web-dev-qa-db-ja.com

Ubuntu + AD;ドメインへの参加に失敗しました：マシンspnの設定に失敗しました：制約違反

Ubuntu12.04サーバーをActiveDirectoryに参加させようとしています。 sambaとkb5-userをインストールし、ADでマシンアカウントを作成し、次のことを行いました。

> net ads testjoin
Join is OK

ここまでは順調ですね。それから私は問題にぶつかった：

> Sudo net join -U myuser
Failed to join domain: failed to set machine spn: Constraint violation

私は管理者ではないので、Active Directoryサーバーで何かを変更するアクセス権がありません。このエラーを回避する方法はありますか？

ubuntuactive-directorykerberoswinbind
2
Jon Skarpeteig

また、winbinddが起動しないという同じ問題が発生しました。エントリはすでに/ etc/hostsにありましたが、/ etc/nsswitch.confを変更し、「ファイル」が最初に来るように順序を変更する必要がありました。

ホスト：mdns4_minimalファイルnis dns mdns4 myhostname

に

ホスト：ファイルmdns4_minimal nis dns mdns4 myhostname

2
Chuck Sittes

私はこの投稿が古いことを知っていますが、私はちょうど同じ問題に遭遇しました、そしてここに私が見つけたものがあります。ドメインにコンピューターを追加しようとしているが、「ドメイン管理者」アカウントを使用していない場合。委任されたアカウントの権利には、少なくとも次のものを含める必要があります。

-このオブジェクトとすべての子孫

•コンピュータオブジェクトを作成する

•コンピューターオブジェクトの削除

-子孫のコンピュータオブジェクト

•すべてのプロパティを読む

•すべてのプロパティを書き込む

•パスワードを変更する

•パスワードを再設定する

•DNSホスト名への検証済み書き込み

•サービスプリンシパルへの検証済み書き込み

お役に立てば幸いです。

5
Tom Sahaida

本番Solaris sambaのアップグレード中にこのエラーに遭遇し、同時に別のADドメインに移動した。古いドメインのオブジェクトを削除しましたが、sambaに古いドメインを離れるように指示していませんでした。 「ドメインからの離脱に失敗しました：ADに接続できませんでした：要求されたレルムのKDCに接続できません」と表示されていても、解決策は「ネット広告の離脱」を試みていました。ただし、sambaで何かがクリアされたはずであり、新しいドメインに参加することができました。

Samba 3からsamba 4へのこのアップグレードで経験したいくつかの便利な点に注意してください。

  • Passwdのnsswitchでwinbindを使用すると、「/ etc/nsswitch.confでサポートされていない構成が検出されました」というエラーでパスワードを変更する際にいくつかの問題が発生しました

  • ローカルのUnixアカウントとsambaユーザーマップを使用すると、passwdまたはgroup（または任意の場所）のnsswitchにwinbindは必要ありませんでした。実際、nsswitchでwinbindを使用した場合、/ etc/systemに「set ngroups_max =」を追加（および再起動）しなければなりません。それよりも多くのグループを列挙した場合にもパニックになります。

  • Fqdn以外のホスト名を使用してドメイン間のSamba共有にアクセスすると、NT_STATUS_NO_SUCH_USERで失敗します。解決策は、ファイルの後、nsswitchのDNSの前にホストに[NOTFOUND = continue]を追加することでした。つまり、「hosts：files [NOTFOUND = continue] dns」

これらはおそらくまれですが、私たちが経験したことを共有したいと思います。

1
Ike

同じ問題が発生しました.../etc/hostsにエントリを追加する必要がありました。

したがって、最初のエントリはIPである必要があり、2番目は参加するドメインの完全修飾ドメイン名である必要があり、残りは任意の順序にすることができます。

0
Hil Palmer

Sssd認証を使用してマシンをセットアップしようとしたときに、この問題が発生しました。私の一生の間、私はそれを機能させることができませんでした。私はドメイン管理者の資格情報を使用しており、おそらくすでに12のホストで機能していたスクリプトを使用していました。

そこで、ドメインサーバーにログインし、階層を調べてマシン名のインスタンスを探しました。私はそれらを削除し（「Host-N55A1B」のように、かなり変わった外観のエントリもあり、それらも削除しました）、Linuxに戻ってkinitを再試行しました。

働いた。

0
Mike S