Домен/Windows: различия между версиями

Материал из ALT Linux Wiki
(Новая страница: «{{Stub}} Использование домена для аутентификации компьютеров с Windows. = Заметки = == Не меняйте ...»)
 
Строка 16: Строка 16:
После этого команда <pre>pdbedit -L</pre> должна показать имена всех пользователей.
После этого команда <pre>pdbedit -L</pre> должна показать имена всех пользователей.


== Выдача административных привилегий ==
== Создание групп и выдача административных привилегий ==


1. Сначала нужно назначить пользователя-администратора. Для прав на выдачу привилегий у него должен быть uid равный 0. Тогда он может назначать привилегии через {{cmd|net rpc rights}}. Заведите временно пользователя в LDAP (например, admin), задайте ему пароль и поменяйте uidNumber так:
1. Сначала нужно назначить пользователя-администратора. Для прав на выдачу привилегий у него должен быть uid равный 0. Тогда он может назначать привилегии через {{cmd|net rpc rights}}. Заведите временно пользователя в LDAP (например, admin), задайте ему пароль и поменяйте uidNumber так:
  echo "uidNumber:0" | ldap-usermod replace admin
  echo "uidNumber:0" | ldap-usermod replace admin


2. В LDAP создайте группы через веб-интерфейс или из командной строки:
ldap-groupadd Admins
ldap-groupadd Users
ldap-groupadd Guests
ldap-groupadd Computers


2. В LDAP создайте группу (например, admins) через веб-интерфейс или из командной строки:
Эти группы понадобятся для привязки к группам домена согласно таблице:
ldap-groupadd admins
{|class="standard"
!Группа LDAP
!Группа Windows
!Идентификатор в Windows
|-
|{{term|Admins}}||{{term|Domain Admins}}||512
|-
|{{term|Users}}||{{term|Domain Users}}||513
|-
|{{term|Guests}}||{{term|Domain Guests}}||514
|-
|{{term|Computers}}||{{term|Domain Computers}}||515
|}


Добавьте туда пользователей через веб-интерфейс или из командной строки:
Добавьте туда пользователей через веб-интерфейс или из командной строки:
  echo 'memberUid:fill' | ldap-groupmod add admins
  echo 'memberUid:cas' | ldap-groupmod add Admins


3. Привяжите группу admins в LDAP
3. Привяжите группы LDAP к группам домена
  net groupmap add ntgroup="Domain Admins" unixgroup=admins rid=$(ldap-getent group admins gidNumber) type=d
  net groupmap add rid=512 ntgroup="Domain Admins" unixgroup=Admins
net groupmap add rid=513 ntgroup="Domain Users" unixgroup=Users
net groupmap add rid=514 ntgroup="Domain Guests" unixgroup=Guests
net groupmap add rid=515 ntgroup="Domain Computers" unixgroup=Computers


Проверка:
Проверка:
  # net groupmap list
  # net rpc group members 'Domain Admins' -Uadmin%12345
Domain Admins (S-1-5-21-1030826534-3966062986-1234182018-5003) -> admins
SCHOOL-5\cas


4. Выдайте привилегии для группы {{term|Domain Admins}}:
4. Выдайте привилегии для группы {{term|Domain Admins}}:
  net rpc rights grant "Domain Admins" SeMachineAccountPrivilege SePrintOperatorPrivilege \
  net rpc rights grant "Domain Admins" SeMachineAccountPrivilege SePrintOperatorPrivilege \
  SeAddUsersPrivilege SeDiskOperatorPrivilege SeRemoteShutdownPrivilege -Uadmin
  SeAddUsersPrivilege SeDiskOperatorPrivilege SeRemoteShutdownPrivilege -Uadmin%12345


Проверка (просмотр всех привилегий по группам):
Проверка (просмотр всех привилегий по группам):
Строка 45: Строка 65:


5. Чтобы не было коллизий с системным пользователем root, после операции по назначению группы и привилегий этого пользователя нужно удалить или поменять его UID на другой.
5. Чтобы не было коллизий с системным пользователем root, после операции по назначению группы и привилегий этого пользователя нужно удалить или поменять его UID на другой.
Литература: [http://www.opennet.ru/base/net/samba_pdc_slackware.txt.html]


= Ссылки =
= Ссылки =

Версия от 16:57, 16 октября 2012

Stub.png
Данная страница находится в разработке.
Эта страница ещё не закончена. Информация, представленная здесь, может оказаться неполной или неверной.


Использование домена для аутентификации компьютеров с Windows.

Заметки

Не меняйте имени сервера Samba — пропадут пользователи!

Так как при создании нового пользователя в домене для него прописывается SID, при смене имени сервера серверная часть SID меняется и пользователи со старыми SID уже недоступны, показывается примерно такое 

# pdbedit -L
sid S-1-5-21-694984405-1863599809-1435972588-11002 does not belong to our domain

При этом новые пользователи заводятся уже с правильным SID. Для исправления ситуации со старыми пользователями нужно выполнить следующий скрипт: 

nsid=$(net getlocalsid | cut -f2 -d: | tr -d ' ')
ldap-getent passwd \* uid SambaSID | sed 's/:.*-/ /' | while read u id;do echo "SambaSID:$nsid-$id" | ldap-usermod replace "$u";done

После этого команда 

pdbedit -L

должна показать имена всех пользователей.

Создание групп и выдача административных привилегий

1. Сначала нужно назначить пользователя-администратора. Для прав на выдачу привилегий у него должен быть uid равный 0. Тогда он может назначать привилегии через net rpc rights. Заведите временно пользователя в LDAP (например, admin), задайте ему пароль и поменяйте uidNumber так: 

echo "uidNumber:0" | ldap-usermod replace admin

2. В LDAP создайте группы через веб-интерфейс или из командной строки: 

ldap-groupadd Admins
ldap-groupadd Users
ldap-groupadd Guests
ldap-groupadd Computers

Эти группы понадобятся для привязки к группам домена согласно таблице:

Группа LDAP Группа Windows Идентификатор в Windows
Admins Domain Admins 512
Users Domain Users 513
Guests Domain Guests 514
Computers Domain Computers 515

Добавьте туда пользователей через веб-интерфейс или из командной строки: 

echo 'memberUid:cas' | ldap-groupmod add Admins

3. Привяжите группы LDAP к группам домена 

net groupmap add rid=512 ntgroup="Domain Admins" unixgroup=Admins
net groupmap add rid=513 ntgroup="Domain Users" unixgroup=Users
net groupmap add rid=514 ntgroup="Domain Guests" unixgroup=Guests
net groupmap add rid=515 ntgroup="Domain Computers" unixgroup=Computers

Проверка: 

# net rpc group members 'Domain Admins' -Uadmin%12345
SCHOOL-5\cas

4. Выдайте привилегии для группы Domain Admins: 

net rpc rights grant "Domain Admins" SeMachineAccountPrivilege SePrintOperatorPrivilege \
SeAddUsersPrivilege SeDiskOperatorPrivilege SeRemoteShutdownPrivilege -Uadmin%12345

Проверка (просмотр всех привилегий по группам): 

net rpc rights list accounts -Uadmin

Примечание: обратите внимание, что для заведения компьютера в домен нужно входить в группу с привилегией SeMachineAccountPrivilege.

5. Чтобы не было коллизий с системным пользователем root, после операции по назначению группы и привилегий этого пользователя нужно удалить или поменять его UID на другой.

Литература: [1]

Ссылки