# Land unter: Keine Anmeldung an allen Clients mehr möglich (lmn7) **URL:** \ **Category:** Linuxclient\ **Created:** [8. Oktober 2020 um 07:50 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312 "2020-10-08T07:50:32Z")\ **Posts on this page:** 20\ **Page:** 2
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [9. Oktober 2020 um 11:05 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/21 "2020-10-09T11:05:02Z")
Hallo Klaus, ich wollte das Problem bestimmt nicht herunterspielen: wir sind uns einig, dass das ein Mist ist. Dass man den Zusammenhang nicht sieht hab ich ja auch als ein großes Problem benannt. … deswegen ist es ja so wichtig, dass wir das Forum haben und ein paar Leute die als „Gedächtnis“ fungieren … „da war doch mal was …“. Also: ich nehme an, dass es daran liegt, dass der Rechnernamen des Vorlagenclients in der /etc/krb5.keytab drin steht. Nun müßte man zwei Dinge machen: 1. funktioniert die Anmeldung, wenn da der eigene Rechnernamen drin steht? 2. wenn dem so ist, dann muss in den postsync ein „suchen und ersetzen“ für den Rechnernamen in der krb5.keytab rein Und das wird tricky, weil wir keinen Marker haben … Man müßte also eine ganze Zeile erkennen und diese ersetzen … da muss halt jemand mal hinschauen. Und zu Stefans Anmerkung, dass man als Wechsler von der lmn6.2 sowas nicht kommen sieht: in der lmn6.2 gab es keien Domänenaufnahme für linuxclients: das war einfach sau einfach und mega robust. Wir haben viel versucht um diese Situation bei zu behalten: ging aber nciht. Bei samba 4 geht das so nicht mehr … glaub mir: ich hab da lange rumgenörgelt, aber irgendwann eingesehen: es geht nicht mehr. Und jetzt müssen wir die Kröte der gestiegenen Komplexität schlucken: und sie zwickt uns in den Hintern… bei Dualboot und jetzt auch hier, bei der krb5.keytab … LG Holger ---
**Author:** ![sedding](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/sedding/32/134_2.png) [@sedding](https://ask.linuxmuster.net/u/sedding)\ **Post date:** [9. Oktober 2020 um 19:40 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/22 "2020-10-09T19:40:11Z")
Hej, zu dem Komplexitätszuwachs von 6.2 auf 7 und der Notwendigkeit sag ich jetzt mal nichts. Ich würde aber gerne das Problem in Gänze verstehen. > [@baumhof](#): > > wir haben derzeit die Situation, dass im keyfile im image der Name des > Vorlagenclients steht. > Das sollte eigentlich nicht sein: ist aber derzeit so. > Solange das so ist, fliegen alle aus der Domäne, sobald man den > Vorlagenclient im AD löscht oder umbenennt. Ok. das verstehe ich. > [@lessi](#): > > Mein Fehler heute vormittag: Ich habe den Rechner, auf dem ich ursprünglich das linuxmuster-cloop-turnkey gemacht habe, gesynct (hatte inzwischen ein paar lokale Versuche gemacht und wollte ihn wieder sauber haben). Auch das führt offenbar dazu, dass alle Rechner mit diesem Image rausfliegen und ein neues Image brauchen. Das verstehe ich noch nicht. Wenn man den Rechner, mit der man der Domäne beigetreten ist, synct, steht doch weiterhin der richtige Name in der keytab-Datei? Unter welchen Umständen tritt das Problem auf? Bitte um genauere Erklärung. Das ist schon eine Falle, in die ich nicht treten möchte. Grüße Michael ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [9. Oktober 2020 um 20:23 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/23 "2020-10-09T20:23:04Z")
Hallo, > ``` > Mein Fehler heute vormittag: Ich habe den Rechner, auf dem ich > ursprünglich das linuxmuster-cloop-turnkey gemacht habe, gesynct > (hatte inzwischen ein paar lokale Versuche gemacht und wollte ihn > wieder sauber haben). Auch das führt offenbar dazu, dass alle > Rechner mit diesem Image rausfliegen und ein neues Image brauchen. > > ``` > > Das verstehe ich noch nicht. Wenn man den Rechner, mit der man der > Domäne beigetreten ist, synct, steht doch weiterhin der richtige Name in > der keytab-Datei? ja: beim syncen des Vorlagenclients passiert sowas nicht: das habe ich schon sehr oft gemacht. Ich kann also den ersten „Domänenverlußt“ von Stefan nciht erklären: nur den zweiten. LG Holger ---
**Author:** ![lessi](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/lessi/32/29_2.png) [@lessi](https://ask.linuxmuster.net/u/lessi)\ **Post date:** [10. Oktober 2020 um 10:33 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/24 "2020-10-10T10:33:17Z")
Hallo Holger, > [@baumhof](#): > > Ich kann also den ersten „Domänenverlußt“ von Stefan nciht erkläre Das ist es ja, was mich auch nervös macht: - Umbenennung Musterclient → Verlust Vertrauensstellung AD OK, verstanden, das habe ich mittags gemacht und das war ein Fehler. - Syncen Musterclient → Verlust Vertrauensstellung AD Das versteh ich nicht. Ich hab gerade nochmal nachgeschaut, die devices.csv wurde am Mittwoch abend geändert (neuen Drucker hinzugefügt, nichts am Musterclient) und am Donnerstag mittag (s.o.), dazwischen nicht. Am Donnerstag morgen bis ca. 8:30 Uhr haben die Rechner aber noch funktioniert… Wie gesagt, am Donnerstag morgen habe ich noch etwas an der CUPS-Konfiguration rumgemacht, dabei auch CUPS neu gestartet, und parallel den Musterclient gesynct. Beides ca. um 8:30 Uhr. Aber nochmal zum Verständnis des Ablaufs der Domänenaufnahme: - Wenn man linuxmuster-cloop-turnkey macht, wird der Musterclient sofort in die Domäne aufgenommen oder erst beim Neustart? - Wenn nicht sofort, erhält er dann einen Schlüssel „123XY“, mit dem er sich beim nächsten Neustart bei der Domäne melden kann? Wird dieser Schlüssel in der keytab zusammen mit dem Musterclientnamen gespeichert? - Können sich dann andere Clients mit dem Image des Musterclients ebenfalls mit dem Schlüssel „123XY“ und dem Namen des Musterclients bei der Domäne anmelden? Das würde erklären, warum alle aus dem AD rausfallen, wenn der Musterclient rausfällt. - Könnten sich diese Clients auch mit dem Schlüssel „123XY“ und einem anderen Namen (logischerweise ihrem richtigen) anmelden? In diesem Fall könnten wir ja die keytab postsyncen, indem wir nach dem Namen des Musterclients suchen (der müsste ja z.B. in der /etc/hosts drinstehen, bevor diese gepatcht wird) und in der keytab durch den Namen des zu patchenden Clients ersetzen, oder? Aber ich fürchte, der Mechanismus funktioniert nicht so einfach, wie ich mir das gerade ausgemalt habe… Grüße, Stefan ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [11. Oktober 2020 um 07:12 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/25 "2020-10-11T07:12:38Z")
> [@lessi](#): > > Syncen Musterclient → Verlust Vertrauensstellung AD Das habe ich schon oft (eigentlich immer, bevor ich ein neues Image mache) gemacht ohne Verlust der Vertrauensstellung. vG Stephan ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [11. Oktober 2020 um 12:27 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/26 "2020-10-11T12:27:42Z")
Hallo Holger, mein (Haupt)Musterclient ist an und für sich ein virtueller, mit dem ich auch den Domänenbeitritt gemacht habe. > [@baumhof](#): > > Deswegen rate ich: nimm einen Client mit dem du der Dom beitrittst und > lass ihn danach in Ruhe. Ich habe nicht vor den umzubenennen, aber auf ihm entstehen auch häufig die neuen Images. Ist das auch gefährlich? Sollte ich mir dafür einen zweiten Musterclient zulegen? Die festverkabelten Cients mit einem neuen Image zu versorgen ist ja mit überschaubarer Arbeit verbunden. Aufwendig wird’s mit den immer mehr werdenden mobilen Geräten: Meistens mache ich das im Technikraum, weil es da genügend Steckdosen über den Tischen gibt. Aber alle an einen Switch anschließen und sicherheitshalber auch ans Netzteil, das dauert und ist ärgerlich, wenn es nur dem kaputten Domänenbeitritt geschuldet ist. Viele Grüße Wilfried ---
**Author:** ![garblixa](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/garblixa/32/3306_2.png) [@garblixa](https://ask.linuxmuster.net/u/garblixa)\ **Post date:** [12. Oktober 2020 um 14:26 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/27 "2020-10-12T14:26:58Z")
Hallo Holger, danke für die Rückmeldung und Dein Verständnis! Ich denke die krb5.keytab kann man nicht einfach editieren. Wir haben in einem anderen Thema auch das Problem mit Windows- und Linuxclients auf einem PC und dem Verlust der Vertrauensstellung. In diesem Thread das Problem, wenn der PC, welcher in der krb5.keytab steht, umbenannt wird, oder wegkommt. Hier ist das auch verständlich, weil der sssd des Linuxclients mit dem Namen des nicht mehr vorhanden PCs beim AD anfrägt. Ich denke man müsste nur den PC Namen in der devices.csv stehen lassen, evtl. mit einer Dummy-MAC Adresse und das Problem wäre erledigt. Nicht erledigt ist dann das Dual-Boot Problem, wo das Image für Linux und Windows auf ein und demselben PC erstellt wird. Es gibt ja den Workaround diese Images auf separaten PCs zu machen. Generell stelle ich mir aber die Frage, wieso man für den Linux Client überhaupt einen Domänen Beitritt und Kerberos benötigt. Den SSSD kann man auch für LDAP statt AD konfigurieren. Mit pam\_mount werden dann auch die Samba Shares eingebunden. Leider komme ich mit meinen Tests im Moment nicht zu Ende, weil sich sssd auf Mint 20 mit einem Coredump verabschiedet, wenn ich diesem mit LDAP konfiguriere. Sonst könnte ich ein Beispiel liefern. Wenn es mit SSSD nicht klappt, so sollte es in jedem Fall mit winbind klappen. Die Konfiguration dazu liegt ja auch schon auf dem Server. Das nur als Anregung für andere Tester 🙂 Viele Grüße Klaus ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [12. Oktober 2020 um 19:09 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/28 "2020-10-12T19:09:09Z")
Hallo Klaus, > PCs beim AD anfrägt. Ich denke man müsste nur den PC Namen in der > devices.csv stehen lassen, evtl. mit einer Dummy-MAC Adresse und das > Problem wäre erledigt. das ist doch mal eine Feine Idee 🙂 … blöd ist halt, dass so ziemlich jeder einmal in diese Falle tappen wird … wir können das nur schlecht Dokumentieren (so dass es verstanden und befolgt wird) und im Vorhinein so ausliefern … geht auch schwer… > Generell stelle ich mir aber die Frage, wieso man für den Linux Client > überhaupt einen Domänen Beitritt und Kerberos benötigt. das wollten wir nicht: wir haben aber keinen anderen Weg gefunden. > Den SSSD kann > man auch für LDAP statt AD konfigurieren. Mit pam\_mount werden dann auch > die Samba Shares eingebunden. > Leider komme ich mit meinen Tests im Moment nicht zu Ende, weil sich > sssd auf Mint 20 mit einem Coredump verabschiedet, wenn ich diesem mit > LDAP konfiguriere. Sonst könnte ich ein Beispiel liefern. > Wenn es mit SSSD nicht klappt, so sollte es in jedem Fall mit winbind > klappen. Die Konfiguration dazu liegt ja auch schon auf dem Server. > > Das nur als Anregung für andere Tester 🙂 wenn du einen Weg findest, dann wäre ich dir sehr, sehr, sehr Dankbar! Ich würde das auch durchtesten 🙂 LG Holger ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [14. Oktober 2020 um 20:30 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/29 "2020-10-14T20:30:20Z")
Hallo Wilfried, > Ich habe nicht vor den umzubenennen, aber auf ihm entstehen auch häufig > die neuen Images. Ist das auch gefährlich? Sollte ich mir dafür einen > zweiten Musterclient zulegen? nein: das mach ich doch auch andauernd… LG Holger ---
**Author:** ![Sascha](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/s/41988e/32.png) [@Sascha](https://ask.linuxmuster.net/u/Sascha)\ **Post date:** [15. Oktober 2020 um 14:00 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/30 "2020-10-15T14:00:52Z")
Hallo Holger, nur das ich das richtig verstehe: braucht man den Client, mit dem man den Domänenbeitritt gemacht hat später noch für irgendwas ? Sonst schiene ja folgendes sinnvoll - virtuelle Maschine mit Win10 aufsetzen, Domänenbeitritt, Image schreiben, virtuelle Maschine löschen - virtuelle Maschine mit Linux aufsetzen, Domänenbeitritt, Image schreiben, virtuelle Maschine löschen Dann wäre auf jeden Fall sichergestellt, dass mit dem Musterclient kein Unfug passiert 😉 Gruß Sascha ---
**Author:** ![maxEG](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/maxeg/32/74_2.png) [@maxEG](https://ask.linuxmuster.net/u/maxEG)\ **Post date:** [15. Oktober 2020 um 14:51 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/31 "2020-10-15T14:51:00Z")
> [@Sascha](#): > > virtuelle Maschine mit Linux aufsetzen, Domänenbeitritt, Image schreiben, virtuelle Maschine löschen aber in der devices.csv lassen!!! ---
**Author:** ![Sascha](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/s/41988e/32.png) [@Sascha](https://ask.linuxmuster.net/u/Sascha)\ **Post date:** [15. Oktober 2020 um 16:32 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/32 "2020-10-15T16:32:07Z")
Ah okay. Mit einem dicken Kommentar obendrüber ## DOMÄNENBEITRITTSMUSTERCLIENT, DO NOT DELETE So werd ich’s machen 😉 ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [15. Oktober 2020 um 17:33 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/33 "2020-10-15T17:33:22Z")
> [@Sascha](#): > > virtuelle Maschine löschen Warum muss die gelöscht werden?? Kann sie nicht der Master bleiben?? ---
**Author:** ![Sascha](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/s/41988e/32.png) [@Sascha](https://ask.linuxmuster.net/u/Sascha)\ **Post date:** [15. Oktober 2020 um 17:48 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/34 "2020-10-15T17:48:10Z")
> Warum muss die gelöscht werden?? Kann sie nicht der Master bleiben?? Wenn ich diesen Thread richtig verstanden habe schon. Ich fand die Idee nur lustig, auf die Weise ganz sicher zu gehen… Gruß Sascha ---
**Author:** ![mcteefax](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/mcteefax/32/2185_2.png) [@mcteefax](https://ask.linuxmuster.net/u/mcteefax)\ **Post date:** [15. Oktober 2020 um 17:57 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/35 "2020-10-15T17:57:18Z")
Hallo zusammen, ein absolut wichtiges und heißes Thema hier. Jetzt kommt eine Steigerung: Bei uns sind die PCs über mehrere Gebäude verteilt und die Images werden von mehreren Personen gewartet. Dabei bekommen die allererste Grundversion von mir. Wenn nun ein anderer an einem anderen PC das Image aktualisiert, neu erstellt und hochlädt …? Welcher PC darf dann nicht mehr angefasst werden? Bisher sind wir so vorgegangen, dass ein geklonter PC vor dem aktualisieren neu gesynct wird. Nach der Aktualisierung wird das Image neu erstellt, hochgeladen und an die restlichen PCs im Raum verteilt. Immer wieder kommt es aber vor, dass danach die Vertrauensstellung fehlt. - Zumal manche Images in mehreren Räumen (aber gleiche Linbo-Gruppe) verwendet werden 😖 Könnte hier eine Fehlerquelle sein? Welche Vorgehensweise empfehlt ihr? Grüße McTeefax ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [15. Oktober 2020 um 19:22 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/36 "2020-10-15T19:22:45Z")
Hallo Sascha, > ``` > Warum muss die gelöscht werden?? Kann sie nicht der Master bleiben?? > > ``` > > Wenn ich diesen Thread richtig verstanden habe schon. er kann als ganz normaler Client verwendet werden: man darf ihn nur nicht aus der Devices.csv löschen, umbenennen oder Windows darauf anmelden. LG Holger ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [15. Oktober 2020 um 19:32 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/37 "2020-10-15T19:32:25Z")
> [@baumhof](#): > > er kann als ganz normaler Client verwendet werden: … nur nochmal, um ganz sicher zu gehen: man darf ihn auch synchronisiert neu starten? (für den Fall interessant, dass man am Master etwas installiert & ausprobiert hat und ihn dadurch zerschossen hat und dann neu aufsetzen muss…) ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [15. Oktober 2020 um 21:03 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/38 "2020-10-15T21:03:57Z")
Hallo, > ``` > er kann als ganz normaler Client verwendet werden: > > ``` > > … nur nochmal, um ganz sicher zu gehen: man darf ihn auch synchronisiert > neu starten? > > (für den Fall interessant, dass man am Master etwas installiert & > ausprobiert hat und ihn dadurch zerschossen hat und dann neu aufsetzen > muss…) ich kann nur sagen, dass ich das Produktiv seit einem Jahr. Mein Vorlagenclient ist ein virtueller. Den habe ich inzwischen wahrscheinlich schon 10 mal neu bespielt … Images habe ich aber auch von anderen Clients aus erstellt: nur die Domänenaufnahme war damals von dem virtuellen Client aus. LG Holger ---
**Author:** ![lessi](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/lessi/32/29_2.png) [@lessi](https://ask.linuxmuster.net/u/lessi)\ **Post date:** [16. Oktober 2020 um 05:30 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/39 "2020-10-16T05:30:03Z")
Hallo Holger, > [@baumhof](#): > > nur die Domänenaufnahme war damals von dem virtuellen Client aus heißt das, dass ich vor Erstellen eines überarbeiteten cloops gar kein erneutes turnkey machen muss? Das mache ich nämlich immer. Könnte das der Grund für einige Probleme sein? (mein „Donnerstagvormittagproblem“ sehe ich aber noch nicht als gelöst…) Grüße, Stefan ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [16. Oktober 2020 um 06:47 UTC](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312/40 "2020-10-16T06:47:10Z")
> [@lessi](#): > > heißt das, dass ich vor Erstellen eines überarbeiteten cloops gar kein erneutes turnkey machen muss? Nein, ist nicht nötig. [Vorherige Seite](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312.md?page=1) [Nächste Seite](https://ask.linuxmuster.net/t/land-unter-keine-anmeldung-an-allen-clients-mehr-moeglich-lmn7/6312.md?page=3)