<div dir="ltr"><span style="font-family:arial,sans-serif;font-size:13px"><div>Package: samba</div></span><span style="font-family:arial,sans-serif;font-size:13px">Version: </span><span style="font-family:arial,sans-serif;font-size:13px">4.1.3-Debian</span><div>
<span style="font-family:arial,sans-serif;font-size:13px"><br></span></div><div><span style="font-family:arial,sans-serif;font-size:13px">I've got two debian installations: pdc and workstation. They are both fresh Debian Jessie installations and has samba installed with apt-get.</span><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">PDC</div><div style="font-family:arial,sans-serif;font-size:13px">-------</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">pdc has samba domain controller installed in it and it is working properly.<div><br></div><div>smb.conf</div></div><div style="font-family:arial,sans-serif;font-size:13px">
--8<--</div><div style="font-family:arial,sans-serif;font-size:13px"><div>[global]</div><div>        server role = active directory domain controller</div><div>        workgroup = EXAMPLE</div><div>        realm = EXAMPLE.LOCAL</div>
<div>        netbios name = %h</div><div>        passdb backend = samba4</div><div>        tls enabled = yes</div><div>        tls keyfile = /var/lib/samba/private/tls/key.pem</div><div>        tls certfile = /var/lib/samba/private/tls/cert.pem</div>
<div>        tls cafile = /var/lib/samba/private/tls/ca.pem</div><div>        template shell = /bin/bash</div><div>        interfaces = eth0</div><div>        allow dns updates = signed</div><div>        dns forwarder = 8.8.8.8</div>
</div><div style="font-family:arial,sans-serif;font-size:13px">--8<--<br></div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">krb5.conf</div>
<div style="font-family:arial,sans-serif;font-size:13px">--8<--</div><div style="font-family:arial,sans-serif;font-size:13px"><div>[libdefaults]</div><div>        default_realm = TIETOHALLINTA.LOCAL</div><div>        dns_lookup_realm = false</div>
<div>        dns_lookup_kdc = true</div></div><div style="font-family:arial,sans-serif;font-size:13px">--8<--</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">
Domain is provisioned with:</div><div style="font-family:arial,sans-serif;font-size:13px">samba-tool domain provision --use-rfc2307 --realm=EXAMPLE.LOCAL --domain=EXAMPLE --adminpass=passwd --server-role=dc<br></div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px"><div>Kerberos keytab is generated with (samba-tool gives segfault):</div><div>net rpc vampire keytab /etc/krb5.keytab -I[pdc_ip] -UAdministrator%passwd</div>
</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">nsswitch.conf:</div><div style="font-family:arial,sans-serif;font-size:13px">--8<--</div>
<div style="font-family:arial,sans-serif;font-size:13px"><div>...</div><div>passwd:         compat winbind</div><div>group:          compat winbind</div></div><div style="font-family:arial,sans-serif;font-size:13px">...</div>
<div style="font-family:arial,sans-serif;font-size:13px">--8<--<br></div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">Setup is working correctly:</div>
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">root@pdc:~# wbinfo -u | grep Administrator<br></div><div style="font-family:arial,sans-serif;font-size:13px">
Administrator</div><div style="font-family:arial,sans-serif;font-size:13px"><div><div>root@pdc:~# id Administrator</div><div>uid=0(root) gid=100(users) groups=0(root),100(users),3000004(EXAMPLE\Group Policy Creator Owners),3000006(EXAMPLE\Enterprise Admins),3000008(EXAMPLE\Domain Admins),3000007(EXAMPLE\Schema Admins)</div>
</div><div><div>root@pdc:~# getent passwd Administrator</div><div>EXAMPLE\Administrator:*:0:100::/home/EXAMPLE/Administrator:/bin/bash</div></div><div></div></div><div style="font-family:arial,sans-serif;font-size:13px"><br>
</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px"><div>WORKSTATION</div><div>------------------------</div><div><br></div><div>workstation has samba domain member installed in it and it is NOT working properly:<br>
</div><div><div><br></div><div>smb.conf</div></div><div>--8<--</div><div><div>[global]</div><div>        workgroup = EXAMPLE</div><div>        security = ads</div><div>        realm = EXAMPLE.LOCAL</div><div>        encrypt passwords = yes</div>
<div>        template shell = /bin/bash</div><div><br></div><div>        idmap config *:backend = tdb        idmap config *:range = 70001-80000</div><div>        idmap config EXAMPLE:backend = ad</div><div>        idmap config EXAMPLE:schema_mode = rfc2307</div>
<div>        idmap config EXAMPLE:range = 500-40000</div><div><br></div><div>        winbind uid = 10000-20000</div><div>        winbind gid = 10000-20000</div><div>        winbind enum users = yes</div><div>        winbind enum groups = yes</div>
<div>        winbind use default domain = yes</div></div><div>--8<--<br></div><div><br></div><div>krb5.conf</div><div>--8<--</div><div><div>[libdefaults]</div><div>        default_realm = EXAMPLE.LOCAL</div><div>        dns_lookup_realm = no</div>
<div>        dns_lookup_kdc = yes</div></div><div><br></div><div>--8<--</div><div><br></div><div>Domain is joined with:</div><div>samba-tool domain join EXAMPLE.LOCAL member -UAdministrator%passws --realm=EXAMPLE.LOCAL<br>
</div><div><br></div><div>Kerberos keytab is generated with (samba-tool gives segfault):</div><div>net rpc vampire keytab /etc/krb5.keytab -I[pdc_ip] -UAdministrator%passwd<br></div><div><br></div><div>nsswitch.conf:</div>
<div>--8<--</div><div><div>...</div><div>passwd:         compat winbind</div><div>group:          compat winbind</div></div><div>...</div><div>--8<--<br></div><div><br></div><div>Everything is working so far correctly.</div>
<div><br></div><div><div>root@workstation:~# wbinfo -u | grep Administrator</div><div>Administrator</div></div><div><br></div><div>*THEN* Winbind is working (see previous step), but id or getent (or other resolving stuff) aren't:</div>
<div><div>root@workstation:~# id Administrator</div><div>id: Administrator: no such user</div></div><div><div>root@workstation:~# getent passwd Administrator</div><div>[nothing]</div></div></div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">VERSIONS</div><div style="font-family:arial,sans-serif;font-size:13px">-----------------</div><div style="font-family:arial,sans-serif;font-size:13px"><font face="arial, sans-serif">Linux XXX 3.12-1-amd64 #1 SMP Debian 3.12.6-2 (2013-12-29) x86_64 GNU/Linux</font></div>
<div style="font-family:arial,sans-serif;font-size:13px"><font face="arial, sans-serif">samba: 4.1.3-Debian</font><br></div><div style="font-family:arial,sans-serif;font-size:13px">winbind: 4.1.3-Debian</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">BTW Debian Wheezy with samba4 worked with similar setup.</div></div></div>