Samba e OpenLDAP: creare un controller di dominio: differenze tra le versioni

In questo articolo vedremo come installare un server basato su Debian e Samba 3 con backend di un database LDAP, affinché funga da Primary Domain Controller di una rete Windows. Lo stesso server LDAP verrà utilizzato anche per la gestione in contemporanea degli utenti Unix, in modo da avere un controllo unico e centralizzato sia sugli utenti Windows sia sugli utenti Linux.<br/>

Per la redazione di questa guida mi sono basato su questi ottimi HowTo:<br/>

<br/>

Il presente HOWTO è stato realizzato utilizzando un sistema Debian 3.1 Sarge con tutti gli aggiornamenti di sicurezza ufficiali.  

La configurazione iniziale del sistema prevede un'installazione base Debian net install senza alcun componente aggiuntivo.<br/>

<br/>

Si consiglia di installare immediatamente Samba, in quanto alcuni strumenti che mette a disposizione saranno necessari anche per le configurazioni degli altri servizi.

<pre>

<br/>

Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.<br/>

Si considera che il server in questione venga utilizzato all'interno di una rete aziendale altamente affidabile e non verranno, pertanto, trattati gli aspetti relativi alla crittografia delle comunicazioni. Questa scelta riduce la sicurezza, pertanto si consiglia di approfondire l'argomento.<br/>

</pre>

Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.<br/>

In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/>

Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di MioDominio.<br/>

<br/><br/>

Passiamo ora alla configurazione del server LDAP.<br/>

<pre>

# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

</pre>

<pre>

include /etc/ldap/schema/samba.schema

</pre>

<pre>

index objectClass eq

rootpw          "passworddiadmindigitataprecedentemente"

</pre>

<pre>

# /etc/init.d/slapd restart

# ldapsearch -x

</pre>

<pre>

# slapd -d 256

<br/>

<pre>

BASE dc=miodominio,dc=local

<br/>

I smbldap-tools sostituiscono i comandi standard di UNIX per la gestione di gruppi, utenti e password in modo da dialogare direttamente con il server LDAP e fornire un metodo per gestire in contemporanea gli account UNIX e SAMBA.<br/>

Malgrado la documentazione ufficiale di SAMBA asserisca che smbpasswd sia in grado di gestire tali account, utilizzando quello strumento occorre prima creare l'utente UNIX, poi quello Samba, pertanto ne sconsiglio l'utilizzo.

Installare il pacchetto smbldap-tools

<pre>

# apt-get install smbldap-tools

</pre>

<pre>

# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf

# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf

</pre>

Se non si è sicuri del DN da inserire lanciare il comando:

<pre>

e copiare o prendere nota del codice che viene restituito.

<br/>

<pre>

SID="S-1-5-21-2318037123-1631426476-2439636316"

</pre><br/>

A questo punto il backend per la memorizzazione degli utenti e la loro gestione è pronto; è quindi il momento di passare a SAMBA per farlo accedere a quanto fatto finora.

Per il funzionamento corretto SAMBA ha bisogno di diversi gruppi predefiniti e 2 utenti: Administrator e nobody.<br/>

Inoltre, affinché si riesca ad aggiungere computer al dominio in modo automantico (da macchine Windows), deve esistere un utente con uid = 0 da utilizzare per questa operazione. Tale utente può essere un utente root (da aggiungere a mano) o lo stesso Administrator cambiandogli l'uid. Quest'ultima è la scelta presa in questa configurazione, in modo da avere un utente Administrator che è Administrator per Samba e root per il "dominio" UNIX.<br/>

</pre>

Questo sarà anche il comando che dovrà essere normalmente utilizzato per la gestione delle password.

Per far lavorare correttamente Samba è necessario configurare NSS con LDAP. Samba infatti si aspetta di trovare un utente di sistema con lo stesso nome di un utente Samba. Per questo occorre recuperare le informazioni sugli utenti dal database LDAP. È necessario quindi installare:

<pre>

</pre>

Verrà chiesto il server LDAP e il dominio (miodominio.local), poi dovrete cambiare la stringa per la connessione al database ldap, mettendo admin come utente e dc=miodominio,dc=local nei valori dc. Per tutte le altre domande è possibile mantenere le risposte di default.

<pre>

passwd: compat ldap

che dovrebbe riportare anche gli utenti Samba come Administrator.

<br/>

<pre>

host 127.0.0.1

# apt-get install libpam-ldap libpam-cracklib

</pre>

<br />

<br/>

<pre>

commom-account:

<br/>

E' possibile copiare un prototipo per il file di configurazione di samba (facendo una copia dell'originale!):

<pre>

<pre>

[global]

server string = LAN Server %v

##### LDAP Configuration #####

ldap group suffix = ou=Groups

ldap user suffix = ou=Users

# chmod 1757 /var/lib/samba/profiles

</pre>

Adesso siamo pronti per la creazione del primo utente con il comando:

<pre>

# smbldap-usershow username

</pre>

<pre>

# smbldap-groupadd "NomeGruppo"

</pre>

<pre>

# smbldap-usermod -G "NomeGruppo" nome.utente

<br/>

E' possibile creare uno script che abbiamo chiamto "logon.bat" (come specificato nel file /etc/smbldap-tools/smbldap.conf) da mettere nella cartella indicata per la condivisione netlogon, quindi nel nostro caso /var/lib/samba/netlogon/  

Tale script dovrà esser scritto in modalità dos, per far questo sfrutteremo il tool unix2dos contenuto nel pacchetto tofrodos.

Tenete conto che con queste impostazioni viene creata un'unità di rete collegata alla home dell'utente linux.

Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.<br/>

A tal fine il primo accesso può essere fatto dal server stesso con il comando:

Bisogna fornire la password di root del PDC Samba (ricordarsi che è la password salvata in smbpasswd e non in passwd/shadow, nel caso fossero diverse).

<br/>

Nel caso si disponga di un secondo server e si voglia utilizzare un unico database degli utenti è possibile seguire 2 strade differenti:

# Configurare il secondo server per accedere a LDAP seguendo le indicazioni esposte per il server di dominio, ovviamente senza farlo diventare server di dominio, ma con autenticazione degli utenti

Il primo caso non verrà trattato, mentre per il secondo occorre eseguire le seguenti operazioni sul server da aggiungere.

<br/>

<pre>

security = domain

A questo punto è possibile creare share e assegnare permessi in base a utenti e gruppi definiti nel dominio.

<br/>

<pre>

# smbldap-useradd -a -m -c "Descrizione Utente" nome.utente

# smbldap-usershow nome.utente

</pre>

<pre>

# smbldap-groupadd "NomeGruppo"

</pre>

<pre>

# smbldap-usermod -G "NomeGruppo" nome.utente

</pre>

<pre>

# ldapsearch -x objectClass=posixGroup

</pre>

<pre>

# smbldap-groupshow "gruppo"

</pre>

<pre>

smbclient //nomeserver/nomecartella -U nome.utente%password.utente -N -Tc backup.tar /percorso/locale/del/backup

</pre>

<pre>

smbclient -L nomeserver

</pre>

<pre>

   slapcat -l /tmp/backup.ldif     

   slapadd -c -l /tmp/backup.ldif

</pre>

<pre>

</pre>

Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto.

<br/>

'''Disabilitare i roaming profiles'''

<br/>

Così come è stato configurator Samba permette l'utilizzo dei roaming profiles, meccanismo per cui tutte le impostazioni di un utente sono caricate dal server al login e salvate sul server al logout in modo da poter utilizzare computer differenti ritrovando le proprie impostazioni.<br/>

Seppur questa funzionalità sia utile, nel caso di cartelle di profilo di elevate dimensioni (in questa cartella c'è la cache del browser, le e-mail, la cartella documenti, ...) i tempi di login e logout sono eterni. Il meccanismo dei roaming profiles può essere disabilitato per singolo computer o agendo sul server SAMBA a livello di impostazioni del singolo utente (e ovviamente di impostazioni di default da utilizzare durante la creazione degli utenti).<br/>

<pre>

logon home =

Questi parametri, anche se vuoti, DEVONO esserci, altrimenti il client continua a cercare il profile generando un errore.<br/>

Per tutti gli utenti presenti occorre eliminare l'attributo sambaProfilePath. Per far ciò è possibile usare il comando smbldap-usermod, utilizzare un client di LDAP testuale o grafico o ancora usare gli strumenti di gestione utenti di Windows scaricando i srvtools.exe dal sito della Microsoft.<br/>

<pre>

userProfile="\\PDC-SAMBA\profiles\%U"

In questo modo al login e logout i profili sul server non sono più considerati.

<br/>

OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare:

<pre>

Questo pacchetto contiene l'utility db4.2_recover che viene lanciata automaticamente ad ogni restart di ldap, risolvendo eventuali problemi di incongruenza del Barkley DB.

<br/>

Il meccanismo di gestione dei charset in Linux e in Windows è abbastanza complicato, anche a causa dell'elevato numero di strati logici e sistemi differenti che una stringa deve attraversare prima di essere letta o scritta. In larga parte ho ancora molte lacune sul funzionamento, ma di seguito riporto le configurazioni necessarie affinché eventuali lettere accentate nei nomi di file e cartelle siano coerenti sui client Windows, Linux e sul server Sambanel caso di charset Italiano (western european - ISO8859-1).<br/>

<pre>

unix charset = ISO8859-1

</pre>

<br/>

<pre>

[global]

server string = LAN Server %v

wins support = yes

##### LDAP Configuration #####

ldap group suffix = ou=Groups

ldap user suffix = ou=Users

</pre>

<br/>

<pre>

# This is the main slapd configuration file. See slapd.conf(5) for more

# The base of your directory in database #1

# Where the database file are physically stored for database #1

# These access lines apply to database #1 only

access to attrs=userPassword,sambaNTPassword,sambaLMPassword

         by anonymous auth

         by self write

# can read everything.

access to *

         by * read

# profile for which they have write access to

#access to dn=".*,ou=Roaming,o=morsnet"

#        by dnattr=owner write

</pre>

<br/>

<pre>

# $OpenLDAP: pkg/ldap/libraries/libldap/ldap.conf,v 1.9 2000/09/04 19:57:01 kurt Exp $

#URI ldap://ldap.example.com ldap://ldap-master.example.com:666

URI ldap://localhost

</pre>

<br/>

<pre>

############################

# By default, we will use the same DN (so it will work for standard Samba

# release)

slavePw="password"

masterPw="password"

</pre>

<br/>

<pre>

# $Source: /opt/cvs/samba/smbldap-tools/smbldap.conf,v $

# LDAP Suffix

# Ex: suffix=dc=IDEALX,dc=ORG

# Where are stored Users

# Where to store next uidNumber and gidNumber available

# Default scope Used

# Domain appended to the users "mail"-attribute

# when smbldap-useradd -M is used

##############################################################################

</pre>

<br/>

<pre>

# /etc/nsswitch.conf

</pre>

<br/>

<pre>

#

</pre>

<br>

<pre>

#

</pre>

<br/>

<pre>

#

</pre>

<br/>

<pre>

#

session required pam_unix.so

</pre>