我们正在使用4.3.11-Ubuntu带有Windows Active Directory Users and ComputersMMC 控制台的 samba Acitve Directory (AD) 版本。文件服务器（附加到域）是Ubuntu 14.04.6 LTS. 在这种情况下，用户通过 NFS 进行连接。
当用户创建目录 ( mkdir ./testdir) 或创建文件 ( touch testfile) 时，目录和文件都显示为该组拥有，domain users而不是作为主要组列出MS AD Users and Computers的组（在本例中为“学生”。）
有没有办法确保以主组的所有权创建的新文件/目录？
我正在尝试为 AD 域的不同用户定义不同的登录 shell，如此处所述。目的是拒绝特定组的成员登录，同时允许他们进行 SSH 隧道。
下面是文件/etc/sssd/sssd.conf。MYDOMAIN.GLOBAL 是 AD 提供的默认域。下面的配置定义了一个测试域 MYDOMAIN_TEST.GLOBAL，它不在 AD 中，作为这些受限用户的域。（这只是一个用于测试的配置：稍后，在 MYDOMAIN_TEST.GLOBAL 域部分中，override_shell = /bin/zsh将被替换为override_shell = /sbin/nologin。）
[sssd]
domains = MYDOMAIN.GLOBAL,MYDOMAIN_TEST.GLOBAL
config_file_version = 2
services = nss, pam
[nss]
default_shell = /bin/bash
[domain/MYDOMAIN.GLOBAL]
ad_server = ad.mydomain.global
ad_domain = MYDOMAIN.GLOBAL
ldap_user_search_filter = (memberOf=CN=AdminsGroup,OU=Groups,DC=MYDOMAIN,DC=GLOBAL)
id_provider = ad
simple_allow_groups = [email protected]
override_shell = /bin/bash
[domain/MYDOMAIN_TEST.GLOBAL]
ad_server = ad.mydomain.global
ad_domain = MYDOMAIN.GLOBAL
ldap_user_search_filter = (memberOf=CN=LimitedGroup,OU=Groups,DC=MYDOMAIN,DC=GLOBAL)
id_provider = ad
simple_allow_groups = [email protected]
override_shell = /bin/zsh
MYDOMAIN.GLOBAL 的成员能够通过 SSH 登录，而 MYDOMAIN_TEST.GLOBAL 的成员则不能并得到“权限被拒绝，请重试”或“身份验证失败”错误。
sssd日志文件不显示任何错误。
这是为什么？
MYDOMAIN_TEST.GLOBAL 是否需要出现在 AD 中？如果是，是否有可能以某种方式绕过它并使用不同的“本地类别”用户配置 sss 来做我想做的事？
（注意：显然这可以用 nlscd 来完成，根据这个问题和另一个问题，但它需要一个 LDAP 服务器，并且将其配置为使用 AD 是另一种蠕虫。）
当我尝试执行时，su [email protected]我收到“用户不存在”消息。
[email protected] 存在于 Active Directory 中。我可以kinit [email protected]成功并得到一张票。以下是我执行的步骤：
realm join ADREALM.COM给出了“*成功注册领域的机器”。我可以在 Active Directory Computers 容器中看到 centos 主机名。我在哪里查找错误或调试此问题的步骤？
sssd.conf 内容：
[sssd]
domains = adrealm.com
config_file_version = 2
services = nss, pam
[domain/adrealm.com]
ad_server = adrealm.com
ad_domain = adrealm.com
krb5_realm = ADREALM.COM
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
debug_level = 3
我的 CentOS 7 机器已成功加入域 FOOBAR（由 验证realm list），以下是来自 AD（非本地）的用户的信息：
[root@centos7 ~]# id [email protected]
uid=5631533([email protected]) gid=5600513(domain [email protected])
groups=5600513(domain [email protected]),5631532([email protected])
UID 和 GID 是如何分配的？是否有可能以某种方式将它们映射到某个期望的值？
我被 Kerberos - sssd - AD 卡住了。我在 LinuxMint、Ubuntu 16.04 和 Debian 9 中尝试了很多东西，并进行了很多谷歌搜索。我总是得到相同的结果：
kinit username工作正常msktutil -u --computer-name $(hostname) --server ad-server.univ-fr看起来不错ldapsearch -Y GSSAPI工作正常但getent passwd -s sss username什么也不做id username！
我尝试使用非常简约的 Debian 9 发行版，其中包含、 、openssh-server和krb-5-user配置文件以及. 我没有改变，因为在 passwd、group、shadow 和 gshadow 上配置似乎是正确的。msktutilsssd/etc/sssd/sssd.conf/etc/krb5.conf/etc/nsswitchcompact sss
看起来 sss 从未被调用过。所以我没有找到任何可以帮助我跟踪错误的日志。我不知道我是否错过了包裹或其他东西。
我的问题：我怎样才能知道nsswitch它是如何工作的以及何时要求sssd查找 AD 用户名？
我有一个连接到在 Windows Server 2016 Datacenter Edition 上运行的 Active Directory (AD) 的 RHEL 7.4 机器的设置。Linux 机器与 AD 直接集成。
由于Unix 的身份管理 (IDMU) 和 NIS 服务器角色已从此版本的 Windows 中删除，因此解决方案是使用sssd自动生成 UID 和 GID 编号。
我无法理解自动生成的 GID 将如何映射到 Linux 机器上的实际组。
例如，如果用户john是LinuxGroupAD 中的成员并且已登录，并且应该映射到localgrpLinux 机器上的组，这将如何解决？如果自动生成的 GID 是 500 但在 Linux 机器上 GID 是 10，他将如何获得linuxgrp特权？localgrp
为了只对用户进行集中管理，我们不允许在 Linux 中直接添加用户，即在/etc/passwd.
谢谢。