Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze: differenze tra le versioni

Versione attuale delle 09:06, 23 apr 2016

Samba

Condivisione risorse

Controller di dominio

Altro

Versioni Compatibili

soltanto:
Debian 6 "squeeze"

Introduzione

Guide simili per precedenti versioni di Debian o altre distribuzioni linux:

Vedremo questa volta come installare un server basato su Debian Squeeze e Samba 3 con backend di un database LDAP, affinché funga da Primary Domain Controller di una rete Windows. Lo stesso server LDAP verrà utilizzato anche per la gestione in contemporanea degli utenti Unix, in modo da avere un controllo unico e centralizzato sia sugli utenti Windows sia sugli utenti Linux.
Verranno illustrati due metodi di gestione del database LDAP, uno basato sui tools smbldap-tools e uno basato su interfaccia grafica in PHP.
Consiglio vivamente di prepararsi una buona tazza di caffé e di armarsi di pazienza e di molta attenzione, dato che un errore di battitura in qualche file di configurazione può mandare in rovina l'intero lavoro: poichè che i files da modificare saranno molti, di certo risulterebbe molto difficile e molto lungo andare a caccia di eventuali errori.

Sistema installato e prerequisiti

Il presente HOWTO è stato realizzato utilizzando un sistema Debian 6.0 Squeeze con tutti gli aggiornamenti di sicurezza ufficiali. La configurazione iniziale del sistema prevede un'installazione base Debian net install con in più:

un sistema LAMP come descritto ad esempio in questa guida: Installare un ambiente LAMP: Linux, Apache2, SSL, MySQL, PHP5
un server DNS, come descritto ad esempio in questa guida: Un server DNS e DHCP su Debian

Si suppone per comodità che tutti i servizi (LDAP, LAMP, DNS) risiedano sullo stesso server.
Durante tutto il processo si presuppone di agire come utente root.

Parametri di rete utilizzati

In tutta la guida saranno utilizzati i seguenti parametri per la configurazione della rete:

Nome del server: server
Nome del dominio: dominio.local
Nome NETBIOS del dominio: DOMINIO
Classe IP: 10.0.0.0 / 255.255.255.0
IP Server: 10.0.0.10
Password di root: mia_password
Password Administrator del dominio: mia_password
Password admin di LDAP: mia_password

Questi parametri vanno ovviamente adattati alle vostre esigenze.

Installazione del server LDAP

Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.
Si considera che il server in questione venga utilizzato all'interno di una rete aziendale altamente affidabile e non verranno, pertanto, trattati gli aspetti relativi alla crittografia delle comunicazioni. Questa scelta riduce la sicurezza, pertanto si consiglia di approfondire l'argomento. Se si è interessati ad un'implementazione sicura del protocollo LDAP si veda ad esempio la guida Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny, che è basata sulla guida che state leggendo, ma che introduce e analizza una serie di aspetti legati alla trasmissione e all'archiviazione sicura delle informazioni.
Per utilizzare il server LDAP occorre installare il pacchetto slapd che costituisce un'implementazione di server LDAP per Linux e il pacchetto ldap-utils, un insieme di strumenti che ne permettono la gestione.

# apt-get install slapd ldap-utils samba-doc

Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.
Nei file riportati si considera che il dominio specificato è dominio.local, un dominio interno non valido per Internet. In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.
Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di Dominio.
Per tutte le altre opzioni possono essere confermate le impostazioni di default.
Per andare più in profondità nella configurazione del server LDAP è consigliabile, subito dopo l'installazione, lanciare il comando:

# dpkg-reconfigure slapd

Verrà eseguita la riconfigurazione di OpenLDAP, ma saranno poste più domande. Rispondete così:

Omettere la configurazione di OpenLDAP: no
Nome del dominio: dominio.local
Nome dell'organizzazione: DOMINIO
Password di admin: mia_password
Conferma password: mia_password
Motore database da utilizzare: BDB
Cancellare il database quando si effettua il purge di slapd: no
Spostare il vecchio database: sì
Permettere LDAPv2: sì (potete anche mettere no)

Per verificare il corretto funzionamento del servizio, dare il comando:

# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn

Se ottenete le informazioni sul dominio significa che tutto è andato per il verso giusto; se ottenete un messaggio del genere "ldap_bind: Can't contact LDAP server (-1)" vi conviene eseguire nuovamente la configurazione di OpenLDAP.

Installazione di una interfaccia grafica per amministrare OpenLDAP

Sebbene si possa amministrare OpenLDAP in maniera completamente testuale (nel corso della guida vedremo come) è consigliabile installare un'interfaccia grafica, che aiuterà a svolgere i normali compiti di amministrazione una volta terminato di configurare il dominio.
Nei repository Debian sono disponibili diverse interfacce grafiche. In questa guida la scelta è caduta su phpldapadmin, che sembra essere la più diffusa.
Phpldapadmin, come il nome fa intuire, è un'interfaccia scritta in PHP e per funzionare ha perciò bisogno di un server web e del linguaggio di scripting PHP.

Installazione dei prerequisiti

Installiamo per prima cosa alcuni moduli di PHP necessari:

# apt-get install libapache2-mod-php5 php5 php5-cli php5-curl php5-gd php5-imap php5-ldap php5-mcrypt php5-mhash php5-sqlite php5-tidy php5-xmlrpc php-pear mcrypt libgd-tools

Installazione di PHPLdapAdmin

Ora possiamo installare phpldapadmin:

# apt-get install phpldapadmin

Configurare il file /etc/phpldapadmin/config.php:

*********************************************
* Define your LDAP servers in this section  *
*********************************************

$servers = new Datastore();

$servers->newServer('ldap_pla');

$servers->setValue('server','name','DOMINIO Server');

$servers->setValue('server','host','127.0.0.1');

$servers->setValue('server','base',array('dc=dominio,dc=local'));

$servers->setValue('login','auth_type','session');

Controllate che siano decommentate e configurate le stringhe $Server.
Per verificare la corretta installazione del pacchetto, aprite il browser su:

https://10.0.0.11/phpldapadmin

Dovreste essere accolti dalla schermata iniziale di Phpldapadmin.
Phpldapadmin richiede per funzionare la presenza di un tool chiamato mkntpwd, sviluppato dal team di Samba e utilizzato per creare gli hash delle password in Samba. Inspiegabilmente questo tool non è presente negli archivi di Debian. Va pertanto scaricato dal seguente indirizzo:

# wget http://debian.easyteam.org/files/samba/mkntpwd.tar.gz

Una volta scaricato il file, bisogna scompattarlo, compilarlo e configurarlo:

# apt-get install build-essential
# tar -zxf mkntpwd.tar.gz
# cd mkntpwd
# make
# cp mkntpwd /usr/local/bin
# mkntpwd

L'ultimo comando dovrebbe restituirvi l'elenco delle opzioni disponibili in mkntpwd.

Installazione di Samba

L'installazione di Samba va effettuata in questo momento perchè insieme ai pacchetti stessi di Samba saranno installate anche alcune utility che adopereremo nel paragrafo successivo.

# apt-get install samba smbclient smbfs samba-doc swat resolvconf

La versione di Samba nei repository di Squeeze supporta solo parzialmente il login di client Windows 7 e Windows Server 2008, introdotto in Debian con il ramo 3.4. Se vi fosse la necessità di inserire client Windows 7 o Windows Server 2008 nel dominio Samba che stiamo creando, la soluzione è configurare il repository Backports per Squeeze (si veda: Il_repository_Backports) e installare da lì una versione di Samba più aggiornata:

# apt-get -t squeeze-backports install samba smbclient smbfs samba-doc swat resolvconf

Per il momento come configurazione base rispondente nel seguente modo alle domande che vi verranno poste:

Nome del Dominio/Workgroup: DOMINIO
Utilizzare password cifrate: SI
Utilizzare DHCP per i nomi Netbios: NO

Non preoccupatevi per eventuali errori, perchè tutta la configurazione verrà ripresa in un secondo momento.

Configurare i SMBLDAP TOOLS

I smbldap-tools sostituiscono i comandi standard di UNIX per la gestione di gruppi, utenti e password in modo da dialogare direttamente con il server LDAP e fornire un metodo per gestire in contemporanea gli account UNIX e SAMBA.
Malgrado la documentazione ufficiale di SAMBA asserisca che smbpasswd sia in grado di gestire tali account, utilizzando quello strumento occorre prima creare l'utente UNIX, poi quello Samba, pertanto ne sconsiglio l'utilizzo.

Installazione

Installare il pacchetto smbldap-tools

# apt-get install smbldap-tools

Configurazione

Nei doc di smbldap-tools possiamo trovare uno script che ci consente di creare i files di configurazione in modo veloce ed automatico:

gzip -d /usr/share/doc/smbldap-tools/configure.pl.gz
perl /usr/share/doc/smbldap-tools/configure.pl

Verranno replicate tutte le configurazioni presenti in samba, se c'è qualòcosa di sbagliato non confermate con invio, ma scrivete la modifica da apportare direttamente e poi date invio.
Tuttavia, dato che non mi fido molto degli script, nel seguito della guida verranno date le indicazioni per procedere ad una configurazione manuale.

Copiare inannzitutto i file smbldap.conf e smbldap_bind.conf in /etc/smbldap-tools.

# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf
# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf

Modificare il file /etc/smbldap-tools/smbldap_bind.conf inserendo il DN dell'amministratore del server LDAP e la sua password. Il DN dell'amministratore è stato impostato automaticamente durante l'installazione del pacchetto Debian di slapd e corrisponde a "cn=admin,dc=dominio,dc=local", in cui il dominio dipende dalle configurazioni sopra riportate per il server LDAP. La password è quella richiesta in fase di installazione del server LDAP.
Se non si è sicuri del DN da inserire lanciare il comando:

# slapcat

e cercare una riga che inizia con "dn: cn=". Il valore riportato è quello da inserire come DN. Nel file sono presenti le configurazioni sia per il master che per lo slave, in modo da poter gestire un server di backup per il sistema LDAP gestito tramite slurpd.
Al momento si presuppone di avere un solo server LDAP, pertanto le configurazioni coincideranno:

slaveDN="cn=admin,dc=dominio,dc=local"
slavePw="password"
masterDN="cn=admin,dc=dominio,dc=local"
masterPw="password"

Il contenuto del file dovrebbe essere il seguente:
/etc/smbldap-tools/smbldap_bind.conf:

############################
# Credential Configuration #
############################
# Notes: you can specify two differents configuration if you use a
# master ldap for writing access and a slave ldap server for reading access
# By default, we will use the same DN (so it will work for standard Samba
# release)
slaveDN="cn=admin,dc=dominio,dc=local"
slavePw="mia_password"
masterDN="cn=admin,dc=dominio,dc=local"
masterPw="mia_password"

Eseguire ora il comando:

# net getlocalsid

e copiare o prendere nota del codice che viene restituito.
Modificare il file /etc/smbldap-tools/smbldap.conf inserendo il SID appena ottenuto e controllare gli indirizzi dei 2 server LDAP in modo che coincidano con il server locale (127.0.0.1).

SID="S-1-5-21-2318037123-1631426476-2439636316"
slaveLDAP="127.0.0.1"
slavePort="389"
masterLDAP="127.0.0.1"
masterPort="389"

Verificare che il TLS sia disabilitato.

ldapTLS="0"

Configurare il corretto suffisso per il dominio (quello specificato nella configurazione di LDAP) e il nome corretto per il dominio che si vuole configurare (DOMINIO).

suffix="dc=dominio,dc=local"
sambaUnixIdPooldn="sambaDomainName=DOMINIO,${suffix}"

Potrebbe tornare utile anche impostare una differente scadenza per le password, in modo che non ne venga richiesta la sostituzione troppo di frequente:

defaultMaxPasswordAge="180"

Questo parametro è poi utilizzato al momento della creazione di un utente e ogni volta che un utente si cambia password.
Configurare infine i percorsi per le home degli utenti e per le cartelle che conterranno i profiles nel caso di roaming profiles.

userSmbHome="\\SERVER\homes\%U"
userProfile="\\SERVER\profiles\%U"

SERVER deve essere sostituito con il nome SAMBA del server che funziona come PDC (il server che stiamo configurando; lo stesso nome che verrà impostato più avanti nel file di configurazione di Samba). In questo esempio, inoltre, si è ritenuto di fornire uno script di logon comune a tutti gli utenti, anziché di uno script personale per ogni utente, pertanto si è impostato il seguente parametro:

userScript="logon.bat"

Tale impostazione può essere poi cambiata per determinati utenti con esigenze particolari direttamente agendo sui dati LDAP dell'utente.
Impostare infine il suffisso per gli indirizzi mail, anche se nel presente HOWTO non vengono configurati.

mailDomain="dominio.local"

Il contenuto completo del file dovrebbe essere il seguente:
/etc/smbldap-tools/smbldap.conf:

#
# Purpose :
# . be the configuration file for all smbldap-tools scripts
##############################################################################
##
General Configuration
# ##############################################################################
# Put your own SID. To obtain this number do: "net getlocalsid".
# If not defined, parameter is taking from "net getlocalsid" return
SID="S-1-5-21-125945932-740595490-3132273231"
# Domain name the Samba server is in charged.
# If not defined, parameter is taking from smb.conf configuration file
sambaDomain="DOMINIO"
realm="DOMINIO.LOCAL"

##############################################################################
#
# LDAP Configuration
#
##############################################################################
# Slave LDAP server
# If not defined, parameter is set to "127.0.0.1"
slaveLDAP="127.0.0.1"
# Slave LDAP port
# If not defined, parameter is set to "389"
slavePort="389"
# Master LDAP server: needed for write operations
# If not defined, parameter is set to "127.0.0.1"
masterLDAP="127.0.0.1"
# Master LDAP port
# If not defined, parameter is set to "389"
masterPort="389"
# Use TLS for LDAP
# If set to 1, this option will use start_tls for connection
# (you should also used the port 389)
# If not defined, parameter is set to "1"
ldapTLS="0"
# How to verify the server's certificate (none, optional or require)
verify=""
# CA certificate
cafile=""
# certificate to use to connect to the ldap server
clientcert=""
# key certificate to use to connect to the ldap server
clientkey=""
# LDAP Suffix
suffix="dc=dominio,dc=local"
# Where are stored Users
# Warning: if 'suffix' is not set here, you must set the full dn for usersdn
usersdn="ou=Users,${suffix}"
# Where are stored Computers
# Warning: if 'suffix' is not set here, you must set the full dn for computersdn
computersdn="ou=Computers,${suffix}"
# Where are stored Groups
# Warning: if 'suffix' is not set here, you must set the full dn for groupsdn
groupsdn="ou=Groups,${suffix}"
# Where are stored Idmap entries (used if samba is a domain member server)
# Warning: if 'suffix' is not set here, you must set the full dn for idmapdn
#idmapdn="ou=Idmap,${suffix}"
# Where to store next uidNumber and gidNumber available for new users and groups
# If not defined, entries are stored in sambaDomainName object.
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Default scope Used
scope="sub"
# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)
hash_encrypt="SSHA"
# if hash_encrypt is set to CRYPT, you may set a salt format.
# default is "%s", but many systems will generate MD5 hashed
# passwords if you use "$1$%.8s". This parameter is optional!
crypt_salt_format="%s"
##############################################################################
#
# Unix Accounts Configuration
#
##############################################################################
# Login defs
# Default Login Shell
userLoginShell="/bin/false"
# Home directory
userHome="/dominio/homes/%U"
# Default mode used for user homeDirectory
userHomeDirectoryMode="700"
# Gecos
userGecos="System Computer"
# Default User (POSIX and Samba) GID
defaultUserGid="513"
# Default Computer (Samba) GID
defaultComputerGid="515"
# Skel dir
skeletonDir="/etc/skel"
# Default password validation time (time in days) Comment the next line if
# you don't want password to be enable for defaultMaxPasswordAge days (be
# careful to the sambaPwdMustChange attribute's value)
defaultMaxPasswordAge="180"
##############################################################################
##
SAMBA Configuration
# ##############################################################################
# The UNC path to home drives location (%U username substitution)
# Just set it to a null string if you want to use the smb.conf 'logon home'
# directive and/or disable roaming profiles
userSmbHome="\\SERVER\homes\%U"
# The UNC path to profiles locations (%U username substitution)
# Just set it to a null string if you want to use the smb.conf 'logon path'
# directive and/or disable roaming profiles
userProfile="\\SERVER\profiles\%U"
# The default Home Drive Letter mapping
# (will be automatically mapped at logon time if home directory exist)
userHomeDrive="Z:"
# The default user netlogon script name (%U username substitution)
# if not used, will be automatically username.cmd
# make sure script file is edited under dos
userScript="logon.bat"
# Domain appended to the users "mail"-attribute
# when smbldap-useradd -M is used
mailDomain="dominio.local"
##############################################################################
#
# SMBLDAP-TOOLS Configuration
#
##############################################################################
# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but
# prefer Crypt::SmbHash library
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"
# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)
# but prefer Crypt:: libraries
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"

Può essere interessante notare che nella sezione Unix del file di configurazione precedente è presente la voce:

userLoginShell="/bin/false"

E' stata fatta questa scelta per evitare che gli utenti di dominio possano loggarsi sul server. Se avete utenti che utilizzano client Linux, come vi auguro, dovrete agire sui dati LDAP del singolo utente e modificare la sua shell. Se tutti i vostri utenti utilizzano client Linux, modificate la linea precedente come segue:

userLoginShell="/bin/bash"

Terminate le modifiche al file, bisogna cambiare i permessi per i file appena modificati al fine di aumentare la sicurezza del sistema ed impedire agli utenti di avere accesso alle password di amministratore di LDAP, scritta in chiaro nel file di configurazione precedentemente modificato.

# chmod 0644 /etc/smbldap-tools/smbldap.conf
# chmod 0600 /etc/smbldap-tools/smbldap_bind.conf

Configurazione del server LDAP

Passiamo ora alla configurazione del server LDAP.
La versione utilizzata di OpenLdap ha come sistema di configurazione la cartella slapd.d ubicata in /etc/ldap/slapd.d ed è stato quindi soppresso il precedente file di configurazione slapd.conf. La differenza non è di poco conto: il vecchio file di configurazione era statico e perciò richiedeva sempre lo stop del demone slapd. Il nuovo è dinamico e permette perciò la modifica on the fly della configurazione del demone.
Il vecchio metodo di configurazione sarà in futuro abbandonato; raccomando quindi di utilizzare il nuovo sistema, a meno che non sussistano pesanti vincoli di compatibilità con vecchie strutture dati.
In questa guida verrà quindi utilizzato slapd.d come metodo di default, ma ricordo che in /etc/default/slapd si può impostare il vecchio sistema slapd.conf, oppure si può convertire un vecchio database slapd.conf in slapd.d con il comando:

# slaptest -f /etc/ldap/slapd.conf -F /etc/ldap/slapd.d

Un esempio di configurazione con il vecchio slapd.conf sarà riportato nel capitolo seguente della guida.

Configurazione del server LDAP con slapd.d

Innanzitutto effettuiamo un backup di LDAP:

# slapcat > ~/slapd.ldif

o più semplicemente

# cp -R /etc/ldap/slapd.d /etc/slapd.d.backup

Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in /etc/ldap/schema lo schema LDAP necessario per SAMBA.

# wget http://debian.easyteam.org/files/samba/hdb.schema -P /etc/ldap/schema/
# wget http://debian.easyteam.org/files/samba/qmailuser.schema -P /etc/ldap/schema/
# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

Creiamo il file schema_convert.conf:

# touch /tmp/schema_convert.conf
# nano /tmp/schema_convert.conf

e editiamolo in questa maniera:

include /etc/ldap/schema/core.schema
include /etc/ldap/schema/collective.schema
include /etc/ldap/schema/corba.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/duaconf.schema
include /etc/ldap/schema/dyngroup.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/java.schema
include /etc/ldap/schema/misc.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/openldap.schema
include /etc/ldap/schema/ppolicy.schema
include /etc/ldap/schema/samba.schema

Salviamo il file e creiamo una directory temporanea per gli output di slapcat:

# mkdir /tmp/ldif_output
# slapcat -f /tmp/schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={12}samba,cn=schema,cn=config" > /tmp/samba.ldif
# nano /tmp/samba.ldif

e modifichiamo il file come segue:

dn: cn=samba,cn=schema,cn=config
...
cn: samba

Rimuoviamo le stringhe a fondo pagina:

structuralObjectClass: olcSchemaConfig
entryUUID: b53b75ca-083f-102d-9fff-2f64fd123c95
creatorsName: cn=config
createTimestamp: 20080827045234Z
entryCSN: 20080827045234.341425Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20080827045234Z

Salviamo tutto e copiamolo in /etc/ldap/schema:

# cp /tmp/samba.ldif /etc/ldap/schema

Quindi generate l'hash SSHA della password di root di LDAP:

# slappasswd

e prendete nota del risultato.
Impostiamo la password di amministratore per configurare l'albero di directory LDAP:

# ldapmodify -Y EXTERNAL -H ldapi:///

La risposta sarà:

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0

Inseriamo le seguenti righe:

dn: olcDatabase={0}config,cn=config
add: olcRootPW
olcRootPW: {SSHA}XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

terminando con Ctrl+D.
Ora occorre aggiungere gli schemi che ci serviranno per la configurazione:

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/samba.ldif

Creiamo il file module.ldif per aggiungere il modulo del backend:

# touch /tmp/module.ldif
# nano /tmp/module.ldif

editandolo così:

dn: olcDatabase={1}bdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=dominio,dc=local
-
replace: olcRootDN
olcRootDN: cn=admin,dc=dominio,dc=local
-
replace: olcAccess
olcAccess: to attrs=userPassword,SambaLMPassword,SambaNTPassword,sambaPwdLastSet,sambaPwdMustChange,sambaPasswordHistory by dn="cn=admin,dc=dominio,dc=local" write by anonymous auth by self write by * none
olcAccess: to attrs=shadowLastChange by self write by * read
olcAccess: to dn.base="" by * read by self write
olcAccess: to * by dn="cn=admin,dc=dominio,dc=local" write by * read by self write
-

Aggiungiamo alla configurazione il backend in questo modo:

#ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/module.ldif

e controlliamo che tutto sia andato a buon fine:

# ldapsearch -xLLL -b cn=config -D cn=admin,cn=config -W olcDatabase={1}bdb

Ora aggiungiamo le informazioni per una corretta indicizzazione:

# touch /tmp/index.ldif
# nano /tmp/index.ldif

editando il file così:

dn: olcDatabase={1}bdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: uidNumber eq
olcDbIndex: gidNumber eq
olcDbIndex: loginShell eq
olcDbIndex: uid eq,pres,sub
olcDbIndex: memberUid eq,pres,sub
olcDbIndex: uniqueMember eq,pres
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub

e aggiungendolo alla configurazione di LDAP:

# ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/index.ldif

Infine editiamo il file /etc/ldap/slapd.d/cn=config.ldif così:

olcLogLevel: 1 2 8 64 128 256 512
olcAuthzPolicy: none
olcAuthzRegexp: uid=(.*),cn=.*,cn=auth ldap:///dc=dominio,dc=local??sub?(uid=$1)

Riavviamo infine il demone slapd:

# /etc/init.d/slapd restart

Verifichiamo un'ultima volta che tutto funzioni correttamente:

# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn

Configurazione di LDAP con il vecchio metodo slapd.conf (Deprecato)

Innanzitutto indichiamo a LDAP che vogliamo utilizzare il vecchio metodo di configurazione. Apriamo il file:

# nano /etc/default/slapd

e modifichiamo la riga seguente:

# SLAPD_CONF=""
SLAPD_CONF="/etc/ldap/slapd.conf"

Quindi effettuiamo un backup di LDAP:

# slapcat > ~/slapd.ldif

Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in /etc/ldap/schema lo schema LDAP necessario per SAMBA.

# wget http://debian.easyteam.org/files/samba/hdb.schema -P /etc/ldap/schema/
# wget http://debian.easyteam.org/files/samba/qmailuser.schema -P /etc/ldap/schema/
# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

Quindi generate l'hash MD5 della password di root di LDAP:

# slappasswd -h {MD5}

e prendete nota del risultato.
Ora occorre modificare il file di configurazione di slapd (/etc/ldap/slapd.conf) aggiungendo nella sezione Schema and objectClass definitions lo schema per samba:

include /etc/ldap/schema/samba.schema

Nella sezione Indexing options aggiungere una serie di indicizzazioni che ottimizzeranno le interogazioni per l'utilizzo del server SAMBA:

index objectClass eq,pres
index uid,uidNumber,gidNumber,memberUid 	eq,pres
index ou,cn,mail,surname,givenname	eq,pres,sub
index loginShell                        eq,pres
index displayName                       pres,sub,eq
index nisMapName,nisMapEntry            eq,pres,sub
index sambaSID	eq
index sambaPrimaryGroupSID	eq
index sambaDomainName	eq
index sambaGroupType eq
index sambaSIDList eq
index uniqueMember eq
index default                           sub

Bisogna consentire agli utenti di cambiare non solo la propria password LDAP, ma anche le password di SAMBA e contemporaneamente proteggere tali informazioni da un accesso pubblico sostituendo la riga:

access to attribute=userPassword

con:

access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet

Infine aggiungere le informazioni per l'autenticazione:

rootdn          "cn=admin,dc=dominio,dc=local"
rootpw          {MD5}Qhz9FD5FDD9YFKBJVAngcw==

Il contenuto del file dovrebbe essere il seguente:
/etc/ldap/sdapd.conf:

#######################################################################
# Global Directives:
#sizelimit 20
timelimit -1
threads 8

# Features to permit
allow bind_v2

# Schema and objectClass definitions
include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.schema
include         /etc/ldap/schema/nis.schema
include         /etc/ldap/schema/inetorgperson.schema
include         /etc/ldap/schema/qmailuser.schema
include         /etc/ldap/schema/samba.schema
#include         /etc/ldap/schema/hdb.schema

# Where the pid file is put. The init.d script
# will not stop the server if you change this.
pidfile         /var/run/slapd/slapd.pid

# List of arguments that were passed to the server
argsfile        /var/run/slapd/slapd.args

# Read slapd.conf(5) for possible values
loglevel        none

# Where the dynamically loaded modules are stored
modulepath      /usr/lib/ldap
moduleload      back_bdb

# The maximum number of entries that is returned for a search operation
sizelimit 500

# The tool-threads parameter sets the actual amount of cpu's that is used
# for indexing.
tool-threads 1

#######################################################################
# Specific Backend Directives for bdb:
# Backend specific directives apply to this backend until another
# 'backend' directive occurs
backend         bdb

#######################################################################
# Specific Backend Directives for 'other':
# Backend specific directives apply to this backend until another
# 'backend' directive occurs
#backend                <other>

#######################################################################
# Specific Directives for database #1, of type bdb:
# Database specific directives apply to this databasse until another
# 'database' directive occurs
database        bdb

# The base of your directory in database #1
suffix          "dc=dominio,dc=local"

# rootdn directive for specifying a superuser on the database. This is needed
# for syncrepl.
rootdn          "cn=admin,dc=dominio,dc=local"
rootpw          {MD5}8Fy5aWO9Ks1d5nFGx3aQ3D==

# Where the database file are physically stored for database #1
directory       "/var/lib/ldap"

# The dbconfig settings are used to generate a DB_CONFIG file the first
# time slapd starts.
dbconfig set_cachesize 0 2097152 0
# Number of objects that can be locked at the same time.
dbconfig set_lk_max_objects 1500
# Number of locks (both requested and granted)
dbconfig set_lk_max_locks 1500
# Number of lockers
dbconfig set_lk_max_lockers 1500

# Indexing options for database #1
#index           objectClass eq
index mail,mailAlternateAddress,objectClass,deliveryMode,accountStatus,ou pres,eq
index cn                    pres,sub,eq
index sn                    pres,sub,eq
index uid                   pres,sub,eq
index displayName           pres,sub,eq
index uidNumber             eq
index gidNumber             eq
index memberUID             eq
index sambaSID              eq
index sambaPrimaryGroupSID  eq
index sambaDomainName       eq
index mailHost              eq
index givenName             pres,sub,eq
index default               sub

# Password Hash Definition
password-hash {MD5}

# Overlay Unique
#overlay unique
#unique_uri ldap:///ou=Users,dc=dominio,dc=local?uidNumber,cn?sub
#unique_uri ldap:///ou=Groups,dc=dominio,dc=local?gidNumber,cn?sub

# Save the time that the entry gets modified, for database #1
lastmod         on

# Checkpoint the BerkeleyDB database periodically in case of system
# failure and to speed slapd shutdown.
checkpoint      512 30
# Where to store the replica logs for database #1
# replogfile    /var/lib/ldap/replog


##########################################################
# Configurazione dei permessi per i vari utenti
# del'albero LDAP
############################################################

# The userPassword by default can be changed
# by the entry owning it if they are authenticated.
# Others should not be able to see it, except the
# admin entry below
# These access lines apply to database #1 only
#access to attrs=userPassword,shadowLastChange
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdLastSet,sambaPwdMustChange,sambaPasswordHistory
        by dn="cn=admin,dc=dominio,dc=local" write
        by anonymous auth
        by self write
        by * none

# Everyone must be able to read password expiry attributes,
# if you are not granting rootdn access to workstations.
# Otherwise, the client system won't be able to know if
# user's password has expired, and will prompt him/her to
# change his/her password everytime he/she logs in.
# The owner must also be able to write it when he/she
# changes his/her own password.
access to attrs=shadowLastChange,sambaPwdLastSet,sambaPwdMustChange
        by dn="cn=admin,dc=dominio,dc=local" write
        by self write
        by * read

# Ensure read access to the base for things like
# supportedSASLMechanisms.  Without this you may
# have problems with SASL not knowing what
# mechanisms are available and the like.
# Note that this is covered by the 'access to *'
# ACL below too but if you change that as people
# are wont to do you'll still need this if you
# want SASL (and possible other things) to work
# happily.
access to dn.base="" by * read

# The admin dn has full write access, everyone else
# can read everything.
access to *
        by dn="cn=admin,dc=dominio,dc=local" write
        by * read

# For Netscape Roaming support, each user gets a roaming
# profile for which they have write access to
#access to dn=".*,ou=Roaming,o=morsnet"
#        by dn="cn=admin,dc=dominio,dc=local" write
#        by dnattr=owner write

#######################################################################
# Specific Directives for database #2, of type 'other' (can be bdb too):
# Database specific directives apply to this databasse until another
# 'database' directive occurs
#database        <other>

# The base of your directory for database #2
#suffix         "dc=debian,dc=org"

Possiamo far ripartire slapd affinché tutte le modifiche apportate siano prese in considerazione.

# /etc/init.d/slapd stop
# rm -rf /var/lib/ldap/*
# slapadd -l ~/slapd.ldif
# slapindex
# chown -Rf openldap:openldap /var/lib/ldap
# /etc/init.d/slapd start

Si può controllare che il server sia correttamente partito eseguendo una query con i comandi:

# slapcat
# ldapsearch -x

La risposta deve essere un file LDIF. Se invece si ottiene un errore di connessione ricontrollare tutte le impostazioni e i file di log. Per controllare il funzionamento di slapd può sempre tornare utile fermare il servizio e farlo partire, anziché con gli script standard debian con il comando:

# slapd -d 256

In tal modo viene avviato visualizzando varie informazioni di debug a video.

Configurazione di Samba

Prima di iniziare a configurare Samba è necessario creare le directory nelle quali risiederanno le homes degli utenti, gli script di netlogon e i profili centralizzati (o profili roaming). Alcune di queste directory sono già state indicate nel file /etc/smbldap-tools/smbldap.conf, quindi è bene stare attenti a non commettere errori.

# mkdir /dominio
# mkdir /dominio/homes
# mkdir /dominio/profiles
# mkdir /dominio/netlogon
# mkdir /dominio/pubblica

La configurazione di Samba si riduce a modificare il file /etc/samba/smb.conf. State attenti: il file è molto lungo ed è facile tralasciare qualcosa o inserire opzioni in conflitto tra loro. Per iniziare ci si basi sul file di esempio, funzionante e testato, riportato di seguito con gli opportuni commenti:

# mv /etc/samba/smb.conf /etc/samba/smb.conf.original
# touch /etc/samba/smb.conf
# nano /etc/samba/smb.conf

/etc/samba/smb.conf:

[global]
   ### Configurazione di base del server ###
       workgroup = DOMINIO
       netbios name = SERVER
       realm = dominio.local
       server string = server - dominio PDC server - Samba %v
       case sensitive = No
       username map = /etc/samba/usermap

   ### Imposto il server come controller di dominio ###
       os level = 255
       preferred master = yes
       local master = yes
       domain master = yes
       domain logons = yes
       admin users = Administrator root @"Domain Admins"
       time server = yes

   ### Networking ###
       interfaces = eth0, eth1, lo
       bind interfaces only = yes

   ### Opzioni di connessione e sicurezza. Configurazione Wins ###
       security = user
       guest ok = no
       map to guest = Bad User
       encrypt passwords = yes
       null passwords = no
       hosts allow = 127.0.0.1 10.0.0.0/255.255.255.0
       wins support = yes
       idmap uid = 10000-90000
       idmap gid = 10000-90000
       idmap backend = ldap:ldap://127.0.0.1
       name resolve order = wins lmhosts host bcast
       dns proxy = no
       time server = yes
       socket options = TCP_NODELAY IPTOS_LOWDELAY SO_SNDBUF=8192 SO_RCVBUF=8192
       keepalive = 20
       preserve case = yes
       short preserve case = yes

   ### Configuro Winbind
       winbind uid = 10000-90000
       winbind gid = 10000-90000
       winbind enum users = yes
       winbind enum groups = yes
       winbind separator = +
       password server = 10.0.0.11
       winbind use default domain = Yes
       encrypt passwords = yes

   ### Impedisco gli errori getpeername dei client XP
       smb ports = 139

   ### Configurazione dei log ###
       log file = /var/log/samba/log.%m
       log level = 2 passdb:6 auth:10 vfs:5 acls:3 msdfs:3
       max log size = 5000
       syslog = 0

   ### Impostazione charset corretto ###
       hide unreadable = yes
       hide dot files = yes
       unix charset = ISO8859-1
       dos charset = UTF-8
       display charset = UTF-8

       panic action = /usr/share/samba/panic-action %d

   ### Configurazione del supporto a LDAP ###
       passdb backend = ldapsam:ldap://127.0.0.1
       ldap suffix = dc=dominio,dc=local
       ldap machine suffix = ou=Computers
       ldap user suffix = ou=Users
       ldap group suffix = ou=Groups
       ldap idmap suffix = ou=Idmap
       ldap admin dn = cn=admin,dc=dominio,dc=local
       enable privileges = yes
       ldap delete dn = Yes
       ldap ssl = no

   ### Permetto il cambio password da Windows
   ### Nota: con questa configurazione gli utenti non potranno
   ### effettuare il login sulla shell del server, ma solo
   ### dai client XP
       ldap password sync = yes
       pam password change = Yes
       unix password sync = No
       obey pam restrictions = yes

   ### Profili mobili, directory home, script di logon ###
       logon home = \\%L\homes\%U\
       logon drive = H:
       logon path = \\%L\profiles\%U
       logon script = logon.bat

   ### Script LDAP per gestione utenti e gruppi ###
       passwd program = /usr/sbin/smbldap-passwd %u
       passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authen$
       add user script = /usr/sbin/smbldap-useradd -m "%u"
       ldap delete dn = Yes
       delete user script = /usr/sbin/smbldap-userdel "%u"
       add machine script = /usr/sbin/smbldap-useradd -w "%u"
       add group script = /usr/sbin/smbldap-groupadd -p "%g"
       delete group script = /usr/sbin/smbldap-groupdel "%g"
       add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
       delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
       set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"

   ### Comando per loggare login e logoff (Legge amministratore di sistema)
       root preexec = /etc/samba/log_access_login.bash "%L" "%U" "%G" "%H" "%u"$
       root postexec = /etc/samba/log_access_login.bash "%L" "%U" "%G" "%H" "%u$

   ### Sistema di stampa ###
       load printers = yes
       printcap name = /etc/printcap
       printing = cups
       printcap name = cups
      ; Se desidero che solo il gruppo indicato possa amministrare le stampanti
      ; NOTA: il gruppo deve essere creato nella struttura LDAP
      ;printer admin = @sambaadmins


   ### Condivisioni ###

### Percorso degli script di logon
[netlogon]
       comment = Network Logon Service
       path = /dominio/netlogon
       guest ok = no
       writable = yes
       browseable = no
       share modes = no
       admin users = @"Domain Admins"

### Percorso per i roaming profiles
[profiles]
       comment = Profili degli utenti
       path = /dominio/profiles
       writeable = yes
       browseable = no
       guest ok = no
       hide files = /desktop.ini/ntuser.ini/NTUSER.*/
       create mask = 0600
       directory mask = 0700
       csc policy = disable
       profile acls = Yes

### Condivisione stampanti
[printers]
       comment = Stampanti
       browseable = no
       path = /var/spool/samba
       printable = yes
       public = no
       writable = no
       create mode = 0700

### I client Windows si aspettano questa cartella come fonte per i drivers
[print$]
       comment = Drivers delle stampanti
       path = /var/lib/samba/printers
       browseable = yes
       read only = yes
       guest ok = no

### Home folders degli utenti
[homes]
      path = /dominio/homes/%U
      comment = Home directory
      browseable = no
      writeable = yes
      valid users = %S
      read only = no
      guest ok = no
      inherit permissions = yes
      admin users = %u
      write list = %u
      read list = %u
      create mask = 0700
      directory mask = 0700

### Directory Pubblica
[pubblica]
      path = /dominio/pubblica
      comment = Directory Pubblica
      read only = No
      create mask = 0660
      directory mask = 2770
      hide special files = yes
      hide files = /lost+found/
      acl group control = yes
      inherit acls = yes
      map acl inherit = yes
      inherit permissions = yes
      map archive = no

# Per condividere l'unità CD del server
;[cdrom]
      ; comment = Samba server CD
      ; writable = no
      ; locking = no
      ; path = /media/cdrom0
      ; public = yes

     ; Per il mount - umount automatico del CD
     ; Perchè funzioni il file /etc/fstab deve contenere una
     ; voce: /dev/hdc0 /media/cdrom iso9660 defaults,noauto,ro,user 0 0 
     ;preexec = /bin/mount /cdrom
     ; postexec = /bin/umount /cdrom

Una volta che abbiamo il file di configurazione pronto, possiamo verificare che non contenga errori con il comando:

# testparm

Modifichiamo anche il file /etc/samba/usermap:

root = DOMINIO.LOCAL\root/admin
Administrator = DOMINIO.LOCAL\Administrator/admin

e scarichiamo lo script log_access_login.bash che ci servirà per loggare gli accessi al dominio:

# wget http://debian.easyteam.org/files/samba/log_access_login.bash -P /etc/samba
# chmod 700 /etc/samba/log_access_login.bash

Sistemiamo ora le ultime directory necessarie:

# mkdir -p /var/log/samba/login-logoff
# rm -rf /etc/samba/*tdb
# rm -rf /var/lib/samba/*tdb
# rm -rf /var/lib/samba/*dat
# rm -f /var/log/samba/*

facciamo memorizzare a samba la password dell'utente ldap da usare per la connessione:

# smbpasswd -w password

e riavviamo il servizio:

# /etc/init.d/samba restart

Adesso che abbiamo un PDC funzionante, dobbiamo prendere nota del nuovo SID:

# net getlocalsid DOMINIO

Quindi andiamo a modificare il file /etc/smbldap-tools/smbldap.conf inserendo il SID appena ottenuto, controllando nel frattempo gli indirizzi dei 2 server LDAP in modo che coincidano con il server locale (127.0.0.1).

SID="S-1-5-21-2318037123-1631426476-2439636316"
sambaDomain="DOMINIO"
realm="dominio.local"
slaveLDAP="127.0.0.1"
slavePort="389"
masterLDAP="127.0.0.1"
masterPort="389"

Il resto del file va lasciato invariato.

Per poter ottenere un valido roaming profile con client windows è necessario copiare la cartella "Default User", che si trova in C:\Documents and Settings, nella cartella /home/samba/netlogon. Prima di copiarla bisogna editare il file NTUSER.dat dal registro regedit. Seguire questo procedimento:

Start>Esegui>regedit>(posizionarsi su)HKEY_LOCAL_MACHINE
(andare su)file>carica hive>C:\Documents and Settings\Default User\NTUSER.dat>apri>(digitare nome)Default
(entrare in)HKEY_LOCAL_MACHINE>Default>Software>Microsoft>Windows>CurrentVersion>Explorer>User Shell Folder
cambiare i Dati, da %USERPROFILE% a %LOGONSERVER%\profiles\%USERNAME% dei Nomi: Desktop;Favorites;History; Local AppData; Local Settings;My Pictures;Personal; PrintHood;Recent (a scelta anche Cookies e Cache). Ad esempio da %USERPROFILE%\Desktop a %LOGONSERVER%\profiles\%USERNAME%\Desktop (così per tutti i nomi)
(posizionarsi su) Default
(andare su) file>scarica hive
copiare su /home/samba/netlogon la cartella "Default User" così modificata.

Popolamento del database LDAP

Per un funzionamento corretto SAMBA ha bisogno di diversi gruppi predefiniti e 2 utenti: Administrator e nobody.
La tabella seguente riepiloga i gruppi e gli utenti di default di un dominio Windows:

Nome - UID - Tipo

Domain Administrator - 500 - Utente
Domain Guest - 501 - Utente
Domain KRBTGT - 502 - Utente
Domain Admins - 512 - Gruppo
Domain Users - 513 - Gruppo
Domain Guests - 514 - Gruppo
Domain Computers - 515 - Gruppo
Domain Controllers - 516 - Gruppo
Domain Certificate Admins - 517 - Gruppo
Domain Schema Admins - 518 - Gruppo
Domain Enterprise Admins - 519 - Gruppo
Domain Policy Admins - 520 - Gruppo
Builtin Admins - 544 - Alias
Builtin users - 545 - Alias
Builtin Guests - 546 - Alias
Builtin Power Users - 547 - Alias
Builtin Account Operators - 548 - Alias
Builtin System Operators - 549 - Alias
Builtin Print Operators - 550 - Alias
Builtin Backup Operators - 551 - Alias
Builtin Replicator - 552 - Alias
Builtin RAS Servers - 553 - Alias

Inoltre, affinché si riesca ad aggiungere computer al dominio in modo automantico (da macchine Windows), deve esistere un utente con uid = 0 da utilizzare per questa operazione. Tale utente può essere un utente root (da aggiungere a mano) o lo stesso Administrator cambiandogli l'uid. Quest'ultima è la scelta presa in questa configurazione, in modo da avere un utente Administrator che è Administrator per Samba e root per il "dominio" UNIX. Per creare i gruppi predefiniti e gli utenti utilizzati da Samba è possibile procedere in due modi.

1 - Utilizzo degli script forniti con smbldap-tools

La prima via consiste nel fare uso di alcuni script forniti con il pacchetto smbldap-tools che abbiamo già installato:

# smbldap-populate -a root -k 0
# smbldap-useradd -a -m -c "Admin" Administrator
# smbldap-usermod -G "Domain Admins" Administrator

Il parametro "-k 0" imposta l'UID di Administrator a 0, facendolo di fatto coincidere con l'utente root. Gli altri comandi fanno sì che Administrator sia aggiunto al gruppo dei Domain Admins. Durante l'esecuzione del comando vengono riepilogati i record aggiunti e vi verrà chiesto di cambiare (se volete) la password di Administrator; potete tranquillamente riscrivere la stessa password già impostata precedentemente.
Per verificare lo stato del database LDAP e i record aggiunti potete usare i comandi:

# ldapsearch -x | less

e:

# ldapsearch -x uid=Administrator

Su alcuni howto ho trovato suggerito, a questo punto, di cambiare ancora la password di Administrator con il comando:

# smbldap-passwd Administrator

Sebbene non mi sia chiaro il motivo, l'ho fatto, reinserendo nuovamente la stessa password utilizzata fino a questo punto della guida. Questo sarà anche il comando che dovrà essere normalmente utilizzato per la gestione delle password.

2 - Utilizzo della GUI phpLDAPadmin

Il secondo metodo prevede l'utilizzo della GUI di phpLDAPadmin. Per operazioni così lunghe e ripetitive come il popolamento iniziale di un database LDAP è un metodo che sconsiglio, ma può essere utile a questo punto osservare il funzionamento di questa GUI.
Innanzitutto bisogna collegarci con un browser al nostro server:

https://10.0.0.11/phpldapadmin

Cliccate sul link di login e inserite le seguenti informazioni:

Login DN: cn=admin,dc=dominio,dc=local
Password: password

Quindi, nella sezione di sinistra, espandete la radice LDAP relativa al vostro dominio. Cliccate sull'unità organizzativa che vi interessa (ou=Users oppure ou=Groups) e selezionate la voce Create ner entry here".

Selezionate il template corretto (Samba3 Account se volete creare un nuovo utente e Samba3 Group Mapping se volete creare un nuovo gruppo) e immettete le voci nei campi di definizione del template stesso.

ATTENZIONE
A differenza della procedura di creazione utenti con i smbldap-tools, che essendo interfacciati con gli strumenti linux di gestione utenti coprivano automaticamente ogni aspetto della creazione di nuove entry, utilizzando phpldapadmin dovrete creare a mano la home directory del nuovo utente, dato che l'interfaccia non lo farà per voi

Per questo motivo solitamente consiglio di utilizzare i smbldap-tools per la creazione di nuovi gruppi e nuovi utenti e di utilizzare phpldapadmin per modifiche a utenti e gruppi già esistenti, quando navigare da console tra le proprietà di ogni entry può diventare difficoltoso.
Ricordatevi, al termine del processo di creazione di gruppi e utenti, di cambiare la password di Administrator come indicato nel paragrafo precedente:

smbldap-passwd Administrator

Configurazione delle autenticazioni Unix

A questo punto occorre configurare il nostro server affinchè veda gli utenti LDAP come normali utenti unix di sistema.

Installazione del demone name service caching daemon (nscd)

Poichè il nostro server LDAP sarà consultato in maniera continuativa, potrebbe essere una buona idea installare un servizio di cache per alcuni dati degli utenti. In questo modo i dati contenuti in cache saranno forniti senza eseguire un accesso al database LDAP, velocizzando di conseguenza i tempi di risposta del server. Il demone nscd (name service caching daemon) esegue esattamente questa cosa:

# apt-get install nscd

La configurazione di default è più che sufficiente per i nostri scopi.
Questo potrebbe inoltre essere un buon momento per riavviare il demone di Samba:

# /etc/init.d/samba restart

Installazione di libnss-ldap

Per prima cosa installeremo il pacchetto libnss-ldap, con il classico comando:

# apt-get install libnss-ldap ldap-utils

Non preoccupatevi delle domande che vi vengono poste durante l'installazione. Non appena terminata, infatti, andremo a riconfigurare il pacchetto con il comando:

# dpkg-reconfigure libnss-ldap

Rispondete in questo modo alle domande che vi vengono poste dall'installer:

URI del Server LDAP: ldap:///127.0.0.1
Distinguished Name (DN): dc=dominio,dc=local
LDAP Version: 3
Configurazione leggibile e scrivibile solo dal propietario: sí
Account LDAP per root: cn=admin,dc=dominio,dc=local
Password LDAP di root: mia_password
nsswitch non è gestito automaticamente: OK
Permettere all'account amministrativo LDAP di agire come root?: Sì
Il database LDAP richiede il login?: No
Account LDAP per root: cn=admin,dc=dominio,dc=local
Password LDAP di root: mia_password

Verifichiamo che il file /etc/pam_ldap.conf contenga almeno:

host 127.0.0.1
base dc=dominio,dc=local
uri ldap://127.0.0.1/

Assicuriamoci che l'uri sia settato correttamente in /etc/default/slapd alla voce SLAPD_SERVICES = ldap://10.0.0.10:389.

A questo punto bisogna modificare il file /etc/nsswitch.conf come indicato dall'installer. Prima però ne facciamo una copia di backup.

# cp -pf /etc/nsswitch.conf /etc/nsswitch.conf.orig
# nano /etc/nsswitch.conf

Cambiamo le righe:

passwd: compat
group: compat
shadow: compat

con

passwd: compat ldap
group: compat ldap
shadow: compat ldap
hosts: files dns ldap
netgroup: ldap

Il contenuto del file dovrebbe essere il seguente:
/etc/nsswitch.conf

# /etc/nsswitch.conf
#Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc-reference' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.
passwd: compat ldap
group: compat ldap
shadow: compat ldap
hosts: files dns ldap
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: ldap

ATTENZIONE
Modificando in maniera sbagliata il file precedente rischiate di bloccare ogni forma di autenticazione sul server, compreso l'utente root. E' fondamentale avere una copia di backup del file, da poter ripristinare attraverso una distribuzione Live o attraverso il Rescue Mode del Debian Installer

Modificate inotre il file /etc/libnss-ldap.conf, decommentando e modificando le righe seguenti e lasciando decommentate quelle di default:

# cp -pf /etc/libnss-ldap.conf /etc/libnss-ldap.conf.orig
# nano /etc/libnss-ldap.conf

host 127.0.0.1
base dc=dominio,dc=local
ldap_version 3
scope one
pam_filter objectclass=posixaccount
pam_login_attribute uid
pam_member_attribute gid
bind_policy soft
pam_password exop
nss_base_passwd ou=Users,dc=dominio,dc=local?sub
nss_base_passwd ou=Computers,dc=dominio,dc=local?sub
nss_base_shadow ou=Users,dc=dominio,dc=local?sub
nss_base_group ou=Groups,dc=dominio,dc=local?one

A causa di un bug documentato (http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=375077) e a cui il team di sviluppo di Debian ha fornito una soluzione parziale (è stato eliminato il problema, ma non i messaggi d'errore generati al boot) è possibile che al reboot compaiano messaggi di errore simili ai seguenti:

...
udevd[1350]: nss_ldap: could not connect to any LDAP server as cn=admin,dc=home,dc=tld - Can't contact LDAP server
udevd[1350]: nss_ldap: failed to bind to LDAP server ldap://127.0.0.1: Can't contact LDAP server
udevd[1350]: nss_ldap: could not search LDAP server - Server is unavailable
udevd[1350]: lookup_user: error resolving user 'tss': Illegal seek 
...

Una possibile via per eludere il problema è quella di aggiungere a mano gli utenti di sistema mancanti:

# addgroup --system tss
# addgroup --system kvm
# addgroup --system rdma
# addgroup --system fuse
# addgroup --system scanner
# addgroup --system nvram
# adduser --system tss

Installazione di libpam-ldap

L'installazione del pacchetto libpam-ldap viene eseguita allo stesso modo di quella precedente:

# apt-get install libpam-ldap
# dpkg-reconfigure libpam-ldap

rispondendo in questo modo alle domande poste dall'installer:

URI Server LDAP: ldap:///127.0.0.1
Distinguished name (DN): dc=dominio,dc=local
LDAP version: 3
Permettere all'account amministrativo LDAP di agire come root?: sí
Il database LDAP richiede login?: no
LDAP account for root: cn=admin,dc=dominio,dc=local
LDAP root password: mia_password
Local crypt to use when changing passwords: cifrato
PAM profiles to enable: selezionare tutto

Modificate come segue il file /etc/pam_ldap.conf:

# cp -pf /etc/pam_ldap.conf /etc/pam_ldap.conf.orig
# nano /etc/pam_ldap.conf

bind_policy soft
nss_base_passwd dc=dominio,dc=local?sub
nss_base_shadow dc=dominio,dc=local?sub
nss_base_group ou=Groups,dc=dominio,dc=local?one

Sicurezza del server: configurazione di Pam

Il metodo migliore per evitare che gli utenti indiscriminatamente si logghino sul server è configurare correttamente PAM. Dopo aver effettuato delle copie di backup:

# cd /etc/pam.d
# cp -pf common-account common-account.orig
# cp -pf common-auth common-auth.orig
# cp -pf common-password common-password.orig
# cp -pf common-session common-session.orig

andiamo quindi a modificare i quattro files che gestiscono la configurazione di pam per LDAP in modo che il loro contenuto sia:

/etc/pam.d/common-account

#/etc/pam.d/common-account - authorization settings common to all services
account sufficient pam_ldap.so
account required pam_unix.so

/etc/pam.d/common-auth

# /etc/pam.d/common-auth - authentication settings common to all services
auth sufficient pam_ldap.so
auth required pam_unix.so nullok_secure use_first_pass

/etc/pam.d/common-password

# /etc/pam.d/common-password - password-related modules common to all services
password sufficient pam_ldap.so md5
password required pam_unix.so nullok obscure md5

/etc/pam.d/common-session

session    sufficient      pam_ldap.so
session    required        pam_unix.so

Infine verifichiamo la password di root di OpenLDAP con i comandi:

# less /etc/libnss-ldap.secret
# less /etc/pam_ldap.secret

Test di funzionamento

Riavviate il vostro server e controllate eventuali messaggi di errore al boot. Una volta ripartito, con i comandi:

getent passwd
getent group

dovremmo vedere elencati anche gli utenti e i gruppi di dominio OpenLDAP. Il comando:

smbclient -L localhost -U Administrator

dovrebbe, dopo aver richiesto la password di Administrator, mostrarci le condivisioni samba del nostro server.

Assegnazione dei permessi agli utenti di dominio

Affinchè le directory dei profili e altre cosette funzionino senza intoppi è necessario assegnare i giusti permessi agli utenti di dominio:

net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Domain Admins" 
SeMachineAccountPrivilege SePrintOperatorPrivilege SeAddUsersPrivilege 
SeDiskOperatorPrivilege SeRemoteShutdownPrivilege

net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Print Operators" SePrintOperatorPrivilege

dove DEBIAN è il nome Samba assegnato al server. i due comandi precedenti vanno scritti su un'unica riga.

Aggiungere i primi utenti di dominio

Il pacchetto smbldap-tools presente in Squeeze, a differenza di quelli di Etch e Sarge, effettua un controllo di uid e gid ogni qualvolta si tenta di aggiungere un utente OpenLDAP al dominio, al fine di evitare sovrapposizioni nei valori; pertanto non è più necessario specificare a mano i corretti valori di uid e gid. Adesso siamo pronti per la creazione del primo utente con il comando:

# smbldap-useradd -a -m -c "Nome Utente" username

Dove -a serve per creare anche i dati UNIX, -m crea l'home directory e -c specifica il nome completo.
Infine impostare la password dell'utente con:

# smbldap-passwd username

Per verificare il tutto usare il comando:

# smbldap-usershow username

Creiamo ora i gruppi per organizzare gli utenti all'interno del nostro dominio:

# smbldap-groupadd "NomeGruppo"

Aggiungiamo gli utenti ai gruppi desiderati:

# smbldap-usermod -G "NomeGruppo" nome.utente

Se decidessimo di utilizzare la GUI fornita da phpldapadmin non dimentichiamoci di creare a mano le homes directory:

# mkdir /home/users/nome.utente
# cp /etc/skel/.* /home/users/nome.utente/
# chown -R nome.utente /home/users/nome.utente

Creazione di un semplice script da eseguire al login di windows

E' possibile creare uno script "logon.bat" (come specificato nel file /etc/smbldap-tools/smbldap.conf) da mettere nella cartella indicata per la condivisione netlogon. Questo script conterrà alcuni comandi che saranno eseguiti all'avvio dei client Windows. Tale script dovrà esser scritto in modalità dos, per far questo sfrutteremo il tool unix2dos contenuto nel pacchetto tofrodos.

# apt-get install tofrodos

creiamo lo script con l'editor che preferiamo

# vim /dominio/netlogon/logon.bat

syncronizziamo gli orologi del client windows con il nostro server e mappiamo una condivisione di rete scrivendo nel file

net time %LOGONSERVER% /set /yes
net use X: \\SERVER\Nome_Condivisione

infine

# todos /dominio/netlogon/logon.bat

Allo script si possono aggiungere operazioni come il montaggio di unità di rete o altre condivisioni. Tenete conto che con queste impostazioni viene già creata un'unità di rete collegata alla home dell'utente linux.

Test e connessione al dominio

Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.
A tal fine il primo accesso può essere fatto dal server stesso con il comando:

# smbclient -L localhost -U Administrator

Dovrebbe essere richiesta la password impostata precedentemente per l'utente Administrator e, di seguito, dovrebbero venire elencate le condivisioni samba impostate sul server.

La procedura di connessione dei client al dominio varia a seconda del sistema operativo utilizzato sulle macchine client:

Windows 95/98/ME

Verificare che sia installato il "Client per Reti Microsoft" fra le proprietà di rete
Assicurarsi che il Client per Reti Microsoft sia selezionato come protocollo di rete primario (Pannello di Controllo -> Rete -> Logon di rete primario).
Andare su Pannello di Controllo -> Rete -> Client per reti Microsoft -> Proprietà -> Logon su Dominio NT.
Se si è configurata su smb.conf l'opzione "add user script", selezionare il checkbox Crea un Computer Account, altrimenti creare a mano sul server Samba un utente con il nome della macchina Windows.
Inserire il nome del proprio dominio e cliccare OK.

Windows NT

Andare su Pannello di Controllo -> Rete -> Identificazione Rete -> Proprietà
Selezionare Dominio e inserire il nome del prorio dominio
Selezionare Crea un Computer Account
Alla richiesta della password di un amministratore inserire la login e la password di Administrator, ricordarsi che l'utente root deve essere aggiunto a smbpasswd.
Dovrebbe comparire un messaggio che ci da il benvenuto sul dominio.

Windows 2000

Le procedure sono uguali a quelle per Windows NT tranne che i settaggi di rete sono trovati sotto Pannello di Controllo -> Sistema -> Identificazione Rete (oppure, sul Desktop, cliccare col tasto destro del mouse sull'icona Risorse del Computer, selezionare Proprietà, cliccare sulla tab Identificazione Rete e sul tasto Proprietà).

Windows XP

La procedura con Windows XP è più complessa (lamentele a Microsoft che usa cambiare le specifiche e le implementazioni dei suoi protocolli anche per rendere più complicata l'interoperabilità con soluzioni alternative). Notare che solo XP Professional Edition può essere usato per far parte di un dominio, Windows XP Home Edition non può far parte di un dominio (Samba o Windows based).

Aprire l'editor delle policy di Sicurezza Locale (Start->Pannello di controllo->Strumenti di Aministrazione->Criteri di protezione locali->Criteri locali->opzioni di protezione)
Disabilitare la voce "Domain member: Digitally encrypt or sign secure channel (always)" (Membro di dominio: aggiunta crittografia of irma digitale ai dati del canale protetto (sempre) )
Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer)
Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) )
Scaricare la patch per il registro http://www.pepinet.com/download/samba/sambapatch.reg. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande
A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator.

Windows Vista

Non ancora testato.

Windows 7

Il supporto a Windows 7 è stato aggiunto a partire dalla versione 3.3 di Samba; bisogna quindi provvedere all'installazione di Samba dal repository backports, come descritto nel relativo capitolo di questa guida.

Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro:

HKLM\System\CCS\Services\LanmanWorkstation\Parameters
DWORD  DomainCompatibilityMode = 1
DWORD  DNSNameResolutionRequired = 0

Occorre inoltre scaricare dal sito di Microsoft un hotfix che corregge un problema di "Server DNS non trovato". Il link all'hotfix è riportato nel wiki ufficiale di Samba: http://wiki.samba.org/index.php/Windows7
A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP.

Backup e restore del database LDAP

Vengono suggeriti di seguito alcuni metodi per effettuare dei backup del database LDAP. Consiglio di prendere seriamente in considerazione l'idea di impostare dei backup regolari magari tramite cron e suggerisco altresì di effettuare sempre un backup dei dati LDAP prima di ogni modifica o riconfigurazione del server.

Offline Physical Backup

Un offline physical backup deve essere effettuato sul server stesso. Lo svantaggio di questo tipo di backup è che il server LDAP non sarà disponibile per l'intera durata del processo.

Stopare il server LDAP: /usr/sbin/rcldap stop
Copiare tutti i files in /var/lib/ldap/ dentro una directory di backup
Riavviare il server LDAP: /usr/sbin/rcldap start

Offline Logical Backup

Questo tipo di backup, noto anche come database dump richiede sempre l'arresto del servizio LDAP:

/usr/sbin/rcldap stop
slapcat >ldap.\$(date +'\%Y\%m\%d-\%T') Questo comando genera nella directory corrente un file LDIF che può successivamente essere archiviato
/usr/sbin/rcldap start

Online Backup

Questo tipo di backup, a differenza dei precedenti, utilizza LDAP stesso per effettuare il dump dei dati del database e quindi, pur appensantendo il server, non richiede l'arresto del servizio.

ldapsearch -h LDAPServer -x -b baseDN > ldap.\$(date +'\%Y\%m\%d-\%T')

dove LDAPServer è il nome del server e baseDN è il distinguished name (DN) della struttura LDAP, nel nostro caso dc=dominio,dc=local

Database Restore

Per ripristinare un offline backup:
1. /usr/sbin/rcldap stop
2. copiare i files salvati in /var/lib/ldap (Se Offline Physical Backup)
3. slapadd -l nome_del_backupfile (Se Offline Logical Backup)
4. /usr/sbin/rcldap start
Per ripristinare un online backup:
1. ldapadd -D adminDN -x -w adminPassword -h LDAPServer -x -f nome_del_backupfile

dove adminDN è nel nostro caso dn=admin,dc=dominio,dc=local

Replica del database LDAP su un altro server

Se siete interessati a fornire ridondanza alla vostra rete, potete prendere in considerazione l'idea di inserire un secondo server OpenLDAP sincronizzato con il server principale che abbiamo appena configurato.
In tal caso suggerisco di seguire questa guida, nella quale viene utilizzato lo stesso database LDAP che abbiamo appena configurato per costruire un server di replica.

db4

OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare:

# apt-get install db4.8-util

Questo pacchetto contiene l'utility db4.8_recover che viene lanciata automaticamente ad ogni restart di ldap, risolvendo eventuali problemi di incongruenza del Barkley DB.

Interfacce web alternative per OpenLDAP

Altre due interfacce grafiche comode, da utilizzare congiuntamente o in alternativa a phpldapadmin, sono gosa e ldap-account-manager.

LDAP-Account-Manager

apt-get install ldap-account-manager libkadm55 php5-snmp php5-mhash

Una volta installato, collegatevi col vostro browser all'indirizzo:

http://ip_vostro_server/lam

Prima di effettuare il login, cliccate sulla voce LAM configuration, scegliete Edit Server Profiles e inserite la password di default (lam). Una volta entrati sostituite:

la voce Tree Suffix con il DN del vostro dominio: dc=dominio,dc=local
la voce List of valid users con l DN dell'amministratore del dominio: cn=admin,dc=dominio,dc=local
la voce Password con la password di Administrator del dominio

Quindi cliccate su Edit Account Types e modificate le voci come segue:

al posto di People sostituite Users
al posto di group sostituite Groups
al posto di machines sostituite Computers
eliminate l'indicazione ou=domains nella voce Samba Domains

Date infine OK a questa schermata e OK alla successiva.
Come ultima cosa cliccate sulla voce LAM configuration, scegliete Edit General Settings e inserite la password di default (lam). Una volta entrati sostituite la password di default con quella di Administrator del dominio.
Ora siete pronti per effettuare il login in LDAP Account Manager.

GOsa

To do

Luma

Non è un'interfaccia web, ma un'applicazione scritta in python. E' molto utile se il server che state installando è provvisto di interfaccia grafica (Gnome, Xfce o KDE). Per installarlo basta semplicemente il comando:

apt-get install luma

Comandi utili e consigli finali

Creazione di utenti

# smbldap-useradd -a -m -c "Descrizione Utente" nome.utente
# smbldap-passwd nome.utente

Per verificare il tutto usare il comando

# smbldap-usershow nome.utente

Creazione di un gruppo

# smbldap-groupadd "NomeGruppo"

Aggiunta di un utente a un gruppo

Per impostare il gruppo primario dell'utente:

# smbldap-usermod -g "NomeGruppo" nome.utente

Per aggiungere l'utente a ulteriori gruppi:

# smbldap-usermod -G gruppo1,gruppo2,gruppo3 nome.utente

Elencare i gruppi memorizzati in LDAP

# ldapsearch -x objectClass=posixGroup

Elencare gli utenti di un gruppo

# smbldap-groupshow "gruppo"

Backuppare una directory condivisa dal server usando le credenziali di un utente specifico

smbclient //nomeserver/nomecartella -U nome.utente%password.utente -N -Tc backup.tar /percorso/locale/del/backup

Elencare le risorse condivise di una macchina

smbclient -L nomeserver

Per fare delle modifiche nel DB in maniera semplice

  slapcat -l /tmp/backup.ldif    

  # stoppare il servizio

  /etc/init.d/slapd stop

  # una copia del vecchio db

  cp -r /var/lib/ldap  /var/lib/ldap.old
  mkdir /var/lib/ldap

  Modificare il file backup.ldif e quindi reimportarlo

  slapadd -c -l /tmp/backup.ldif

Comandi utili LDAP

ldapsearch -b "dc=miodominio,dc=local" -x

ldapsearch -b "dc=miodominio,dc=local" -LLL "cn=nomedellutente*" -x

ldapadd -x -W -D "cn=admin,dc=miodominio,dc=local" -f entry.ldif  # per importare un ldif

ldapdelete  -x  -D "cn=admin,dc=miodominio,dc=local" -W "cn= nomeutente,dc=logic"

Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto.

Per approfondimenti

Debianizzati

Samba e OpenLDAP: creare un controller di dominio
Samba e OpenLDAP: creare un controller di dominio con Debian Etch
Samba e OpenLDAP: creare un controller di dominio con Debian Lenny
Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny
Implementare un'architettura ridondante master/slave OpenLDAP
Samba: guida estesa
Samba: creare un cestino di rete per le condivisioni
ClamAV: scansione antivirus delle condivisioni Samba

Guida scritta da: Ferdybassi	Debianized 20%
Estesa da:
Verificata da:
Verificare ed estendere la guida \| Cos'è una guida Debianized