Les modifications de l'appartenance aux groupes AD ne sont pas reflétées dans les informations de winbind

Il semble que cela a été causé par des informations de groupe mises en cache au moment de la connexion dans /var/cache/samba/netsamlogon_cache.tdb. Je suppose que même si '-n' a instruit winbind de ne pas mettre en cache ses requêtes contre LDAP, la présence des informations d'adhésion dans ce fichier TDB était suffisante pour perturber les choses.

Ma seule pensée, et c'est une pensée très vague, est qu'il pourrait avoir quelque chose à voir avec la communication avec votre Infrastructure Master (qui est responsable de la mise à jour des appartenances aux groupes à travers les domaines).

J'ai eu une expérience similaire avec les packages samba/winbind de base de RHEL. Il a été mon expérience que winbind de RHEL est un peu louche. Ce que j'ai observé, c'est qu'une fois qu'un utilisateur s'est authentifié, son appartenance à un groupe serait mise à jour avec précision, mais à part ça, aucun changement dans l'appartenance à un groupe ne serait jamais visible. Ce n'est pas une solution optimale, en particulier si vous retirez un utilisateur d'un groupe qui lui accorderait l'accès à la machine, car cela lui donne effectivement une dernière connexion qu'il ne devrait pas avoir. Cela peut ou non refléter exactement votre situation, car j'ai aussi souffert de ne pas voir les membres du groupe AD lors de l'exécution de getent group (cela ressemblerait simplement à un groupe sans membres, même si groups nomdutilisateur les montrait comme un membre du groupe), mais il semble que cela fonctionne pour vous.

Ce qui a résolu le problème pour moi a été d'installer la distribution "testée" des RPMs depuis enterprisesamba.org. Les changements d'appartenance à un groupe ont immédiatement été visibles, quel que soit les paramètres de cache de winbind. Aucun changement de configuration requis, MAIS si vous mappez les utilisateurs et groupes AD avec une table idmap locale, installer les nouveaux RPMs remappera très probablement complètement vos identifiants numériques de groupe et d'utilisateur, alors préparez-vous à cela (sauvegardez votre sortie de getent group and getent passwd dans un fichier avant la mise à niveau pour avoir une référence pour corriger la propriété des fichiers).

J'ai eu quelque chose de similaire. Pour résoudre le problème, j'ai exécuté "authconfig --disablecache --update". Bien sûr, cela a ralenti les connexions.

J'ai eu le même problème ici, et j'ai trouvé ce lien (https://marcinm.co.uk/group-membership-not-updating-in-winbind/) qui explique en détail ce qui se passe. En suivant les étapes et en supprimant les enregistrements du cache, mon problème a été résolu.

Au revoir