Неправильное сопоставление пользователей в керберизованных автоматических домашних серверах NFSv4

Краткое описание проблемы

Этот вопрос касается неправильного отображения идентификаторов в NFSv4.

Сервер NFS: Synology DS с DSM 5.2.

Клиент: обычный компьютер FC22, который автоматически монтирует как / home одну из экспортированных папок, указанных выше.

Обе машины являются зарегистрированными клиентами домена freeIPA, поэтому они используют сервер freeIPA как DNS- и LDAP-сервер.

Когда пользователь LDAP входит в клиентскую систему, он находит смонтированную папку. Так что крепление работает. Однако права собственности на файлы отображаются как nobody:nobody. Я знаю, что эта «ничья проблема» не нова, но ни одно из решений, которые я нашел до сих пор, не решает ее.

Логин пользователя LDAP и касание файла

$ ssh ldapuser1@client1
ldapuser1@client1's password: 

-bash-4.3$ id
uid=1172000004(ldapuser1) gid=1172000004(ldapuser1) groups=1172000004(ldapuser1) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

ldapuser1 может правильно войти в систему и имеет uid 1172000004.

-bash-4.3$ pwd
/home/ldapuser1

-bash-4.3$ ls -lan
total 8
drwxrwxrwx. 2 1172000004 1172000004 4096 18 aug 17:34 .
drwxr-xr-x. 3          0          0    0 18 aug 18:33 ..

Пользователь LDAP правильно попадает в свой домашний каталог, ранее созданный и назначенный ему. Но любой новый файл получает неправильное право собственности:

-bash-4.3$ touch a

-bash-4.3$ ls -lan
total 8
drwxrwxrwx. 2 1172000004 1172000004 4096 18 aug 18:41 .
drwxr-xr-x. 3          0          0    0 18 aug 18:33 ..
-rwxrwxrwx. 1         99        100    0 18 aug 18:42 a

Обратите внимание, что 99: 100 - это guest:users на сервере. Файл idmapd.conf на сервере сообщает карту nobody:nobody к guest:users.

Конфигурация сервера

$ exportfs -v   
/volume1/shared_homes xxx.xxx.0.0/24(rw,async,no_root_squash,no_subtree_check,insecure_locks,anonuid=1025,anongid=100,sec=krb5,rw,no_root_squash,no_all_squash)


$ klist -k /etc/nfs/krb5.keytab 
Keytab name: FILE:/etc/nfs/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   5 nfs/nfs-server.hq.example.com@HQ.EXAMPLE.COM
   5 nfs/nfs-server.hq.example.com@HQ.EXAMPLE.COM
   5 nfs/nfs-server.hq.example.com@HQ.EXAMPLE.COM
   5 nfs/nfs-server.hq.example.com@HQ.EXAMPLE.COM

$ cat /etc/idmapd.conf 
[General]
Domain=hq.example.com
Verbosity=10
[Mapping]
Nobody-User=guest
Nobody-Group=users
[Translation]
Method=nsswitch
GSS-Methods=static,synomap
[Static]

$ cat /etc/nsswitch.conf
passwd:     files ldap winbind
shadow:     files ldap winbind
group:      files ldap winbind
osts:      files dns wins
bootparams: files
ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files
netgroup:   files
publickey:  nisplus
automount:  files
aliases:    files

Конфигурация клиента

$ automount -s
Mount point: /home
source(s):
  instance type(s): sss 
  map: auto.home
  * | -fstype=nfs4,rw,sec=krb5,soft,rsize=8192,wsize=8192 nfs-server.hq.example.com:/volume1/shared_homes/&

$ df
nfs-server.hq.example.com:/volume1/shared_homes/ldapuser1 11609721368 2208608120 9400994464  20% /home/ldapuser1

$ cat /etc/idmapd.conf
[General]
Domain=hq.example.com


$ cat /etc/nsswitch.conf
passwd:     files sss
shadow:     files sss
group:      files sss
hosts:      files dns myhostname
bootparams: nisplus [NOTFOUND=return] files
ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files sss
netgroup:   files sss
publickey:  nisplus
automount:  files sss
aliases:    files nisplus
sudoers: files sss

$ cat /etc/sysconfig/nfs | egrep -v "^#"
RPCNFSDARGS=""
RPCMOUNTDOPTS=""
STATDARG=""
SMNOTIFYARGS=""
RPCIDMAPDARGS=""
RPCGSSDARGS="-vvv"
GSS_USE_PROXY="yes"
RPCSVCGSSDARGS="-vvv"
BLKMAPDARGS=""
SECURE_NFS=yes

ЖУРНАЛ Сервер

Aug 18 18:50:59 nfs-server idmapd[14622]: nfsdcb: authbuf=gss/krb5 authtype=user
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_uid_to_name: calling nsswitch->uid_to_name
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_uid_to_name: nsswitch->uid_to_name returned 0
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_uid_to_name: final return value is 0
Aug 18 18:50:59 nfs-server idmapd[14622]: Server : (user) id "1173000004" -> name "ldapuser1@hq.example.com"
Aug 18 18:50:59 nfs-server idmapd[14622]: nfsdcb: authbuf=gss/krb5 authtype=group
Aug 18 18:50:59 nfs-server idmapd[14622]: nfs4_gid_to_name: calling nsswitch->gid_to_name
Aug 18 18:51:00 nfs-server idmapd[14622]: nfs4_gid_to_name: nsswitch->gid_to_name returned 0
Aug 18 18:51:00 nfs-server idmapd[14622]: nfs4_gid_to_name: final return value is 0
Aug 18 18:51:00 nfs-server idmapd[14622]: Server : (group) id "1173000004" -> name "ldapuser1@hq.example.com"

Обратите внимание, что сопоставления, похоже, запрашиваются для правильного пользователя / домена. Однако в журнале я также нашел много ссылок на сопоставления root@hq.example.com и guest@hq.example.com.

LOGS Клиент

aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: key: 0x274d13a5 type: uid value: ldapuser1@hq.example.com timeout 600
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nfs4_name_to_uid: calling nsswitch->name_to_uid
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nss_getpwnam: name 'ldapuser1@hq.example.com' domain 'hq.example.com': resulting localname 'ldapuser1'
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nfs4_name_to_uid: nsswitch->name_to_uid returned 0
aug 18 18:50:59 client1.hq.example.com nfsidmap[2118]: nfs4_name_to_uid: final return value is 0
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: key: 0x3e28949 type: gid value: ldapuser1@hq.example.com timeout 600
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: nfs4_name_to_gid: calling nsswitch->name_to_gid
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: nfs4_name_to_gid: nsswitch->name_to_gid returned 0
aug 18 18:50:59 client1.hq.example.com nfsidmap[2120]: nfs4_name_to_gid: final return value is 0

Замечания и вопросы

Наиболее частой причиной неправильного отображения в этих случаях, по-видимому, является отсутствие или несогласованность Domain установка в idmapd.conf с обеих сторон. Здесь он правильно установлен с обеих сторон
Это работает, если я использую статические сопоставления, то есть 1) создаю локальные ldapuser1 на сервере 2) добавьте запись в [Статический] в idmapd.conf, что говорит ldapuser1@HQ.EXAMPLE.COM=ldapuser1. Однако цель не в этом.
Очевидно, что сервер Synology не является Fedora / RedHat, поэтому он не является идеальным компаньоном для FreeIPA. В частности, он пропускает SSSD. Тем не менее, я думаю, это должно сработать.

Я полностью застрял на этом этапе. Я даже не знаю, куда обратиться за помощью. Служба поддержки Synology утверждает, что это должен работай. По словам разработчиков freeIPA, это даже не по теме, потому что это касается не FreeIPA, а «всего лишь» NFS & co. Это спорно, как способ все эти технологии связаны и используемого freeIPA специфичны.

В любом случае, я уже не знаю, на что смотреть. Вот почему я спрашиваю здесь, надеясь, что кто-то может заставить меня сделать еще хоть какой-то шаг вперед. Любые предположения более чем приветствуются!

После сеанса поддержки Synology я наконец понял, что в настоящий момент это не может работать из-за ограничений DSM 5.2.

Проблема в том, что DSM предполагает, что сервер LDAP использует Схема UMich, который специфичен для NFS, поэтому ищет атрибут GSSAuthName когда поступает запрос GSS. Вместо этого FreeIpa хранит участников Kerberos в LDAP, и для каждого участника Kerberos всегда есть krbPrincipalName атрибут доступен.

Не находя GSSAuthName, DSM сопоставляет каждый запрос с nobody.

Я отправил в Synology запрос функции, чтобы использовать SSSD для правильной обработки сопоставления идентификаторов.

А пока я прибегал к sec=sys. Примечание. Убедитесь, что флажок «Включить смещение UID / GID» в Synology LDAP снят!