Samba root als Administrator

Hallo, ich habe folgendes Problem:

Verwendet wird SuSE Linux Enterprise Server 10 SP 1 und samba-3.0.24-2.33.

Ich habe im LDAP einen User "root" angelegt, und habe im folgende Werte vergeben:

uid: 0
gid: 512
sambaPrimaryGroupSID: S-1-5-21-3822652428-3782439138-2069571611-512
sambaSID: S-1-5-21-3822652428-3782439138-2069571611-500

Also müsste der User "root" nun auf den Windows Clients Administrationrechte haben. Nur leider ist das nicht der Fall.

Ein pdbedit -v -u root sagt mir folgendes:

========================================
datensrv:/tmp # pdbedit -v -u root
smbldap_search_domain_info: Searching for:[(&(objectClass=sambaDomain)(sambaDomainName=SIN.CO.AT))]
smbldap_open_connection: connection opened
ldap_connect_system: succesful connection to the LDAP server
smbldap_search_domain_info: Searching for:[(&(objectClass=sambaDomain)(sambaDomainName=SIN.CO.AT))]
smbldap_open_connection: connection opened
ldap_connect_system: succesful connection to the LDAP server
init_sam_from_ldap: Entry found for user: root
Unix username: root
NT username: root
Account Flags: [UX ]
User SID: S-1-5-21-3822652428-3782439138-2069571611-500
Primary Group SID: S-1-5-21-3822652428-3782439138-2069571611-513
Full Name: Administrator
Home Directory: \\datensrv\root
HomeDir Drive: Z:
Logon Script: logon.bat
Profile Path: \\datensrv\Profiles
Domain: SIN.CO.AT
Account desc: SIN Administrator
Workstations:
Munged dial:
Logon time: 0
Logoff time: Tue, 19 Jan 2038 04:14:07 CET
Kickoff time: Tue, 01 Jan 2030 00:00:00 CET
Password last set: Fri, 07 Dec 2007 09:41:02 CET
Password can change: 0
Password must change: Tue, 19 Jan 2038 04:14:07 CET
Last bad password : 0
Bad password count : 0
Logon hours : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
=======================================

Warum ist hier die Primary Group SID xxxx-513, wenn der User in der Primary Group 512 laut LDAP ist?

Hier noch ein auszug des roots vom openLDAP:

========================================
dn: uid=root,ou=Users,dc=sin,dc=co,dc=at
objectClass: posixAccount
objectClass: shadowAccount
objectClass: inetOrgPerson
objectClass: sambaSamAccount
cn: root
uid: root
uidNumber: 0
givenName: SIN
loginShell: /bin/bash
shadowWarning: 10
shadowInactive: 10
sambaPrimaryGroupSID: S-1-5-21-3822652428-3782439138-2069571611-512
sambaHomeDrive: Z:
sambaDomainName: sin.co.at
sn: Administrator
gecos: SIN DomainAdmin
description: SIN DomainAdmin
sambaHomePath: \\datensrv\Root
sambaLogonScript: logon.bat
sambaPasswordHistory: 0000000000000000000000000000000000000000000000000000000000000000
shadowExpire: 21915
sambaPwdCanChange: 1138772229
sambaPwdMustChange: 1895033644
displayName: Administrator
sambaAcctFlags: [XU ]
sambaProfilePath: \\datensrv\Profiles
sambaSID: S-1-5-21-3822652428-3782439138-2069571611-500
sambaLMPassword: 793930FB5DDDA2D57A01665EB2EB6C14
sambaNTPassword: DEE40AD47CC7183FC4E8D7F531154029
sambaPwdLastSet: 1175588536
homeDirectory: /root
userPassword:: e2NyeXB0fS5DYlRaQVlXMjdCdkk=
shadowLastChange: 13804
gidNumber: 512
========================================


mfg

Müsste, könnte, sollte ;-). Ist den die globale Gruppe der Administratoren Mitglied in der lokalen Gruppe Administratoren auf deinen Workstations? Wenn nicht, wird dein root niemal zusätzliche Rechte bekommen.

stka schrieb:

Müsste, könnte, sollte ;-). Ist den die globale Gruppe der Administratoren Mitglied in der lokalen Gruppe Administratoren auf deinen Workstations? Wenn nicht, wird dein root niemal zusätzliche Rechte bekommen.

Zum Vergrößern anklicken....

Eine deutsche Übersetzung wäre nett . Meinst du, ob die User "root" am PC in der lokalen Gruppe Administrator ist?

Wenn du das meinst. dass klärt aber immer noch nicht, warum "pdbedit -v -u root" bei der primären gruppenid "xx-513" schreibt, obwohl die primäry Gruppe 512 ist.
Im ldif steht ja alles korrekt drin.

Das ist doch wie unter Windows NT. In der Domäne (PDC) gibt es eine Gruppe Domainadmins. Wenn eine WS Mitglied der Domäne wird, werden automatisch die Gruppen Domainadmins und Domainuser Mitglied der entsprechenden lokalen Gruppen auf der WS.
Das mit dem root kann daher kommen, das "root" eine schlechte Wahl für einen Benutzer im LDAP ist, da der Benutzer auch IMMER lokal existiert. Welchen fragst du denn ab mit pdebedit? Den lokalen oder den LDAP?

stka schrieb:

Das ist doch wie unter Windows NT. In der Domäne (PDC) gibt es eine Gruppe Domainadmins. Wenn eine WS Mitglied der Domäne wird, werden automatisch die Gruppen Domainadmins und Domainuser Mitglied der entsprechenden lokalen Gruppen auf der WS.
Das mit dem root kann daher kommen, das "root" eine schlechte Wahl für einen Benutzer im LDAP ist, da der Benutzer auch IMMER lokal existiert. Welchen fragst du denn ab mit pdebedit? Den lokalen oder den LDAP?

Zum Vergrößern anklicken....

Hallo,

es werden nur die LDAP User angezeigt und auch im Samba verwendet.

Ok.

stka schrieb:

Ok.

Zum Vergrößern anklicken....

Hab auch schon eine andere Maschine aufgesetzt Samba drauf installiert. Dann im LDAP einen User Root angelegt und in die Gruppe Domain Admins gegeben.
Dann wurde auch beo pdbedit -v -u root bei der sambaPrimaryGroupSID xxx-513 ausgegeben, obwohl er in keiner Gruppe mit der ID 513 ist. Weder im LDAP noch lokal.

Daher frag ich mich, von woher nimmt er die "513" her?

DBGTMaster schrieb:

stka schrieb:

Ok.

Zum Vergrößern anklicken....

Hab auch schon eine andere Maschine aufgesetzt Samba drauf installiert. Dann im LDAP einen User Root angelegt und in die Gruppe Domain Admins gegeben.
Dann wurde auch beo pdbedit -v -u root bei der sambaPrimaryGroupSID xxx-513 ausgegeben, obwohl er in keiner Gruppe mit der ID 513 ist. Weder im LDAP noch lokal.

Daher frag ich mich, von woher nimmt er die "513" her?

Zum Vergrößern anklicken....

Ist aber bei mir genau so wenn ich die User mit "pdbedit -v -u username" abrufe, dann werden mir alle Benutzer in 513 angezeigt egal ob sie eigentlich in Domainadmins oder Domainusers sind. Funktionieren tuts dennoch genau so wie es soll.

DiWoWo schrieb:

DBGTMaster schrieb:

stka schrieb:

Ok.

Zum Vergrößern anklicken....

Hab auch schon eine andere Maschine aufgesetzt Samba drauf installiert. Dann im LDAP einen User Root angelegt und in die Gruppe Domain Admins gegeben.
Dann wurde auch beo pdbedit -v -u root bei der sambaPrimaryGroupSID xxx-513 ausgegeben, obwohl er in keiner Gruppe mit der ID 513 ist. Weder im LDAP noch lokal.

Daher frag ich mich, von woher nimmt er die "513" her?

Zum Vergrößern anklicken....

Ist aber bei mir genau so wenn ich die User mit "pdbedit -v -u username" abrufe, dann werden mir alle Benutzer in 513 angezeigt egal ob sie eigentlich in Domainadmins oder Domainusers sind. Funktionieren tuts dennoch genau so wie es soll.

Zum Vergrößern anklicken....

Nein, bei mir nicht, bei mir hat der User dann keine Administratorrechte :-(

Die einzige Lösung, die ich bis jetzt entdeckt habe, war als Primary Domain users zu nehmen und dann noch zusätzlich den root in die Gruppe Domain Admins zugewießen. Dann hat es funktioniert.

Die Lösung sieht aber halt nicht schön aus.