Winbindグループの検索が痛々しいほど遅い

RHEL 6システムでwinbindを実行しています。グループ検索を除くすべてが正常に機能するため、多くのコマンド（などsudo）が非常に遅くなります。stracewinbindがすべてのグループと現在のユーザーの各グループ内のすべてのユーザーを検索することを示すものを行いました。これらのグループの一部には20000人以上のユーザーがいるため、単純なユーザーsudoは60秒で完了します。

私は本当にsudoコマンドを高速化することだけに関心があります。理想的なソリューションは次のいずれかです。

1. ユーザー数がXを超えるグループは検索されません。または
2. sudoはグループ検索をすべてバイパスします。

winbindの現在の「smb.conf」は次のとおりです。

workgroup = EXAMPLE
password server = AD1.EXAMPLE.ORG
realm = EXAMPLE.ORG
security = ads
idmap uid = 10000-19999
idmap gid = 10000-19999
idmap config EXAMPLE:backend = rid
idmap config EXAMPLE:range = 10000000-19999999
winbind enum users = no
winbind enum groups = no
winbind separator = +
template homedir = /home/%U
template shell = /bin/bash
winbind use default domain = yes
winbind offline logon = false

sudoをアップグレードした後、この同じ問題が発生し、Red Hatから、sudoがsudo-1.7.4p5-13.el6_3.x86_64からsudo-1.8.6p3-7.el6.x86_64に移行するときにグループメンバーシップ解決アルゴリズムを変更したことがわかりました。sudo-1.7.4では、/ etc / sudoersにリストされているすべてのグループのグループメンバーシップが解決され、リストにユーザー名が見つかった場合、sudo権限が付与されました。sudo-1.8.6では、これは別の方法に変更されました-sudoはユーザーがメンバーであるグループのリストをフェッチし、それらのグループのいずれかがsudoersにリストされているかどうかをチェックしました。

これにより、ユーザーがメンバーになっているすべてのグループに対してgetgrgid（）が実行されるため、一部のグループが大きい場合、これは非常に遅くなります。sudoをダウングレードするか、大きなグループを空のグループとしてローカルの/ etc / groupファイルに配置して、ADがそれらにアクセスしないようにすることができます（アクセス制御のためにLinuxシステムが大きなグループを参照していない場合）。

古いメソッド（1.7.xなど）は、グループプラグインによって元に戻すことができます。

Defaults group_plugin="system_group.so"

または、単に/etc/groupwinbindルックアップなどを使用しないように強制します。

Defaults group_plugin="group_file.so /etc/group"

ネストされたグループを無効にする winbind nested groups = false

または、「winbind expand groups = 0」を/etc/samba/smb.cnfファイルに追加します（ローカルルートアカウントに切り替えて、「/ etc / init.d / winbind stop; /etc/init.d/samba restart; /etc/init.d/winbind start "）

再起動後の最初のsudoには少し時間がかかる場合があります（ただし、あなたが経験しているような糖蜜ではありません）。それ以外の場合は、sudoコマンドにローカル管理者アカウントを使用するだけです（1つのローカルアカウントを作成する必要があるためです）。