如何自动化将Linux容器加入Samba域（避免明文存储管理员密码）

看起来你已经挖到了域加入流程的核心本质——Samba主机要加入域，关键是客户端和DC同步机器账号密码，而且你已经避开了明文存储管理员密码的坑，非常棒！结合你提到的tdbtool和samba-tool的方法，我来把这个自动化流程梳理得更落地，完全适配你用的Samba 4.17.12-Debian环境：

核心思路 #

我们绕开需要管理员密码的net ads join，直接操作Samba的底层存储和DC的机器账号密码系统，核心是两步：

1. 在客户端生成随机机器密码，写入Samba的秘密数据库
2. 在DC上更新对应机器账号的密码哈希（DC只会存储哈希，不会保留明文密码）

具体操作步骤 #

1. 在待加入域的客户端容器上执行

首先生成一个强随机的机器密码，然后用tdbtool把它写入客户端的secrets.tdb——这是Samba识别机器身份的核心存储：

# 生成12位的强随机密码（可根据需求调整长度）
MACHINE_PASSWORD=$(openssl rand -base64 12)
# 替换成你的实际工作组名（注意：是工作组名，不是AD realm）
DOMAIN=YOUR_WORKGROUP_NAME

# 用tdbtool写入secrets.tdb
tdbtool /var/lib/samba/private/secrets.tdb <<EOF
insert SECRETS/MACHINE_PASSWORD/$DOMAIN "$MACHINE_PASSWORD"
quit
EOF

# 确保文件权限正确（Samba需要读写权限）
chown root:sambashare /var/lib/samba/private/secrets.tdb
chmod 600 /var/lib/samba/private/secrets.tdb

2. 在Samba域控制器（DC）容器上执行

用samba-tool更新对应机器账号的密码哈希。机器账号的格式是客户端主机名+$（比如你的客户端叫client1，账号就是client1$）：

# 替换成客户端的主机名和刚才生成的机器密码
CLIENT_HOSTNAME=client1
MACHINE_PASSWORD="客户端生成的随机密码"

# 更新DC上的机器账号密码哈希
samba-tool user setpassword --newpassword="$MACHINE_PASSWORD" ${CLIENT_HOSTNAME}$

后续补充配置（模拟完整域加入状态） #

光有机器密码还不够，你还需要配置客户端的Samba和Kerberos参数，让它能正常和域交互：

配置客户端的smb.conf

确保[global]段包含以下域成员配置：

[global]
    workgroup = YOUR_WORKGROUP_NAME
    realm = YOUR_AD_REALM.COM  # 比如EXAMPLE.COM，注意是AD realm
    security = ADS
    passdb backend = tdbsam
    kerberos method = secrets and keytab
    client use spnego = yes

配置客户端的krb5.conf

让Kerberos能正确找到DC的KDC服务：

[libdefaults]
    default_realm = YOUR_AD_REALM.COM
    dns_lookup_kdc = true
    dns_lookup_realm = true
    ticket_lifetime = 24h
    renew_lifetime = 7d

[realms]
    YOUR_AD_REALM.COM = {
        kdc = dc.your-ad-realm.com  # DC的主机名或IP
        admin_server = dc.your-ad-realm.com
    }

可选：生成机器Keytab

如果需要客户端用Kerberos认证服务，还可以生成机器keytab（不需要管理员密码，因为secrets.tdb里已经有机器密码了）：

net ads keytab create -k /var/lib/samba/private/secrets.keytab

自动化脚本思路 #

因为你有root权限到两台容器，可以把这些步骤整合成脚本，全程无明文密码落地：

1. 在客户端生成密码，暂存为环境变量（不写入磁盘）
2. 通过SSH把密码传递到DC执行samba-tool命令（避免密码出现在bash历史）
3. 自动配置客户端的smb.conf和krb5.conf

简化的脚本片段示例：

# 客户端执行
MACHINE_PASSWORD=$(openssl rand -base64 12)
DOMAIN=YOUR_WORKGROUP
CLIENT_HOSTNAME=$(hostname)

# 写入secrets.tdb
tdbtool /var/lib/samba/private/secrets.tdb <<EOF
insert SECRETS/MACHINE_PASSWORD/$DOMAIN "$MACHINE_PASSWORD"
quit
EOF

# 远程执行DC上的密码更新（假设DC的SSH地址是dc.example.com）
ssh root@dc.example.com "samba-tool user setpassword --newpassword='$MACHINE_PASSWORD' ${CLIENT_HOSTNAME}$"

为什么这比net ads join更安全？ #

• 全程不需要用到管理员的明文密码，彻底避免了密码泄露风险
• DC只存储机器密码的哈希，不会保留任何明文密码
• 客户端的机器密码仅暂存在内存（生成时）和权限严格的secrets.tdb中（只有root和sambashare组能读写）

备注：内容来源于stack exchange，提问作者M Conrad