3 581
contributi
Samba e OpenLDAP: creare un controller di dominio con Debian Lenny: differenze tra le versioni
Samba e OpenLDAP: creare un controller di dominio con Debian Lenny (visualizza wikitesto)
Versione delle 12:13, 6 giu 2015
, 6 giu 2015nessun oggetto della modifica
mNessun oggetto della modifica |
|||
| (24 versioni intermedie di 4 utenti non mostrate) | |||
| Riga 1: | Riga 1: | ||
{{Versioni compatibili| | {{SAMBA | ||
|precedente=Samba e OpenLDAP: creare un controller di dominio con Debian Etch | |||
|successivo=Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze}}{{Versioni compatibili|ONLY|Lenny}} | |||
== Versioni compatibili == | == Versioni compatibili == | ||
* Debian Lenny 5.0 | * Debian Lenny 5.0 | ||
| Riga 36: | Riga 38: | ||
</pre> | </pre> | ||
Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.<br/> | Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.<br/> | ||
Nei file riportati si considera che il dominio specificato è < | Nei file riportati si considera che il dominio specificato è <code>dominio.local</code>, un dominio interno non valido per Internet. | ||
In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/> | In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/> | ||
Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di Dominio.<br/> | Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di Dominio.<br/> | ||
| Riga 100: | Riga 102: | ||
<pre> | <pre> | ||
# apt-get install samba smbclient smbfs samba-doc swat cupsys cupsys-bsd resolvconf | # apt-get install samba smbclient smbfs samba-doc swat cupsys cupsys-bsd resolvconf | ||
</pre> | |||
La versione di Samba nei repository di Lenny (3.3.5) non supporta il login di client Windows 7 e Windows Server 2008, introdotto in Debian con il ramo 3.4. Se vi fosse la necessità di inserire client Windows 7 o Windows Server 2008 nel dominio Samba che stiamo creando, la soluzione è configurare il repository Backports per Lenny (''si veda: [[Il_repository_Backports]]'') e installare da lì una versione di Samba più aggiornata: | |||
<pre> | |||
# apt-get -t lenny-backports install samba smbclient smbfs samba-doc swat cupsys cupsys-bsd resolvconf | |||
</pre> | </pre> | ||
Per il momento come configurazione base rispondente nel seguente modo alle domande che vi verranno poste:<br/> | Per il momento come configurazione base rispondente nel seguente modo alle domande che vi verranno poste:<br/> | ||
| Riga 117: | Riga 124: | ||
</pre> | </pre> | ||
=== Configurazione === | === Configurazione === | ||
Copiare i file < | Copiare i file <code>smbldap.conf</code> e <code>smbldap_bind.conf</code> in <code>/etc/smbldap-tools</code>. | ||
<pre> | <pre> | ||
# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf | # zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf | ||
# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf | # cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf | ||
</pre> | </pre> | ||
Modificare il file < | Modificare il file <code>/etc/smbldap-tools/smbldap_bind.conf</code> inserendo il DN dell'amministratore del server LDAP e la sua password. Il DN dell'amministratore è stato impostato automaticamente durante l'installazione del pacchetto Debian di slapd e corrisponde a <nowiki>"cn=admin,dc=dominio,dc=local"</nowiki>, in cui il dominio dipende dalle configurazioni sopra riportate per il server LDAP. La password è quella richiesta in fase di installazione del server LDAP.<br/> | ||
Se non si è sicuri del DN da inserire lanciare il comando: | Se non si è sicuri del DN da inserire lanciare il comando: | ||
<pre> | <pre> | ||
| Riga 156: | Riga 163: | ||
e copiare o prendere nota del codice che viene restituito. | e copiare o prendere nota del codice che viene restituito. | ||
<br/> | <br/> | ||
Modificare il file < | Modificare il file <code>/etc/smbldap-tools/smbldap.conf</code> inserendo il SID appena ottenuto e controllare gli indirizzi dei 2 server LDAP in modo che coincidano con il server locale (127.0.0.1). | ||
<pre> | <pre> | ||
SID="S-1-5-21-2318037123-1631426476-2439636316" | SID="S-1-5-21-2318037123-1631426476-2439636316" | ||
| Riga 346: | Riga 353: | ||
# slapcat > ~/slapd.ldif | # slapcat > ~/slapd.ldif | ||
</pre> | </pre> | ||
Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in < | Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in <code>/etc/ldap/schema</code> lo schema LDAP necessario per SAMBA. | ||
<pre> | <pre> | ||
# wget http://www.pepinet.com/download/samba/hdb.schema -P /etc/ldap/schema/ | # wget http://www.pepinet.com/download/samba/hdb.schema -P /etc/ldap/schema/ | ||
| Riga 357: | Riga 364: | ||
</pre> | </pre> | ||
e prendete nota del risultato.<br/> | e prendete nota del risultato.<br/> | ||
Ora occorre modificare il file di configurazione di slapd (< | Ora occorre modificare il file di configurazione di slapd (<code>/etc/ldap/slapd.conf</code>) aggiungendo nella sezione <code>Schema and objectClass definitions</code> lo schema per samba: | ||
<pre> | <pre> | ||
include /etc/ldap/schema/samba.schema | include /etc/ldap/schema/samba.schema | ||
</pre> | </pre> | ||
Nella sezione < | Nella sezione <code>Indexing options</code> aggiungere una serie di indicizzazioni che ottimizzeranno le interogazioni per l'utilizzo del server SAMBA: | ||
<pre> | <pre> | ||
index objectClass eq,pres | index objectClass eq,pres | ||
| Riga 567: | Riga 574: | ||
#suffix "dc=debian,dc=org" | #suffix "dc=debian,dc=org" | ||
</pre> | </pre> | ||
Possiamo far ripartire < | Possiamo far ripartire <code>slapd</code> affinché tutte le modifiche apportate siano prese in considerazione. | ||
<pre> | <pre> | ||
# /etc/init.d/slapd stop | # /etc/init.d/slapd stop | ||
| Riga 581: | Riga 588: | ||
# ldapsearch -x | # ldapsearch -x | ||
</pre> | </pre> | ||
La risposta deve essere un file LDIF. Se invece si ottiene un errore di connessione ricontrollare tutte le impostazioni e i file di log. Per controllare il funzionamento di < | La risposta deve essere un file LDIF. Se invece si ottiene un errore di connessione ricontrollare tutte le impostazioni e i file di log. Per controllare il funzionamento di <code>slapd</code> può sempre tornare utile fermare il servizio e farlo partire, anziché con gli script standard debian con il comando: | ||
<pre> | <pre> | ||
# slapd -d 256 | # slapd -d 256 | ||
| Riga 589: | Riga 596: | ||
== Configurazione dei client per LDAP == | == Configurazione dei client per LDAP == | ||
Ogni volta che un client accede ad un server LDAP deve impostare la base di ricerca e, nel caso si trovi su un server differente, l'URL del server LDAP. Queste informazioni possono essere impostate come default nel file < | Ogni volta che un client accede ad un server LDAP deve impostare la base di ricerca e, nel caso si trovi su un server differente, l'URL del server LDAP. Queste informazioni possono essere impostate come default nel file <code>/etc/ldap/ldap.conf</code> aggiungendo le righe: | ||
<pre> | <pre> | ||
BASE dc=dominio,dc=local | BASE dc=dominio,dc=local | ||
| Riga 602: | Riga 609: | ||
== Configurazione di Samba == | == Configurazione di Samba == | ||
Prima di iniziare a configurare Samba è necessario creare le directory nelle quali risiederanno le homes degli utenti, gli script di netlogon e i profili centralizzati (o profili roaming). Alcune di queste directory sono già state indicate nel file < | Prima di iniziare a configurare Samba è necessario creare le directory nelle quali risiederanno le homes degli utenti, gli script di netlogon e i profili centralizzati (o profili roaming). Alcune di queste directory sono già state indicate nel file <code>/etc/smbldap-tools/smbldap.conf</code>, quindi è bene stare attenti a non commettere errori.<br/> | ||
<pre> | <pre> | ||
# mkdir /dominio | # mkdir /dominio | ||
| Riga 610: | Riga 617: | ||
# mkdir /dominio/pubblica | # mkdir /dominio/pubblica | ||
</pre> | </pre> | ||
La configurazione di Samba si riduce a modificare il file < | La configurazione di Samba si riduce a modificare il file <code>/etc/samba/smb.conf</code>. State attenti: il file è molto lungo ed è facile tralasciare qualcosa o inserire opzioni in conflitto tra loro. Per iniziare ci si basi sul file di esempio, funzionante e testato, riportato di seguito con gli opportuni commenti: | ||
<pre> | <pre> | ||
# mv /etc/samba/smb.conf /etc/samba/smb.conf.original | # mv /etc/samba/smb.conf /etc/samba/smb.conf.original | ||
| Riga 694: | Riga 701: | ||
### Permetto il cambio password da Windows | ### Permetto il cambio password da Windows | ||
### Nota: con questa configurazione gli utenti non potranno | |||
### effettuare il login sulla shell del server, ma solo | |||
### dai client XP | |||
ldap password sync = yes | ldap password sync = yes | ||
pam password change = Yes | pam password change = Yes | ||
unix password sync = | unix password sync = No | ||
### Profili mobili, directory home, script di logon ### | ### Profili mobili, directory home, script di logon ### | ||
| Riga 895: | Riga 905: | ||
Per creare i gruppi predefiniti e gli utenti utilizzati da Samba è possibile procedere in due modi. | Per creare i gruppi predefiniti e gli utenti utilizzati da Samba è possibile procedere in due modi. | ||
=== 1 - Utilizzo degli script forniti con smbldap-tools === | === 1 - Utilizzo degli script forniti con smbldap-tools === | ||
La prima via consiste nel fare uso di alcuni script forniti con il pacchetto < | La prima via consiste nel fare uso di alcuni script forniti con il pacchetto <code>smbldap-tools</code> che abbiamo già installato: | ||
<pre> | <pre> | ||
# smbldap-populate -a root -k 0 | # smbldap-populate -a root -k 0 | ||
| Riga 954: | Riga 964: | ||
Per prima cosa installeremo il pacchetto libnss-ldap, con il classico comando: | Per prima cosa installeremo il pacchetto libnss-ldap, con il classico comando: | ||
<pre> | <pre> | ||
apt-get install libnss-ldap | # apt-get install libnss-ldap | ||
</pre> | </pre> | ||
Non preoccupatevi delle domande che vi vengono poste durante l'installazione. Non appena terminata, infatti, andremo a riconfigurare il pacchetto con il comando: | Non preoccupatevi delle domande che vi vengono poste durante l'installazione. Non appena terminata, infatti, andremo a riconfigurare il pacchetto con il comando: | ||
| Riga 969: | Riga 979: | ||
* Account LDAP per root cn=admin,dc=dominio,dc=local | * Account LDAP per root cn=admin,dc=dominio,dc=local | ||
* Password LDAP di root: password | * Password LDAP di root: password | ||
A questo punto bisogna modificare il file < | A questo punto bisogna modificare il file <code>/etc/nsswitch.conf</code> cambiando le tre linee | ||
<pre> | <pre> | ||
passwd: compat | passwd: compat | ||
| Riga 1 011: | Riga 1 021: | ||
pam_login_attribute uid | pam_login_attribute uid | ||
pam_member_attribute gid | pam_member_attribute gid | ||
bind_policy soft | bind_policy soft | ||
pam_password md5 | pam_password md5 | ||
| Riga 1 031: | Riga 1 040: | ||
Una possibile via per eludere il problema è quella di aggiungere a mano gli utenti di sistema mancanti: | Una possibile via per eludere il problema è quella di aggiungere a mano gli utenti di sistema mancanti: | ||
<pre> | <pre> | ||
addgroup --system tss | # addgroup --system tss | ||
addgroup --system kvm | # addgroup --system kvm | ||
addgroup --system rdma | # addgroup --system rdma | ||
addgroup --system fuse | # addgroup --system fuse | ||
addgroup --system scanner | # addgroup --system scanner | ||
addgroup --system nvram | # addgroup --system nvram | ||
adduser --system tss | # adduser --system tss | ||
</pre> | </pre> | ||
| Riga 1 153: | Riga 1 162: | ||
<pre> | <pre> | ||
net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Domain Admins" | net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Domain Admins" | ||
SeMachineAccountPrivilege SePrintOperatorPrivilege SeAddUsersPrivilege | |||
SeDiskOperatorPrivilege SeRemoteShutdownPrivilege | |||
</pre> | </pre> | ||
<pre> | <pre> | ||
net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Print Operators" | net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Print Operators" SePrintOperatorPrivilege | ||
</pre> | </pre> | ||
dove DEBIAN è il nome Samba assegnato al server. | dove DEBIAN è il nome Samba assegnato al server. i due comandi precedenti vanno scritti su un'unica riga. | ||
== Aggiungere i primi utenti di dominio == | == Aggiungere i primi utenti di dominio == | ||
| Riga 1 244: | Riga 1 253: | ||
# Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer) | # Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer) | ||
# Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) ) | # Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) ) | ||
# Scaricare | # Scaricare la patch per il registro http://www.pepinet.com/download/samba/sambapatch.reg. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande | ||
# A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator. | # A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator. | ||
*'''Windows Vista''' | *'''Windows Vista''' | ||
# Non ancora testato. | # Non ancora testato. | ||
*'''Windows 7''' | *'''Windows 7''' | ||
Il supporto a Windows 7 è stato aggiunto a partire dalla versione 3.3 di Samba; bisogna quindi provvedere all'installazione di Samba dal repository backports, come descritto nel relativo capitolo di questa guida. | |||
# Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro: | # Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro: | ||
<pre> | <pre> | ||
| Riga 1 255: | Riga 1 265: | ||
DWORD DNSNameResolutionRequired = 0 | DWORD DNSNameResolutionRequired = 0 | ||
</pre> | </pre> | ||
Occorre inoltre scaricare dal sito di Microsoft un hotfix che corregge un problema di "Server DNS non trovato". Il link all'hotfix è riportato nel wiki ufficiale di Samba: http://wiki.samba.org/index.php/Windows7 | |||
<br/> | |||
A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP. | A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP. | ||
| Riga 1 288: | Riga 1 300: | ||
# /etc/init.d/winbind stop | # /etc/init.d/winbind stop | ||
</pre> | </pre> | ||
e modifichiamo il file < | e modifichiamo il file <code>/etc/samba/smb.conf</code> con le seguenti direttive: | ||
<pre> | <pre> | ||
[global] | [global] | ||
| Riga 1 358: | Riga 1 370: | ||
</pre> | </pre> | ||
Affinché un utente sia riconosciuto correttamente da Samba deve essere anche un utente di sistema, pertanto occorre configurare il sistema affinché peschi la lista degli utenti dal server di dominio via LDAP, esattamente come era avvenuto per il server di dominio.<br/> | Affinché un utente sia riconosciuto correttamente da Samba deve essere anche un utente di sistema, pertanto occorre configurare il sistema affinché peschi la lista degli utenti dal server di dominio via LDAP, esattamente come era avvenuto per il server di dominio.<br/> | ||
Installare il pacchetto '''libnss-ldap''' e configurarlo in modo da puntare al server LDAP installato sul PDC (< | Installare il pacchetto '''libnss-ldap''' e configurarlo in modo da puntare al server LDAP installato sul PDC (<code>ldap://10.0.0.11</code>) e fornendo la base LDAP corretta (dc=dominio,dc=local) e la corretta password dell'amministratore del database ldap. | ||
<pre> | <pre> | ||
# apt-get install libnss-ldap | # apt-get install libnss-ldap | ||
| Riga 1 495: | Riga 1 507: | ||
=== Offline Physical Backup === | === Offline Physical Backup === | ||
Un offline physical backup deve essere effettuato sul server stesso. Lo svantaggio di questo tipo di backup è che il server LDAP non sarà disponibile per l'intera durata del processo. | Un offline physical backup deve essere effettuato sul server stesso. Lo svantaggio di questo tipo di backup è che il server LDAP non sarà disponibile per l'intera durata del processo. | ||
# Stopare il server LDAP: < | # Stopare il server LDAP: <code>/usr/sbin/rcldap stop</code> | ||
# Copiare tutti i files in /var/lib/ldap/ dentro una directory di backup | # Copiare tutti i files in /var/lib/ldap/ dentro una directory di backup | ||
# Riavviare il server LDAP: < | # Riavviare il server LDAP: <code>/usr/sbin/rcldap start</code> | ||
=== Offline Logical Backup === | === Offline Logical Backup === | ||
Questo tipo di backup, noto anche come '''database dump''' richiede sempre l'arresto del servizio LDAP: | Questo tipo di backup, noto anche come '''database dump''' richiede sempre l'arresto del servizio LDAP: | ||
# < | # <code>/usr/sbin/rcldap stop</code> | ||
# < | # <code>slapcat >ldap.\$(date +'\%Y\%m\%d-\%T')</code> Questo comando genera nella directory corrente un file LDIF che può successivamente essere archiviato | ||
# < | # <code>/usr/sbin/rcldap start</code> | ||
=== Online Backup === | === Online Backup === | ||
Questo tipo di backup, a differenza dei precedenti, utilizza LDAP stesso per effettuare il dump dei dati del database e quindi, pur appensantendo il server, non richiede l'arresto del servizio. | Questo tipo di backup, a differenza dei precedenti, utilizza LDAP stesso per effettuare il dump dei dati del database e quindi, pur appensantendo il server, non richiede l'arresto del servizio. | ||
# < | # <code>ldapsearch -h LDAPServer -x -b baseDN > ldap.\$(date +'\%Y\%m\%d-\%T')</code><br/> | ||
dove < | dove <code>LDAPServer</code> è il nome del server e <code>baseDN</code> è il distinguished name (DN) della struttura LDAP, nel nostro caso <code>dc=dominio,dc=local</code> | ||
=== Database Restore === | === Database Restore === | ||
# Per ripristinare un offline backup: | # Per ripristinare un offline backup: | ||
## < | ## <code>/usr/sbin/rcldap stop</code> | ||
## copiare i files salvati in /var/lib/ldap (Se Offline Physical Backup) | ## copiare i files salvati in /var/lib/ldap (Se Offline Physical Backup) | ||
## < | ## <code>slapadd -l nome_del_backupfile</code> (Se Offline Logical Backup) | ||
## < | ## <code>/usr/sbin/rcldap start</code> | ||
# Per ripristinare un online backup: | # Per ripristinare un online backup: | ||
## < | ## <code>ldapadd -D adminDN -x -w adminPassword -h LDAPServer -x -f nome_del_backupfile</code><br/> | ||
dove < | dove <code>adminDN</code> è nel nostro caso dn=admin,dc=dominio,dc=local | ||
== Replica del database LDAP su un altro server == | == Replica del database LDAP su un altro server == | ||
| Riga 1 630: | Riga 1 642: | ||
</pre> | </pre> | ||
Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto. | Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto. | ||
== | == Approfondimenti == | ||
=== Debianizzati === | |||
[[Samba e OpenLDAP: creare un controller di dominio]]<br/> | [[Samba e OpenLDAP: creare un controller di dominio]]<br/> | ||
[[Samba e OpenLDAP: creare un controller di dominio con Debian Etch]]<br/> | [[Samba e OpenLDAP: creare un controller di dominio con Debian Etch]]<br/> | ||
| Riga 1 636: | Riga 1 649: | ||
[[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]]<br/> | [[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]]<br/> | ||
[[Implementare un'architettura ridondante master/slave OpenLDAP]]<br/> | [[Implementare un'architettura ridondante master/slave OpenLDAP]]<br/> | ||
[[ | [[Samba: guida estesa]]<br/> | ||
[[ | [[Samba: creare un cestino di rete per le condivisioni]]<br/> | ||
[[ | [[ClamAV: scansione antivirus delle condivisioni Samba]]<br /> | ||
{{Autori | |||
|Autore = [[Utente:Ferdybassi|Ferdybassi]] | |||
[[Categoria: | |Verificata_da= | ||
[[Categoria: | :[[Utente:porkyhttp|porkyhttp]] 17:06, 06 mag 2012 (CEST) | ||
|Numero_revisori=1 | |||
}} | |||
[[Categoria:Reti con Windows]][[Categoria:Samba]] | |||