Sambaドメインメンバのトラブルシューティング - 版の履歴

Meisina04: /* Winbindと認証の問題 */

2018-03-24T04:09:15Z

Winbindと認証の問題

← 古い版		2018年3月24日 (土) 13:09時点における版
126行目:		126行目:
	* Sambaをリロード		* Sambaをリロード
	# smbcontrol all reload-config		# smbcontrol all reload-config


			==== <code>/etc/krb5.conf</code>ファイルに<code>includedir</code>ステートメントを追加した後、Sambaドメインメンバへの接続に失敗します ====
			Samba Active Directory(AD)ドメインメンバーに接続するときに接続に失敗して、<code>smb.conf</code>の<code>[global]</code>セクションの<code>log level</code>パラメータを<code>3</code>かそれより高い値にしていると、次のエラーが記録されます。

			<pre>
			[2016/01/01 00:00:00.000000, 3] ../source3/smbd/smb2_server.c:3097(smbd_smb2_request_error_ex)
			smbd_smb2_request_error_ex: smbd_smb2_request_error_ex: idx[1] status[NT_STATUS_UNSUCCESSFUL] \|\| at ../source3/smbd/smb2_sesssetup.c:134
			[2016/01/01 00:00:00.000000, 3] ../source3/smbd/server_exit.c:246(exit_server_common)
			Server exit (NT_STATUS_CONNECTION_RESET)
			</pre>

			接続が失敗する原因は、Sambaが<code>/etc/krb5.conf</code>ファイルの<code>includedir</code>ステートメントを処理できないからです。

			オペレーティングシステムでのKerberosパッケージの更新は、設定を含めることが出来るよう、このステートメントを自動的に追加する可能性があることに注意してください。例えば、未変更の<code>/etc/krb5.conf</code>ファイルを持つSamba ADドメインメンバをRed Hat Enterprise Linux7.2から7.3にアップデートする時、<code>includedir</code>ステートメントが自動的に追加され、クライアントがSambaドメインメンバに接続するのに失敗します。

			これを回避するため、<code>/etc/krb5.conf</code>ファイルから<code>includedir</code>ステートメントを削除します。

			さらなる詳細は、[https://bugzilla.samba.org/show_bug.cgi?id=12488 Bug #12488]を参照してください。


			=== NT4ドメインのドメインメンバ ===
			現在、内容はありません。

Meisina04: /* gss_init_sec_context failed with: Miscellaneous failure: Clock skew too great */

2018-03-24T02:15:44Z

gss_init_sec_context failed with: Miscellaneous failure: Clock skew too great

← 古い版		2018年3月24日 (土) 11:15時点における版
94行目:		94行目:

	さらなる詳細は、「[[時刻の同期]]」を参照してください。		さらなる詳細は、「[[時刻の同期]]」を参照してください。

			==== Failed to join domain: failed to find DC for domain SAMDOM - Undetermined error ====

			ホストをActive Directory(AD)に参加させる際、<code>net</code>コマンドがドメインコントローラ(DC)を検索するのに失敗します。

			<pre># net ads join -U administrator
			Enter administrator's password:
			Failed to join domain: failed to find DC for domain SAMDOM - Undetermined error
			</pre>

			Sambaはドメインに参加する際に、DCを検索するためにDNSリクエストとブロードキャストを使用します。もし、両方が失敗した場合、<code>failed to find DC for domain SAMDOM - Undetermined error</code>エラーが表示されます。

			短期的な解決策として、コマンドに<code>-S</code>パラメータと、DCの名前を渡すことができます。例えば：

			# net ads join -U administrator -S DC1.samdom.example.com

			しかしながら、ADでは正しいDNS設定は重要です。将来的に間違えたDNS設定を由来とする問題を回避するために、DNSリゾルバの設定を正しくセットアップしてください。詳細は、「[[LinuxとUnixでのDNS設定]]」を参照してください。


			=== Winbindと認証の問題 ===

			==== <code>getent</code>ユーティリティーが全ユーザ、あるいはグループの一覧を表示できない ====
			<code>getent</code>ユーティリティーが、個々のドメインユーザあるいはグループを表示できても、<code>getent passwd</code>や<code>getent group</code>コマンドが全ユーザとグループの表示に失敗する場合は：
			* ネームサービススイッチ(NSS)が<code>libnss_winbind</code>ライブラリを利用できるか確認してください。詳細は「[[libnss winbindリンク]]」を参照してください。
			* 次のパラメータを<code>smb.conf</code>ファイルで有効にしてください：
			<pre>
			winbind enum users = yes
			winbind enum groups = yes
			</pre>
			: パフォーマンス上の理由で、多数のユーザーやグループを持つ環境でこれらのセッティングを有効にすることは推奨されません。
			* Sambaをリロード
			# smbcontrol all reload-config

Meisina04: /* DNS Update failed: ERROR_DNS_GSS_ERROR */

2018-03-23T17:23:13Z

DNS Update failed: ERROR_DNS_GSS_ERROR

← 古い版		2018年3月24日 (土) 02:23時点における版
80行目:		80行目:
	DNS update failed: NT_STATUS_UNSUCCESSFUL</pre>		DNS update failed: NT_STATUS_UNSUCCESSFUL</pre>
	問題を解決するには「BIND9 DLZ DNSバックエンド#BIND9_DLZバックエンドの再構成\|BIND9_DLZバックエンドの再構成」を参照してください。		問題を解決するには「BIND9 DLZ DNSバックエンド#BIND9_DLZバックエンドの再構成\|BIND9_DLZバックエンドの再構成」を参照してください。


			==== gss_init_sec_context failed with: Miscellaneous failure: Clock skew too great ====
			ホストをADにジョインする際、<code>net</code>コマンドが次のエラーで失敗します：
			<pre># net ads join -U administrator
			Enter administrator's password:
			gss_init_sec_context failed with [ Miscellaneous failure (see text): Clock skew too great]
			kinit succeeded but ads_sasl_spnego_gensec_bind(KRB5) failed: An internal error occurred.
			Failed to join domain: failed to connect to AD: An internal error occurred.</pre>
			Kerberosは、リプレイアタックを防ぐために、時刻の同期を要求します。ローカルマシンの時計はDCに対して5分以上違ってはいけません。

			問題を解決するために、正しい時間をセットした上で、再度<code>net ads join</code>コマンドを実行してください。

			さらなる詳細は、「[[時刻の同期]]」を参照してください。

Meisina04: /* DNS Update failed: ERROR_DNS_UPDATE_FAILED */

2018-03-23T17:10:00Z

DNS Update failed: ERROR_DNS_UPDATE_FAILED

← 古い版		2018年3月24日 (土) 02:10時点における版
68行目:		68行目:
	問題を解決するには：		問題を解決するには：
	* もし、動的DNS更新が動作しているのであれば、Samba domain controller(DC)を確認してください。詳細については、「[[動的DNS更新のテスト]]」を参照してください。		* もし、動的DNS更新が動作しているのであれば、Samba domain controller(DC)を確認してください。詳細については、「[[動的DNS更新のテスト]]」を参照してください。
			* <code>net ads join</code>コマンドを再度実行してください。


			==== DNS Update failed: ERROR_DNS_GSS_ERROR ====
			<code>BIND9_DLZ</code>バックエンドを使っている際、DNSサーバーを実行している、AD domain controller（DC）のKerberosの構成が間違っているために、動的DNS更新が失敗します。
			<pre># net ads join -U administrator
			Enter administrator's password:
			Using short domain name -- SAMDOM
			Joined 'AD-Member' to dns domain 'samdom.example.com'
			DNS Update for AD-Member.samdom.example.com failed: ERROR_DNS_GSS_ERROR
			DNS update failed: NT_STATUS_UNSUCCESSFUL</pre>
			問題を解決するには「BIND9 DLZ DNSバックエンド#BIND9_DLZバックエンドの再構成\|BIND9_DLZバックエンドの再構成」を参照してください。

Meisina04: /* DNS Update failde: ERROR_DNS_UPDATE_FAILED */

2018-03-23T17:00:57Z

DNS Update failde: ERROR_DNS_UPDATE_FAILED

← 古い版		2018年3月24日 (土) 02:00時点における版
54行目:		54行目:


	==== DNS Update ~~failde~~: ERROR_DNS_UPDATE_FAILED ====		==== DNS Update failed: ERROR_DNS_UPDATE_FAILED ====
			ホストをActive Directory(AD)に参加させる際、<code>net</code>がDNSのアップデートに失敗する：
			<pre>
			# net ads join -U administrator
			Enter administrator's password:
			Using short domain name -- SAMDOM
			Joined 'M1' to dns domain 'samdom.example.com'
			DNS Update for m1.samdom.example.com failed: ERROR_DNS_UPDATE_FAILED
			DNS update failed: NT_STATUS_UNSUCCESSFUL
			</pre>
			ドメインへの参加は成功しており、DNSの更新だけが失敗していることに注意してください。

			問題を解決するには：
			* もし、動的DNS更新が動作しているのであれば、Samba domain controller(DC)を確認してください。詳細については、「[[動的DNS更新のテスト]]」を参照してください。

Meisina04: /* No DNS domain configured. Unable to perform DNS Update. */

2018-03-23T16:53:14Z

No DNS domain configured. Unable to perform DNS Update.

← 古い版		2018年3月24日 (土) 01:53時点における版
42行目:		42行目:
	DNS update failed: NT_STATUS_INVALID_PARAMETER		DNS update failed: NT_STATUS_INVALID_PARAMETER
	</pre>		</pre>
			ドメインへの参加は成功していて、DNSのアップデートにのみ失敗していることに注意してください。

			クライアントがドメインに参加したあと、<code>net</code>コマンドはネームサービススイッチ（NSS）ライブラリを利用して完全修飾ドメイン名（FQDN）を探します。もし、DNSや<code>/etc/hosts</code>ファイルを使ってFQDNが解決できなければ、DNSアップデートは失敗します。

			この問題を解決するために：
			* <code>/etc/hosts</code>ファイルにIPアドレスとFQDNを追加してください。例えば：
			10.99.0.5 AD-Member.samdom.example.com AD-Member
			* 再度、<code>net ads join</code>を実行してください。

			それでも動的DNSの更新が失敗する場合、AD DNSサーバーで動的更新が動作するか確認してください。


			==== DNS Update failde: ERROR_DNS_UPDATE_FAILED ====

Meisina04: ページの作成:「== はじめに == このドキュメントは、Active Directory(AD)フォレストやNT4ドメインのメンバとしてSambaを実行しているときに出くわ...」

2018-03-23T16:38:29Z

ページの作成:「== はじめに == このドキュメントは、Active Directory(AD)フォレストやNT4ドメインのメンバとしてSambaを実行しているときに出くわ...」

新規ページ

== はじめに ==

このドキュメントは、Active Directory(AD)フォレストやNT4ドメインのメンバとしてSambaを実行しているときに出くわす可能性がある問題をトラブルシュートするのに役立ちます。

== 一般 ==
=== Sambaのログレベルの設定 ===
詳細は、[[Sambaログレベルの設定]]を参照してください。

=== <code>net</code>コマンドが<code>127.0.0.1</code>IPアドレスへの接続に失敗する ===
デフォルトのセッティングを使用すると、<code>net</code>コマンドは<code>127.0.0.1</code>のIPアドレスに接続します。もし、Sambaがループバックインターフェースをリッスンしていないと、接続に失敗します。例えば：

<pre>
# net rpc rights list -U administrator
Enter administrator's password:
Could not connect to server 127.0.0.1
Connection failed: NT_STATUS_CONNECTION_REFUSED
</pre>

この問題を解決するために、Sambaがループバックインターフェースで追加的にリッスンするように設定します。詳細は「[[Sambaを特定のインターフェースに紐付けるように構成する]]」を参照してください。

あるいは、<code>net</code>コマンドに<code>-I ''IP_address''</code>か<code>-S ''host_name''</code>パラメータを渡して、一時的に問題を回避します。

=== getentがドメインユーザーやグループを検索しない ===
もし、<code>getent passwd demo01</code>が何も返してこなければ、次を試してみてください。
getent passwd "SAMDOM\demo01"
それでうまく行って、まえのがそうでないのであれば、<code>smb.conf</code>に次の行を追加する必要があるかもしれません。
winbind use default domain = yes

== Active Directoryフォレスト内のドメインメンバー ==
=== ドメイン参加処理のトラブルシューティング ===
==== No DNS domain configured. Unable to perform DNS Update. ====

ホストをActive Directory(AD)に参加させる際、<code>net</code>コマンドがDNSのアップデートに失敗する：
<pre>
# net ads join -U administrator
Enter administrator's password:
Using short domain name -- SAMDOM
Joined 'AD-Member' to dns domain 'samdom.example.com'
No DNS domain configured for AD-Member. Unable to perform DNS Update.
DNS update failed: NT_STATUS_INVALID_PARAMETER
</pre>