Инструкция Доступ к Samba-ресурсам с компьютера вне домена

[Владимир Костюков]

В текущей конфигурации Samba включена аутентификация только по Kerberos, NTLM отключен. Это означает, что доступ к ресурсу возможен только при наличии действительного Kerberos-билета, выданного контроллером домена ALD Pro. Клиент, не входящий в домен, может подключиться, но билет придется получать вручную.

Для настройки подключения необходимо:

1. На клиенте установить Kerberos:
   

   sudo apt install krb5-user

   
   
2. Скопировать файл /etc/krb5.conf с компьютера, подключенного к домену ALD Pro, на клиент вне домена.
3. Убедиться, что в скопированном файле указаны корректные параметры REALM и KDC.
4. Синхронизировать время компьютера и сервера. Допустимое расхождение — не более 5 минут, иначе KDC отклонит запрос.
5. Получить Kerberos-билет:
   Подключиться к Samba-ресурсу с использованием Kerberos:
   

   kinit user@IPA.EXAMPLE.LOCAL

   Если возникнет ошибка, попробовать получить билет повторно:
   

   kinit user

   Проверить получение билета:
   

   klist

   В списке должен быть билет вида krbtgt/<REALM>.
   • через smbclient:
     

     smbclient -k //<fqdn_сервера>/<имя_ресурса>

   • через cifs:
     

     sudo mount -t cifs //<fqdn_сервера>/<имя_ресурса> /mnt/share -o sec=krb5i,cruid=$(id -u)