HPUNIX Сайт о ОС и не только!

Samba и авторизация через Active Directory

14 октября 2008 - unix
Samba и авторизация через Active Directory

Используеться — kerberos, winbind, pam, samba
Вводные данные:
ns.domain — dns-имя домена (example.com)
master.ns.domain — наш домен-контроллера(DC) по полному доменному имени (ad.example.com)
samba.ns.domain — dns-имя нашей машины
Administrator — логин доменного администратора

Ставим ntpdate для синхронизации времени c DC(Domain Controller), это нужно для обыкновенной работы Kerberos
$ aptitude install ntpdate
настраиваем:

$ nano /etc/default/ntpdate

NTPSERVERS=»master.ns.domain»

— наш домен-контроллера(DC) по полному доменному имени (FQDN)
Запускаем синхронизацию в ручную:
$ ntpdate -s master.ns.domain
Навсякий случай смотрим что б у нас host’е было приписанно полное имя машины

Int?gration Domain Windows - Debian 6.0.1 - Configuration Samba - Part 4

$ nano /etc/hosts
IP samba.ns.domain localhost samba

Устанавливаем и настраиваем Kerberos:

$ aptitude install krb5-doc krb5-user krb5-config
в конце процеccа уcтановки, уcтановщик cпроcит у наc два параметра:

Samba и авторизация через Active Directory

What are the Kerberos servers for your realm?
имя Kerberos cервера для realm NS.DOMAIN (имя realm определено автоматичеcки)
[ master.ns.domain ]
What is the administrative server for your Kerberos realm?
имя cервера паролей для NS.DOMAIN Kerberos realm
[ master.ns.domain ]

на оба запроса вводим наш адрес домен-контроллера(DC)
Далее правим /etc/krb5.conf и приводим его к такому виду:

[libdefaults]
default_realm = EXAMPLE.COM (обязательно большими)
ticket_lifetime = 24000
clock_skew = 300
# The following krb5.conf variables are only for MIT Kerberos.
krb4_config = /etc/krb.conf
krb4_realms = /etc/krb.realms
kdc_timesync = 1

Transferindo Roles (FSMO) Windows 2008 para Samba AD

ccache_type = 4
forwardable = true
proxiable = true

# The following encryption type specification will be used by MIT Kerberos
# if uncommented. In general, the defaults in the MIT Kerberos code are
# correct and overriding these specifications only serves to disable new
# encryption types as they are added, creating interoperability problems.
#
# Thie only time when you might need to uncomment these lines and change
# the enctypes is if you have local software that will break on ticket
# caches containing ticket encryption types it doesn’t know about (such as
# old versions of Sun Java).

# default_tgs_enctypes = des3-hmac-sha1
# default_tkt_enctypes = des3-hmac-sha1
# permitted_enctypes = des3-hmac-sha1
# The following libdefaults parameters are only for Heimdal Kerberos.
v4_instance_resolve = false
v4_name_convert = {
host = {
rcmd = host
ftp = ftp
}
plain = {
something = something-else
}
}
fcc-mit-ticketflags = true

[realms]
EXAMPLE.COM = {
kdc = ad.example.com
admin_server = ad.example.com
}

[domain_realm]
.example.com = EXAMPLE.COM

Samba и авторизация через Active Directory
example.com = EXAMPLE.COM
[login]
krb4_convert = true
krb4_get_tickets = false

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5dc.log
admin_server = FILE:/var/log/ksadmind.log

Так же можно добавить несколько записий kdc,если это необходимо, так вторым kdc стопроцентно может быть вторичный контроллер домена Active Directory например kdc = ad1.example.com и тд.
Ни забываем создавать файлы логов:
$ touch /var/log/krb5libs.log
$ touch /var/log/krb5dc.log
$ touch /var/log/ksadmind.log

Проверяем, берем пользователя из AD:

$ kinit [email protected]
Password for [email protected]: *****
$ klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: [email protected]

Valid starting Expires Service principal
05/14/09 09:55:29 05/14/09 16:35:29 krbtgt/[email protected]
Kerberos Четыре ticket cache: /tmp/tkt0
klist: You have no tickets cached

Устанавливаем нужные пакеты далее:
$ aptitude install winbind samba
На данный момент настраиваем winbind, для этого правим файл /etc/samba/smb.conf.
$ nano /etc/samba/smb.conf

[global]
admin users=administrator
interfaces = eth0
log file = /var/log/samba/log.%m
log level = 1
socket options = TCP_NODELAY SO_SNDBUF=8192 SO_RCVBUF=8192
null passwords = true
encrypt passwords = yes
idmap uid = 10000-40000
idmap gid = 10000-40000
auth methods = winbind
name resolve order = hosts bcast lmhosts
case sensitive = no
dns proxy = no
server string = samba
password server = *
realm = EXAMPLE.COM
client use spnego = yes
client signing = yes
local master = no
domain master = no
preferred master = no
workgroup = EXEMPLE
debug level = 2
security = ads
unix charset = UTF-8
dos charset = 866
max log size = 50
os level = 0

wins server = IP_вашего_wins_сервера
follow symlinks = yes
winbind separator = \\
winbind enum groups = yes
winbind enum users = yes
winbind use default domain = yes
#======================= Share Definitions =======================
[data]
browseable = yes
writeable = yes
write list = @ EXAMPLE\Domain Admins
path = /home/data
create mask = 0664
comment = test share

Samba и авторизация через Active Directory
directory mask = 0777
Samba и авторизация через Active Directory
valid users = @EXAMPLE\Domain Admins
# используем двойные кавычки
[printers]
comment = All Printers
browseable = no
path = /var/spool/samba
printable = yes
guest ok = no
read only = yes
create mask = 0700

[print$]
comment = Printer Drivers
path = /var/lib/samba/printers
browseable = yes
read only = yes
guest ok = no

[cdrom]
comment = Samba server’s CD-ROM
read only = yes
locking = no
path = /cdrom
guest ok = yes

Проверяем конфигурацию SAMBA
$ testparm
Поcле редактирования /etc/samba/smb.conf, не забываем реcтарт samba+winbind
$ /etc/init.d/winbind stop && /etc/init.d/samba restart && /etc/init.d/winbind start
На данный момент пытаемся ввести нашу машинку в домен.

$ net ads join -U Administrator
Enter Administrator’s password: *****
Using short domain name — EXAMPLE
Joined ‘SRV’ to realm ‘example.com’
[14 Мая 2009 15:50:22, 0] libads/kerberos.c:ads_kinit_password(356)
kerberos_kinit_password [email protected] failed: Client not found in Kerberos database

Если у вас выдало такую ошибку значит, значит подключаемся используя параметр -S

$ net ads join -U administrator -S master.ns.domain(ad.example.com)
Enter administrator’s password: *****
Using short domain name — EXAMPLE
Joined ‘SAMBA’ to realm ‘example.com

Делаем reload winbind, чтобы он перечитал информацию о доменных юзерах и группах, поcле чего проверяем:
$ /etc/init.d/winbind force-reload
$ wbinfo -u (-g)

-u покажет cпиcки доменных юзеров
-g доменных групп
Настраиваем аутенфикацию, правим /etc/nsswitch.conf добавляя winbind
$ nano /etc/nsswitch.conf

passwd: compat winbind
group: compat winbind
shadow: compat winbind

Проверяем утилитой getent
$ getent passwd
показывает локальных пользывателей и так же cпиcок доменных
$ getent group
соответственно локальные группы или доменные

Samba и авторизация через Active Directory
Модифицируем PAM. Наcтраиваем cиcтемную аутенфикацию и авторизацию контроллером домена.
$ nano /etc/pam.d/common-account

account required pam_unix.so
account sufficient pam_winbind.so

$ nano /etc/pam.d/common-auth

auth sufficient pam_winbind.so
auth sufficient pam_unix.so nullok_secure use_first_pass

$ nano /etc/pam.d/common-password:

password sufficient pam_winbind.so
password required pam_unix.so nullok obscure min=4 max=8 md5

$ nano /etc/pam.d/common-session:

session required pam_unix.so
session required pam_mkhomedir.so skel=/etc/skel/ umask=0022

Все, на данный момент можно перегрузить linux-машину и опробовать доменную авторизацию.
Читаем еще:

  • SAMBA: аудит операций с файлами и контроль обращений
  • Proxy-сервер SQUID web-интерфейс для администрирования SAMS SAMS+REJIK с аунтентификацией по NTLM
  • SAMBA авторизация юзеров и раздельный доступ к ресурсам
  • Долгожданный релиз Samba 4.0 с поддержкой Active Directory
  • Управления пакетами в Debian/Ubuntu, малая шпаргалка

Похожие статьи

  • Установка Jabber сервера c авторизацией через AD

    Поднимаем свой собственный корпоративный jabber-сервер. Что очень комфортабельно для организации внутри компании независимой системы обмена сообщениями, исходя из убеждений безопасности и отказаустойчи...

  • SSH для обыденных смертных (авторизация по ключу)

    SSH авторизация по ключуПредставим себе что у нас имеются 10-ки (о, ужас сотки машин) и к каждой необходимо запоминать различные пароли, а ставить один и тот же пароль не рекомендуется исходя из убе...

  • Интеграция SAMBA и Active Directory

    Неплохого времени, читатели и гости! На данный момент на своем блоге желаю рассмотреть сервер SAMBA, как член домена Active Directory на Windows 200x. Желаю сказать, что сначала статья планировалась с т...

  • Установка и настройка сервера на базе Debian

    Эта статья не претендует на полный и расширенный howto, просто для собственного же удобства решил все свои заметки, записки соединить воедино и пользоваться как шпаргалкой, может быть будут вст...

  • Настраиваем bash под себя

    Открываем:$ nano ~/.bashrcНеплохой способ для просмотра списка ранее введенных команд в bash — имеется команда history.По умолчанию она выводит список команд лежащий в истории.По умолчанию его разме...

Теги:
Рейтинг: -1 Голосов: 89 2350 просмотров
Комментарии (0)

Нет комментариев. Ваш будет первым!

Найти на сайте: параметры поиска

Windows 7

Среда Windows 7 на первых порах кажется весьма непривычной для многих.

Windows 8

Если резюмировать все выступления Microsoft на конференции Build 2013.

Windows XP

Если Windows не может корректно завершить работу, в большинстве случаев это

Windows Vista

Если к вашему компьютеру подключено сразу несколько мониторов, и вы регулярно...