表題の内容ですが、悩ましかったので備忘。記事は複数回に分けます。

Microsoft情報

↑Windows10 Enterpriseについては以下の記述があります。

Windows 10 Enterprise and Windows 10 Education no longer allow a user to connect to a remote share by using guest credentials by default, even if the remote server requests guest credentials.

このno longer allowとby defaultがどこにかかるのか悩ましいところ。以下の日本語版を読んでも解釈が難しい。

Windows 10 Enterprise と Windows 10 Education では、リモートサーバーがゲストの資格情報を要求した場合でも、ユーザーは既定でゲストの資格情報を使用してリモート共有に接続することができなくなりました。

結論として、当該のレジストリ値を入れてみても当方の環境(Windows 10 Enterprise 22H2 OS Build 19045.2965　w/ MSアカウント)ではゲストアクセスを有効にできませんでした。

ということで、色々やってみてゲストアクセスっぽくしてみた話です。
Sambaのデバッグログを見て色々と分かることもあったので書いておきます。

上述の情報などは後で調べて分かったことで、そもそもは、「Windows10 Proでゲストアクセス出来ているので、Windows10 Entでも出来るはず」、という思い込みから始まってます。

環境

samba-4.17.5-102.el9.x86_64
Red Hat Enterprise Linux release 9.2 (Plow)

以下smb.confの内容抜粋です。

[global]
	security = user
	map to guest = bad user
	
[share]
	path = /smb_share
	read only = No
	guest ok = Yes

※guest accountはデフォルト値: nobody
※/smb_shareはOwner:nobodyでパーミッションはrwx------

# grep nobody /etc/passwd
nobody:x:65534:65534:Kernel Overflow User:/:/sbin/nologin
# ls -ld /smb_share
drwx------. 2 nobody nobody 6  5月  8 02:09 /smb_share
#

Win10ProからのゲストアクセスはOKで、Win10EntからのゲストアクセスはNG。
以下のようなメッセージウィンドウです。

￥￥XXXXX￥share に対するアクセス許可がありません。ネットワーク管理者にアクセス許可を要求してください。

Sambaのデバッグログ出力

Sambaのログ内容が乏しいため、デバッグログを出させて違いを見ます。
/etc/sysconfig/sambaファイルのSMBDOPTIONSを以下のように編集します。Debugレベルは出してみないと分からないので最高の10で出しました。

- SMBDOPTIONS=""
+ SMBDOPTIONS="-d 10"

Sambaをリスタートします。

# systemctl restart smb
# systemctl status smb
● smb.service - Samba SMB Daemon
     Loaded: loaded (/usr/lib/systemd/system/smb.service; enabled; preset: disa>
     Active: active (running) since Tue 2023-05-20 18:47:25 JST; 41s ago
       Docs: man:smbd(8)
             man:samba(7)
             man:smb.conf(5)
   Main PID: 93360 (smbd)
     Status: "smbd: ready to serve connections..."
      Tasks: 3 (limit: 407656)
     Memory: 5.7M
        CPU: 39ms
     CGroup: /system.slice/smb.service
             ├─93360 /usr/sbin/smbd --foreground --no-process-group -d 10
             ├─93362 /usr/sbin/smbd --foreground --no-process-group -d 10
             └─93363 /usr/sbin/smbd --foreground --no-process-group -d 10

 5月 20 18:47:25 XXXXX smbd[93360]:   dsdb_password_audit: 10
 5月 20 18:47:25 XXXXX smbd[93360]:   dsdb_password_json_audit: 10
 5月 20 18:47:25 XXXXX smbd[93360]:   dsdb_transaction_audit: 10
 5月 20 18:47:25 XXXXX smbd[93360]:   dsdb_transaction_json_audit: 10
 5月 20 18:47:25 XXXXX smbd[93360]:   dsdb_group_audit: 10
 5月 20 18:47:25 XXXXX smbd[93360]:   dsdb_group_json_audit: 10
 5月 20 18:47:25 XXXXX smbd[93360]: [2023/05/20 18:47:25.598528,  0, pid=93360,>
#

ということでsmbdに-d 10が付いて、デバッグレベル10で再起動されました。
Win10ProとWin10Entでアクセスしてみて、違いを見ます。/var/log/samba/log.smbdに大量のログが吐かれます。もう少しデバッグレベルを落として見ると楽かもしれませんが、初回は多いに越したことはありません。

それぞれのOSからのアクセス

Win10Proだと、以下の通り"nobody"@"XXXXX"のアクセス。(XXXXXはSambaサーバー名)
SIDはWin10Pro側から7つ渡されています。
NT_STATUS_OKで、問題なくアクセス出来ます。ファイルも作れます。

:
:
                          info                     : *
                              info: struct auth_user_info
                                  account_name             : *
                                      account_name             : 'nobody'
                                  user_principal_name      : NULL
                                  user_principal_constructed: 0x00 (0)
                                  domain_name              : *
                                      domain_name              : 'XXXXX'
                                  dns_domain_name          : NULL
                                  full_name                : NULL
                                  logon_script             : NULL
                                  profile_path             : NULL
                                  home_directory           : NULL
                                  home_drive               : NULL
                                  logon_server             : NULL
                                  last_logon               : NTTIME(0)
                                  last_logoff              : NTTIME(0)
                                  acct_expiry              : NTTIME(0)
                                  last_password_change     : NTTIME(0)
                                  allow_password_change    : NTTIME(0)
                                  force_password_change    : NTTIME(0)
                                  logon_count              : 0x0000 (0)
                                  bad_password_count       : 0x0000 (0)
                                  acct_flags               : 0x00000000 (0)
                                  authenticated            : 0x00 (0)
                          unix_info                : *
                              unix_info: struct auth_user_info_unix
                                  unix_name                : *
                                      unix_name                : 'nobody'
:
:
  Security token SIDs (7):
    SID[  0]: S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501
    SID[  1]: S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-514
    SID[  2]: S-1-22-2-65534
    SID[  3]: S-1-1-0
    SID[  4]: S-1-5-2
    SID[  5]: S-1-5-32-546
    SID[  6]: S-1-22-1-65534
   Privileges (0x               0):
   Rights (0x               0):
:
:
  smbd_check_access_rights_sd: File [.] requesting [0x100081] returning [0x100001] (NT_STATUS_OK)
:
:

Win10Entは以下の通りで、"ANONYMOUS LOGON"@"NT AUTHORITY"でアクセスしに来てます。
ローカルアカウントじゃないってのも影響しているかもしれませんが、これは当方の制約でローカルアカウントは使用出来ず、MSアカウントでのログオンのままゲストアクセスさせたいのです。

で、次にSID。
Win10Proは7つでしたが、Win10Entは5つ渡っています。

そしてNT_STATUS_ACCESS_DENIED。

どうやらこの5つのSIDが評価されて、最終的に以下の3つが引っかかってNGのようです。
1: SEC_DESC_DACL_PRESENT
1: SEC_DESC_DACL_PROTECTED
1: SEC_DESC_SELF_RELATIVE

owner_sidはS-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501とのことで、Win10Proでは一番最初に渡されてますが、Win10Entから渡っているSIDには存在しません。
Sambaの内部的にこのSIDがguest accountと紐付いていて、Win10Ent側からこのSIDが渡されないことにより、最終的にアクセスが拒否されていると考えられます。

これは当方の環境では、上述のMSページに記載のレジストリ値を手動で入れても変わらずでした。

:
:
                          info                     : *
                              info: struct auth_user_info
                                  account_name             : *
                                      account_name             : 'ANONYMOUS LOGON'
                                  user_principal_name      : NULL
                                  user_principal_constructed: 0x00 (0)
                                  domain_name              : *
                                      domain_name              : 'NT AUTHORITY'
                                  dns_domain_name          : NULL
                                  full_name                : *
                                      full_name                : 'Anonymous Logon'
                                  logon_script             : *
                                      logon_script             : ''
                                  profile_path             : *
                                      profile_path             : ''
                                  home_directory           : *
                                      home_directory           : ''
                                  home_drive               : *
                                      home_drive               : ''
                                  logon_server             : *
                                      logon_server             : 'XXXXX'
                                  last_logon               : NTTIME(0)
                                  last_logoff              : NTTIME(0)
                                  acct_expiry              : NTTIME(0)
                                  last_password_change     : NTTIME(0)
                                  allow_password_change    : NTTIME(0)
                                  force_password_change    : NTTIME(0)
                                  logon_count              : 0x0000 (0)
                                  bad_password_count       : 0x0000 (0)
                                  acct_flags               : 0x00000010 (16)
                                  authenticated            : 0x00 (0)
                          unix_info                : *
                              unix_info: struct auth_user_info_unix
                                  unix_name                : *
                                      unix_name                : 'nobody'
:
:
  Security token SIDs (5):
    SID[  0]: S-1-5-7
    SID[  1]: S-1-1-0
    SID[  2]: S-1-5-2
    SID[  3]: S-1-22-1-65534
    SID[  4]: S-1-22-2-65534
   Privileges (0x               0):
   Rights (0x               0):
:
:
  smbd_check_access_rights_sd: File [.] requesting [0x100080] returning [0x100000] (NT_STATUS_ACCESS_DENIED)
:
:
       sd: struct security_descriptor
          revision                 : SECURITY_DESCRIPTOR_REVISION_1 (1)
          type                     : 0x9004 (36868)
                 0: SEC_DESC_OWNER_DEFAULTED 
                 0: SEC_DESC_GROUP_DEFAULTED 
                 1: SEC_DESC_DACL_PRESENT    
                 0: SEC_DESC_DACL_DEFAULTED  
                 0: SEC_DESC_SACL_PRESENT    
                 0: SEC_DESC_SACL_DEFAULTED  
                 0: SEC_DESC_DACL_TRUSTED    
                 0: SEC_DESC_SERVER_SECURITY 
                 0: SEC_DESC_DACL_AUTO_INHERIT_REQ
                 0: SEC_DESC_SACL_AUTO_INHERIT_REQ
                 0: SEC_DESC_DACL_AUTO_INHERITED
                 0: SEC_DESC_SACL_AUTO_INHERITED
                 1: SEC_DESC_DACL_PROTECTED  
                 0: SEC_DESC_SACL_PROTECTED  
                 0: SEC_DESC_RM_CONTROL_VALID
                 1: SEC_DESC_SELF_RELATIVE   
          owner_sid                : *
              owner_sid                : S-1-5-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-501
          group_sid                : *
              group_sid                : S-1-22-2-65534
          sacl                     : NULL
          dacl                     : *
:
:

次回"ANONYMOUS LOGON"ってユーザーを作ったら、に続く。

//