Samba e OpenLDAP: creare un controller di dominio con Debian Lenny: differenze tra le versioni

{{Versioni compatibili|Debian Lenny 5.0|}}

=Versioni compatibili=

=Introduzione=

Questo articolo è un aggiornamento della guida [[Samba e OpenLDAP: creare un controller di dominio con Debian Etch]], basata su '''Debian Etch'''.<br/>

Verranno illustrati due metodi di gestione del database LDAP, uno basato sui tools smbldap-tools e uno basato su interfaccia grafica in PHP.<br/>

=Sistema installato e prerequisiti=

Il presente HOWTO è stato realizzato utilizzando un sistema Debian 5.0 Lenny con tutti gli aggiornamenti di sicurezza ufficiali.  

Durante tutto il processo si presuppone di agire come utente root.

<br/>

* Password admin di LDAP: password

Questi parametri vanno ovviamente adattati alle vostre esigenze.

=Installazione del server LDAP=

Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.<br/>

Per utilizzare il server LDAP occorre installare il pacchetto slapd che costituisce un'implementazione di server LDAP per Linux e il pacchetto ldap-utils, un insieme di strumenti che ne permettono la gestione.<br/>

<pre>

</pre>

{{ Warningbox | Il comando precedente va scritto in un'unica riga }}

==Installazione di PHPLdapAdmin==

Ora possiamo installare phpldapadmin:

Phpldapadmin richiede per funzionare la presenza di un tool chiamato mkntpwd, sviluppato dal team di Samba e utilizzato per creare gli hash delle password in Samba. Inspiegabilmente questo tool non è presente negli archivi di Debian. Va pertanto scaricato dal seguente indirizzo:

<pre>

</pre>

Una volta scaricato il file, bisogna scompattarlo, compilarlo e configurarlo:

# Credential Configuration #

############################

slavePw="password"

masterPw="password"

</pre>

'''/etc/smbldap-tools/smbldap.conf''':

<pre>

##############################################################################

##

# ##############################################################################

# Put your own SID. To obtain this number do: "net getlocalsid".

SID="S-1-5-21-125945932-740595490-3132273231"

# Domain name the Samba server is in charged.

sambaDomain="DOMINIO"

##############################################################################

#

##############################################################################

# Slave LDAP server

slaveLDAP="127.0.0.1"

# Slave LDAP port

slavePort="389"

# Master LDAP server: needed for write operations

masterLDAP="127.0.0.1"

# Master LDAP port

masterPort="389"

# Use TLS for LDAP

# If set to 1, this option will use start_tls for connection

# How to verify the server's certificate (none, optional or require)

verify="require"

# CA certificate

# certificate to use to connect to the ldap server

# key certificate to use to connect to the ldap server

# LDAP Suffix

suffix="dc=dominio,dc=local"

# Where are stored Users

usersdn="ou=Users,${suffix}"

# Where are stored Computers

computersdn="ou=Computers,${suffix}"

# Where are stored Groups

groupsdn="ou=Groups,${suffix}"

# Where are stored Idmap entries (used if samba is a domain member server)

# Where to store next uidNumber and gidNumber available for new users and groups

sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"

# Default scope Used

scope="sub"

# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)

hash_encrypt="MD5"

# passwords if you use "$1$%.8s". This parameter is optional!

crypt_salt_format="%s"

##############################################################################

#

</pre><br/>

=Configurazione del server LDAP=

Passiamo ora alla configurazione del server LDAP.<br/>

slapcat > ~/slapd.ldif

</pre>

<pre>

# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

</pre>

</pre>

e prendete nota del risultato.<br/>

'''/etc/ldap/sldap.conf''':

<pre>

allow bind_v2

# Schema and objectClass definitions

tool-threads 1

dbconfig set_cachesize 0 2097152 0

dbconfig set_lk_max_objects 1500

dbconfig set_lk_max_locks 1500

dbconfig set_lk_max_lockers 1500

         by self write

         by * read

access to dn.base="" by * read

access to *

</pre>

<pre>

# /etc/init.d/slapd stop

# /etc/init.d/slapd start

</pre>

Si può controllare che il server sia correttamente partito eseguendo una query con i comandi:

</pre>

In tal modo viene avviato visualizzando varie informazioni di debug a video.

<pre>

</pre>

<pre>

</pre>

=Configurazione di Samba=

       server string = DOMINOP PDC Server - Samba %v

       case sensitive = No

        

   ### Imposto il server come controller di dominio ###

       preferred master = yes

       local master = yes

       domain master = yes

       domain logons = yes

   ### Opzioni di connessione e sicurezza. Configurazione Wins ###

       idmap uid = 10000-90000

       idmap gid = 10000-90000

       name resolve order = wins lmhosts host bcast

       time server = yes

       socket options = TCP_NODELAY IPTOS_LOWDELAY SO_SNDBUF=8192 SO_RCVBUF=8192

   ### Configuro Winbind

       log level = 2

       max log size = 50

        

   ### Impostazione charset corretto ###

       dos charset = UTF-8

       display charset = UTF-8

       panic action = /usr/share/samba/panic-action %d

   ### Configurazione del supporto a LDAP ###

       ldap suffix = dc=dominio,dc=local

       ldap machine suffix = ou=Computers

       ldap group suffix = ou=Groups

       ldap idmap suffix = ou=Idmap

       enable privileges = yes

       ldap delete dn = Yes

       pam password change = Yes

       unix password sync = Yes

   ### Profili mobili, directory home, script di logon ###

       passwd program = /usr/sbin/smbldap-passwd %u

       passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authentication*token*updated*

       ldap delete dn = Yes

       delete user script = /usr/sbin/smbldap-userdel "%u"

       ;printer admin = @sambaadmins

   ### Condivisioni ###

       path = /dominio/netlogon

       guest ok = no

       browseable = no

       share modes = no

### Percorso per i roaming profiles

       guest ok = no

       inherit permissions = yes

### Directory condivisa

# testparm

</pre>

<pre>

# smbpasswd -w password

# /etc/init.d/samba restart

</pre>

=Popolamento del database LDAP=

La prima via consiste nel fare uso di alcuni script forniti con il pacchetto <tt>smbldap-tools</tt> che abbiamo già installato:

<pre>

# smbldap-useradd -a -m -c "Admin" Administrator

# smbldap-usermod -G "Domain Admins" Administrator

# smbldap-usermod -u 0 Administrator

</pre>

Il parametro "-k 0" imposta l'UID di Administrator a 0, facendolo di fatto coincidere con l'utente root. Gli altri comandi fanno sì che Administrator sia aggiunto al gruppo dei Domain Admins. Durante l'esecuzione del comando vengono riepilogati i record aggiunti e vi verrà chiesto di cambiare (se volete) la password di Administrator; potete tranquillamente riscrivere la stessa password già impostata precedentemente.<br/>

<pre>

smbldap-passwd Administrator

</pre>

<pre>

# /etc/nsswitch.conf

</pre>

Modificate inotre il file '''/etc/libnss-ldap.conf''', decommentando e modificando le righe seguenti e lasciando decommentate quelle di default:

nss_base_shadow ou=Users,dc=dominio,dc=local?sub

nss_base_group ou=Groups,dc=dominio,dc=local?one

</pre>

<br/>

Allo script si possono aggiungere operazioni come il montaggio di unità di rete o altre condivisioni.

Tenete conto che con queste impostazioni viene già creata un'unità di rete collegata alla home dell'utente linux.

=Test e connessione al dominio=