qui consiste à effacer je ne sais plus quel répertoire contenant des fichiers TDB, pour forcer la réaffectation des UID/GID. Mais il n'y avait pas beaucoup de précisions et c'était pour une autre distrib, un répertoire qui n'existe pas dans Fedora (genre /var/cache/samba/quelquechose). D'où ma question où sont mémorisés les UID/GID des utilisateurs réseau sur Fedora ? Mais peut-être que vbinfo est préférable ? Je regarde...

jibe74

Salut,

Hélas, c'est bien ce que je pensais :

man wbinfo wrote:-S|--sid-to-uid sid

Convert a SID to a UNIX user id. If the SID does not correspond to a UNIX user mapped by winbindd(8) then the operation will fail.

Les autres options confirment bien, sauf erreur d'interprétation de ma part, que wbinfo ne fait que lire la map et ni la modifie, ni y crée de nouvelles entrées. J'ai lu quelque part que wbinfo -u créait les utilisateurs, mais ce n'est pas ce que dit le man :

man wbinfo wrote:-u|--domain-users

This option will list all users available in the Windows NT domain for which the winbindd(8) daemon is operating in. Users in all trusted domains will also be listed. Note that this operation does not assign user ids to any users that have not already been seen by winbindd(8) .

Je n'ai pas retrouvé la bidouille dont je parlais, mais je suis tombé sur ce fil de developpez.net. Il semblerait donc bien que ce soit la solution que je recherche, non ?

Si c'est bien ça, dois-je supprimer tous les fichiers tdb sauf secrets.tdb, ou ne devrais-je pas me contenter de supprimer seulement ceux contenant l'affectation des UID et GID ? Mais lesquels sont-ils ?

jibe74

Bon, j'ai posté trop vite... Ce que je cherche est probablement tdbtool !

J'attends de faire quelques essais (mais probablement pas avant Lundi ou Mardi) pour passer ce fil en résolu...

jibe74

Salut,

Bon, j'ai avancé un peu sur le sujet.

tdbtool est un bon outil, mais les bases de données de Samba ne semblent pas simples à bricoler à la main. Par ailleurs, j'ai trouvé ce document.

Demain ou Mardi, j'essaierai de carrément supprimer (ou plutôt déplacer ou renommer, bien sûr !)

winbindd_idmap.tdb,
group_mapping.tdb,
Tous les fichiers .tdb temporaires

Ça devrait logiquement provoquer la ré-affectation des UID/GID de tous les utilisateurs, au fur et à mesure qu'ils sont évoqués, selon les nouvelles règles que j'aurai mises dans smb.conf.

Si quelqu'un a une meilleure idée, un conseil, avis ou suggestion d'ici là, je suis bien sûr preneur 😉

jibe74

Salut,

Suite et fin de l'histoire. Je rappelle que l'authentification se fait sur un serveur samba3, donc pas d'ADS : on travaille en mode nt4. J'ai procédé de la manière suivante :

Depuis une autre distrib (multiboot)
- Modification du smb.conf de Fedora pour changer le backend de idmap (passage de tdb à rid)
- Suppression dans /var/lib/samba de winbindd_idmap.tdb, group_mapping.tdb et de tous les fichiers temporaires (voir la liste ici)
Reboot sous Fedora (pour changer de distrib, pas pour redémarrer les services 😉 )
Vérification de l'accès au domaine par net rpc testjoin
Récupération des principaux UID/GID par wbinfo -u <user>
Répétition des manips ci-dessus sur ma seconde Fedora de tests. Tout va bien, j'ai les mêmes UID/GID pour les utilisateurs réseau 8-)
Modification des propriétaire/groupe des home des utilisateurs réseau (chown -R)
Essais d'authentification : tout baigne 8-)
Manips assez similaires sur les autres distribs en multibooot

A noter que ces manips peuvent être faites directement sur le système à modifier, en se loggant avec un utilisateur local ayant les droits suffisants (ou root). Méthode testée avec succès sur ma Mint Maya. Dans ce cas, il suffit de commencer par arrêter les services smbd, winbind et nmbd, puis une fois le smb.conf modifié et les bases de idmap supprimées (les fichiers .tdb), de les remettre en route dans l'ordre inverse (d'abord nmdb, puis windbind et enfin smbd).

A noter également que Mint colle des fichiers tdb dans tous les coins :-x Je n'ai pas d'autres dérivées Debian, mais c'est probablement pareil pour toutes. Il faut :

Supprimer tout le répertoire /run/samba (il sera recréé au redémarrage des services)
Dans /var/cache/samba/, supprimer tous les *.tdb
Dans /var/lib/samba/, supprimer group_mapping.tdb et winbindd_idmap.tdb

Merci à madko et ptitdernier de s'être penchés sur la question.