sudo очень медленно после winbind к AD на RHEL6

Question

Когда я запускаю команду sudo после привязки моей машины linux к домену AD с помощью samba/winbind, мне требуется от 10 секунд до 2 минут, прежде чем запрашивать мой пароль.

Я проверил /etc/resolv.conf, и DNS, кажется, настроен правильно. Такие команды, как dig, запускаются без проблем, поэтому я предполагаю, что проблема не должна быть связана с DNS. Как и в других сообщениях, я также позаботился о том, чтобы и мое имя хоста, и полное доменное имя были указаны в /etc /hosts для обратной петли.

Я установил уровень логов winbind на 10 и проверил логи. Я не знаю, что имеет и не имеет значения, но кое-что я заметил в журналах:

[2013/06/05 10:05:19.481689,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      in: struct wbint_LookupName
          domain                   : *
              domain                   : 'MYDOMAIN'
          name                     : *
              name                     : 'ROOT'
          flags                    : 0x00000008 (8)
[2013/06/05 10:05:19.481857,  1] ../librpc/ndr/ndr.c:284(ndr_print_function_debug)
   wbint_LookupName: struct wbint_LookupName
      out: struct wbint_LookupName
          type                     : *
              type                     : SID_NAME_USE_NONE (0)
          sid                      : *
              sid                      : S-0-0
          result                   : NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482076,  5] winbindd/winbindd_getgroups.c:186(winbindd_getgroups_recv)
  Could not convert sid S-0-0: NT_STATUS_NONE_MAPPED
[2013/06/05 10:05:19.482121, 10] winbindd/winbindd.c:679(wb_request_done)
  wb_request_done[3787:GETGROUPS]: NT_STATUS_NONE_MAPPED

Кажется, он пытается найти пользователя ROOT в домене, чего явно не должно быть ... Может ли это быть причиной? Если так, как я могу это исправить?

Answer 1

Не уверен, что это поможет, но у вас есть файл username map который содержит:

root = administrator
nobody = guest

и глобальный параметр в smb.conf, указывающий на него, такой как

username map = /etc/samba/smbusers

а также глобальный параметр

map to guest = bad user?

Answer 2

Попробуйте добавить

winbind enum users = no
winbind enum groups = no
winbind nested groups = false

в /etc/samba/smb.conf , в разделе [global]

Примечание: это отключает вложенные группы

Answer 3

Это определенно сделало бы это, убедитесь, что у вас есть

passwd       files ldap
group        files ldap
shadow       files ldap

в nsswitch.conf. Каждый системный вызов, который требует повышенных привилегий, будет медленным, как патока.