トップ回答者
ドメインコトローラーを追加すると共有フォルダ(samba)にログインできなくなる

質問
-
環境情報
DCプライマリ:オンプレWin2003サーバ
DCセカンダリ:クラウドWin2016サーバ
共有フォルダ:CentOS5.11 samba
ADサーバ老朽化に伴い2003→2016へリプレースを行っています。
2016をドメインコントローラへ昇格後、共有フォルダへアクセスすると
ドメインのログイン情報を求められ正しい値を入力しても弾かれてしまいます。
その際、「認証要求を処理するドメインコントローラにアクセスできません。しばらくしてから再実行してください」と表示れます。(サーバ名、IP直入力どちらの場合も同様)
2016をシャットダウンしsambaサーバ側でmessagebus、winbindサービスを再起動すると
正常にアクセスできるようになります。
作業フロー
1.DCに昇格済みの2016サーバを起動する。
2.sambaサーバ側でsmb、messagebus、winbindサービスをrestart
(krb5.confのrealmsのkdcには2016サーバの情報も記載しています。)
3.PCへログインし、共有フォルダへアクセスするとドメインのログイン情報を求められ、
正しい値を入力しても弾かれる。
(この時のログオンサーバは2003でした)
4.2016起動前にログインしていたPCも3.と同様の状態となる。
どのような原因が考えられますでしょうか…。ご教授お願いいたします。
- 編集済み niwatarou 2017年9月6日 7:31 詳細追加2
回答
-
チャブーンです。
sambaは認証を行う際、ドメインコントローラから情報を取ろうとするので、Windows Server 2016ドメインコントローラの「違い」がsambaに影響を与えているのだと思います。
ところで、これは大事な確認ですが、sambaの認証は「kerberos」でやっていますか?(設定からkerberosなのでしょうが、設定が誤っている可能性も一応ありますので)
kerberosの場合ですが、Windows Server 2003と2016では、ユーザーパスワードで使われる「暗号アルゴリズム」がちがうので、sambaがアクセスしたドメインコントローラによって、パスワードを正しく認識できないことがあります。具体的には、sambaがAES256の暗号アルゴリズムを理解できる必要があります。
CentOS5.x系だとそれなりに古いので、この暗号アルゴリズムに対応していなければ、sambaをアップグレード(新しい版のCentOSを使う)ことになるかもしれません。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答としてマーク niwatarou 2017年9月6日 23:36
すべての返信
-
チャブーンです。
sambaは認証を行う際、ドメインコントローラから情報を取ろうとするので、Windows Server 2016ドメインコントローラの「違い」がsambaに影響を与えているのだと思います。
ところで、これは大事な確認ですが、sambaの認証は「kerberos」でやっていますか?(設定からkerberosなのでしょうが、設定が誤っている可能性も一応ありますので)
kerberosの場合ですが、Windows Server 2003と2016では、ユーザーパスワードで使われる「暗号アルゴリズム」がちがうので、sambaがアクセスしたドメインコントローラによって、パスワードを正しく認識できないことがあります。具体的には、sambaがAES256の暗号アルゴリズムを理解できる必要があります。
CentOS5.x系だとそれなりに古いので、この暗号アルゴリズムに対応していなければ、sambaをアップグレード(新しい版のCentOSを使う)ことになるかもしれません。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答としてマーク niwatarou 2017年9月6日 23:36