Домен/Windows: различия между версиями

Материал из ALT Linux Wiki
Нет описания правки
Строка 6: Строка 6:
'''Внимание!''' Данная инструкция позволяет настроить Samba в качестве NT Domain для аутентификации Windows XP. Использование Samba в качестве замены Active Direcory возможно после появления стабильной версии Samba 4.</div>
'''Внимание!''' Данная инструкция позволяет настроить Samba в качестве NT Domain для аутентификации Windows XP. Использование Samba в качестве замены Active Direcory возможно после появления стабильной версии Samba 4.</div>


Предполагается, что [[Домен|домен ALT Linux]] создан должным образом и работает.
= Настройка на сервере =


= Настройка сервера =
Создайте домен в модуле «Домен» (доступно с {{prg|alterator-net-domain-0.4-alt13}}).
 
1. В секции {{term|[global]}} файла {{path|/etc/samba/smb.conf}} добавьте:
<source lang="ini">
local master = yes
preferred master = yes
domain master = yes
domain logons = yes
add user script = /usr/sbin/ldap-useradd "%u"
delete user script = /usr/sbin/ldap-userdel "%u"
add group script = /usr/sbin/ldap-groupadd -p "%g"
delete group script = /usr/sbin/ldap-userdel "%g"
add user to group script = /usr/sbin/ldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/ldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/ldap-usermod -g "%g" "%u"
add machine script = /usr/sbin/ldap-useradd -w -i "%u"
ldap machine suffix = ou=Computers
encrypt passwords = yes
ldap delete dn = no</source>
 
Внимание! При использовании домена в Windows будет использоваться имя рабочей группы '''WORKGROUP''' (параметр {{term|workgroup}} в /etc/samba/smb.conf). Вы можете поменять его на имя ALT-домена:
<source lang=Bash>SMBDOMAIN="$(system-auth status | cut -f2 -d' ' | sed -e 's/dc=//g;s/,/./g;s/\(.*\)/\U\1/')"
sed -i "/^[global]$/a workgroup = ${SMBDOMAIN}" /etc/samba/smb.conf</source>


<div style="border: 1px solid red;padding: 5px">
<div style="border: 1px solid red;padding: 5px">
'''Внимание!''' Во избежание проблем с вводом Windows имя рабочей группы нужно делать ''не более 15 символов''[http://en.wikipedia.org/wiki/NetBIOS#NetBIOS_name].</div>
'''Внимание!''' Во избежание проблем с вводом Windows имя домена нужно делать ''не более 15 символов''[http://en.wikipedia.org/wiki/NetBIOS#NetBIOS_name].</div>
 
Если хотите автоматически подключать общую папку (ресурс {{term|share}} на сервере как диск {{term|S:}}), то выполните следующее:
<source lang=Bash>echo "net use s: \\\\$(hostname -s)\share" | sed 's/$/\r/' > /etc/samba/netlogon.bat
sed -i "/^[global]$/a logon script = /etc/samba/netlogon.bat" /etc/samba/smb.conf</source>
 
2. Перезапустите службу smb и запустите службу nmb:
service smb restart
service nmb start
 
Службу nmb нужно добавить в автоматический запуск:
chkconfig nmb on
 
3. Обновите ''ldap-user-tools'' до версии 0.8.0 или более позднее.
 
= Создание групп и выдача административных привилегий =
 
1. Сначала нужно назначить пользователя-администратора. Для прав на выдачу привилегий у него должен быть uid равный 0. Тогда он может назначать привилегии через {{cmd|net rpc rights}}. Заведите временно пользователя в LDAP (например, admin), задайте ему пароль и поменяйте uidNumber так:
<source lang=Bash>ADMINUID="$(ldap-getent passwd admin uidNumber)"
echo "uidNumber:0" | ldap-usermod replace admin</source>
 
2. В LDAP создайте группы через веб-интерфейс или из командной строки:
ldap-groupadd Admins
ldap-groupadd Users
ldap-groupadd Guests
ldap-groupadd Computers
 
Эти группы понадобятся для привязки к группам домена согласно таблице:
{|class="standard"
!Группа LDAP
!Группа Windows
!Идентификатор в Windows
|-
|{{term|Admins}}||{{term|Domain Admins}}||512
|-
|{{term|Users}}||{{term|Domain Users}}||513
|-
|{{term|Guests}}||{{term|Domain Guests}}||514
|-
|{{term|Computers}}||{{term|Domain Computers}}||515
|}


Добавьте туда пользователей через веб-интерфейс или из командной строки:
= Настройка на клиенте =
echo 'memberUid:cas' | ldap-groupmod add Admins


3. Привяжите группы LDAP к группам домена
{{todo|Требуется инструкция со снимками экрана}}
net groupmap add rid=512 ntgroup="Domain Admins" unixgroup=Admins
net groupmap add rid=513 ntgroup="Domain Users" unixgroup=Users
net groupmap add rid=514 ntgroup="Domain Guests" unixgroup=Guests
net groupmap add rid=515 ntgroup="Domain Computers" unixgroup=Computers


Проверка:
= Известные проблемы =
# net rpc group members 'Domain Admins' -Uadmin%12345
* Автоматически не подключается ресурс {{path|share}} с сервера.
WORKGROUP\cas
 
''Примечание:'' Обратите внимание, пароль можно указывать у имени пользоватeля через «%».
 
4. Выдайте привилегии для группы {{term|Domain Admins}}:
net rpc rights grant "Domain Admins" SeMachineAccountPrivilege SePrintOperatorPrivilege \
SeAddUsersPrivilege SeDiskOperatorPrivilege SeRemoteShutdownPrivilege -Uadmin%12345
 
Проверка (просмотр всех привилегий по группам):
net rpc rights list accounts -Uadmin
 
''Примечание'': обратите внимание, что для заведения компьютера в домен нужно входить в группу с привилегией '''SeMachineAccountPrivilege'''.
 
5. Чтобы не было коллизий с системным пользователем root, после операции по назначению группы и привилегий этого пользователя нужно удалить или восстановить его UID:
echo "uidNumber:$ADMINUID" | ldap-usermod replace admin
 
6. Проверяем вход в домен администратора cas:
# net join -Ucas%123
Joined domain WORKGROUP.
 
Примечание: проверять вход в домен на сервере следует от пользователя, входящего в группу 'Domain Admins'. Остальным это запрещено. Список зарегистрированных компьютеров можно посмотреть командой: <pre>ldap-getent ws</pre>
 
Всё в порядке, можно вводить компьютеры с Windows в наш домен.
 
= Права доступа =
 
По умолчанию разрешено входить всех доступным пользователям. Посмотреть их список на сервере можно командой:
# net sam list users
 
Для пользователей, входящих в группу Domain Users (или группу Users в LDAP) имеется доступ на диск Z: (домашняя папка пользователя на сервере с создаваемым подкаталогом {{path|profile}}).
 
Список входящих в эту группу:
# net sam listmem 'Domain Users'
 
= Ввод компьютера с Windows в домен =
 
{{todo|Сделать инструкцию со снимками экрана}}
 
= Решение проблем =
 
== Если что-то пошло не так... ==
Если в результате экспериментов сломались привилегии или что-нибудь ещё, нужно очистить внутренние базы Samba. Выполните
rm -f /var/lib/samba/*.tdb
service smb restart
 
== Отладка Samba ==
Полезно включить уровень отладки 5 в /etc/samba/smb.conf:
log level = 5
 
После этого необходимо перечитать конфигурацию:
service smb reload
 
Подробный журнал работы Samba вы можете найти в файле {{path|/var/log/samba/log.main}}.
 
== Смена имени сервера Samba ==
Так как при создании нового пользователя в домене для него прописывается SID, при смене имени сервера серверная часть SID меняется и пользователи со старыми SID уже недоступны, показывается примерно такое
# pdbedit -L
sid S-1-5-21-694984405-1863599809-1435972588-11002 does not belong to our domain
 
При этом новые пользователи заводятся уже с правильным SID. Для исправления ситуации со старыми пользователями нужно выполнить следующий скрипт: <source lang=Bash>
nsid=$(net getlocalsid | cut -f2 -d: | tr -d ' ')
ldap-getent passwd \* uid SambaSID | sed 's/:.*-/ /' | while read u id;do echo "SambaSID:$nsid-$id" | ldap-usermod replace "$u";done</source>
 
После этого команда <pre>pdbedit -L</pre> должна показать имена всех пользователей.
 
== Нюансы реализации ==
# Для заведения компьютеров в домен недостаточно типа sambaSAMAccount, потребовалось добавить тип posixAccount (для поиска имени компьютера используется {{cmd|getent passwd}}, хотя это совершенно странно), заводить одноимённую группу и сделать её основной для posixAccount.
# Для заведения доверенных компьютеров необходимо использовать {{cmd|ldap-useradd -w -i}}. Имя компьютера в таком случае содержит в конце символ {{term|$}}.
# Длина имени workgroup не должна превышать 15 символов (см. http://en.wikipedia.org/wiki/NetBIOS#NetBIOS_name)
 
= Литература =
* [http://forum.altlinux.org/index.php/topic,3747.0.html Обсуждение ввода машин с Windows в домен ALT Linux]
* [http://smb-conf.ru/2-smbconf-po-tematike.html Все о Samba: smb.conf – По тематике]
* [http://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/groupmapping.html http://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/groupmapping.html]
* [http://www.opennet.ru/base/net/samba_pdc_slackware.txt.html SAMBA PDC - установка, настройка, управление (Slackware)]
* [http://www.linux.org.ru/forum/admin/6798226 Samba PDC LDAP добавление компов в домен]


= TODO =
= TODO =
{{todo|# Разобрать и автоматизировать заведение дополнительных параметров Samba
{{todo|# Проверить на ввод компьютеры с Windows 7 и Windows 8
# <s>Доработать ldap-useradd -w -i</s>
# <s>Убрать создаваемые компьютеры в alterator-ldap-users</s>
# <s>Убрать создаваемые группы в alterator-ldap-users и alterator-ldap-groups</s>
# Сделать скрипт по первичному заведению администраторов и групп
# Проверить на ввод компьютеры с Windows 7 и Windows 8
# Документировать изменения}}
# Документировать изменения}}
= Ссылки =
* [[Домен/Windows/Manual|Настройка NT домена вручную]]


[[Категория:Руководства]][[Категория:Домен]]
[[Категория:Руководства]][[Категория:Домен]]

Версия от 16:51, 2 ноября 2012

Stub.png
Данная страница находится в разработке.
Эта страница ещё не закончена. Информация, представленная здесь, может оказаться неполной или неверной.


Использование домена для аутентификации компьютеров с Windows.

Внимание! Данная инструкция позволяет настроить Samba в качестве NT Domain для аутентификации Windows XP. Использование Samba в качестве замены Active Direcory возможно после появления стабильной версии Samba 4.

Настройка на сервере

Создайте домен в модуле «Домен» (доступно с alterator-net-domain-0.4-alt13).

Внимание! Во избежание проблем с вводом Windows имя домена нужно делать не более 15 символов[1].

Настройка на клиенте

TODO:
Требуется инструкция со снимками экрана


Известные проблемы

  • Автоматически не подключается ресурс share с сервера.

TODO

TODO:
  1. Проверить на ввод компьютеры с Windows 7 и Windows 8
  2. Документировать изменения


Ссылки