samba-4.20.6-alt3 Стенды (обновлены до сизифа): Workstation 10.4 x86-64 - client Server 10.2 office x86-64 - dc Windows Server 2012R2 Предусловия: 1. Домен Samba (предполагаемое имя домена: samba.testdomain): сервер, настроенный с DNS бэкендом SAMBA_INTERNAL клиент, введённый в домен с помощью Winbind создан пользователь sambauser 2. Домен Windows AD (предполагаемое имя домена: winad.winaddomain): сервер (например, на Windows Server 2012R2) создан пользователь winuser 3. DNS сервер BIND Настроить доверительные отношений Samba и Windows AD (SAMBA_INTERNAL DNS, Forest trust), например: На dc # kinit administrator # samba-tool domain trust create winad.winaddomain --type=forest --direction=both --create-location=both -U Admin@WINAD.WINADDOMAIN Сбросить пароль пользователя winuser (на Windows сервере открыть окно управления доменом -> Пользователи и компьютеры -> ПКМ на пользователе -> Свойства -> Учётная запись -> поставить галочку Требовать смены пароля при следующем входе). Шаги: 1. Перезагрузить клиент и авторизоваться пользователем из Windows домена. Логин вводить в виде winuser@winad или winuser@winad.winaddomain 2. Сменить пароль при запросе и войти в систему Ожидаемый результат: Успешный вход в систему Фактический результат: пароль не меняется и вход не происходит, появляется сообщение "Неверный пароль, попробуйте ввести ещё раз" Доп: в логах LightDM: [+2853.91s] DEBUG: Session pid=2320: Authentication complete with return value 7: Сбой при проверке подлинности [+2853.91s] DEBUG: Authenticate result for user winuser@winad.winaddomain: Сбой при проверке подлинности Установка обновления на windows server 2012 не помогла: Обновление качества (только система безопасности) для систем Windows Server 2012 R2 на базе процессоров x64 (KB5004285), 07 2021г. * https://www.catalog.update.microsoft.com/Search.aspx?q=KB5004285 Аналогично воспроизводится в p10 при версии samba-4.19.9-alt3
Все логины с @ ведут себя неадекватно. попробуйте это проделать просто с login. И так как windbind позиционируется как средство для работы с многоадресностью доменами то вот тут вопрос как иначе осуществляется переход между лесами. А перехода та нет учитывается только лес в который введён подопечный пк. Поэтому да работа с пользователем должна производиться посредством login.
Ошибка актуальна для samba-4.21.7-alt4.x86_64. В качестве workaround, если вводить в виде `WINAD\winuser`, пароль действительно меняется (на Windows Server 2012R2 установлено обновление KB5004285; см. https://bugzilla.altlinux.org/48450). Также отмечу, что когда имя пользователя вводится в виде `winuser@winad`, LightDM в KDE и (предположительно - не показывает полное имя, но по поведению так же) GDM в GNOME запоминают его в виде `WINAD\winuser` (в XFCE имя пользователя не запоминается), т. е. при следующем входе (даже если, например, ввести неправильный пароль, из-за чего происходит возврат на поле ввода имени пользователя) будет предлагаться по умолчанию именно такой вариант, и соответственно смена пароля и вход сработают.
Частично, и в более широком виде. Доверие Samba 4.21 ↔ Windows Server 2022 внешнее (в баге лесное), рядовой сервер на winbind (samba 4.21.9-alt4.p11.1), пользователи Windows AD с «сменить пароль при следующем входе»: - CPOL\user → «Your password has expired» → запрос старого/нового пароля → вход проходит (обход из комментария 2 работает); - user@CPOL и user@<домен AD> → сразу «Login incorrect», смена не предлагается. Но так же «Login incorrect» и у обычного пользователя без смены пароля: формы user@NETBIOS и user@<dns-домен> для доверенного Windows AD не резолвятся вовсе — на рядовом сервере wbinfo -n c1@CPOL → WBC_ERR_DOMAIN_NOT_FOUND, на DC → WBC_ERR_NOT_MAPPED. Для второго домена Samba через такое же внешнее доверие эти формы резолвятся. То есть проблема не в смене пароля, а в разборе UPN-формы для доверенного Windows AD. Точный сценарий бага с лесным доверием не проверял.
