Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze: differenze tra le versioni

== Introduzione ==

Vedremo questa volta come installare un server basato su '''Debian Squeeze''' e Samba 3 con backend di un database LDAP, affinché funga da Primary Domain Controller di una rete Windows. Lo stesso server LDAP verrà utilizzato anche per la gestione in contemporanea degli utenti Unix, in modo da avere un controllo unico e centralizzato sia sugli utenti Windows sia sugli utenti Linux.<br/>

Verranno illustrati due metodi di gestione del database LDAP, uno basato sui tools smbldap-tools e uno basato su interfaccia grafica in PHP.<br/>

Consiglio vivamente di prepararsi una buona tazza di caffé e di armarsi di pazienza e di molta attenzione, dato che un errore di battitura in qualche file di configurazione può mandare in rovina l'intero lavoro: poichè che i files da modificare saranno molti, di certo risulterebbe molto difficile e molto lungo andare a caccia di eventuali errori.<br/>

== Sistema installato e prerequisiti ==

Durante tutto il processo si presuppone di agire come utente root.

=== Parametri di rete utilizzati ===

In tutta la guida saranno utilizzati i seguenti parametri per la configurazione della rete:

* Nome del dominio: dominio.local

* Nome NETBIOS del dominio: DOMINIO

Questi parametri vanno ovviamente adattati alle vostre esigenze.

== Installazione del server LDAP ==

Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.<br/>

Si considera che il server in questione venga utilizzato all'interno di una rete aziendale altamente affidabile e non verranno, pertanto, trattati gli aspetti relativi alla crittografia delle comunicazioni. Questa scelta riduce la sicurezza, pertanto si consiglia di approfondire l'argomento. Se si è interessati ad un'implementazione sicura del protocollo LDAP si veda ad esempio la guida [[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]], che è basata sulla guida che state leggendo, ma che introduce e analizza una serie di aspetti legati alla trasmissione e all'archiviazione sicura delle informazioni.<br/>

<pre>

</pre>

Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.<br/>

In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/>

Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di Dominio.<br/>

* Nome del dominio: dominio.local

* Nome dell'organizzazione: DOMINIO

* Motore database da utilizzare: BDB

* Cancellare il database quando si effettua il purge di slapd: no

Per verificare il corretto funzionamento del servizio, dare il comando:

<pre>

</pre>

Se ottenete le informazioni sul dominio significa che tutto è andato per il verso giusto; se ottenete un messaggio del genere "ldap_bind: Can't contact LDAP server (-1)" vi conviene eseguire nuovamente la configurazione di OpenLDAP.

Installiamo per prima cosa alcuni moduli di PHP necessari:

<pre>

</pre>

=== Installazione di PHPLdapAdmin ===

Ora possiamo installare phpldapadmin:

# apt-get install phpldapadmin

</pre>

Per verificare la corretta installazione del pacchetto, aprite il browser su:

<pre>

Phpldapadmin richiede per funzionare la presenza di un tool chiamato mkntpwd, sviluppato dal team di Samba e utilizzato per creare gli hash delle password in Samba. Inspiegabilmente questo tool non è presente negli archivi di Debian. Va pertanto scaricato dal seguente indirizzo:

<pre>

</pre>

Una volta scaricato il file, bisogna scompattarlo, compilarlo e configurarlo:

</pre>

L'ultimo comando dovrebbe restituirvi l'elenco delle opzioni disponibili in mkntpwd.

== Installazione di Samba ==

L'installazione di Samba va effettuata in questo momento perchè insieme ai pacchetti stessi di Samba saranno installate anche alcune utility che adopereremo nel paragrafo successivo.

<pre>

</pre>

<pre>

</pre>

Per il momento come configurazione base rispondente nel seguente modo alle domande che vi verranno poste:<br/>

*Utilizzare DHCP per i nomi Netbios: NO

Non preoccupatevi per eventuali errori, perchè tutta la configurazione verrà ripresa in un secondo momento.

== Configurare i SMBLDAP TOOLS ==

I smbldap-tools sostituiscono i comandi standard di UNIX per la gestione di gruppi, utenti e password in modo da dialogare direttamente con il server LDAP e fornire un metodo per gestire in contemporanea gli account UNIX e SAMBA.<br/>

</pre>

=== Configurazione ===

<pre>

# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf

# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf

</pre>

Se non si è sicuri del DN da inserire lanciare il comando:

<pre>

# release)

slaveDN="cn=admin,dc=dominio,dc=local"

masterDN="cn=admin,dc=dominio,dc=local"

</pre>

Eseguire ora il comando:

e copiare o prendere nota del codice che viene restituito.

<br/>

<pre>

SID="S-1-5-21-2318037123-1631426476-2439636316"

ldapTLS="0"

# How to verify the server's certificate (none, optional or require)

# CA certificate

# certificate to use to connect to the ldap server

# key certificate to use to connect to the ldap server

# LDAP Suffix

suffix="dc=dominio,dc=local"

scope="sub"

# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)

# if hash_encrypt is set to CRYPT, you may set a salt format.

# default is "%s", but many systems will generate MD5 hashed

# chmod 0600 /etc/smbldap-tools/smbldap_bind.conf

</pre><br/>

== Configurazione del server LDAP ==

Passiamo ora alla configurazione del server LDAP.<br/>

Innanzitutto effettuiamo un backup di LDAP:

<pre>

# slapcat > ~/slapd.ldif

</pre>

<pre>

# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

</pre>

</pre>

e prendete nota del risultato.<br/>

<pre>

include /etc/ldap/schema/samba.schema

</pre>

<pre>

index objectClass eq,pres

</pre>

Il contenuto del file dovrebbe essere il seguente:<br/>

<pre>

#######################################################################

#suffix        "dc=debian,dc=org"

</pre>

<pre>

# /etc/init.d/slapd stop

# ldapsearch -x

</pre>

<pre>

# slapd -d 256

</pre>

In tal modo viene avviato visualizzando varie informazioni di debug a video.

== Configurazione di Samba ==

<pre>

# mkdir /dominio

# mkdir /dominio/pubblica

</pre>

<pre>

# mv /etc/samba/smb.conf /etc/samba/smb.conf.original

       domain logons = yes

       admin users = Administrator root @"Domain Admins"

   ### Opzioni di connessione e sicurezza. Configurazione Wins ###

   ### Configurazione dei log ###

       log file = /var/log/samba/log.%m

   ### Impostazione charset corretto ###

       hide dot files = yes

       unix charset = ISO8859-1

       enable privileges = yes

       ldap delete dn = Yes

   ### Permetto il cambio password da Windows

       pam password change = Yes

       unix password sync = No

   ### Profili mobili, directory home, script di logon ###

e scarichiamo lo script <code>log_access_login.bash</code> che ci servirà per loggare gli accessi al dominio:

<pre>

# chmod 700 /etc/samba/log_access_login.bash

</pre>

</pre>

Il resto del file va lasciato invariato.

== Popolamento del database LDAP ==

Per un funzionamento corretto SAMBA ha bisogno di diversi gruppi predefiniti e 2 utenti: Administrator e nobody.<br/>

Per creare i gruppi predefiniti e gli utenti utilizzati da Samba è possibile procedere in due modi.

=== 1 - Utilizzo degli script forniti con smbldap-tools ===

<pre>

# smbldap-populate -a root -k 0

[[Immagine:Sambapdc04.jpg|center]]

Selezionate il template corretto ('''Samba3 Account''' se volete creare un nuovo utente e '''Samba3 Group Mapping''' se volete creare un nuovo gruppo) e immettete le voci nei campi di definizione del template stesso.

Ricordatevi, al termine del processo di creazione di gruppi e utenti, di cambiare la password di Administrator come indicato nel paragrafo precedente:

<pre>

smbldap-passwd Administrator

</pre>

== Configurazione delle autenticazioni Unix ==

A questo punto occorre configurare il nostro server affinchè veda gli utenti LDAP come normali utenti unix di sistema.

Per prima cosa installeremo il pacchetto libnss-ldap, con il classico comando:

<pre>

</pre>

Non preoccupatevi delle domande che vi vengono poste durante l'installazione. Non appena terminata, infatti, andremo a riconfigurare il pacchetto con il comando:

</pre>

Rispondete in questo modo alle domande che vi vengono poste dall'installer:

<pre>

passwd: compat

con

<pre>

hosts: files dns ldap

</pre>

Il contenuto del file dovrebbe essere il seguente:<br/>

<pre>

# /etc/nsswitch.conf

# If you have the `glibc-doc-reference' and `info' packages installed, try:

# `info libc "Name Service Switch"' for information about this file.

hosts: files dns ldap

networks: files

protocols: db files

ethers: db files

rpc: db files

</pre>

Modificate inotre il file '''/etc/libnss-ldap.conf''', decommentando e modificando le righe seguenti e lasciando decommentate quelle di default:

<pre>

host 127.0.0.1

pam_member_attribute gid

bind_policy soft

nss_base_passwd ou=Users,dc=dominio,dc=local?sub

nss_base_passwd ou=Computers,dc=dominio,dc=local?sub

</pre>

rispondendo in questo modo alle domande poste dall'installer:

Modificate come segue il file '''/etc/pam_ldap.conf''':

<pre>

bind_policy soft

nss_base_group ou=Groups,dc=dominio,dc=local?one

</pre>

'''/etc/pam.d/common-account'''<br/>

<pre>

#/etc/pam.d/common-account - authorization settings common to all services

account sufficient pam_ldap.so

</pre>

<br/>

'''/etc/pam.d/common-auth'''<br/>

<pre>

# /etc/pam.d/common-auth - authentication settings common to all services

auth sufficient pam_ldap.so

auth required pam_unix.so nullok_secure use_first_pass

<pre>

# /etc/pam.d/common-password - password-related modules common to all services

</pre>

<br/>

</pre>

<pre>

</pre>

=== Test di funzionamento ===

Riavviate il vostro server e controllate eventuali messaggi di errore al boot.

<pre>

net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Domain Admins"  

</pre>

<pre>

</pre>

== Aggiungere i primi utenti di dominio ==

Adesso siamo pronti per la creazione del primo utente con il comando:

<pre>

# chown -R nome.utente /home/users/nome.utente

</pre>

== Creazione di un semplice script da eseguire al login di windows ==

E' possibile creare uno script "logon.bat" (come specificato nel file /etc/smbldap-tools/smbldap.conf) da mettere nella cartella indicata per la condivisione netlogon. Questo script conterrà alcuni comandi che saranno eseguiti all'avvio dei client Windows.  

infine

<pre>

</pre>

Allo script si possono aggiungere operazioni come il montaggio di unità di rete o altre condivisioni.

# Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer)

# Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) )

# A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator.

*'''Windows Vista'''

# Non ancora testato.

*'''Windows 7'''

# Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro:

<pre>

DWORD  DNSNameResolutionRequired = 0

</pre>

A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP.

== Backup e restore del database LDAP ==

Vengono suggeriti di seguito alcuni metodi per effettuare dei backup del database LDAP. Consiglio di prendere seriamente in considerazione l'idea di impostare dei backup regolari magari tramite cron e suggerisco altresì di effettuare '''sempre''' un backup dei dati LDAP prima di ogni modifica o riconfigurazione del server.

=== Offline Physical Backup ===

Un offline physical backup deve essere effettuato sul server stesso. Lo svantaggio di questo tipo di backup è che il server LDAP non sarà disponibile per l'intera durata del processo.

# Copiare tutti i files in /var/lib/ldap/ dentro una directory di backup

=== Offline Logical Backup ===

Questo tipo di backup, noto anche come '''database dump''' richiede sempre l'arresto del servizio LDAP:

=== Online Backup ===

Questo tipo di backup, a differenza dei precedenti, utilizza LDAP stesso per effettuare il dump dei dati del database e quindi, pur appensantendo il server, non richiede l'arresto del servizio.

=== Database Restore ===

# Per ripristinare un offline backup:

## copiare i files salvati in /var/lib/ldap (Se Offline Physical Backup)

# Per ripristinare un online backup:

== Replica del database LDAP su un altro server ==

Se siete interessati a fornire ridondanza alla vostra rete, potete prendere in considerazione l'idea di inserire un secondo server OpenLDAP sincronizzato con il server principale che abbiamo appena configurato.<br/>

In tal caso suggerisco di seguire [[Implementare un'architettura ridondante master/slave OpenLDAP | questa guida]], nella quale viene utilizzato lo stesso database LDAP che abbiamo appena configurato per costruire un server di replica.

== db4 ==

OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare:

<pre>

</pre>

<br/>

== Interfacce web alternative per OpenLDAP ==

</pre>

Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto.

== Per approfondimenti ==

[[Samba e OpenLDAP: creare un controller di dominio]]<br/>

[[Samba e OpenLDAP: creare un controller di dominio con Debian Etch]]<br/>

[[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]]<br/>

[[Implementare un'architettura ridondante master/slave OpenLDAP]]<br/>

<br/>