Samba共享无法通过主机名从Windows 7(在域上)访问

Question

我花了几天的时间试图解决这个问题--这个论坛或其他论坛上的任何一个答案都无法提供帮助。我什么都试过了。我看了整个桑巴手册。什么都没用。

令人高兴的是，我已经解决了这个问题，并愿意与社会分享这个答案。

以下是我的具体问题：

我在UbuntuServer12.04上运行Samba 3.6.3。服务器使用PowerBroker身份服务开放版(他们同样购买)连接到我的公司域。我遵循手册并使用AD组权限设置了一个共享。它可以使用AD权限从Linux和Mac访问。在Windows 7中，它只能在未加入域的机器上访问。一旦加入域，它只能通过IP短主机名访问，而FQDN将以密码错误响应。

Answer 1

显然，域上的组安全策略存在问题--但不能为一个网络共享更改安全策略。根据我的研究，这个问题与AD如何创建Kerberos票证有关--域策略是只使用Kerberos。Samba与NTMLv2一起工作，但Samba不负责身份验证-- AD负责，而PBIS负责实现这一点。

问题的根源是Samba没有访问PBIS的keytab文件。通过在smb.conf中输入[global]下面的内容，我解决了这个问题：

Kerberos method = dedicated keytab
dedicated keytab file = /etc/krb5.keytab

Kerberos method的默认设置是secrets only，它使用tdb文件作为票证--这在PBIS中不起作用。您必须告诉Samba只使用PBIS使用的keytab文件。一旦我这样做-身份验证在IP、短主机名和FQDN中正确工作。

您可以通过检查krb5.conf文件(通常是/etc/krb5.conf)和检查default_keytab_name设置来查找PBIS正在使用的keytab文件。

作为参考，这里是我的smb.conf：

[global]
security = ADS
workgroup = DOMAIN
realm = DOMAIN.COM
machine password timeout = 0
server string = %h
local master = no
encrypt passwords = yes
Kerberos method = dedicated keytab
dedicated keytab file = /etc/krb5.keytab
deadtime = 20
log level = 20
debug pid = true
debug class = yes
log file = /var/log/samba-pbis.log

[test]
comment = test
path = /test
browseable = yes
read only = no
writeable = yes
valid users = @DOMAIN\user1 @DOMAIN\domain^users
admin users = @DOMAIN\domain^admins
guest ok = yes
create mask = 0774
directory mask = 0774
inherit acls = yes
inherit permissions = yes