MicrosoftからSID情報

以下は上記リンク先からの抜粋です。

まさに前回の記事でデバッグログから確認出来た、Win10Entからは渡されず、Win10Proから渡されているSIDです。

SID[ 0]: S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501
SID[ 1]: S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-514

やはりこのSIDがSambaに渡らない限りゲストアクセスとして扱われない、ってことでしょうか。

SIDを調べる

今回デバッグログに出力されているSIDを順に上記の情報と紐付けると以下の状況。

Win10Pro
S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501　上述Guest
S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-514　上述Domain Guests
S-1-22-2-65534　記載無し不明
S-1-1-0　World、全てのユーザーを含む
S-1-5-2　Network、ビルトイングループ
S-1-5-32-546　Guests、ビルトイングループ
S-1-22-1-65534　記載無し不明

お、ビルトイングループとしてのGuestsが渡されていましたね。

Win10Ent
S-1-5-7　Anonymous Logon
S-1-1-0　World、全てのユーザーを含む(Win10Proにも存在)
S-1-5-2　Network、ビルトイングループ(Win10Proにも存在)
S-1-22-1-65534　記載無し不明(Win10Proにも存在)
S-1-22-2-65534　記載無し不明(Win10Proにも存在)

こちらはSIDとしてAnonymous Logonが渡っています。
これによってSambaはANONYMOUS LOGONと認識していたのですね。

識別子機関(Identifier authority)が22のSIDはMSの情報からは見つかりません。
が、見覚えのある末尾65534という数字。
Winbindで検索します。

まずはインストールから。

# dnf install samba-winbind-clients
サブスクリプション管理リポジトリーを更新しています。
メタデータの期限切れの最終確認: 2:51:34 前の 2023年05月21日 12時45分13秒 に実施しました。
依存関係が解決しました。
============================================================================================================================
 パッケージ                      アーキテクチャー バージョン               リポジトリー                               サイズ
============================================================================================================================
インストール:
 samba-winbind-clients           x86_64           4.17.5-102.el9           rhel-9-for-x86_64-appstream-rpms            82 k
依存関係のインストール:
 python3-samba-dc                x86_64           4.17.5-102.el9           rhel-9-for-x86_64-baseos-rpms              346 k
 samba-winbind                   x86_64           4.17.5-102.el9           rhel-9-for-x86_64-baseos-rpms              421 k
 samba-winbind-modules           x86_64           4.17.5-102.el9           rhel-9-for-x86_64-baseos-rpms               65 k
弱い依存関係のインストール:
 samba-tools                     x86_64           4.17.5-102.el9           rhel-9-for-x86_64-baseos-rpms               26 k

トランザクションの概要
============================================================================================================================
インストール  5 パッケージ

ダウンロードサイズの合計: 939 k
インストール後のサイズ: 3.2 M
これでよろしいですか? [y/N]: y
パッケージのダウンロード:
(1/5): samba-winbind-4.17.5-102.el9.x86_64.rpm                                              1.3 MB/s | 421 kB     00:00    
(2/5): samba-tools-4.17.5-102.el9.x86_64.rpm                                                116 kB/s |  26 kB     00:00    
(3/5): samba-winbind-modules-4.17.5-102.el9.x86_64.rpm                                       52 kB/s |  65 kB     00:01    
(4/5): python3-samba-dc-4.17.5-102.el9.x86_64.rpm                                           235 kB/s | 346 kB     00:01    
(5/5): samba-winbind-clients-4.17.5-102.el9.x86_64.rpm                                       37 kB/s |  82 kB     00:02    
----------------------------------------------------------------------------------------------------------------------------
合計                                                                                        344 kB/s | 939 kB     00:02     
トランザクションの確認を実行中
トランザクションの確認に成功しました。
トランザクションのテストを実行中
トランザクションのテストに成功しました。
トランザクションを実行中
  準備             :                                                                                                    1/1 
  インストール中   : samba-winbind-modules-4.17.5-102.el9.x86_64                                                        1/5 
  インストール中   : python3-samba-dc-4.17.5-102.el9.x86_64                                                             2/5 
  インストール中   : samba-tools-4.17.5-102.el9.x86_64                                                                  3/5 
  scriptletの実行中: samba-winbind-4.17.5-102.el9.x86_64                                                                4/5 
  インストール中   : samba-winbind-4.17.5-102.el9.x86_64                                                                4/5 
  scriptletの実行中: samba-winbind-4.17.5-102.el9.x86_64                                                                4/5 
  インストール中   : samba-winbind-clients-4.17.5-102.el9.x86_64                                                        5/5 
  scriptletの実行中: samba-winbind-clients-4.17.5-102.el9.x86_64                                                        5/5 
  検証             : python3-samba-dc-4.17.5-102.el9.x86_64                                                             1/5 
  検証             : samba-winbind-4.17.5-102.el9.x86_64                                                                2/5 
  検証             : samba-winbind-modules-4.17.5-102.el9.x86_64                                                        3/5 
  検証             : samba-tools-4.17.5-102.el9.x86_64                                                                  4/5 
  検証             : samba-winbind-clients-4.17.5-102.el9.x86_64                                                        5/5 
インストール済みの製品が更新されています。

インストール済み:
  python3-samba-dc-4.17.5-102.el9.x86_64                       samba-tools-4.17.5-102.el9.x86_64                           
  samba-winbind-4.17.5-102.el9.x86_64                          samba-winbind-clients-4.17.5-102.el9.x86_64                 
  samba-winbind-modules-4.17.5-102.el9.x86_64                 

完了しました!
#

起動します。

# systemctl status winbind
○ winbind.service - Samba Winbind Daemon
     Loaded: loaded (/usr/lib/systemd/system/winbind.service; disabled; preset: disabled)
     Active: inactive (dead)
       Docs: man:winbindd(8)
             man:samba(7)
             man:smb.conf(5)
# systemctl start winbind
# systemctl status winbind
● winbind.service - Samba Winbind Daemon
     Loaded: loaded (/usr/lib/systemd/system/winbind.service; disabled; preset: disabled)
     Active: active (running) since Wed 2023-05-21 15:49:56 JST; 1s ago
       Docs: man:winbindd(8)
             man:samba(7)
             man:smb.conf(5)
   Main PID: 67436 (winbindd)
     Status: "winbindd: ready to serve connections..."
      Tasks: 4 (limit: 407656)
     Memory: 10.5M
        CPU: 488ms
     CGroup: /system.slice/winbind.service
             ├─67436 /usr/sbin/winbindd --foreground --no-process-group
             ├─67438 /usr/sbin/winbindd --foreground --no-process-group
             ├─67440 /usr/libexec/samba/samba-dcerpcd --libexec-rpcds --ready-signal-fd=23 --np-helper --debuglevel=0
             └─67451 /usr/libexec/samba/rpcd_lsad --configfile=/etc/samba/smb.conf --worker-group=1 --worker-index=5 --debu>

 5月 21 15:49:56 XXXX systemd[1]: Starting Samba Winbind Daemon...
 5月 21 15:49:56 XXXX winbindd[67436]: [2023/05/21 15:49:56.222426,  0] ../../source3/winbindd/winbindd.c:1440(main)
 5月 21 15:49:56 XXXX winbindd[67436]:   winbindd version 4.17.5 started.
 5月 21 15:49:56 XXXX winbindd[67436]:   Copyright Andrew Tridgell and the Samba Team 1992-2022
 5月 21 15:49:56 XXXX winbindd[67436]: [2023/05/21 15:49:56.229018,  0] ../../source3/winbindd/winbindd_cache.c:3116(initia>
 5月 21 15:49:56 XXXX winbindd[67436]:   initialize_winbindd_cache: clearing cache and re-creating with version number 2
 5月 21 15:49:56 XXXX systemd[1]: Started Samba Winbind Daemon.
#

検索します。

# wbinfo --lookup-sids S-1-22-1-65534
S-1-22-1-65534 -> <none>\nobody 1
# wbinfo --lookup-sids S-1-22-2-65534
S-1-22-2-65534 -> <none>\nobody 2
#

やはりnobodyでした。

"ANONYMOUS LOGON"ってユーザーを作ってみる

SIDとしてAnonymous Logonが渡されているのだから、RHEL9上に"ANONYMOUS LOGON"ってユーザーを作ってみてSamba上でguest accountに設定したらどうだろうか、と考えてみました。
想定では、Win10Ent側からゲストのSIDが渡らないのだから、アカウント名云々したってアクセス出来ないだろう、です。

先ずはユーザー作成から。「スペースを含んだユーザーってRHEL9上で作成出来るの？」って思いながらトライしてみたのでこちらも共有しておきます。
以下の通り--badnameオプションでいけますが、日本語のman pageには出てこないので注意です。

# useradd --badname -M -d / -s /sbin/nologin -u 65533 "ANONYMOUS LOGON"
useradd warning: ANONYMOUS LOGON's uid 65533 outside of the UID_MIN 1000 and UID_MAX 60000 range.
# groupmod -g 65533 "ANONYMOUS LOGON"
# getent passwd "ANONYMOUS LOGON"
ANONYMOUS LOGON:x:65533:65533::/:/sbin/nologin
#

vipwを使わないとダメかなぁ、と思ってましたが--badnameというオプションだったとは。
ちなみに、LegacyなコマンドですけどvipwやvigrはRHEL9でも使えます。またgroupaddコマンドではスペースの入ったグループは作れませんでした。それこそvigrですね。今回は上記の通り、useraddで無理やり作ってgroupmodでGIDを変更してます。UID及びGIDはnobodyの一つ手前の65533としています。

smb.confの[global]にguest account = ANONYMOUS LOGON行を追加し、/smb_shareのOwnerとGroupを"ANONYMOUS LOGON"に変更します。
以下smb.confの抜粋。

[global]
	security = user
	map to guest = bad user
	guest account = ANONYMOUS LOGON
[share]
	path = /smb_share
	read only = No
	guest ok = Yes

# ls -ld /smb_share
drwx------. 2 ANONYMOUS LOGON ANONYMOUS LOGON 6  5月  8 02:09 /smb_share
#

アクセステスト

アクセステストを行います。
想定通り、Win10ProからはアクセスOKで、Win10Entからはアクセス不可でした。
Win10Pro側から。

:
:
  Security token SIDs (7):
    SID[  0]: S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501
    SID[  1]: S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-514
    SID[  2]: S-1-22-2-65533
    SID[  3]: S-1-1-0
    SID[  4]: S-1-5-2
    SID[  5]: S-1-5-32-546
    SID[  6]: S-1-22-1-65533
   Privileges (0x               0):
   Rights (0x               0):
:
:

渡されるSIDに変化がありました。末尾の数字からおそらくANONYMOUS LOGONです。調べます。

# wbinfo --lookup-sids=S-1-22-1-65533,S-1-22-2-65533
S-1-22-1-65533 -> <none>\ANONYMOUS LOGON 1
S-1-22-2-65533 -> <none>\ANONYMOUS LOGON 2
#

予想通りでした。

次にWin10Entです。
渡っているSIDはやはり5つで、Win10Pro側と同じく末尾が65533に変化しています。
from cacheとなっていますが、最初ゲストSIDとしてパーミッション評価がされています。
SID=S-1-22-2-65533はグループとして評価されていますね。
この辺は前回のログにも出ていましたが明記しました。
最終的に、NT_STATUS_ACCESS_DENIEDです。

:
:
  Security token SIDs (5):
    SID[  0]: S-1-5-7
    SID[  1]: S-1-1-0
    SID[  2]: S-1-5-2
    SID[  3]: S-1-22-1-65533
    SID[  4]: S-1-22-2-65533
   Privileges (0x               0):
   Rights (0x               0):
:
:
  xid_to_sid: UID 65533 -> S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501 from cache
:
  xid_to_sid: GID 65533 -> S-1-22-2-65533 fallback
:
  canon_ace index 0. Type = allow SID = S-1-1-0 other SMB_ACL_OTHER ace_flags = 0x0 perms ---
:
  canon_ace index 1. Type = allow SID = S-1-22-2-65533 gid 65533 SMB_ACL_GROUP_OBJ ace_flags = 0x0 perms ---
:
  canon_ace index 2. Type = allow SID = S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501 uid 65533 SMB_ACL_USER_OBJ ace_flags = 0x0 perms rwx
:
  print_canon_ace_list: canonicalise_acl: ace entries after arrange  canon_ace index 0. Type = allow SID = S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501 uid 65533 SMB_ACL_USER_OBJ ace_flags = 0x0 perms rwx
:
  canon_ace index 1. Type = allow SID = S-1-22-2-65533 gid 65533 SMB_ACL_GROUP_OBJ ace_flags = 0x0 perms ---
:
  canon_ace index 2. Type = allow SID = S-1-1-0 other SMB_ACL_OTHER ace_flags = 0x0 perms ---
:
  smbd_check_access_rights_sd: File [.] requesting [0x100081] returning [0x100001] (NT_STATUS_ACCESS_DENIED):
:
:
       sd: struct security_descriptor
          revision                 : SECURITY_DESCRIPTOR_REVISION_1 (1)
          type                     : 0x9004 (36868)
                 0: SEC_DESC_OWNER_DEFAULTED 
                 0: SEC_DESC_GROUP_DEFAULTED 
                 1: SEC_DESC_DACL_PRESENT    
                 0: SEC_DESC_DACL_DEFAULTED  
                 0: SEC_DESC_SACL_PRESENT    
                 0: SEC_DESC_SACL_DEFAULTED  
                 0: SEC_DESC_DACL_TRUSTED    
                 0: SEC_DESC_SERVER_SECURITY 
                 0: SEC_DESC_DACL_AUTO_INHERIT_REQ
                 0: SEC_DESC_SACL_AUTO_INHERIT_REQ
                 0: SEC_DESC_DACL_AUTO_INHERITED
                 0: SEC_DESC_SACL_AUTO_INHERITED
                 1: SEC_DESC_DACL_PROTECTED  
                 0: SEC_DESC_SACL_PROTECTED  
                 0: SEC_DESC_RM_CONTROL_VALID
                 1: SEC_DESC_SELF_RELATIVE   
          owner_sid                : *
              owner_sid                : S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501
          group_sid                : *
              group_sid                : S-1-22-2-65533
:
:

ということでやはりゲストのSIDが渡らない限りはゲストアクセスにはならないようです。

そこで今度はsmbpasswdで"ANONYMOUS LOGON"をsambaユーザーとして登録すると・・・、なーんて頭を過りましたが、そうするともはやゲストアクセスでも何でもありませんのでやめました。

更に次回、このログを眺めていて気がついたこと、に続く。

//