Não é possível criar novos usuários no Active Directory (usando o Samba4 como DC e AD)

Question

Eu configurei Samba versão 4.1.17-Ubuntu como controlador de domínio e diretório ativo , e tudo parecia correr bem, mas quando tento usar o administrador conta em um membro de domínio do Windows 10 PC para criar novo usuário no AD usando usuários de diretório ativo do Windows e ferramenta de gerenciamento de computadores , eu recebo este erro:

An error occured, contact your system administrator

(Eu recebo o mesmo problema ao tentar copiar o usuário também).

Mas quando eu uso samba-tool para criar um usuário, ele funciona de maneira perfeita.

Aqui está o meu arquivo smb.conf:

[global]
        workgroup = EXAMPLE
        realm = EXAMPLE.LOCAL
        netbios name = LINUXSERVER
        server role = active directory domain controller
        dns forwarder = 8.8.8.8
        idmap_ldb:use rfc2307 = yes

[netlogon]
        path = /var/lib/samba/sysvol/example.local/scripts
        read only = No

[sysvol]
        path = /var/lib/samba/sysvol
        read only = No [Users]
        directory_mode: parameter = 0700
        read only = no
        path = /Users
        csc policy = documents

[Users]
        directory_mode: parameter = 0700
        read only = no
        path = /Users
        csc policy = documents

Outro problema relacionado: também mencionarei esse problema, pois ele pode ajudar a encontrar as causas do problema anterior. Quando tento alterar a senha de qualquer usuário usando as mesmas ferramentas do Windows, recebo um erro sobre isso meu computador e meu usuário precisa ter permissões de delegação.

E pode haver outra coisa que não funcione, mas pelo menos até agora é exatamente isso que eu encontrei.

Então, o que eu quero é fazer com que a ferramenta do Windows funcione corretamente de alguma forma.

O que eu tentei:

• Tentei excluir o perfil da conta de administrador.
• Eu tentei criar uma nova conta de teste com permissões de administrador usando samba-tool e tentou criar usuários a partir dessa conta sem sucesso.
• Tentei conceder ao usuário administrador permissões de representante por direito clicando no nome do domínio e, em seguida, delegar controlador, mas também sem sucesso para ambos os erros.
• Eu tentei com e sem o último bloco [Usuários], (na verdade eu não entender o que faz exatamente).
• Deixando e voltando ao domínio.

E todos esses foram sem sucesso, agradeço qualquer ajuda sua.

    

Answer 1

Atualize para o Samba 4.3.

O problema está relacionado a uma implementação defeituosa e / ou incompleta do subprotocolo "Backup Key" que versões mais antigas do Samba têm. Você provavelmente perceberá que o Credential Manager também não pode ser usado pelo mesmo motivo.

Como alternativa, use um sistema operacional mais antigo para gerenciar o diretório - por exemplo, O Server 2003 pode criar contas de usuário sem problemas, já que não usa o protocolo "Chave de Backup" para nada ainda. (Não tenho certeza sobre o Server 2008.)

Infelizmente, o 4.3 ainda não está empacotado para o Ubuntu - ainda pendente na "instável" do Debian - no entanto, é realmente fácil construir o Samba a partir do código-fonte.

Quanto ao bloco [Users] , ele simplesmente define uma pasta compartilhada.

No smb.conf, cada seção, exceto [global] , corresponde a uma definição de compartilhamento - "netlogon" e "sysvol" são compartilhamentos especiais do AD, e "Usuários" é provavelmente um personalizado.

    

Answer 2

Uma solução alternativa com o Samba 4.1.17 com clientes do Windows 10 é alterar uma chave de registro :

Adicione um DWORD de 32 bits denominado ProtectionPolicy com o valor 1 em:

HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\Protect\Providers\df9d8cd0-1501-11d1-8c7a-00c04fc297eb

Não é necessário reiniciar ou efetuar logout / login. Conosco, isso resolveu um problema com a digitação muito lenta no campo de nome de computador da janela de conexão da área de trabalho remota e a redefinição de senhas no ADUC.