Samba e OpenLDAP: creare un controller di dominio: differenze tra le versioni

Per la redazione di questa guida mi sono basato su questi ottimi HowTo:<br/>

http://www.slag.it/documenti/samba3_ldap_pdc/samba3_ldap_pdc_howto.php<br/>

<br/>

Durante tutto il processo si presuppone di agire come utente root.

<br/>

Si consiglia di installare immediatamente Samba, in quanto alcuni strumenti che mette a disposizione saranno necessari anche per le configurazioni degli altri servizi.

<pre>

</pre>

Per il momento come configurazione base rispondente nel seguente modo alle domande che vi verranno poste:<br/>

*Utilizzare password cifrate: SI

*Utilizzare DHCP per i nomi Netbios: NO

Non preoccupatevi per eventuali errori, perchè tutta la configurazione verrà ripresa in un secondo momento.

<br/>

Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.<br/>

Si considera che il server in questione venga utilizzato all'interno di una rete aziendale altamente affidabile e non verranno, pertanto, trattati gli aspetti relativi alla crittografia delle comunicazioni. Questa scelta riduce la sicurezza, pertanto si consiglia di approfondire l'argomento.<br/>

# apt-get install slapd ldap-utils samba-doc

</pre>

In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/>

Per tutte le altre opzioni possono essere confermate le impostazioni di default.

<br/><br/>

Passiamo ora alla configurazione del server LDAP.<br/>

<pre>

# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

</pre>

<pre>

include /etc/ldap/schema/samba.schema

</pre>

<pre>

index objectClass eq

access to attrs=userPassword,sambaNTPassword,sambaLMPassword

</pre>

<pre>

# /etc/init.d/slapd restart

# ldapsearch -x

</pre>

<pre>

# slapd -d 256

In tal modo viene avviato visualizzando varie informazioni di debug a video.

<br/>

<pre>

URI ldap://localhost

</pre>

che dovrebbe fornire tutti i dati presenti nel server LDAP. Sempre pochi, ma in numero maggiore rispetto a quanto elencato la volta precedente.

<br/>

I smbldap-tools sostituiscono i comandi standard di UNIX per la gestione di gruppi, utenti e password in modo da dialogare direttamente con il server LDAP e fornire un metodo per gestire in contemporanea gli account UNIX e SAMBA.<br/>

Malgrado la documentazione ufficiale di SAMBA asserisca che smbpasswd sia in grado di gestire tali account, utilizzando quello strumento occorre prima creare l'utente UNIX, poi quello Samba, pertanto ne sconsiglio l'utilizzo.

Installare il pacchetto smbldap-tools

<pre>

# apt-get install smbldap-tools

</pre>

<pre>

# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf

# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf

</pre>

Se non si è sicuri del DN da inserire lanciare il comando:

<pre>

Al momento si presuppone di avere un solo server LDAP, pertanto le configurazioni coincideranno:

<pre>

slavePw="passworddiadmindigitataprecedentemente"

masterPw="passworddiadmindigitataprecedentemente"

</pre>

e copiare o prendere nota del codice che viene restituito.

<br/>

<pre>

SID="S-1-5-21-2318037123-1631426476-2439636316"

ldapTLS="0"

</pre>

<pre>

</pre>

Potrebbe tornare utile anche impostare una differente scadenza per le password, in modo che non ne venga richiesta la sostituzione troppo di frequente:

Impostare infine il suffisso per gli indirizzi mail, anche se nel presente HOWTO non vengono configurati.

<pre>

</pre>

Terminate le modifiche al file, bisogna cambiare i permessi per i file appena modificati al fine di aumentare la sicurezza del sistema ed impedire agli utenti di avere accesso alle password di amministratore di LDAP, scritta in chiaro nel file di configurazione precedentemente modificato.

</pre><br/>

A questo punto il backend per la memorizzazione degli utenti e la loro gestione è pronto; è quindi il momento di passare a SAMBA per farlo accedere a quanto fatto finora.

Per il funzionamento corretto SAMBA ha bisogno di diversi gruppi predefiniti e 2 utenti: Administrator e nobody.<br/>

Inoltre, affinché si riesca ad aggiungere computer al dominio in modo automantico (da macchine Windows), deve esistere un utente con uid = 0 da utilizzare per questa operazione. Tale utente può essere un utente root (da aggiungere a mano) o lo stesso Administrator cambiandogli l'uid. Quest'ultima è la scelta presa in questa configurazione, in modo da avere un utente Administrator che è Administrator per Samba e root per il "dominio" UNIX.<br/>

</pre>

Questo sarà anche il comando che dovrà essere normalmente utilizzato per la gestione delle password.

Per far lavorare correttamente Samba è necessario configurare NSS con LDAP. Samba infatti si aspetta di trovare un utente di sistema con lo stesso nome di un utente Samba. Per questo occorre recuperare le informazioni sugli utenti dal database LDAP. È necessario quindi installare:

<pre>

# apt-get install libnss-ldap

</pre>

<pre>

passwd: compat ldap

che dovrebbe riportare anche gli utenti Samba come Administrator.

<br/>

I cambiamenti di NSS dovrebbero già essere sufficienti per determinate operazioni, ma l'accesso tramite alcuni strumenti come SSH ancora non funziona.<br/>

Per attivare i servizi in modo completo occorre lavorare su PAM e, in particolare, installare le librerie che consentono a PAM di accedere a LDAP.

<pre>

</pre>

<br/>

<pre>

commom-account:

Per provare un servizio, tipo ssh, occorre far ripartire il demone corrispondente e provare ad autenticarsi con un nuovo utente contenuto nel database LDAP.

<br/>

E' possibile copiare un prototipo per il file di configurazione di samba (facendo una copia dell'originale!):

<pre>

</pre>

'''ATTENZIONE'''

<pre>

[global]

server string = LAN Server %v

##### LDAP Configuration #####

ldap group suffix = ou=Groups

ldap user suffix = ou=Users

# chmod 1757 /var/lib/samba/profiles

</pre>

Adesso siamo pronti per la creazione del primo utente con il comando:

<pre>

# smbldap-usershow username

</pre>

<pre>

# smbldap-groupadd "NomeGruppo"

</pre>

<pre>

# smbldap-usermod -G "NomeGruppo" nome.utente

<br/>

E' possibile creare uno script che abbiamo chiamto "logon.bat" (come specificato nel file /etc/smbldap-tools/smbldap.conf) da mettere nella cartella indicata per la condivisione netlogon, quindi nel nostro caso /var/lib/samba/netlogon/  

Tale script dovrà esser scritto in modalità dos, per far questo sfrutteremo il tool unix2dos contenuto nel pacchetto tofrodos.

Tenete conto che con queste impostazioni viene creata un'unità di rete collegata alla home dell'utente linux.

Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.<br/>

A tal fine il primo accesso può essere fatto dal server stesso con il comando:

Bisogna fornire la password di root del PDC Samba (ricordarsi che è la password salvata in smbpasswd e non in passwd/shadow, nel caso fossero diverse).

<br/>

Nel caso si disponga di un secondo server e si voglia utilizzare un unico database degli utenti è possibile seguire 2 strade differenti:

# Configurare il secondo server per accedere a LDAP seguendo le indicazioni esposte per il server di dominio, ovviamente senza farlo diventare server di dominio, ma con autenticazione degli utenti

Il primo caso non verrà trattato, mentre per il secondo occorre eseguire le seguenti operazioni sul server da aggiungere.

<br/>

<pre>

security = domain

A questo punto è possibile creare share e assegnare permessi in base a utenti e gruppi definiti nel dominio.

<br/>

<pre>

# smbldap-useradd -a -m -c "Descrizione Utente" nome.utente

# smbldap-usershow nome.utente

</pre>

<pre>

# smbldap-groupadd "NomeGruppo"

</pre>

<pre>

# smbldap-usermod -G "NomeGruppo" nome.utente

</pre>

<pre>

# ldapsearch -x objectClass=posixGroup

</pre>

<pre>

# smbldap-groupshow "gruppo"

</pre>

<pre>

smbclient //nomeserver/nomecartella -U nome.utente%password.utente -N -Tc backup.tar /percorso/locale/del/backup

</pre>

<pre>

smbclient -L nomeserver

</pre>

<pre>

   slapcat -l /tmp/backup.ldif     

   slapadd -c -l /tmp/backup.ldif

</pre>

<pre>

</pre>

Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto.

<br/>

'''Disabilitare i roaming profiles'''

<br/>

Così come è stato configurator Samba permette l'utilizzo dei roaming profiles, meccanismo per cui tutte le impostazioni di un utente sono caricate dal server al login e salvate sul server al logout in modo da poter utilizzare computer differenti ritrovando le proprie impostazioni.<br/>

Seppur questa funzionalità sia utile, nel caso di cartelle di profilo di elevate dimensioni (in questa cartella c'è la cache del browser, le e-mail, la cartella documenti, ...) i tempi di login e logout sono eterni. Il meccanismo dei roaming profiles può essere disabilitato per singolo computer o agendo sul server SAMBA a livello di impostazioni del singolo utente (e ovviamente di impostazioni di default da utilizzare durante la creazione degli utenti).<br/>

<pre>

logon home =

Questi parametri, anche se vuoti, DEVONO esserci, altrimenti il client continua a cercare il profile generando un errore.<br/>

Per tutti gli utenti presenti occorre eliminare l'attributo sambaProfilePath. Per far ciò è possibile usare il comando smbldap-usermod, utilizzare un client di LDAP testuale o grafico o ancora usare gli strumenti di gestione utenti di Windows scaricando i srvtools.exe dal sito della Microsoft.<br/>

<pre>

userProfile="\\PDC-SAMBA\profiles\%U"

In questo modo al login e logout i profili sul server non sono più considerati.

<br/>

OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare:

<pre>

Questo pacchetto contiene l'utility db4.2_recover che viene lanciata automaticamente ad ogni restart di ldap, risolvendo eventuali problemi di incongruenza del Barkley DB.

<br/>

Il meccanismo di gestione dei charset in Linux e in Windows è abbastanza complicato, anche a causa dell'elevato numero di strati logici e sistemi differenti che una stringa deve attraversare prima di essere letta o scritta. In larga parte ho ancora molte lacune sul funzionamento, ma di seguito riporto le configurazioni necessarie affinché eventuali lettere accentate nei nomi di file e cartelle siano coerenti sui client Windows, Linux e sul server Sambanel caso di charset Italiano (western european - ISO8859-1).<br/>

<pre>

unix charset = ISO8859-1

</pre>

<br/>

<pre>

[global]

server string = LAN Server %v

wins support = yes

##### LDAP Configuration #####

ldap group suffix = ou=Groups

ldap user suffix = ou=Users

</pre>

<br/>

<pre>

# This is the main slapd configuration file. See slapd.conf(5) for more

# The base of your directory in database #1

# Where the database file are physically stored for database #1

# These access lines apply to database #1 only

access to attrs=userPassword,sambaNTPassword,sambaLMPassword

         by anonymous auth

         by self write

# can read everything.

access to *

         by * read

# profile for which they have write access to

#access to dn=".*,ou=Roaming,o=morsnet"

#        by dnattr=owner write

</pre>

<br/>

<pre>

# $OpenLDAP: pkg/ldap/libraries/libldap/ldap.conf,v 1.9 2000/09/04 19:57:01 kurt Exp $

#URI ldap://ldap.example.com ldap://ldap-master.example.com:666

URI ldap://localhost

</pre>

<br/>

<pre>

############################

# By default, we will use the same DN (so it will work for standard Samba

# release)

slavePw="password"

masterPw="password"

</pre>

<br/>

<pre>

# $Source: /opt/cvs/samba/smbldap-tools/smbldap.conf,v $

# LDAP Suffix

# Ex: suffix=dc=IDEALX,dc=ORG

# Where are stored Users

# Where to store next uidNumber and gidNumber available

# Default scope Used

# Domain appended to the users "mail"-attribute

# when smbldap-useradd -M is used

##############################################################################

</pre>

<br/>

<pre>

# /etc/nsswitch.conf

</pre>

<br/>

<pre>

#

</pre>

<br>

<pre>

#

</pre>

<br/>

<pre>

#

</pre>

<br/>

<pre>

#

session required pam_unix.so

</pre>