4 069
contributi
Samba e OpenLDAP: creare un controller di dominio con Debian Etch: differenze tra le versioni
Samba e OpenLDAP: creare un controller di dominio con Debian Etch (visualizza wikitesto)
Versione delle 21:22, 10 set 2008
, 10 set 2008→Test e connessione al dominio
| Riga 866: | Riga 866: | ||
===Test e connessione al dominio=== | ===Test e connessione al dominio=== | ||
Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.<br/> | |||
A tal fine il primo accesso può essere fatto dal server stesso con il comando: | |||
<pre> | |||
# smbclient -L localhost -U Administrator | |||
</pre> | |||
Dovrebbe essere richiesta la password impostata precedentemente per l'utente Administrator e, di seguito, dovrebbero venire elencate le condivisioni samba impostate sul server. | |||
<br/><br/> | |||
La procedura di connessione dei client al dominio varia a seconda del sistema operativo utilizzato sulle macchine client: | |||
<br/><br/> | |||
'''Windows 95/98/ME''' | |||
# Verificare che sia installato il "Client per Reti Microsoft" fra le proprietà di rete | |||
# Assicurarsi che il Client per Reti Microsoft sia selezionato come protocollo di rete primario (Pannello di Controllo -> Rete -> Logon di rete primario). | |||
# Andare su Pannello di Controllo -> Rete -> Client per reti Microsoft -> Proprietà -> Logon su Dominio NT. | |||
# Se si è configurata su smb.conf l'opzione "add user script", selezionare il checkbox Crea un Computer Account, altrimenti creare a mano sul server Samba un utente con il nome della macchina Windows. | |||
# Inserire il nome del proprio dominio e cliccare OK. | |||
'''Windows NT''' | |||
# Andare su Pannello di Controllo -> Rete -> Identificazione Rete -> Proprietà | |||
# Selezionare Dominio e inserire il nome del prorio dominio | |||
# Selezionare Crea un Computer Account | |||
# Alla richiesta della password di un amministratore inserire la login e la password di Administrator, ricordarsi che l'utente root deve essere aggiunto a smbpasswd. | |||
# Dovrebbe comparire un messaggio che ci da il benvenuto sul dominio. | |||
'''Windows 2000''' | |||
# Le procedure sono uguali a quelle per Windows NT tranne che i settaggi di rete sono trovati sotto Pannello di Controllo -> Sistema -> Identificazione Rete (oppure, sul Desktop, cliccare col tasto destro del mouse sull'icona Risorse del Computer, selezionare Proprietà, cliccare sulla tab Identificazione Rete e sul tasto Proprietà). | |||
'''Windows XP''' | |||
<br/> | |||
La procedura con Windows XP è più complessa (lamentele a Microsoft che usa cambiare le specifiche e le implementazioni dei suoi protocolli anche per rendere più complicata l'interoperabilità con soluzioni alternative). Notare che solo XP Professional Edition può essere usato per far parte di un dominio, Windows XP Home Edition non può far parte di un dominio (Samba o Windows based). | |||
# Aprire l'editor delle policy di Sicurezza Locale (Start->Pannello di controllo->Strumenti di Aministrazione->Criteri di protezione locali->Criteri locali->opzioni di protezione) | |||
# Disabilitare la voce "Domain member: Digitally encrypt or sign secure channel (always)" (Membro di dominio: aggiunta crittografia of irma digitale ai dati del canale protetto (sempre) ) | |||
# Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer) | |||
# Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) ) | |||
# Scaricare da Samba.org la patch per il registro WinXP_SignOrSeal. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande | |||
# A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator. | |||
'''Linux/Unix''' | |||
<br/> | |||
Anche dei sistemi Linux, ovviamente, possono unirsi ad un dominio con un PDC Samba e se sono dei file server, si può configurare Samba per permettere l'autenticazione tramite il dominio. Su smb.conf ci devono essere le seguenti righe: | |||
<pre> | |||
[global] | |||
workgroup = <nome dominio> | |||
netbios name = <nome server samba> | |||
security = DOMAIN | |||
encrypt passwords = Yes | |||
password server = <nome/ip del PDC> | |||
preferred master = False | |||
domain master = False | |||
</pre> | |||
Ovviamente sul PDC Samba deve essere creato un computer account per il nostro Samba locale (con il nome specificato in netbios name) e, anche in questo caso, il computer locale deve preventivamente unirsi al dominio, con una procedura che è paragonabile a quelle viste sopra per client Windows. Sul Linux/Unix locale basta scrivere: | |||
<pre> | |||
smbpasswd -j <nome dominio> -r <nome PDC server> -U root | |||
</pre> | |||
Bisogna fornire la password di root del PDC Samba (ricordarsi che è la password salvata in smbpasswd e non in passwd/shadow, nel caso fossero diverse). | |||
===Unire un server Samba al dominio=== | |||
Nel caso si disponga di un secondo server e si voglia utilizzare un unico database degli utenti è possibile seguire 2 strade differenti: | |||
# Configurare il secondo server per accedere a LDAP seguendo le indicazioni esposte per il server di dominio, ovviamente senza farlo diventare server di dominio, ma con autenticazione degli utenti | |||
# Usare il server di dominio per l'autenticazione | |||
Il primo caso non verrà trattato, mentre per il secondo occorre eseguire le seguenti operazioni sul server da aggiungere. | |||
<br/> | |||
Modificare il file <tt>/etc/samba/smb.conf</tt> con la seguenti direttiva: | |||
<pre> | |||
security = domain | |||
</pre> | |||
Far ripartire Samba e dare il seguente comando per unire il server al dominio e creare l'utente relativo al pc: | |||
<pre> | |||
net rpc join -U Administrator%password | |||
</pre> | |||
Infine, affinché un utente sia riconosciuto correttamente da Samba deve essere anche un utente di sistema, pertanto occorre configurare il sistema affinché peschi la lista degli utenti dal server di dominio via LDAP, esattamente come era avvenuto per il server di dominio.<br/> | |||
Installare il pacchetto libnss-ldap e configurarlo in modo da puntare al server LDAP installato sul PDC e fornendo la base LDAP corretta (dc=logic).<br/> | |||
Modificare il file /etc/nsswitch.conf come fatto in precedenza. | |||
<pre> | |||
passwd: compat ldap | |||
group: compat ldap | |||
shadow: compat ldap | |||
</pre> | |||
A questo punto è possibile creare share e assegnare permessi in base a utenti e gruppi definiti nel dominio. | |||
===Consigli=== | ===Consigli=== | ||
====Backup e restore del database LDAP==== | ====Backup e restore del database LDAP==== | ||