Gerenciando UID / GID de dual Samba / Winbind para AD

Question

Eu tenho dois servidores Linux conectados a um servidor do Active Directory do Windows 2008 usando o Samba / Winbind, e aqui está minha configuração do samba

    workgroup = COMPANY
    realm = COMPANY.COM
    server string = SAMBA-AD Server
    security = ADS
    password server = 10.1.x.x
    log level = 2
    log file = /var/log/samba/log.%m
    max log size = 50
    unix extensions = No
    idmap uid = 10000-20000
    idmap gid = 10000-20000
    template homedir = /home/%u
    template shell = /bin/bash
    winbind separator = +
    winbind enum users = Yes
    winbind enum groups = Yes
    winbind use default domain = Yes
    winbind nss info = rfc2307

Ambos são configurados exatamente iguais, no entanto, quando executo getent group , os GIDs listados são diferentes para ambos, embora os intervalos sejam exatamente os mesmos, de 10.000 a 200.000.

No servidor Linux A:

domain computers:*:10011:

No servidor Linux B:

domain computers:*:10008:

Não parece começar a partir de 10000.

Como posso sincronizar os GIDs para ser exato em ambos os servidores Linux? Qualquer ajuda muito apreciada!

EDIT: @larsks, eu tentei adicionar o idmap_rid e esta é a configuração mais recente:

    workgroup = COMPANY
    realm = COMPANY.COM
    server string = SAMBA-AD Server
    security = ADS
    password server = 10.1.xx.xx
    log file = /var/log/samba/log.%m
    max log size = 50
    unix extensions = No
    idmap config COMPANY:backend = rid
    idmap config COMPANY:base_rid = 1000
    idmap config COMPANY:range = 10000 - 20000
    template homedir = /home/%u
    template shell = /bin/bash
    winbind separator = +
    winbind enum users = Yes
    winbind enum groups = Yes
    winbind use default domain = Yes
    winbind nss info = rfc2307
    hosts allow = 127., 192.168.12., 192.168.13., 10.1.11., 10.2.,
    wide links = Yes

Eu removi o idmap gid = 10000-20000.

Preciso remover o winbind enum groups = Yes ?

no entanto, o GID permanece o mesmo mesmo quando eu reinicio o winbind / samba, depois das adições do idmap_rid ..

    

Answer 1

Você pode usar o idmap_rid backend idmap, que gera algoritmos ids de forma algorítmica que não há necessidade de sincronizá-los (ou seja, dois sistemas sempre gerarão o mesmo GID para um determinado grupo).

Você também pode usar o LDAP idmap backend para armazenar IDs gerados em uma localização central (compartilhada). Isso só é necessário se você não estiver usando o backend idmap_rid .