Bug 52692

Summary:	Не удаётся сменить пароль при входе в доверительном отношении Samba и Windows AD (Internal DNS, Winbind, Forest trust) при указании пользователя в виде winuser@winad
Product:	Sisyphus	Reporter:	Nikolai Zurabishvili <zurabishvilinn>
Component:	samba	Assignee:	Evgeny Sinelnikov <sin>
Status:	NEW ---	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	nfsmobile, sin, varaksaaa
Version:	unstable
Hardware:	x86_64
OS:	Linux
See Also:	https://bugzilla.altlinux.org/show_bug.cgi?id=48450

Description

Nikolai Zurabishvili 2025-01-14 14:23:35 MSK

samba-4.20.6-alt3

Стенды (обновлены до сизифа):

Workstation 10.4 x86-64 - client
Server 10.2 office x86-64 - dc

Windows Server 2012R2

Предусловия:

1. Домен Samba (предполагаемое имя домена: samba.testdomain):
сервер, настроенный с DNS бэкендом SAMBA_INTERNAL
клиент, введённый в домен с помощью Winbind
создан пользователь sambauser
2. Домен Windows AD (предполагаемое имя домена: winad.winaddomain):
сервер (например, на Windows Server 2012R2)
создан пользователь winuser
3. DNS сервер BIND

Настроить доверительные отношений Samba и Windows AD (SAMBA_INTERNAL DNS, Forest trust), например:
На dc
# kinit administrator

# samba-tool domain trust create winad.winaddomain --type=forest --direction=both --create-location=both -U Admin@WINAD.WINADDOMAIN
	
Сбросить пароль пользователя winuser (на Windows сервере открыть окно управления доменом -> Пользователи и компьютеры -> ПКМ на пользователе -> Свойства -> Учётная запись -> поставить галочку Требовать смены пароля при следующем входе).


Шаги:
1. Перезагрузить клиент и авторизоваться пользователем из Windows домена.
Логин вводить в виде winuser@winad или winuser@winad.winaddomain

2. Сменить пароль при запросе и войти в систему

Ожидаемый результат: Успешный вход в систему

Фактический результат: пароль не меняется и вход не происходит, появляется сообщение "Неверный пароль, попробуйте ввести ещё раз"

Доп: в логах LightDM: 
[+2853.91s] DEBUG: Session pid=2320: Authentication complete with return value 7: Сбой при проверке подлинности
[+2853.91s] DEBUG: Authenticate result for user winuser@winad.winaddomain: Сбой при проверке подлинности

Установка обновления на windows server 2012 не помогла: Обновление качества (только система безопасности) для систем Windows Server 2012 R2 на базе процессоров x64 (KB5004285), 07 2021г.
* https://www.catalog.update.microsoft.com/Search.aspx?q=KB5004285

Аналогично воспроизводится в p10 при версии samba-4.19.9-alt3

Comment 1

kessys 2025-01-15 12:27:23 MSK

Все логины с @ ведут себя неадекватно.
попробуйте это проделать просто с login.
И так как windbind позиционируется как средство для работы с многоадресностью доменами
то вот тут вопрос как иначе осуществляется переход между лесами.
А перехода та нет учитывается только лес в который введён подопечный пк.
Поэтому да работа с пользователем должна производиться посредством login.

Comment 2

Artem Varaksa 2025-09-04 10:44:31 MSK

Ошибка актуальна для samba-4.21.7-alt4.x86_64.

В качестве workaround, если вводить в виде `WINAD\winuser`, пароль действительно меняется (на Windows Server 2012R2 установлено обновление KB5004285; см. https://bugzilla.altlinux.org/48450).

Также отмечу, что когда имя пользователя вводится в виде `winuser@winad`, LightDM в KDE и (предположительно - не показывает полное имя, но по поведению так же) GDM в GNOME запоминают его в виде `WINAD\winuser` (в XFCE имя пользователя не запоминается), т. е. при следующем входе (даже если, например, ввести неправильный пароль, из-за чего происходит возврат на поле ввода имени пользователя) будет предлагаться по умолчанию именно такой вариант, и соответственно смена пароля и вход сработают.

Comment 3

Anton Farygin 2026-09-25 14:41:41 MSK

Частично, и в более широком виде. Доверие Samba 4.21 ↔ Windows Server 2022 внешнее (в баге лесное), рядовой сервер на winbind (samba 4.21.9-alt4.p11.1), пользователи Windows AD с «сменить пароль при следующем входе»:
- CPOL\user → «Your password has expired» → запрос старого/нового пароля → вход проходит (обход из комментария 2 работает);
- user@CPOL и user@<домен AD> → сразу «Login incorrect», смена не предлагается.

Но так же «Login incorrect» и у обычного пользователя без смены пароля: формы user@NETBIOS и user@<dns-домен> для доверенного Windows AD не резолвятся вовсе — на рядовом сервере wbinfo -n c1@CPOL → WBC_ERR_DOMAIN_NOT_FOUND, на DC → WBC_ERR_NOT_MAPPED. Для второго домена Samba через такое же внешнее доверие эти формы резолвятся. То есть проблема не в смене пароля, а в разборе UPN-формы для доверенного Windows AD. Точный сценарий бага с лесным доверием не проверял.