Linux CIFS mount mit Kerberos

[Tobias P. (hubertus)]

Hallo Leute
ich habe einen Linuxrechner, wo sich mehrere Personen einloggen können. 
Die authentifizieren sich über ein Active Directory und können sich so 
einloggen. Das funktioniert alles super.

Jetzt gibt es noch ein NAS, welches auch im Active Directory eingebunden 
ist, und auf das alle User zugreifen können. Ich habe mir jetzt schon 
einen Wolf gegoogled, aber ich finde keine brauchbaren Infos (weil ich 
wohl nach den falschen Begriffen suche):

WIE soll ich das NAS einbinden? am liebsten möchte ich es unter 
/storage/nas mounten, dort können dann alle User zugreifen. Hintergrund 
ist der, dass die User auf dem persönlichen PC z.B. Skripts und so 
weiter laufen lassen und das NAS ist dort unter diesem Pfad gemounted. 
Da wäre es natürlich schön, wenn auf dem gemeinsamen Rechner das auch 
wieder am selben Ort ist. Ist dafür die CIFS-Option multiuser da?

Dann weiter: die Leute loggen sich ja schon mit ihrem Active Directory 
Benutzernamen und Passwort ein. Sollten die nicht in diesem Kerberos 
Dingens gespeichert werden? ich möchte nicht, dass die User extra 
nochmal Benutzernamen und Kennwort eingeben müssen, wenn sie auf das NAS 
zugreifen wollen. Das muss doch automatisch gehen?! nur wie?


Grüsse
Tobias

[TestX (Gast)]

NFS und Kerberos Tickets..ob dein NAS das kann ist etwas anderes...

[Tobias P. (hubertus)]

Hey,
weiss jemand weiter? ich habe folgendes noch herausgefunden:

In meiner fstab habe ich folgendes drin

//server/share /storage cifs vers=3.0,seal,multiuser,sec=ntlmsspi,credentials=/etc/credentials

Das bindet mit einem dummy Account das share ein. Wenn sich auf dem 
Rechner ein AD-User einloggt, dann kann er auf /storage nicht zugreifen 
("permission denied"). Wenn der user aber dann cifscreds ausführt

cifscreds -u username@domain server

dann funktioniert der Zugriff! Jetzt habe ich gesehen, dass es 
PAM_cifscreds gibt, was eigentlich diesen Job übernehmen sollte. 
Tatsächlich wird beim Einloggen ein Eintrag im Keyring gemacht:

Session Keyring
0x23416af7 --alswrv  1089742435 1089600513  keyring: _ses
0x2c17550c --alswrv  1089742435 65534   \_ keyring: _uid.1089742435
0x38dfabca --alsw-v  1089742435 1089600513   \_ logon: cifs:d:domain
0x240bef75 --alsw-v  1089742435 1089600513   \_ logon: cifs:a:server

aber trotzdem funktioniert der Zugriff immer erst dann, wenn jeder user 
zuerst manuell cifscreds ausführt. Danach sieht der Keyring so aus

Session Keyring
0x23416af7 --alswrv  1089742435 1089600513  keyring: _ses
0x2c17550c --alswrv  1089742435 65534   \_ keyring: _uid.1089742435
0x38dfabca --alsw-v  1089742435 1089600513   \_ logon: cifs:d:omain
0x240bef75 ----sw-v  1089742435 1089600513   \_ logon: cifs:a:server

da wurde also auf der letzten Zeile was geändert, aber was? kann ich das 
mit PAM_cifscreds nicht auch?