<div dir="ltr">Hi there,<div><br></div><div>I have difficulties to follow you at this point :)</div><div>Here is what I've done and what I've understood:</div><div><br></div><div>## SMB Side </div><div>- Testparm OK</div><div>- I've got the same <span style="font-size:12.8000001907349px">NT_STATUS_NO_SUCH_USER when I try to connect.</span></div><div><span style="font-size:12.8000001907349px">- pdbedit -Lv output is all successfull but I can see there is a filter : (&(uid=*)(objectclass=sambaSamAccount). In LDAP, the users don't have sambaSamAccount.</span></div><div><br></div><div>## LDAP / FreeIPA side</div><div>- Since SMB server uses LDAP, I did ipa-adtrust-install on my FreeIPA server to get samba LDAP extensions.</div><div>- I can see samba classes exist in LDAP but are not used on my group objects nor my user objects</div><div>- I have add sambaSamAccount in FreeIPA default user classes, and sambaGroupMapping to default group classes. In that state I can't create user nor groups anymore, as new samba attributes are needed for instantiation.<br></div><div>- I have add in etc ipaCustomFields: 'Samba Group Type,sambagrouptype,true' but I don't get what it does.<br></div><div>- I tried to add the samba.js plugin. It works, and adds the "local" option when creating a group in FreeIPA, supposed to set sambagrouptype to 4 or 2 (domain). It doesn't work and tells that sambagrouptype attribute doesn't exist (but it should now I put sambaGroupType class by default...)</div><div><br></div><div>## Questions</div><div>0) Can I ask samba not to search sambaSamAccount and use unix / posix instead? I guess no.</div><div>1) How to generate the user/group SIDs ? They are requested to add sambaSamAccount classes.</div><div>This article doesn't seem relevant since we don't use domain controller <a href="http://docs.fedoraproject.org/en-US/Fedora/17/html/FreeIPA_Guide/cifs.html">http://docs.fedoraproject.org/en-US/Fedora/17/html/FreeIPA_Guide/cifs.html</a> and netgetlocalsid returns an error.</div><div>2) How to fix samba.js plugin?</div><div>3) I guess an equivalent of samba.js is needed for user creation, where can I find it?</div><div>4) Is your setup working with Windows 8 / Windows 10 and not only Windows 7?</div><div><br></div><div>Thanks a lot for your previous and future answers</div><div class="gmail_extra"><br clear="all"><div><div class="gmail_signature"><font face="arial, helvetica, sans-serif"><div><span style="font-family:arial"><font face="arial, helvetica, sans-serif"><div>--</div><div><font color="#666666">Youenn Piolet</font></div><div><font size="1" color="#999999"><a href="mailto:piolet.y@gmail.com" target="_blank">piolet.y@gmail.com</a></font></div><div style="font-size:large"><span style="font-size:small"><span style="font-family:arial"><div><font face="tahoma, sans-serif"><span style="font-family:arial,verdana,tahoma,sans-serif;font-size:11px"><span style="font-family:tahoma,sans-serif;font-size:small"><font color="#666666"><span style="color:rgb(142,142,142);font-family:arial,verdana,tahoma,sans-serif;font-size:11px"><em><br></em></span></font></span></span></font></div><font color="#8E8E8E" face="arial, verdana, tahoma, sans-serif"></font></span><font color="#8E8E8E" face="arial, verdana, tahoma, sans-serif"></font><font color="#8E8E8E" face="arial, verdana, tahoma, sans-serif"></font></span></div></font></span></div></font></div></div>
<br><div class="gmail_quote">2015-08-04 17:55 GMT+02:00 Matt . <span dir="ltr"><<a href="mailto:yamakasi.014@gmail.com" target="_blank">yamakasi.014@gmail.com</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hi,<br>
<br>
Yes, log is anonymised.<br>
<br>
It's strange, my user doesn't have a SambaPwdLastSet, also when I<br>
change it's password it doesn't get it in ldap.<br>
<br>
There must be something going wrong I guess.<br>
<span class="HOEnZb"><font color="#888888"><br>
Matt<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
2015-08-04 17:45 GMT+02:00 Christopher Lamb <<a href="mailto:christopher.lamb@ch.ibm.com">christopher.lamb@ch.ibm.com</a>>:<br>
> Hi Matt<br>
><br>
> I assume [username] is a real username, identical to that in the FreeIPA<br>
> cn=accounts, cn=users tree? (i.e. you anonymised the log extract).<br>
><br>
> You user should be a member of the appropriate samba groups that you setup<br>
> in FreeIPA.<br>
><br>
> You should check that the user attribute SambaPwdLastSet is set to a<br>
> positive value (e.g. 1). If not you get an error in the Samba logs - I<br>
> would need to play around again with a test user to find out the exact<br>
> error.<br>
><br>
> I don't understand what you mean about syncing the users local, but we did<br>
> not need to do anything like that.<br>
><br>
> Chris<br>
><br>
><br>
><br>
><br>
> From:   "Matt ." <<a href="mailto:yamakasi.014@gmail.com">yamakasi.014@gmail.com</a>><br>
> To:     Christopher Lamb/Switzerland/IBM@IBMCH<br>
> Cc:     "<a href="mailto:freeipa-users@redhat.com">freeipa-users@redhat.com</a>" <<a href="mailto:freeipa-users@redhat.com">freeipa-users@redhat.com</a>><br>
> Date:   <a href="tel:04.08.2015%2015" value="+33408201515">04.08.2015 15</a>:33<br>
> Subject:        Re: [Freeipa-users] Ubuntu Samba Server Auth against IPA<br>
><br>
><br>
><br>
> Hi Chris,<br>
><br>
> A puppet run added another passdb backend, that was causing my issue.<br>
><br>
> What I still experience is:<br>
><br>
><br>
> [2015/08/04 15:29:45.477783,  3]<br>
> ../source3/auth/check_samsec.c:399(check_sam_security)<br>
>   check_sam_security: Couldn't find user 'username' in passdb.<br>
> [2015/08/04 15:29:45.478026,  2]<br>
> ../source3/auth/auth.c:288(auth_check_ntlm_password)<br>
>   check_ntlm_password:  Authentication for user [username] -><br>
> [username] FAILED with error NT_STATUS_NO_SUCH_USER<br>
><br>
><br>
> I also wonder if I shall still sync the users local, or is it needed ?<br>
><br>
> Thanks again,<br>
><br>
> Matt<br>
><br>
> 2015-08-04 14:16 GMT+02:00 Christopher Lamb <<a href="mailto:christopher.lamb@ch.ibm.com">christopher.lamb@ch.ibm.com</a>>:<br>
>> Hi Matt<br>
>><br>
>> From our smb.conf file:<br>
>><br>
>> [global]<br>
>>    security = user<br>
>>    passdb backend = ldapsam:ldap://<a href="http://xxx-ldap2.my.silly.example.com" rel="noreferrer" target="_blank">xxx-ldap2.my.silly.example.com</a><br>
>>    ldap suffix = dc=my,dc=silly,dc=example,dc=com<br>
>>    ldap admin dn = cn=Directory Manager<br>
>><br>
>> So yes, we use Directory Manager, it works for us. I have not tried with<br>
> a<br>
>> less powerful user, but it is conceivable that a lesser user may not see<br>
>> all the required attributes, resulting in "no such user" errors.<br>
>><br>
>> Chris<br>
>><br>
>><br>
>><br>
>><br>
>> From:   "Matt ." <<a href="mailto:yamakasi.014@gmail.com">yamakasi.014@gmail.com</a>><br>
>> To:     Christopher Lamb/Switzerland/IBM@IBMCH<br>
>> Cc:     "<a href="mailto:freeipa-users@redhat.com">freeipa-users@redhat.com</a>" <<a href="mailto:freeipa-users@redhat.com">freeipa-users@redhat.com</a>><br>
>> Date:   <a href="tel:04.08.2015%2013" value="+33408201513">04.08.2015 13</a>:32<br>
>> Subject:        Re: [Freeipa-users] Ubuntu Samba Server Auth against IPA<br>
>><br>
>><br>
>><br>
>> Hi Chris,<br>
>><br>
>> Thanks for the heads up, indeed local is 4 I see now when I add a<br>
>> group from the GUI, great thanks!<br>
>><br>
>> But do you use Directory Manager as ldap admin user or some other<br>
>> admin account ?<br>
>><br>
>> I'm not sure id DM is needed and it should get that deep into IPA.<br>
>> Also when starting samba it cannot find "such user" as that sounds<br>
>> quite known as it has no UID.<br>
>><br>
>> From your config I see you use DM, this should work ?<br>
>><br>
>> Thanks!<br>
>><br>
>><br>
>> Matt<br>
>><br>
>> <br>
><br>
><br>
><br>
><br>
<br>
--<br>
Manage your subscription for the Freeipa-users mailing list:<br>
<a href="https://www.redhat.com/mailman/listinfo/freeipa-users" rel="noreferrer" target="_blank">https://www.redhat.com/mailman/listinfo/freeipa-users</a><br>
Go to <a href="http://freeipa.org" rel="noreferrer" target="_blank">http://freeipa.org</a> for more info on the project<br>
</div></div></blockquote></div><br></div></div>