Guide@Debianizzati.Org

Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze: differenze tra le versioni

Pagina Discussione

Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze (visualizza wikitesto)

Versione delle 09:06, 23 apr 2016

16 652 byte aggiunti ,  23 apr 2016
m
→‎Introduzione: rimossa guida obsoleta
Nessun oggetto della modifica
m (→‎Introduzione: rimossa guida obsoleta)
 
(138 versioni intermedie di 8 utenti non mostrate)
Riga 1: Riga 1:
{{stub}}
{{SAMBA
{{Versioni compatibili|Ubuntu Server 10.04 LTS|}}
|precedente=Samba e OpenLDAP: creare un controller di dominio con Debian Lenny
 
|successivo=Samba e OpenLDAP: creare un controller di dominio Active Directory con Debian Wheezy}}{{Versioni compatibili|ONLY|Squeeze}}
<br/>
{{ Warningbox | Questa guida per ora è solo una bozza per facilitare il lavoro dei redattori. Quella che segue non è ancora una configurazione adatta ad ambienti di produzione e c'è la forte probabilità che conduca ad un sistema mal configurato e instabile }}
<br/>
== Versioni compatibili ==
* Per Ubuntu Server 10.04 LTS
 
== Introduzione ==
== Introduzione ==
Questo articolo è un aggiornamento della guida [[Samba e OpenLDAP: creare un controller di dominio con Debian Lenny]], basata su '''Debian Lenny'''.<br/>
Guide simili per precedenti versioni di Debian o altre distribuzioni linux:
Vedremo questa volta come installare un server basato su '''Ubuntu Server 10.04 LTS''' e Samba 3 con backend di un database LDAP, affinché funga da Primary Domain Controller di una rete Windows. Lo stesso server LDAP verrà utilizzato anche per la gestione in contemporanea degli utenti Unix, in modo da avere un controllo unico e centralizzato sia sugli utenti Windows sia sugli utenti Linux.<br/>
* [[Samba e OpenLDAP: creare un controller di dominio | Debian Sarge]]
* [[Samba e OpenLDAP: creare un controller di dominio con Debian Etch | Debian Etch]]
* [[Samba e OpenLDAP: creare un controller di dominio con Debian Lenny | Debian Lenny]]
Vedremo questa volta come installare un server basato su '''Debian Squeeze''' e Samba 3 con backend di un database LDAP, affinché funga da Primary Domain Controller di una rete Windows. Lo stesso server LDAP verrà utilizzato anche per la gestione in contemporanea degli utenti Unix, in modo da avere un controllo unico e centralizzato sia sugli utenti Windows sia sugli utenti Linux.<br/>
Verranno illustrati due metodi di gestione del database LDAP, uno basato sui tools smbldap-tools e uno basato su interfaccia grafica in PHP.<br/>
Verranno illustrati due metodi di gestione del database LDAP, uno basato sui tools smbldap-tools e uno basato su interfaccia grafica in PHP.<br/>
Consiglio vivamente di prepararsi una buona tazza di caffé e di armarsi di pazienza e di molta attenzione, dato che un errore di battitura in qualche file di configurazione può mandare in rovina l'intero lavoro: poichè che i files da modificare saranno molti, di certo risulterebbe molto difficile e molto lungo andare a caccia di eventuali errori.<br/>
Consiglio vivamente di prepararsi una buona tazza di caffé e di armarsi di pazienza e di molta attenzione, dato che un errore di battitura in qualche file di configurazione può mandare in rovina l'intero lavoro: poichè che i files da modificare saranno molti, di certo risulterebbe molto difficile e molto lungo andare a caccia di eventuali errori.<br/>
== Sistema installato e prerequisiti ==
== Sistema installato e prerequisiti ==
Il presente HOWTO è stato testato utilizzando un sistema Ubuntu Server 10.04 LTS con tutti gli aggiornamenti di sicurezza ufficiali. La versioni di Samba utilizzata è 3.4.7 e la versione di OpenLdap utilizzata è la 2.4.21. 
Il presente HOWTO è stato realizzato utilizzando un sistema Debian 6.0 Squeeze con tutti gli aggiornamenti di sicurezza ufficiali.  
La configurazione iniziale del sistema prevede un'installazione base Debian net install con in più un '''server web Apache''' e con '''PHP5''' funzionanti.<br/>
La configurazione iniziale del sistema prevede un'installazione base Debian net install con in più:
* un sistema LAMP come descritto ad esempio in questa guida: [[Installare un ambiente LAMP: Linux, Apache2, SSL, MySQL, PHP5]]
* un server DNS, come descritto ad esempio in questa guida: [[Un server DNS e DHCP su Debian]]
Si suppone per comodità che tutti i servizi (LDAP, LAMP, DNS) risiedano sullo stesso server.<br/>
Durante tutto il processo si presuppone di agire come utente root.
Durante tutto il processo si presuppone di agire come utente root.
<br/>
=== Parametri di rete utilizzati ===
=== Parametri di rete utilizzati ===
In tutta la guida saranno utilizzati i seguenti parametri per la configurazione della rete:
In tutta la guida saranno utilizzati i seguenti parametri per la configurazione della rete:
<pre>
* Nome del server: server
* Nome del server: server
* Nome del dominio: dominio.local
* Nome del dominio: dominio.local
* Nome NETBIOS del dominio: DOMINIO
* Nome NETBIOS del dominio: DOMINIO
* Classe IP: 192.168.0.0 / 255.255.255.0
* Classe IP: 10.0.0.0 / 255.255.255.0
* IP Server: 192.168.0.10
* IP Server: 10.0.0.10
* Password di root: secret
* Password di root: mia_password
* Password Administrator del dominio: secret
* Password Administrator del dominio: mia_password
* Password admin di LDAP: secret
* Password admin di LDAP: mia_password
</pre>
Questi parametri vanno ovviamente adattati alle vostre esigenze.
Questi parametri vanno ovviamente adattati alle vostre esigenze.
== Configurazioni preliminari ==
Al fine di non incappare in errori e al fine di velocizzare la ricerca dei nomi e ip è necessario installare e configurare bind9.
Per poter assegnare gli indirizzi IP ai client di una rete è necessario configurare il DHCP server.
=== Configurazione DHCP ===
Un server DHCP può fornire anche altre proprietà di configurazione come:
<pre>
    *  Nome dell'host
    *  Nome del dominio
    *  Gateway predefinito
    *  Server NTP (Network Time Protocol)
    *  Server di stampa
</pre>
Il vantaggio di utilizzare DHCP è che i cambiamenti apportati alla rete, per esempio una modifica dell'indirizzo del server DNS, devono essere apportati solamente al server DHCP, mentre tutti gli host della rete vengono riconfigurati quando i client DHCP interrogano il server DHCP. Come ulteriore vantaggio, risulta anche molto semplice integrare nuovi computer nella rete, senza la necessità di controllare la disponibilità di un indirizzo IP. I conflitti nell'allocazione degli indirizzi IP sono quindi notevolmente ridotti.
Installare il DHCP server:
<pre>
#apt-get install dhcp3-server
</pre>
Per abbreviare non spiegherò i parametri configurati, ma andrò direttamente alla configurazione di esempio. La configurazione contempla un DHCP server dinamico.
<pre>
#vim /etc/dhcp3/dhcpd.conf
</pre>
editare come esempio:
<pre>
include "/etc/dhcp3/rndc.key";
server-identifier sole;
ddns-updates on;
ddns-update-style interim;
ddns-domainname "milanoaccademia.lan";
ddns-rev-domainname "in-addr.arpa";
ignore client-updates;
zone milanoaccademia.lan. {
primary 127.0.0.1;
key "rndc-key";
}
option domain-name "milanoaccademia.lan";
option domain-name-servers 192.168.2.1;
option netbios-name-servers 192.168.2.1;
option netbios-node-type 8;
option ntp-servers  192.168.2.1;     
option ip-forwarding off;
default-lease-time 2592000;
max-lease-time 3092000;
authoritative;
subnet 192.168.2.0 netmask 255.255.255.0 {
range 192.168.2.10 192.168.2.200;
option routers 192.168.2.1;
option broadcast-address 192.168.2.255;
allow unknown-clients;
zone 2.168.192.in-addr.arpa. {
primary 192.168.2.1;
key "rndc-key";
}
zone localdomain. {
primary 192.168.2.1;
key "rndc-key";
}
}
</pre>


=== Configurazione DNS ===
== Installazione del server LDAP ==
== LDAP Server ==
=== Installazione del server LDAP ===
Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.<br/>
Il server LDAP è essenzialmente un database gerarchico che viene utilizzato per la memorizzazione dei dati degli utenti, dei computer del dominio e di tutto quanto si desideri gestire tramite una base dati condivisibile via rete tra più sistemi.<br/>
Si considera che il server in questione venga utilizzato all'interno di una rete aziendale altamente affidabile e non verranno, pertanto, trattati gli aspetti relativi alla crittografia delle comunicazioni. Questa scelta riduce la sicurezza, pertanto si consiglia di approfondire l'argomento. Se si è interessati ad un'implementazione sicura del protocollo LDAP si veda ad esempio la guida [[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]], che è basata sulla guida che state leggendo, ma che introduce e analizza una serie di aspetti legati alla trasmissione e all'archiviazione sicura delle informazioni.<br/>
Si considera che il server in questione venga utilizzato all'interno di una rete aziendale altamente affidabile e non verranno, pertanto, trattati gli aspetti relativi alla crittografia delle comunicazioni. Questa scelta riduce la sicurezza, pertanto si consiglia di approfondire l'argomento. Se si è interessati ad un'implementazione sicura del protocollo LDAP si veda ad esempio la guida [[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]], che è basata sulla guida che state leggendo, ma che introduce e analizza una serie di aspetti legati alla trasmissione e all'archiviazione sicura delle informazioni.<br/>
Per utilizzare il server LDAP occorre installare il pacchetto slapd che costituisce un'implementazione di server LDAP per Linux e il pacchetto ldap-utils, un insieme di strumenti che ne permettono la gestione.<br/>
Per utilizzare il server LDAP occorre installare il pacchetto slapd che costituisce un'implementazione di server LDAP per Linux e il pacchetto ldap-utils, un insieme di strumenti che ne permettono la gestione.
<pre>
<pre>
# apt-get install slapd ldap-utils samba-doc
# apt-get install slapd ldap-utils samba-doc
</pre>
</pre>
Si presume che l'utente operi con l'account root per eseguire le operazioni di seguito descritte.
Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.<br/>
Durante l'installazione verranno richieste alcune informazioni necessarie a configurare il server LDAP. In particolare verrà richiesto il nome del dominio che può essere un dominio interno completamente inventato (es. miodominio.tld) o un dominio internet valido. La scelta è legata a politiche organizzative aziendali e tecniche che richiederebbero una trattazione approfondita e che esula da questo HOWTO.<br/>
Nei file riportati si considera che il dominio specificato è <tt>dominio.local</tt>, un dominio interno non valido per Internet.
Nei file riportati si considera che il dominio specificato è <code>dominio.local</code>, un dominio interno non valido per Internet.
In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/>
In seguito verrà richiesta la password per l'utente amministratore. Scegliete una password particolarmente sicura, in quanto tramite essa si potrà avere accesso completo alla gestione degli utenti del vostro dominio e, pertanto, accedere a qualsiasi sistema presente sulla vostra rete. Questa password, inoltre, verrà utilizzata anche in seguito in alcuni file di configurazione, pertanto è bene ricordarsela.<br/>
Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di Dominio.<br/>
Come nome dell'organizzazione mettete una descrizione della vostra organizzazione: Rete LAN di Dominio.<br/>
Riga 123: Riga 52:
* Nome del dominio: dominio.local
* Nome del dominio: dominio.local
* Nome dell'organizzazione: DOMINIO
* Nome dell'organizzazione: DOMINIO
* Password di admin: secret
* Password di admin: mia_password
* Conferma password: secret
* Conferma password: mia_password
* Motore database da utilizzare: BDB
* Cancellare il database quando si effettua il purge di slapd: no
* Cancellare il database quando si effettua il purge di slapd: no
* Spostare il vecchio database: sì
* Spostare il vecchio database: sì
* Permettere LDAPv2: no  
* Permettere LDAPv2: sì (potete anche mettere no)
 
Per verificare il corretto funzionamento del servizio, dare il comando:
=== Configurazione del server LDAP ===
Passiamo ora alla configurazione del server LDAP.<br/>
 
Innanzitutto effettuiamo un backup di LDAP:
<pre>
<pre>
# slapcat > ~/slapd.ldif
# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn
</pre>
</pre>
Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in <tt>/etc/ldap/schema</tt> lo schema LDAP necessario per SAMBA.
Se ottenete le informazioni sul dominio significa che tutto è andato per il verso giusto; se ottenete un messaggio del genere "ldap_bind: Can't contact LDAP server (-1)" vi conviene eseguire nuovamente la configurazione di OpenLDAP.
<pre>
# cp /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz /etc/ldap/schema/
# gzip -d /etc/ldap/schema/samba.schema.gz
# mkdir /tmp/ldif_output


Creiamo il file schema_convert.conf ed editatelo:
== Installazione di una interfaccia grafica per amministrare OpenLDAP ==
 
Sebbene si possa amministrare OpenLDAP in maniera completamente testuale (nel corso della guida vedremo come) è consigliabile installare un'interfaccia grafica, che aiuterà a svolgere i normali compiti di amministrazione una volta terminato di configurare il dominio.<br/>
#touch /tmp/schema_convert.conf
Nei repository Debian sono disponibili diverse interfacce grafiche. In questa guida la scelta è caduta su '''phpldapadmin''', che sembra essere la più diffusa.<br/>
# vim /tmp/schema_convert.conf
Phpldapadmin, come il nome fa intuire, è un'interfaccia scritta in PHP e per funzionare ha perciò bisogno di un server web e del linguaggio di scripting PHP.
 
=== Installazione dei prerequisiti ===
editate così:
Installiamo per prima cosa alcuni moduli di PHP necessari:
 
''include /etc/ldap/schema/core.schema
include /etc/ldap/schema/collective.schema
include /etc/ldap/schema/corba.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/duaconf.schema
include /etc/ldap/schema/dyngroup.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/java.schema
include /etc/ldap/schema/misc.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/openldap.schema
include /etc/ldap/schema/ppolicy.schema
include /etc/ldap/schema/samba.schema''
 
salvate
 
# slapcat -f schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={12}samba,cn=schema,cn=config" > /tmp/samba.ldif
# vim /tmp/samba.ldif
 
modificate il file come segue:
 
''dn: cn=samba,cn=schema,cn=config
...
cn: samba''
 
rimuovere le stringhe a fondo pagina:
 
''structuralObjectClass: olcSchemaConfig
entryUUID: b53b75ca-083f-102d-9fff-2f64fd123c95
creatorsName: cn=config
createTimestamp: 20080827045234Z
entryCSN: 20080827045234.341425Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20080827045234Z''
 
Salvate tutto e copiare in /etc/ldap/schema:
 
#cp /tmp/samba.ldif /etc/ldap/schema
</pre>
 
Quindi generate l'hash MD5 della password di root di LDAP:
<pre>
<pre>
# slappasswd -s secret -h {MD5}
# apt-get install libapache2-mod-php5 php5 php5-cli php5-curl php5-gd php5-imap php5-ldap php5-mcrypt php5-mhash php5-sqlite php5-tidy php5-xmlrpc php-pear mcrypt libgd-tools
</pre>
</pre>
e prendete nota del risultato della password in md5.


La versione utilizzata di OpenLdap ha come file di configurazione la cartella slapd.d ubicata in /etc/ldap/slapd.d ed è stato quindi soppresso il precedente slapd.conf. La differenza è nella configurazione e nella funzionalità degli stessi. Il primo file di configurazione era statico perciò richiedeva sempre lo stop del demone slapd. Il secondo è dinamico perciò va da sè che è molto più flessibile.
=== Installazione di PHPLdapAdmin ===
 
Ora possiamo installare phpldapadmin:
In questa guida verrà utilizzato slapd.d come di default, ma ricordo che in /etc/default/slapd si può impostare il vecchio database slapd.conf oppure si può convertire un vecchio database slapd.conf in slapd.d con il comando:
#slaptest -f /etc/ldap/slapd.conf -F /etc/ldap/slapd.d
 
Ora occorre aggiungere gli schemi che ci serviranno per la cnfigurazione:
<pre>
<pre>
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
# apt-get install phpldapadmin
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/samba.ldif
 
Creare il file module.ldif per aggiungere il modulo del backend e crearlo:
 
# touch /tmp/module.ldif
# vim /tmp/module.ldif
 
editarlo così:
 
dn: cn=module,cn=config
objectClass: olcModuleList
cn: module
olcModulepath: /usr/lib/ldap
olcModuleload: back_bdb.la
 
salvare e caricare il file:
 
ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/module.ldif
 
Creare il file backend.ldif ed editarlo:
 
# touch /tmp/backend.ldif
# vim /tmp/backend.ldif
 
editarlo così:
 
dn: olcDatabase=bdb
objectClass: olcDatabaseConfig
objectClass: olcBdbConfig
olcDatabase: bdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=dominio,dc=local
olcAccess: {0}to attrs=userPassword,SambaLMPassword,SambaNTPassword,sambaPwdLastSet,sambaPwdMustChange,sambaPasswordHistory by dn="cn=admin,dc=dominio,dc=local" write by anonymous auth by self write by * none
olcAccess: {1}to attrs=shadowLastChange by self write by * read
olcAccess: {2}to dn.base="" by self write by * read
olcAccess: {3}to * by dn="cn=admin,dc=dominio,dc=local" write by * read
olcLastMod: TRUE
olcRootDN: cn=admin,dc=dominio,dc=local
olcDbCheckpoint: 512 30
olcDbConfig: {0}set_cachesize 0 2097152 0
olcDbConfig: {1}set_lk_max_objects 1500
olcDbConfig: {2}set_lk_max_locks 1500
olcDbConfig: {3}set_lk_max_lockers 1500
olcDbIndex: objectClass eq
olcDbIndex: uidNumber eq
olcDbIndex: cn pres,sub,eq
olcDbIndex: sn pres,sub,eq
olcDbIndex: gidNumber eq
olcDbIndex: uid pres,sub,eq
olcDbIndex: memberUid eq
olcDbIndex: uniqueMember eq
olcDbIndex: displayName pres,sub,eq
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaDomainName eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaGroupType eq
olcDbIndex: default sub
</pre>
</pre>
 
Configurare il file '''/etc/phpldapadmin/config.php''':
Infine aggiungere le informazioni per l'autenticazione e la criptazione della password degli utenti:
<pre>
<pre>
# vim /etc/ldap/slapd.d/cn=config/olcDatabase={1}bdb.ldif
*********************************************
* Define your LDAP servers in this section  *
*********************************************


e aggiungere:
$servers = new Datastore();


olcRootPW: {MD5}..--..\\..//..::
$servers->newServer('ldap_pla');
olcPasswordHash: {MD5}
</pre>


Editiamo cn=config.ldif così:
$servers->setValue('server','name','DOMINIO Server');
<pre>
olcLogLevel: 1 2 8 64 128 256 512
olcAuthzPolicy: none
olcAuthzRegexp: uid=(.*),cn=.*,cn=auth ldap:///dc=milanoaccademia,dc=lan??sub?(uid=$1)
</pre>
Eliminiamo il contenuto della cartella /var/lib/ldap:
<pre>
## rm -rf /var/lib/ldap/*
</pre>
Riavviamo il demone <tt>slapd</tt>:
<pre>
# /etc/init.d/slapd restart
</pre>


=== Installazione dell'autenticazione LDAP ===
$servers->setValue('server','host','127.0.0.1');


Per prima cosa installeremo il pacchetto libnss-ldap, con il classico comando:
$servers->setValue('server','base',array('dc=dominio,dc=local'));
<pre>
# apt-get install libnss-ldap libpam-ldap
</pre>


Rispondere alle domande di autoconfigurazione:
$servers->setValue('login','auth_type','session');
<pre>
* Server LDAP: 127.0.0.1
* Distinguished name (DN): dc=dominio,dc=local
* LDAP version: 3
* Make local root Database admin: sí
* Si richiede utente per database LDAP: no
* LDAP account for root cn=admin,dc=dominio,dc=local
* LDAP root password: secret
* Local crypt to use when changing passwords: md5
</pre>
</pre>
Se sbagliate a configurare rilanciate la schermata con:
Controllate che siano decommentate e  configurate le stringhe $Server.
<br/>
Per verificare la corretta installazione del pacchetto, aprite il browser su:
<pre>
<pre>
# dpkg-reconfigure ldap-auth-config
https://10.0.0.11/phpldapadmin
</pre>
</pre>
Assicuratevi che il file ldap.secret, dal quale traspare la password in chiaro, sia leggibile e scrivibile solo da root.
Dovreste essere accolti dalla schermata iniziale di Phpldapadmin.<br/>
Non impostatela criptata perchè altrimenti non vi autentica. Vi assicuro che se vi accertate dei permessi la password non trasparirà fuori. 
Phpldapadmin richiede per funzionare la presenza di un tool chiamato mkntpwd, sviluppato dal team di Samba e utilizzato per creare gli hash delle password in Samba. Inspiegabilmente questo tool non è presente negli archivi di Debian. Va pertanto scaricato dal seguente indirizzo:
Editate il file ''ldap.conf'' (le prime tre voci dovrebbero essere già editate correttamente mentre le altre voci devono essere decommentate ed editate:
<pre>
<pre>
host 127.0.0.1
# wget http://debian.easyteam.org/files/samba/mkntpwd.tar.gz
base dc=dominio,dc=local
ldap_version 3
scope sub
bind_policy soft
pam_login_attribute uid
pam_member_attribute gid
pam_password md5
nss_base_passwd dc=dominio,dc=local?sub
nss_base_shadow dc=dominio,dc=local?sub
nss_base_group ou=groups,dc=dominio,dc=local?one
</pre>
</pre>
Lanciate i seguenti comandi di autoconfigurazione:
Una volta scaricato il file, bisogna scompattarlo, compilarlo e configurarlo:
<pre>
<pre>
# pam-auth-update (Dal menù pam-auth-update, scegliere LDAP e unix, inoltre qualsiasi altro metodo di autenticazione necessario.)
# apt-get install build-essential
 
# tar -zxf mkntpwd.tar.gz
# auth-client-config -t nss -p lac_ldap (configura nsswitch.conf all'uso di ldap)
# cd mkntpwd
 
# make
    * -t: modifica solamente /etc/nsswitch.conf.
# cp mkntpwd /usr/local/bin
   
# mkntpwd
    * -p: nome del profilo da abilitare, disabilitare, ecc...
 
    * lac_ldap: il profilo auth-client-config parte del pacchetto ldap-auth-config.
</pre>
Verificare il contenuto di /etc/nsswitch.conf e controllare le seguenti voci se corrispondono:
<pre>
''passwd: files ldap
group: files ldap
shadow: files ldap''
</pre>
A causa di un bug documentato (http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=375077) e a cui il team di sviluppo di Debian ha fornito una soluzione parziale (è stato eliminato il problema, ma non i messaggi d'errore generati al boot) è possibile che al reboot compaiano messaggi di errore simili ai seguenti:
<pre>
...
udevd[1350]: nss_ldap: could not connect to any LDAP server as cn=admin,dc=home,dc=tld - Can't contact LDAP server
udevd[1350]: nss_ldap: failed to bind to LDAP server ldap://127.0.0.1: Can't contact LDAP server
udevd[1350]: nss_ldap: could not search LDAP server - Server is unavailable
udevd[1350]: lookup_user: error resolving user 'tss': Illegal seek
...
</pre>
Una possibile via per eludere il problema è quella di aggiungere a mano gli utenti di sistema mancanti:
<pre>
# addgroup --system tss
# addgroup --system kvm
# addgroup --system rdma
# addgroup --system fuse
# addgroup --system scanner
# addgroup --system nvram
# adduser --system tss
</pre>
</pre>
L'ultimo comando dovrebbe restituirvi l'elenco delle opzioni disponibili in mkntpwd.


== Installazione e Configurazione di Samba ==
== Installazione di Samba ==
L'installazione di Samba va effettuata in questo momento perchè insieme ai pacchetti stessi di Samba saranno installate anche alcune utility che adopereremo nel paragrafo successivo.
L'installazione di Samba va effettuata in questo momento perchè insieme ai pacchetti stessi di Samba saranno installate anche alcune utility che adopereremo nel paragrafo successivo.
<pre>
<pre>
# apt-get install samba smbclient smbfs cupsys cupsys-bsd
# apt-get install samba smbclient smbfs samba-doc swat resolvconf
</pre>
</pre>


E' necessario creare le cartelle netlogon, profiles e creare lo script logon.bat.<br/>
La versione di Samba nei repository di Squeeze supporta solo parzialmente il login di client Windows 7 e Windows Server 2008, introdotto in Debian con il ramo 3.4. Se vi fosse la necessità di inserire client Windows 7 o Windows Server 2008 nel dominio Samba che stiamo creando, la soluzione è configurare il repository Backports per Squeeze (''si veda: [[Il_repository_Backports]]'') e installare da lì una versione di Samba più aggiornata:
<pre>
<pre>
# mkdir -p /home/samba/netlogon
# apt-get -t squeeze-backports install samba smbclient smbfs samba-doc swat resolvconf
# chown -R root:root /home/samba/netlogon
# chmod -R 775 /home/samba/netlogon
# mkdir -p /home/samba/profiles
# chown root:root /home/samba/profiles
# chmod 775 /home/samba/profiles
</pre>
</pre>
Creiamo il file logon.bat da mettere in netlogon:
Per il momento come configurazione base rispondente nel seguente modo alle domande che vi verranno poste:<br/>
Tale script dovrà esser scritto in modalità dos, per far questo sfrutteremo il tool unix2dos contenuto nel pacchetto tofrodos.
*Nome del Dominio/Workgroup: DOMINIO
*Utilizzare password cifrate: SI
*Utilizzare DHCP per i nomi Netbios: NO
Non preoccupatevi per eventuali errori, perchè tutta la configurazione verrà ripresa in un secondo momento.
 
== Configurare i SMBLDAP TOOLS ==
I smbldap-tools sostituiscono i comandi standard di UNIX per la gestione di gruppi, utenti e password in modo da dialogare direttamente con il server LDAP e fornire un metodo per gestire in contemporanea gli account UNIX e SAMBA.<br/>
Malgrado la documentazione ufficiale di SAMBA asserisca che smbpasswd sia in grado di gestire tali account, utilizzando quello strumento occorre prima creare l'utente UNIX, poi quello Samba, pertanto ne sconsiglio l'utilizzo.
=== Installazione ===
Installare il pacchetto smbldap-tools
<pre>
<pre>
# apt-get install tofrodos
# apt-get install smbldap-tools
</pre>
</pre>
creiamo lo script con l'editor che preferiamo
=== Configurazione ===
<pre>
Nei doc di smbldap-tools possiamo trovare uno script che ci consente di creare i files di configurazione in modo veloce ed automatico:
# vim /dominio/netlogon/logon.bat
</pre>
syncronizziamo gli orologi del client windows con il nostro server e mappiamo una condivisione di rete scrivendo nel file
<pre>
<pre>
net time \\SERVER /set /yes
gzip -d /usr/share/doc/smbldap-tools/configure.pl.gz
net use H: /home
perl /usr/share/doc/smbldap-tools/configure.pl
</pre>
</pre>
infine
Verranno replicate tutte le configurazioni presenti in samba, se c'è qualòcosa di sbagliato non confermate con invio, ma scrivete la modifica da apportare direttamente e poi date invio.
<pre>
<br/>
# unix2dos /dominio/netlogon/logon.bat
Tuttavia, dato che non mi fido molto degli script, nel seguito della guida verranno date le indicazioni per procedere ad una configurazione manuale.
</pre>
Allo script si possono aggiungere operazioni come il montaggio di unità di rete o altre condivisioni.
Tenete conto che con queste impostazioni viene già creata un'unità di rete collegata alla home dell'utente linux.


Per ogni utente deve essere creata una cartella profile:
Copiare inannzitutto i file <code>smbldap.conf</code> e <code>smbldap_bind.conf</code> in <code>/etc/smbldap-tools</code>.
<pre>
<pre>
# mkdir -p /home/samba/profiles/utente
# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf
# chown -R utente:"Domain Users" /home/samba/profiles/utente
# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf
# chmod 700 /home/samba/profiles/utente
</pre>
</pre>
 
Modificare il file <code>/etc/smbldap-tools/smbldap_bind.conf</code> inserendo il DN dell'amministratore del server LDAP e la sua password. Il DN dell'amministratore è stato impostato automaticamente durante l'installazione del pacchetto Debian di slapd e corrisponde a <nowiki>"cn=admin,dc=dominio,dc=local"</nowiki>, in cui il dominio dipende dalle configurazioni sopra riportate per il server LDAP. La password è quella richiesta in fase di installazione del server LDAP.<br/>
Se non si è sicuri del DN da inserire lanciare il comando:
<pre>
<pre>
'''
# slapcat
Nota per il roaming profile:'''
''Per poter ottenere un valido roaming profile con client windows è necessario copiare la cartella "Default User", che si trova in C:\Documents and Settings, nella cartella /home/samba/netlogon. Prima di copiarla bisogna editare il file NTUSER.dat dal registro regedit. Seguire questo procedimento:
1 . Start>Esegui>regedit>(posizionarsi su)HKEY_LOCAL_MACHINE
2. (andare su)file>carica hive>C:\Documents and Settings\Default User\NTUSER.dat>apri>(digitare nome)Default
3. (entrare in)HKEY_LOCAL_MACHINE>Default>Software>Microsoft>Windows>CurrentVersion>Explorer>User Shell Folder
4. cambiarei Dati dei Nomi: Desktop;Favorites;History;Local AppData; Local Settings;My Pictures;Personal;PrintHood;Recent (a scelta anche Cookies e Cache)
da %USERPROFILE%\Desktop a %LOGONSERVER%\profiles\%USERNAME%\Desktop (così per tutti i nomi)
5. (posizionarsi su) Default
6. (andare su) file>scarica hive
7. copiare su /home/samba/netlogon la cartella "Default User" così modificata.''
</pre>
</pre>
Copiare il file smb.conf per avere un backup:
e cercare una riga che inizia con <nowiki>"dn: cn="</nowiki>. Il valore riportato è quello da inserire come DN. Nel file sono presenti le configurazioni sia per il master che per lo slave, in modo da poter gestire un server di backup per il sistema LDAP gestito tramite slurpd.<br/>
Al momento si presuppone di avere un solo server LDAP, pertanto le configurazioni coincideranno:
<pre>
<pre>
# cp /etc/samba/smb.conf /etc/samba/smb.conf.original
slaveDN="cn=admin,dc=dominio,dc=local"
 
slavePw="password"
Editare il file smb.conf
masterDN="cn=admin,dc=dominio,dc=local"
# vim /etc/samba/smb.conf
masterPw="password"
</pre>
</pre>
 
Il contenuto del file dovrebbe essere il seguente:<br/>
Configurarlo così:
'''/etc/smbldap-tools/smbldap_bind.conf''':
<pre>
<pre>
#======================= Global Settings =======================
############################
 
# Credential Configuration #
[global]
############################
 
# Notes: you can specify two differents configuration if you use a
## Browsing/Identification ###
# master ldap for writing access and a slave ldap server for reading access
 
# By default, we will use the same DN (so it will work for standard Samba
# Change this to the workgroup/NT-domain name your Samba server will part of
# release)
  workgroup = DOMINIO
slaveDN="cn=admin,dc=dominio,dc=local"
 
slavePw="mia_password"
# server string is the equivalent of the NT Description field
masterDN="cn=admin,dc=dominio,dc=local"
netbios name = SERVER 
masterPw="mia_password"
server string = Server dominio
# Windows Internet Name Serving Support Section:
# WINS Support - Tells the NMBD component of Samba to enable its WINS Server
  wins support = yes
 
# WINS Server - Tells the NMBD components of Samba to be a WINS Client
# Note: Samba can be either a WINS Server, or a WINS Client, but NOT both
;  wins server = w.x.y.z
 
# This will prevent nmbd to search for NetBIOS names through DNS.
  dns proxy = no
 
# What naming service and in what order should we use to resolve host names
# to IP addresses
  name resolve order = wins lmhosts host bcast
 
#### Networking ####
 
# The specific set of interfaces / networks to bind to
# This can be either the interface name or an IP address/netmask;
# interface names are normally preferred
interfaces = eth1, lo
;  interfaces = 127.0.0.0/8 eth0
 
# Only bind to the named interfaces and/or networks; you must use the
# 'interfaces' option above to use this.
# It is recommended that you enable this feature if your Samba machine is
# not protected by a firewall or is a firewall itself.  However, this
# option cannot handle dynamic or non-broadcast interfaces correctly.
  bind interfaces only = yes
 
 
 
#### Debugging/Accounting ####
 
# This tells Samba to use a separate log file for each machine
# that connects
  log file = /var/log/samba/%U.%m.log
  log level = 0 passdb:6 auth:10 vfs:5 acls:3 msdfs:3
# Cap the size of the individual log files (in KiB).
  max log size = 5000
 
# If you want Samba to only log through syslog then set the following
# parameter to 'yes'.
#   syslog only = no
 
# We want Samba to log a minimum amount of information to syslog. Everything
# should go to /var/log/samba/log.{smbd,nmbd} instead. If you want to log
# through syslog you should set the following parameter to something higher.
  syslog = 0
 
# Do something sensible when Samba crashes: mail the admin a backtrace
  panic action = /usr/share/samba/panic-action %d
 
 
####### Authentication #######
 
# "security = user" is always a good idea. This will require a Unix account
# in this server for every user accessing the server. See
# /usr/share/doc/samba-doc/htmldocs/Samba3-HOWTO/ServerType.html
# in the samba-doc package for details.
  security = user
  username map = /etc/samba/usermap
  case sensitive = no
# You may wish to use password encryption.  See the section on
# 'encrypt passwords' in the smb.conf(5) manpage before enabling.
  encrypt passwords = true
  enable privileges = yes
# If you are using encrypted passwords, Samba will need to know what
# password database type you are using. 
  passdb backend = ldapsam:ldap://127.0.0.1/
  ldap admin dn = cn=admin,dc=dominio,dc=local
  ldap suffix = dc=dominio,dc=local
  ldap user suffix = ou=users
  ldap group suffix = ou=groups
  ldap machine suffix = ou=computers
  ldap idmap suffix = ou=idmap
  ldap ssl = off
  ldap delete dn = no
  idmap backend = ldap:ldap://127.0.0.1
  obey pam restrictions = yes
 
# This boolean parameter controls whether Samba attempts to sync the Unix
# password with the SMB password when the encrypted SMB password in the
# passdb is changed.
ldap passwd sync = yes 
unix password sync = no
 
# For Unix password sync to work on a Debian GNU/Linux system, the following
# parameters must be set (thanks to Ian Kahan <<kahan@informatik.tu-muenchen.de> for
# sending the correct chat script for the passwd program in Debian Sarge).
  passwd program = /usr/sbin/smbldap-passwd %u
  passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
 
# This boolean controls whether PAM will be used for password changes
# when requested by an SMB client instead of the program listed in
# 'passwd program'. The default is 'no'.
  pam password change = yes
 
# This option controls how unsuccessful authentication attempts are mapped
# to anonymous connections
  map to guest = bad user
 
########## Domains ###########
 
# Is this machine able to authenticate users. Both PDC and BDC
# must have this setting enabled. If you are the BDC you must
# change the 'domain master' setting to no
#
  domain logons = yes
  domain master = yes
  local master = yes
  preferred master = yes
  os level = 255
#
# The following setting only takes effect if 'domain logons' is set
# It specifies the location of the user's profile directory
# from the client point of view)
# The following required a [profiles] share to be setup on the
# samba server (see below)
  logon path = \\%N\profiles\%U
# Another common choice is storing the profile in the user's home directory
# (this is Samba's default)
#  logon path = \\%N\%U\profile
 
# The following setting only takes effect if 'domain logons' is set
# It specifies the location of a user's home directory (from the client
# point of view)
  logon drive = H:
  logon home = \\%N\%U
 
# The following setting only takes effect if 'domain logons' is set
# It specifies the script to run during logon. The script must be stored
# in the [netlogon] share
# NOTE: Must be store in 'DOS' file format convention
  logon script = logon.bat
 
# This allows Unix users to be created on the domain controller via the SAMR
# RPC pipe.  The example command creates a user account with a disabled Unix
# password; please adapt to your needs
add user script = /usr/sbin/smbldap-useradd -a -m %u
delete user script = /usr/sbin/smbldap-userdel %u
add user to group script = /usr/sbin/smbldap-groupmod -m %u %g
delete user from group script = /usr/sbin/smbldap-groupmod -x %u %g
set primary group script = /usr/sbin/smbldap-usermod -g %g %u
 
# This allows machine accounts to be created on the domain controller via the
# SAMR RPC pipe. 
# The following assumes a "machines" group exists on the system
add machine script  = /usr/sbin/smbldap-useradd -t 0 -w %u
 
# This allows Unix groups to be created on the domain controller via the SAMR
# RPC pipe. 
add group script = /usr/sbin/smbldap-groupadd -p %g
delete group script = /usr/sbin/smbldap-groupdel %g
########## Printing ##########
 
# If you want to automatically load your printer list rather
# than setting them up individually then you'll need this
#  load printers = yes
 
# lpr(ng) printing. You may wish to override the location of the
# printcap file
;  printing = bsd
;  printcap name = /etc/printcap
 
# CUPS printing.  See also the cupsaddsmb(8) manpage in the
# cupsys-client package.
  printing = cups
#  printcap name = cups
 
############ Misc ############
 
# Using the following line enables you to customise your configuration
# on a per machine basis. The %m gets replaced with the netbios name
# of the machine that is connecting
;  include = /home/samba/etc/smb.conf.%m
 
# Most people will find that this option gives better performance.
# See smb.conf(5) and /usr/share/doc/samba-doc/htmldocs/Samba3-HOWTO/speed.html
# for details
# You may want to add the following on a Linux system:
#        SO_RCVBUF=8192 SO_SNDBUF=8192
socket options = TCP_NODELAY
 
# The following parameter is useful only if you have the linpopup package
# installed. The samba maintainer and the linpopup maintainer are
# working to ease installation and configuration of linpopup and samba.
;  message command = /bin/sh -c '/usr/bin/linpopup "%f" "%m" %s; rm %s' &
 
# Domain Master specifies Samba to be the Domain Master Browser. If this
# machine will be configured as a BDC (a secondary logon server), you
# must set this to 'no'; otherwise, the default behavior is recommended.
#  domain master = auto
 
# Some defaults for winbind (make sure you're not using the ranges
# for something else.)
  idmap uid = 10000-20000
  idmap gid = 10000-20000
#  template shell = /bin/false
 
# The following was the default behaviour in sarge,
# but samba upstream reverted the default because it might induce
# performance issues in large organizations.
# See Debian bug #368251 for some of the consequences of *not*
# having this setting and smb.conf(5) for details.
#  winbind separator = +
#  winbind enum groups = yes
#  winbind enum users = yes
#  winbind use default domain = yes
  time server = yes
  null passwords = no
# Setup usershare options to enable non-root users to share folders
# with the net usershare command.
 
# Maximum number of usershare. 0 (default) means that usershare is disabled.
;  usershare max shares = 100
 
# Allow users who've been granted usershare privileges to create
# public shares, not just authenticated ones
  usershare allow guests = yes
 
#======================= Share Definitions =======================
 
# Un-comment the following (and tweak the other settings below to suit)
# to enable the default home directory shares.  This will share each
# user's home directory as \\server\username
[homes]
  comment = Home Directories
  browseable = no
 
# By default, the home directories are exported read-only. Change the
# next parameter to 'no' if you want to be able to write to them.
  read only = no
 
# File creation mask is set to 0700 for security reasons. If you want to
# create files with group=rw permissions, set next parameter to 0775.
#  create mask = 0775
 
# Directory creation mask is set to 0700 for security reasons. If you want to
# create dirs. with group=rw permissions, set next parameter to 0775.
;  directory mask = 0700
 
# By default, \\server\username shares can be connected to by anyone
# with access to the samba server.  Un-comment the following parameter
# to make sure that only "username" can connect to \\server\username
# This might need tweaking when using external authentication schemes
  valid users = %S
  vfs object = recycle
                recycle:repository = /home/%u/.cestino
                recycle:keeptree = Yes
                recycle:touch = Yes
                recycle:versions = Yes
                recycle:maxsize = 1048576
                recycle:exclude = ?~$*,~$*,*.tmp,index*.pl,index*.htm*,*.temp,*.TMP
                recycle:exclude_dir = /tmp,/temp,/cache
                recycle:noversions = *.docx,*.doc,*.xlsx,*.xls,*.ppt
 
# Un-comment the following and create the netlogon directory for Domain Logons
# (you need to configure Samba to act as a domain controller too.)
[netlogon]
  comment = Network Logon Service
  path = /home/samba/netlogon
  guest ok = yes
  read only = yes
  share modes = no
 
# Un-comment the following and create the profiles directory to store
# users profiles (see the "logon path" option above)
# (you need to configure Samba to act as a domain controller too.)
# The path below should be writable by all users so that their
# profile directory may be created the first time they log on
[profiles]
  comment = Users profiles
  path = /home/samba/profiles
  read only = no
  browseable = no
  profile acls = yes
 
[printers]
  comment = All Printers
  browseable = no
  path = /var/spool/samba
  printable = yes
  guest ok = no
  read only = yes
  create mask = 0700
 
# Windows clients look for this share name as a source of downloadable
# printer drivers
[print$]
  comment = Printer Drivers
  path = /var/lib/samba/printers
  browseable = yes
  read only = yes
  guest ok = no
# Uncomment to allow remote administration of Windows print drivers.
# You may need to replace 'lpadmin' with the name of the group your
# admin users are members of.
# Please note that you also need to set appropriate Unix permissions
# to the drivers directory for these users to have write rights in it
;  write list = root, @lpadmin
 
# A sample share for sharing your CD-ROM with others.
;[cdrom]
;  comment = Samba server's CD-ROM
;  read only = yes
;  locking = no
;  path = /cdrom
;  guest ok = yes
 
# The next two parameters show how to auto-mount a CD-ROM when the
# cdrom share is accesed. For this to work /etc/fstab must contain
# an entry like this:
#
#      /dev/scd0  /cdrom  iso9660 defaults,noauto,ro,user  0 0
#
# The CD-ROM gets unmounted automatically after the connection to the
#
# If you don't want to use auto-mounting/unmounting make sure the CD
# is mounted on /cdrom
#
;  preexec = /bin/mount /cdrom
;  postexec = /bin/umount /cdrom
</pre>
</pre>
 
Eseguire ora il comando:
Una volta che abbiamo il file di configurazione pronto, possiamo verificare che non contenga errori con il comando:
<pre>
<pre>
# testparm
# net getlocalsid
</pre>
</pre>
Creiamo e modifichiamo il file <code>/etc/samba/usermap</code>:
e copiare o prendere nota del codice che viene restituito.
<br/>
Modificare il file <code>/etc/smbldap-tools/smbldap.conf</code> inserendo il SID appena ottenuto e controllare gli indirizzi dei 2 server LDAP in modo che coincidano con il server locale (127.0.0.1).
<pre>
<pre>
# touch /etc/samba/usermap
SID="S-1-5-21-2318037123-1631426476-2439636316"
 
slaveLDAP="127.0.0.1"
editarecosì:
slavePort="389"
''root = root Administrator''
masterLDAP="127.0.0.1"
masterPort="389"
</pre>
</pre>
 
Verificare che il TLS sia disabilitato.
Sistemiamo ora le ultime directory necessarie:
<pre>
<pre>
# rm -rf /etc/samba/*tdb
ldapTLS="0"
# rm -rf /var/lib/samba/*tdb
# rm -rf /var/lib/samba/*dat
# rm -f /var/log/samba/*
</pre>
</pre>
facciamo memorizzare a samba la password dell'utente ldap da usare per la connessione:
Configurare il corretto suffisso per il dominio (quello specificato nella configurazione di LDAP) e il nome corretto per il dominio che si vuole configurare (DOMINIO).
<pre>
<pre>
# smbpasswd -w password
suffix="dc=dominio,dc=local"
sambaUnixIdPooldn="sambaDomainName=DOMINIO,${suffix}"
</pre>
</pre>
e riavviamo il servizio:
Potrebbe tornare utile anche impostare una differente scadenza per le password, in modo che non ne venga richiesta la sostituzione troppo di frequente:
<pre>
<pre>
# service smbd stop
defaultMaxPasswordAge="180"
# service nmbd stop
# service smbd start
# service nmbd start
</pre>
</pre>
 
Questo parametro è poi utilizzato al momento della creazione di un utente e ogni volta che un utente si cambia password.<br/>
== Configurare i SMBLDAP TOOLS ==
Configurare infine i percorsi per le home degli utenti e per le cartelle che conterranno i profiles nel caso di roaming profiles.
I smbldap-tools sostituiscono i comandi standard di UNIX per la gestione di gruppi, utenti e password in modo da dialogare direttamente con il server LDAP e fornire un metodo per gestire in contemporanea gli account UNIX e SAMBA.<br/>
 
=== Installazione ===
Installare il pacchetto smbldap-tools
<pre>
<pre>
# apt-get install smbldap-tools
userSmbHome="\\SERVER\homes\%U"
userProfile="\\SERVER\profiles\%U"
</pre>
</pre>
=== Configurazione ===
SERVER deve essere sostituito con il nome SAMBA del server che funziona come PDC (il server che stiamo configurando; lo stesso nome che verrà impostato più avanti nel file di configurazione di Samba). In questo esempio, inoltre, si è ritenuto di fornire uno script di logon comune a tutti gli utenti, anziché di uno script personale per ogni utente, pertanto si è impostato il seguente parametro:
 
Modificare il file <tt>/etc/smbldap-tools/smbldap_bind.conf</tt> inserendo il DN dell'amministratore del server LDAP e la sua password. Il DN dell'amministratore è stato impostato automaticamente durante l'installazione del pacchetto Debian di slapd e corrisponde a <nowiki>"cn=admin,dc=dominio,dc=local"</nowiki>, in cui il dominio dipende dalle configurazioni sopra riportate per il server LDAP. La password è quella richiesta in fase di installazione del server LDAP.<br/>
 
Editate ''/etc/smbldap-tools/smbldap_bind.conf'':
<pre>
<pre>
############################
userScript="logon.bat"
# Credential Configuration #
############################
# Notes: you can specify two differents configuration if you use a
# master ldap for writing access and a slave ldap server for reading access
# By default, we will use the same DN (so it will work for standard Samba
# release)
slaveDN="cn=admin,dc=dominio,dc=local"
slavePw="secret"
masterDN="cn=admin,dc=dominio,dc=local"
masterPw="secret"
</pre>
</pre>
Recuperate il SID di DOMINIO:
Tale impostazione può essere poi cambiata per determinati utenti con esigenze particolari direttamente agendo sui dati LDAP dell'utente.<br/>
Impostare infine il suffisso per gli indirizzi mail, anche se nel presente HOWTO non vengono configurati.
<pre>
<pre>
# net getlocalsid DOMINIO
mailDomain="dominio.local"
DOMINIO
SID=":::::::::::::::::::::::::::::::::::"
</pre>
</pre>
Il SID va poi trascritto in smbldap.conf
Il contenuto completo del file dovrebbe essere il seguente:<br/>
 
Il contenuto del file dovrebbe essere il seguente:<br/>
'''/etc/smbldap-tools/smbldap.conf''':
'''/etc/smbldap-tools/smbldap.conf''':
<pre>
<pre>
##############################################################################
#
# General Configuration
#
#
# Purpose :
# . be the configuration file for all smbldap-tools scripts
##############################################################################
##############################################################################
 
##
General Configuration
# ##############################################################################
# Put your own SID. To obtain this number do: "net getlocalsid".
# Put your own SID. To obtain this number do: "net getlocalsid".
# If not defined, parameter is taking from "net getlocalsid" return
# If not defined, parameter is taking from "net getlocalsid" return
SID=":::::::::::::::::::::::::::::::::::"
SID="S-1-5-21-125945932-740595490-3132273231"
 
# Domain name the Samba server is in charged.
# Domain name the Samba server is in charged.
# If not defined, parameter is taking from smb.conf configuration file
# If not defined, parameter is taking from smb.conf configuration file
# Ex: sambaDomain="IDEALX-NT"
sambaDomain="DOMINIO"
sambaDomain="DOMINIO"
 
realm="DOMINIO.LOCAL"


##############################################################################
##############################################################################
Riga 860: Riga 251:
#
#
##############################################################################
##############################################################################
# Notes: to use to dual ldap servers backend for Samba, you must patch
# Samba with the dual-head patch from IDEALX. If not using this patch
# just use the same server for slaveLDAP and masterLDAP.
# Those two servers declarations can also be used when you have
# . one master LDAP server where all writing operations must be done
# . one slave LDAP server where all reading operations must be done
#  (typically a replication directory)
# Slave LDAP server
# Slave LDAP server
# Ex: slaveLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
# If not defined, parameter is set to "127.0.0.1"
slaveLDAP="127.0.0.1"
slaveLDAP="127.0.0.1"
# Slave LDAP port
# Slave LDAP port
# If not defined, parameter is set to "389"
# If not defined, parameter is set to "389"
slavePort="389"
slavePort="389"
# Master LDAP server: needed for write operations
# Master LDAP server: needed for write operations
# Ex: masterLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
# If not defined, parameter is set to "127.0.0.1"
masterLDAP="127.0.0.1"
masterLDAP="127.0.0.1"
# Master LDAP port
# Master LDAP port
# If not defined, parameter is set to "389"
# If not defined, parameter is set to "389"
masterPort="389"
masterPort="389"
# Use TLS for LDAP
# Use TLS for LDAP
# If set to 1, this option will use start_tls for connection
# If set to 1, this option will use start_tls for connection
Riga 892: Riga 268:
# If not defined, parameter is set to "1"
# If not defined, parameter is set to "1"
ldapTLS="0"
ldapTLS="0"
# How to verify the server's certificate (none, optional or require)
# How to verify the server's certificate (none, optional or require)
# see "man Net::LDAP" in start_tls section for more details
verify=""
verify=""
# CA certificate
# CA certificate
# see "man Net::LDAP" in start_tls section for more details
cafile=""
cafile=""
# certificate to use to connect to the ldap server
# certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientcert=""
clientcert=""
# key certificate to use to connect to the ldap server
# key certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientkey=""
clientkey=""
# LDAP Suffix
# LDAP Suffix
# Ex: suffix=dc=IDEALX,dc=ORG
suffix="dc=dominio,dc=local"
suffix="dc=dominio,dc=local"
# Where are stored Users
# Where are stored Users
# Ex: usersdn="ou=Users,dc=IDEALX,dc=ORG"
# Warning: if 'suffix' is not set here, you must set the full dn for usersdn
# Warning: if 'suffix' is not set here, you must set the full dn for usersdn
usersdn="ou=users,${suffix}"
usersdn="ou=Users,${suffix}"
 
# Where are stored Computers
# Where are stored Computers
# Ex: computersdn="ou=Computers,dc=IDEALX,dc=ORG"
# Warning: if 'suffix' is not set here, you must set the full dn for computersdn
# Warning: if 'suffix' is not set here, you must set the full dn for computersdn
computersdn="ou=computers,${suffix}"
computersdn="ou=Computers,${suffix}"
 
# Where are stored Groups
# Where are stored Groups
# Ex: groupsdn="ou=Groups,dc=IDEALX,dc=ORG"
# Warning: if 'suffix' is not set here, you must set the full dn for groupsdn
# Warning: if 'suffix' is not set here, you must set the full dn for groupsdn
groupsdn="ou=groups,${suffix}"
groupsdn="ou=Groups,${suffix}"
 
# Where are stored Idmap entries (used if samba is a domain member server)
# Where are stored Idmap entries (used if samba is a domain member server)
# Ex: groupsdn="ou=Idmap,dc=IDEALX,dc=ORG"
# Warning: if 'suffix' is not set here, you must set the full dn for idmapdn
# Warning: if 'suffix' is not set here, you must set the full dn for idmapdn
idmapdn="ou=idmap,${suffix}"
#idmapdn="ou=Idmap,${suffix}"
 
# Where to store next uidNumber and gidNumber available for new users and groups
# Where to store next uidNumber and gidNumber available for new users and groups
# If not defined, entries are stored in sambaDomainName object.
# If not defined, entries are stored in sambaDomainName object.
# Ex: sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Ex: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Default scope Used
# Default scope Used
scope="sub"
scope="sub"
# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)
# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)
hash_encrypt="MD5"
hash_encrypt="SSHA"
 
# if hash_encrypt is set to CRYPT, you may set a salt format.
# if hash_encrypt is set to CRYPT, you may set a salt format.
# default is "%s", but many systems will generate MD5 hashed
# default is "%s", but many systems will generate MD5 hashed
# passwords if you use "$1$%.8s". This parameter is optional!
# passwords if you use "$1$%.8s". This parameter is optional!
crypt_salt_format="%s"
crypt_salt_format="%s"
##############################################################################
##############################################################################
#  
#
# Unix Accounts Configuration
# Unix Accounts Configuration
#  
#
##############################################################################
##############################################################################
# Login defs
# Login defs
# Default Login Shell
# Default Login Shell
# Ex: userLoginShell="/bin/bash"
userLoginShell="/bin/false"
userLoginShell="/bin/false"
# Home directory
# Home directory
# Ex: userHome="/home/%U"
userHome="/dominio/homes/%U"
userHome="/home/%U"
 
# Default mode used for user homeDirectory
# Default mode used for user homeDirectory
userHomeDirectoryMode="700"
userHomeDirectoryMode="700"
# Gecos
# Gecos
userGecos="System User"
userGecos="System Computer"
 
# Default User (POSIX and Samba) GID
# Default User (POSIX and Samba) GID
defaultUserGid="513"
defaultUserGid="513"
# Default Computer (Samba) GID
# Default Computer (Samba) GID
defaultComputerGid="515"
defaultComputerGid="515"
# Skel dir
# Skel dir
skeletonDir="/etc/skel"
skeletonDir="/etc/skel"
# Default password validation time (time in days) Comment the next line if
# Default password validation time (time in days) Comment the next line if
# you don't want password to be enable for defaultMaxPasswordAge days (be
# you don't want password to be enable for defaultMaxPasswordAge days (be
# careful to the sambaPwdMustChange attribute's value)
# careful to the sambaPwdMustChange attribute's value)
#defaultMaxPasswordAge="180"
defaultMaxPasswordAge="180"
 
##############################################################################
##############################################################################
#
##
# SAMBA Configuration
SAMBA Configuration
#
# ##############################################################################
##############################################################################
 
# The UNC path to home drives location (%U username substitution)
# The UNC path to home drives location (%U username substitution)
# Just set it to a null string if you want to use the smb.conf 'logon home'
# Just set it to a null string if you want to use the smb.conf 'logon home'
# directive and/or disable roaming profiles
# directive and/or disable roaming profiles
# Ex: userSmbHome="\\PDC-SMB3\%U"
userSmbHome="\\SERVER\homes\%U"
userSmbHome=""
 
# The UNC path to profiles locations (%U username substitution)
# The UNC path to profiles locations (%U username substitution)
# Just set it to a null string if you want to use the smb.conf 'logon path'
# Just set it to a null string if you want to use the smb.conf 'logon path'
# directive and/or disable roaming profiles
# directive and/or disable roaming profiles
# Ex: userProfile="\\PDC-SMB3\profiles\%U"
userProfile="\\SERVER\profiles\%U"
userProfile=""
 
# The default Home Drive Letter mapping
# The default Home Drive Letter mapping
# (will be automatically mapped at logon time if home directory exist)
# (will be automatically mapped at logon time if home directory exist)
# Ex: userHomeDrive="H:"
userHomeDrive="Z:"
userHomeDrive="H:"
 
# The default user netlogon script name (%U username substitution)
# The default user netlogon script name (%U username substitution)
# if not used, will be automatically username.cmd
# if not used, will be automatically username.cmd
# make sure script file is edited under dos
# make sure script file is edited under dos
# Ex: userScript="startup.cmd" # make sure script file is edited under dos
userScript="logon.bat"
userScript="logon.bat"
# Domain appended to the users "mail"-attribute
# Domain appended to the users "mail"-attribute
# when smbldap-useradd -M is used
# when smbldap-useradd -M is used
# Ex: mailDomain="idealx.com"
mailDomain="dominio.local"
mailDomain="milanoaccademia.lan"
 
##############################################################################
##############################################################################
#
#
# SMBLDAP-TOOLS Configuration (default are ok for a RedHat)
# SMBLDAP-TOOLS Configuration
#
#
##############################################################################
##############################################################################
# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but
# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but
# prefer Crypt::SmbHash library
# prefer Crypt::SmbHash library
with_smbpasswd="0"
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"
smbpasswd="/usr/bin/smbpasswd"
# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)
# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)
# but prefer Crypt:: libraries
# but prefer Crypt:: libraries
with_slappasswd="0"
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"
slappasswd="/usr/sbin/slappasswd"
</pre>
Può essere interessante notare che nella sezione Unix del file di configurazione precedente è presente la voce:
<pre>
userLoginShell="/bin/false"
</pre>
E' stata fatta questa scelta per evitare che gli utenti di dominio possano loggarsi sul server. Se avete utenti che utilizzano client Linux, come vi auguro, dovrete agire sui dati LDAP del singolo utente e modificare la sua shell. Se tutti i vostri utenti utilizzano client Linux, modificate la linea precedente come segue:
<pre>
userLoginShell="/bin/bash"
</pre>
Terminate le modifiche al file, bisogna cambiare i permessi per i file appena modificati al fine di aumentare la sicurezza del sistema ed impedire agli utenti di avere accesso alle password di amministratore di LDAP, scritta in chiaro nel file di configurazione precedentemente modificato.
<pre>
# chmod 0644 /etc/smbldap-tools/smbldap.conf
# chmod 0600 /etc/smbldap-tools/smbldap_bind.conf
</pre><br/>
== Configurazione del server LDAP ==
Passiamo ora alla configurazione del server LDAP.<br/>
La versione utilizzata di OpenLdap ha come sistema di configurazione la cartella slapd.d ubicata in <code>/etc/ldap/slapd.d</code> ed è stato quindi soppresso il precedente file di configurazione ''slapd.conf''. La differenza non è di poco conto: il vecchio file di configurazione era statico e perciò richiedeva sempre lo stop del demone ''slapd''. Il nuovo è dinamico e permette perciò la modifica ''on the fly'' della configurazione del demone.
<br/>
Il vecchio metodo di configurazione sarà in futuro abbandonato; raccomando quindi di utilizzare il nuovo sistema, a meno che non sussistano pesanti vincoli di compatibilità con vecchie strutture dati.
<br/>
In questa guida verrà quindi utilizzato ''slapd.d'' come metodo di default, ma ricordo che in ''/etc/default/slapd'' si può impostare il vecchio sistema ''slapd.conf'', oppure si può convertire un vecchio database slapd.conf in slapd.d con il comando:
<pre>
# slaptest -f /etc/ldap/slapd.conf -F /etc/ldap/slapd.d
</pre>
Un esempio di configurazione con il vecchio ''slapd.conf'' sarà riportato nel capitolo seguente della guida.
=== Configurazione del server LDAP con ''slapd.d'' ===
Innanzitutto effettuiamo un backup di LDAP:
<pre>
# slapcat > ~/slapd.ldif
</pre>
o più semplicemente
<pre>
# cp -R /etc/ldap/slapd.d /etc/slapd.d.backup
</pre>
Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in <code>/etc/ldap/schema</code> lo schema LDAP necessario per SAMBA.
<pre>
# wget http://debian.easyteam.org/files/samba/hdb.schema -P /etc/ldap/schema/
# wget http://debian.easyteam.org/files/samba/qmailuser.schema -P /etc/ldap/schema/
# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema
</pre>
Creiamo il file schema_convert.conf:
<pre>
# touch /tmp/schema_convert.conf
# nano /tmp/schema_convert.conf
</pre>
e editiamolo in questa maniera:
<pre>
include /etc/ldap/schema/core.schema
include /etc/ldap/schema/collective.schema
include /etc/ldap/schema/corba.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/duaconf.schema
include /etc/ldap/schema/dyngroup.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/java.schema
include /etc/ldap/schema/misc.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/openldap.schema
include /etc/ldap/schema/ppolicy.schema
include /etc/ldap/schema/samba.schema
</pre>
Salviamo il file e creiamo una directory temporanea per gli output di ''slapcat'':
<pre>
# mkdir /tmp/ldif_output
# slapcat -f /tmp/schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={12}samba,cn=schema,cn=config" > /tmp/samba.ldif
# nano /tmp/samba.ldif
</pre>
e modifichiamo il file come segue:
<pre>
dn: cn=samba,cn=schema,cn=config
...
cn: samba
</pre>
Rimuoviamo le stringhe a fondo pagina:
<pre>
structuralObjectClass: olcSchemaConfig
entryUUID: b53b75ca-083f-102d-9fff-2f64fd123c95
creatorsName: cn=config
createTimestamp: 20080827045234Z
entryCSN: 20080827045234.341425Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20080827045234Z
</pre>
Salviamo tutto e copiamolo in /etc/ldap/schema:
<pre>
# cp /tmp/samba.ldif /etc/ldap/schema
</pre>
Quindi generate l'hash SSHA della password di root di LDAP:
<pre>
# slappasswd
</pre>
e prendete nota del risultato.<br/>
Impostiamo la password di amministratore per configurare l'albero di directory LDAP:
<pre>
# ldapmodify -Y EXTERNAL -H ldapi:///
</pre>
La risposta sarà:
<pre>
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
</pre>
Inseriamo le seguenti righe:
<pre>
dn: olcDatabase={0}config,cn=config
add: olcRootPW
olcRootPW: {SSHA}XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
</pre>
terminando con ''Ctrl+D''.
<br/>
Ora occorre aggiungere gli schemi che ci serviranno per la configurazione:
<pre>
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/samba.ldif
</pre>
Creiamo il file ''module.ldif'' per aggiungere il modulo del backend:
<pre>
# touch /tmp/module.ldif
# nano /tmp/module.ldif
</pre>
editandolo così:
<pre>
dn: olcDatabase={1}bdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=dominio,dc=local
-
replace: olcRootDN
olcRootDN: cn=admin,dc=dominio,dc=local
-
replace: olcAccess
olcAccess: to attrs=userPassword,SambaLMPassword,SambaNTPassword,sambaPwdLastSet,sambaPwdMustChange,sambaPasswordHistory by dn="cn=admin,dc=dominio,dc=local" write by anonymous auth by self write by * none
olcAccess: to attrs=shadowLastChange by self write by * read
olcAccess: to dn.base="" by * read by self write
olcAccess: to * by dn="cn=admin,dc=dominio,dc=local" write by * read by self write
-
</pre>
Aggiungiamo alla configurazione il backend in questo modo:
<pre>
#ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/module.ldif
</pre>
e controlliamo che tutto sia andato a buon fine:
<pre>
# ldapsearch -xLLL -b cn=config -D cn=admin,cn=config -W olcDatabase={1}bdb
</pre>
Ora aggiungiamo le informazioni per una corretta indicizzazione:
<pre>
# touch /tmp/index.ldif
# nano /tmp/index.ldif
</pre>
editando il file così:
<pre>
dn: olcDatabase={1}bdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: uidNumber eq
olcDbIndex: gidNumber eq
olcDbIndex: loginShell eq
olcDbIndex: uid eq,pres,sub
olcDbIndex: memberUid eq,pres,sub
olcDbIndex: uniqueMember eq,pres
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub
</pre>
e aggiungendolo alla configurazione di LDAP:
<pre>
# ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/index.ldif
</pre>
Infine editiamo il file ''/etc/ldap/slapd.d/cn=config.ldif'' così:
<pre>
olcLogLevel: 1 2 8 64 128 256 512
olcAuthzPolicy: none
olcAuthzRegexp: uid=(.*),cn=.*,cn=auth ldap:///dc=dominio,dc=local??sub?(uid=$1)
</pre>
Riavviamo infine il demone <code>slapd</code>:
<pre>
# /etc/init.d/slapd restart
</pre>


# comment out the following line to get rid of the default banner
Verifichiamo un'ultima volta che tutto funzioni correttamente:
# no_banner="1"
<pre>
# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn
</pre>
</pre>
=== Configurazione di LDAP con il vecchio metodo ''slapd.conf'' (Deprecato) ===
Innanzitutto indichiamo a LDAP che vogliamo utilizzare il vecchio metodo di configurazione. Apriamo il file:
<pre>
<pre>
'''
# nano /etc/default/slapd
Da notare:'''
</pre>
e modifichiamo la riga seguente:
<pre>
# SLAPD_CONF=""
SLAPD_CONF="/etc/ldap/slapd.conf"
</pre>
Quindi effettuiamo un backup di LDAP:
<pre>
# slapcat > ~/slapd.ldif
</pre>
Adesso dobbiamo recuperare gli schemi mancanti, che aggiungeremo poi alla configurazione di LDAP, e copiare in <code>/etc/ldap/schema</code> lo schema LDAP necessario per SAMBA.
<pre>
# wget http://debian.easyteam.org/files/samba/hdb.schema -P /etc/ldap/schema/
# wget http://debian.easyteam.org/files/samba/qmailuser.schema -P /etc/ldap/schema/
# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema
</pre>
Quindi generate l'hash MD5 della password di root di LDAP:
<pre>
# slappasswd -h {MD5}
</pre>
e prendete nota del risultato.<br/>
Ora occorre modificare il file di configurazione di slapd (<code>/etc/ldap/slapd.conf</code>) aggiungendo nella sezione <code>Schema and objectClass definitions</code> lo schema per samba:
<pre>
include /etc/ldap/schema/samba.schema
</pre>
Nella sezione <code>Indexing options</code> aggiungere una serie di indicizzazioni che ottimizzeranno le interogazioni per l'utilizzo del server SAMBA:
<pre>
index objectClass eq,pres
index uid,uidNumber,gidNumber,memberUid eq,pres
index ou,cn,mail,surname,givenname eq,pres,sub
index loginShell                        eq,pres
index displayName                      pres,sub,eq
index nisMapName,nisMapEntry            eq,pres,sub
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq
index sambaGroupType eq
index sambaSIDList eq
index uniqueMember eq
index default                          sub
</pre>
Bisogna consentire agli utenti di cambiare non solo la propria password LDAP, ma anche le password di SAMBA e contemporaneamente proteggere tali informazioni da un accesso pubblico sostituendo la riga:
<pre>
access to attribute=userPassword
</pre>
con:
<pre>
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet
</pre>
Infine aggiungere le informazioni per l'autenticazione:
<pre>
rootdn          "cn=admin,dc=dominio,dc=local"
rootpw          {MD5}Qhz9FD5FDD9YFKBJVAngcw==
</pre>
Il contenuto del file dovrebbe essere il seguente:<br/>
'''/etc/ldap/sdapd.conf''':
<pre>
#######################################################################
# Global Directives:
#sizelimit 20
timelimit -1
threads 8
 
# Features to permit
allow bind_v2
 
# Schema and objectClass definitions
include        /etc/ldap/schema/core.schema
include        /etc/ldap/schema/cosine.schema
include        /etc/ldap/schema/nis.schema
include        /etc/ldap/schema/inetorgperson.schema
include        /etc/ldap/schema/qmailuser.schema
include        /etc/ldap/schema/samba.schema
#include        /etc/ldap/schema/hdb.schema
 
# Where the pid file is put. The init.d script
# will not stop the server if you change this.
pidfile        /var/run/slapd/slapd.pid
 
# List of arguments that were passed to the server
argsfile        /var/run/slapd/slapd.args
 
# Read slapd.conf(5) for possible values
loglevel        none
 
# Where the dynamically loaded modules are stored
modulepath      /usr/lib/ldap
moduleload      back_bdb
 
# The maximum number of entries that is returned for a search operation
sizelimit 500
 
# The tool-threads parameter sets the actual amount of cpu's that is used
# for indexing.
tool-threads 1
 
#######################################################################
# Specific Backend Directives for bdb:
# Backend specific directives apply to this backend until another
# 'backend' directive occurs
backend        bdb
 
#######################################################################
# Specific Backend Directives for 'other':
# Backend specific directives apply to this backend until another
# 'backend' directive occurs
#backend                <other>
 
#######################################################################
# Specific Directives for database #1, of type bdb:
# Database specific directives apply to this databasse until another
# 'database' directive occurs
database        bdb
 
# The base of your directory in database #1
suffix          "dc=dominio,dc=local"
 
# rootdn directive for specifying a superuser on the database. This is needed
# for syncrepl.
rootdn          "cn=admin,dc=dominio,dc=local"
rootpw          {MD5}8Fy5aWO9Ks1d5nFGx3aQ3D==
 
# Where the database file are physically stored for database #1
directory      "/var/lib/ldap"
 
# The dbconfig settings are used to generate a DB_CONFIG file the first
# time slapd starts.
dbconfig set_cachesize 0 2097152 0
# Number of objects that can be locked at the same time.
dbconfig set_lk_max_objects 1500
# Number of locks (both requested and granted)
dbconfig set_lk_max_locks 1500
# Number of lockers
dbconfig set_lk_max_lockers 1500
 
# Indexing options for database #1
#index          objectClass eq
index mail,mailAlternateAddress,objectClass,deliveryMode,accountStatus,ou pres,eq
index cn                    pres,sub,eq
index sn                    pres,sub,eq
index uid                  pres,sub,eq
index displayName          pres,sub,eq
index uidNumber            eq
index gidNumber            eq
index memberUID            eq
index sambaSID              eq
index sambaPrimaryGroupSID  eq
index sambaDomainName      eq
index mailHost              eq
index givenName            pres,sub,eq
index default              sub
 
# Password Hash Definition
password-hash {MD5}
 
# Overlay Unique
#overlay unique
#unique_uri ldap:///ou=Users,dc=dominio,dc=local?uidNumber,cn?sub
#unique_uri ldap:///ou=Groups,dc=dominio,dc=local?gidNumber,cn?sub
 
# Save the time that the entry gets modified, for database #1
lastmod        on
 
# Checkpoint the BerkeleyDB database periodically in case of system
# failure and to speed slapd shutdown.
checkpoint      512 30
# Where to store the replica logs for database #1
# replogfile    /var/lib/ldap/replog
 
 
##########################################################
# Configurazione dei permessi per i vari utenti
# del'albero LDAP
############################################################
 
# The userPassword by default can be changed
# by the entry owning it if they are authenticated.
# Others should not be able to see it, except the
# admin entry below
# These access lines apply to database #1 only
#access to attrs=userPassword,shadowLastChange
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdLastSet,sambaPwdMustChange,sambaPasswordHistory
        by dn="cn=admin,dc=dominio,dc=local" write
        by anonymous auth
        by self write
        by * none
 
# Everyone must be able to read password expiry attributes,
# if you are not granting rootdn access to workstations.
# Otherwise, the client system won't be able to know if
# user's password has expired, and will prompt him/her to
# change his/her password everytime he/she logs in.
# The owner must also be able to write it when he/she
# changes his/her own password.
access to attrs=shadowLastChange,sambaPwdLastSet,sambaPwdMustChange
        by dn="cn=admin,dc=dominio,dc=local" write
        by self write
        by * read
 
# Ensure read access to the base for things like
# supportedSASLMechanisms.  Without this you may
# have problems with SASL not knowing what
# mechanisms are available and the like.
# Note that this is covered by the 'access to *'
# ACL below too but if you change that as people
# are wont to do you'll still need this if you
# want SASL (and possible other things) to work
# happily.
access to dn.base="" by * read
 
# The admin dn has full write access, everyone else
# can read everything.
access to *
        by dn="cn=admin,dc=dominio,dc=local" write
        by * read
 
# For Netscape Roaming support, each user gets a roaming
# profile for which they have write access to
#access to dn=".*,ou=Roaming,o=morsnet"
#        by dn="cn=admin,dc=dominio,dc=local" write
#        by dnattr=owner write
 
#######################################################################
# Specific Directives for database #2, of type 'other' (can be bdb too):
# Database specific directives apply to this databasse until another
# 'database' directive occurs
#database        <other>
 
# The base of your directory for database #2
#suffix        "dc=debian,dc=org"
</pre>
Possiamo far ripartire <code>slapd</code> affinché tutte le modifiche apportate siano prese in considerazione.
<pre>
# /etc/init.d/slapd stop
# rm -rf /var/lib/ldap/*
# slapadd -l ~/slapd.ldif
# slapindex
# chown -Rf openldap:openldap /var/lib/ldap
# /etc/init.d/slapd start
</pre>
Si può controllare che il server sia correttamente partito eseguendo una query con i comandi:
<pre>
# slapcat
# ldapsearch -x
</pre>
La risposta deve essere un file LDIF. Se invece si ottiene un errore di connessione ricontrollare tutte le impostazioni e i file di log. Per controllare il funzionamento di <code>slapd</code> può sempre tornare utile fermare il servizio e farlo partire, anziché con gli script standard debian con il comando:
<pre>
# slapd -d 256
</pre>
In tal modo viene avviato visualizzando varie informazioni di debug a video.
 
== Configurazione di Samba ==
Prima di iniziare a configurare Samba è necessario creare le directory nelle quali risiederanno le homes degli utenti, gli script di netlogon e i profili centralizzati (o profili roaming). Alcune di queste directory sono già state indicate nel file <code>/etc/smbldap-tools/smbldap.conf</code>, quindi è bene stare attenti a non commettere errori.<br/>
<pre>
# mkdir /dominio
# mkdir /dominio/homes
# mkdir /dominio/profiles
# mkdir /dominio/netlogon
# mkdir /dominio/pubblica
</pre>
La configurazione di Samba si riduce a modificare il file <code>/etc/samba/smb.conf</code>. State attenti: il file è molto lungo ed è facile tralasciare qualcosa o inserire opzioni in conflitto tra loro. Per iniziare ci si basi sul file di esempio, funzionante e testato, riportato di seguito con gli opportuni commenti:
<pre>
# mv /etc/samba/smb.conf /etc/samba/smb.conf.original
# touch /etc/samba/smb.conf
# nano /etc/samba/smb.conf
</pre>
'''/etc/samba/smb.conf''':
<pre>
[global]
  ### Configurazione di base del server ###
      workgroup = DOMINIO
      netbios name = SERVER
      realm = dominio.local
      server string = server - dominio PDC server - Samba %v
      case sensitive = No
      username map = /etc/samba/usermap
 
  ### Imposto il server come controller di dominio ###
      os level = 255
      preferred master = yes
      local master = yes
      domain master = yes
      domain logons = yes
      admin users = Administrator root @"Domain Admins"
      time server = yes
 
  ### Networking ###
      interfaces = eth0, eth1, lo
      bind interfaces only = yes
 
  ### Opzioni di connessione e sicurezza. Configurazione Wins ###
      security = user
      guest ok = no
      map to guest = Bad User
      encrypt passwords = yes
      null passwords = no
      hosts allow = 127.0.0.1 10.0.0.0/255.255.255.0
      wins support = yes
      idmap uid = 10000-90000
      idmap gid = 10000-90000
      idmap backend = ldap:ldap://127.0.0.1
      name resolve order = wins lmhosts host bcast
      dns proxy = no
      time server = yes
      socket options = TCP_NODELAY IPTOS_LOWDELAY SO_SNDBUF=8192 SO_RCVBUF=8192
      keepalive = 20
      preserve case = yes
      short preserve case = yes
 
  ### Configuro Winbind
      winbind uid = 10000-90000
      winbind gid = 10000-90000
      winbind enum users = yes
      winbind enum groups = yes
      winbind separator = +
      password server = 10.0.0.11
      winbind use default domain = Yes
      encrypt passwords = yes
 
  ### Impedisco gli errori getpeername dei client XP
      smb ports = 139
 
  ### Configurazione dei log ###
      log file = /var/log/samba/log.%m
      log level = 2 passdb:6 auth:10 vfs:5 acls:3 msdfs:3
      max log size = 5000
      syslog = 0
 
  ### Impostazione charset corretto ###
      hide unreadable = yes
      hide dot files = yes
      unix charset = ISO8859-1
      dos charset = UTF-8
      display charset = UTF-8
 
      panic action = /usr/share/samba/panic-action %d
 
  ### Configurazione del supporto a LDAP ###
      passdb backend = ldapsam:ldap://127.0.0.1
      ldap suffix = dc=dominio,dc=local
      ldap machine suffix = ou=Computers
      ldap user suffix = ou=Users
      ldap group suffix = ou=Groups
      ldap idmap suffix = ou=Idmap
      ldap admin dn = cn=admin,dc=dominio,dc=local
      enable privileges = yes
      ldap delete dn = Yes
      ldap ssl = no
 
  ### Permetto il cambio password da Windows
  ### Nota: con questa configurazione gli utenti non potranno
  ### effettuare il login sulla shell del server, ma solo
  ### dai client XP
      ldap password sync = yes
      pam password change = Yes
      unix password sync = No
      obey pam restrictions = yes
 
  ### Profili mobili, directory home, script di logon ###
      logon home = \\%L\homes\%U\
      logon drive = H:
      logon path = \\%L\profiles\%U
      logon script = logon.bat
 
  ### Script LDAP per gestione utenti e gruppi ###
      passwd program = /usr/sbin/smbldap-passwd %u
      passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authen$
      add user script = /usr/sbin/smbldap-useradd -m "%u"
      ldap delete dn = Yes
      delete user script = /usr/sbin/smbldap-userdel "%u"
      add machine script = /usr/sbin/smbldap-useradd -w "%u"
      add group script = /usr/sbin/smbldap-groupadd -p "%g"
      delete group script = /usr/sbin/smbldap-groupdel "%g"
      add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
      delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
      set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
 
  ### Comando per loggare login e logoff (Legge amministratore di sistema)
      root preexec = /etc/samba/log_access_login.bash "%L" "%U" "%G" "%H" "%u"$
      root postexec = /etc/samba/log_access_login.bash "%L" "%U" "%G" "%H" "%u$
 
  ### Sistema di stampa ###
      load printers = yes
      printcap name = /etc/printcap
      printing = cups
      printcap name = cups
      ; Se desidero che solo il gruppo indicato possa amministrare le stampanti
      ; NOTA: il gruppo deve essere creato nella struttura LDAP
      ;printer admin = @sambaadmins
 
 
  ### Condivisioni ###
 
### Percorso degli script di logon
[netlogon]
      comment = Network Logon Service
      path = /dominio/netlogon
      guest ok = no
      writable = yes
      browseable = no
      share modes = no
      admin users = @"Domain Admins"
 
### Percorso per i roaming profiles
[profiles]
      comment = Profili degli utenti
      path = /dominio/profiles
      writeable = yes
      browseable = no
      guest ok = no
      hide files = /desktop.ini/ntuser.ini/NTUSER.*/
      create mask = 0600
      directory mask = 0700
      csc policy = disable
      profile acls = Yes
 
### Condivisione stampanti
[printers]
      comment = Stampanti
      browseable = no
      path = /var/spool/samba
      printable = yes
      public = no
      writable = no
      create mode = 0700
 
### I client Windows si aspettano questa cartella come fonte per i drivers
[print$]
      comment = Drivers delle stampanti
      path = /var/lib/samba/printers
      browseable = yes
      read only = yes
      guest ok = no
 
### Home folders degli utenti
[homes]
      path = /dominio/homes/%U
      comment = Home directory
      browseable = no
      writeable = yes
      valid users = %S
      read only = no
      guest ok = no
      inherit permissions = yes
      admin users = %u
      write list = %u
      read list = %u
      create mask = 0700
      directory mask = 0700


* userLoginShell="/bin/false" ( In questo modo gli utenti non possono loggarsi in unix equindi neanche in ssh)
### Directory Pubblica
[pubblica]
      path = /dominio/pubblica
      comment = Directory Pubblica
      read only = No
      create mask = 0660
      directory mask = 2770
      hide special files = yes
      hide files = /lost+found/
      acl group control = yes
      inherit acls = yes
      map acl inherit = yes
      inherit permissions = yes
      map archive = no


* #defaultMaxPasswordAge="180" (se volete che la password scada decommentatela ed indicata la scadenza)
# Per condividere l'unità CD del server
;[cdrom]
      ; comment = Samba server CD
      ; writable = no
      ; locking = no
      ; path = /media/cdrom0
      ; public = yes


* userSmbHome="" e userProfile="" (sono vuote perchè se le avete impostate già in samba non serve farlo due volte)
    ; Per il mount - umount automatico del CD
    ; Perchè funzioni il file /etc/fstab deve contenere una
    ; voce: /dev/hdc0 /media/cdrom iso9660 defaults,noauto,ro,user 0 0
    ;preexec = /bin/mount /cdrom
    ; postexec = /bin/umount /cdrom
</pre>
Una volta che abbiamo il file di configurazione pronto, possiamo verificare che non contenga errori con il comando:
<pre>
# testparm
</pre>
Modifichiamo anche il file <code>/etc/samba/usermap</code>:
<pre>
root = DOMINIO.LOCAL\root/admin
Administrator = DOMINIO.LOCAL\Administrator/admin
</pre>
e scarichiamo lo script <code>log_access_login.bash</code> che ci servirà per loggare gli accessi al dominio:
<pre>
# wget http://debian.easyteam.org/files/samba/log_access_login.bash -P /etc/samba
# chmod 700 /etc/samba/log_access_login.bash
</pre>
Sistemiamo ora le ultime directory necessarie:
<pre>
# mkdir -p /var/log/samba/login-logoff
# rm -rf /etc/samba/*tdb
# rm -rf /var/lib/samba/*tdb
# rm -rf /var/lib/samba/*dat
# rm -f /var/log/samba/*
</pre>
facciamo memorizzare a samba la password dell'utente ldap da usare per la connessione:
<pre>
# smbpasswd -w password
</pre>
e riavviamo il servizio:
<pre>
# /etc/init.d/samba restart
</pre>
Adesso che abbiamo un PDC funzionante, dobbiamo prendere nota del nuovo SID:
<pre>
# net getlocalsid DOMINIO
</pre>
</pre>
Assegnare i permessi
Quindi andiamo a modificare il file <code>/etc/smbldap-tools/smbldap.conf</code> inserendo il SID appena ottenuto, controllando nel frattempo gli indirizzi dei 2 server LDAP in modo che coincidano con il server locale (127.0.0.1).
<pre>
<pre>
# chmod 0644 /etc/smbldap-tools/smbldap.conf
SID="S-1-5-21-2318037123-1631426476-2439636316"
# chmod 0600 /etc/smbldap-tools/smbldap_bind.conf
sambaDomain="DOMINIO"
realm="dominio.local"
slaveLDAP="127.0.0.1"
slavePort="389"
masterLDAP="127.0.0.1"
masterPort="389"
</pre>
</pre>
Il resto del file va lasciato invariato.
<br/><br/>
Per poter ottenere un valido roaming profile con client windows è necessario copiare la cartella "''Default User''", che si trova in ''C:\Documents and Settings'', nella cartella ''/home/samba/netlogon''. Prima di copiarla bisogna editare il file ''NTUSER.dat'' dal registro regedit. Seguire questo procedimento:
# Start>Esegui>regedit>(posizionarsi su)HKEY_LOCAL_MACHINE
# (andare su)file>carica hive>C:\Documents and Settings\Default User\NTUSER.dat>apri>(digitare nome)Default
# (entrare in)HKEY_LOCAL_MACHINE>Default>Software>Microsoft>Windows>CurrentVersion>Explorer>User Shell Folder
# cambiare i Dati, da %USERPROFILE% a %LOGONSERVER%\profiles\%USERNAME% dei Nomi: Desktop;Favorites;History; Local AppData; Local Settings;My Pictures;Personal; PrintHood;Recent (a scelta anche Cookies e Cache). Ad esempio da %USERPROFILE%\Desktop a %LOGONSERVER%\profiles\%USERNAME%\Desktop (così per tutti i nomi)
# (posizionarsi su) Default
# (andare su) file>scarica hive
# copiare su /home/samba/netlogon la cartella "Default User" così modificata.


== Popolamento del database LDAP ==
== Popolamento del database LDAP ==
Riga 1 084: Riga 1 120:
Per creare i gruppi predefiniti e gli utenti utilizzati da Samba è possibile procedere in due modi.
Per creare i gruppi predefiniti e gli utenti utilizzati da Samba è possibile procedere in due modi.
=== 1 - Utilizzo degli script forniti con smbldap-tools ===
=== 1 - Utilizzo degli script forniti con smbldap-tools ===
La prima via consiste nel fare uso di alcuni script forniti con il pacchetto <tt>smbldap-tools</tt> che abbiamo già installato:
La prima via consiste nel fare uso di alcuni script forniti con il pacchetto <code>smbldap-tools</code> che abbiamo già installato:
<pre>
<pre>
# smbldap-populate -a root -k 0
# smbldap-populate -a root -k 0
Riga 1 106: Riga 1 142:
Questo sarà anche il comando che dovrà essere normalmente utilizzato per la gestione delle password.
Questo sarà anche il comando che dovrà essere normalmente utilizzato per la gestione delle password.


=== 2 - Installazione e utilizzo della GUI phpLDAPadmin ===
=== 2 - Utilizzo della GUI phpLDAPadmin ===
== Installazione di una interfaccia grafica per amministrare OpenLDAP ==
Il secondo metodo prevede l'utilizzo della GUI di phpLDAPadmin. Per operazioni così lunghe e ripetitive come il popolamento iniziale di un database LDAP è un metodo che sconsiglio, ma può essere utile a questo punto osservare il funzionamento di questa GUI.<br/>
Sebbene si possa amministrare OpenLDAP in maniera completamente testuale (nel corso della guida vedremo come) è consigliabile installare un'interfaccia grafica, che aiuterà a svolgere i normali compiti di amministrazione una volta terminato di configurare il dominio.<br/>
Innanzitutto bisogna collegarci con un browser al nostro server:
Nei repository Debian sono disponibili diverse interfacce grafiche. In questa guida la scelta è caduta su '''phpldapadmin''', che sembra essere la più diffusa.<br/>
Phpldapadmin, come il nome fa intuire, è un'interfaccia scritta in PHP e per funzionare ha perciò bisogno di un server web e del linguaggio di scripting PHP.
=== Installazione dei prerequisiti ===
Installiamo per prima cosa alcuni moduli di PHP necessari:
<pre>
apt-get install libapache2-mod-php5 php5 php5-cli php5-curl php5-gd php5-imap php5-ldap
php5-mcrypt php5-mhash php5-sqlite php5-tidy php5-xmlrpc php-pear mcrypt libgd-tools
</pre>
{{ Warningbox | Il comando precedente va scritto in un'unica riga }}
=== Installazione di PHPLdapAdmin ===
Ora possiamo installare phpldapadmin:
<pre>
# apt-get install phpldapadmin
</pre>
Per verificare la corretta installazione del pacchetto, aprite il browser su:
<pre>
https://10.0.0.11/phpldapadmin
</pre>
Dovreste essere accolti dalla schermata iniziale di Phpldapadmin.<br/>
Phpldapadmin richiede per funzionare la presenza di un tool chiamato mkntpwd, sviluppato dal team di Samba e utilizzato per creare gli hash delle password in Samba. Inspiegabilmente questo tool non è presente negli archivi di Debian. Va pertanto scaricato dal seguente indirizzo:
<pre>
# wget http://www.nomis52.net/data/mkntpwd.tar.gz
</pre>
Una volta scaricato il file, bisogna scompattarlo, compilarlo e configurarlo:
<pre>
# apt-get install build-essential
# tar -zxf mkntpwd.tar.gz
# cd mkntpwd
# make
# cp mkntpwd /usr/local/bin
# mkntpwd
</pre>
L'ultimo comando dovrebbe restituirvi l'elenco delle opzioni disponibili in mkntpwd.
 
Per operazioni così lunghe e ripetitive come il popolamento iniziale di un database LDAP è un metodo che sconsiglio, ma può essere utile a questo punto osservare il funzionamento di questa GUI.<br/>
 
Colleghiamoci con un browser al nostro server:
<pre>
<pre>
https://10.0.0.11/phpldapadmin
https://10.0.0.11/phpldapadmin
Riga 1 158: Riga 1 157:
[[Immagine:Sambapdc04.jpg|center]]
[[Immagine:Sambapdc04.jpg|center]]
Selezionate il template corretto ('''Samba3 Account''' se volete creare un nuovo utente e '''Samba3 Group Mapping''' se volete creare un nuovo gruppo) e immettete le voci nei campi di definizione del template stesso.
Selezionate il template corretto ('''Samba3 Account''' se volete creare un nuovo utente e '''Samba3 Group Mapping''' se volete creare un nuovo gruppo) e immettete le voci nei campi di definizione del template stesso.
{{ Warningbox | A differenza della procedura di creazione utenti con i smbldap-tools, che essendo interfacciati con gli strumenti linux di gestione utenti coprivano automaticamente ogni aspetto della creazione di nuove entry, utilizzando phpldapadmin dovrete '''creare a mano''' la home directory del nuovo utente, dato che l'interfaccia non lo farà per voi }} Per questo motivo solitamente consiglio di utilizzare i smbldap-tools per la creazione di nuovi gruppi e nuovi utenti e di utilizzare phpldapadmin per modifiche a utenti e gruppi già esistenti, quando navigare da console tra le proprietà di ogni entry può diventare difficoltoso.<br/>
{{ Warningbox | A differenza della procedura di creazione utenti con i smbldap-tools, che essendo interfacciati con gli strumenti linux di gestione utenti coprivano automaticamente ogni aspetto della creazione di nuove entry, utilizzando phpldapadmin dovrete '''creare a mano''' la home directory del nuovo utente, dato che l'interfaccia non lo farà per voi }}
Per questo motivo solitamente consiglio di utilizzare i smbldap-tools per la creazione di nuovi gruppi e nuovi utenti e di utilizzare phpldapadmin per modifiche a utenti e gruppi già esistenti, quando navigare da console tra le proprietà di ogni entry può diventare difficoltoso.<br/>
Ricordatevi, al termine del processo di creazione di gruppi e utenti, di cambiare la password di Administrator come indicato nel paragrafo precedente:
Ricordatevi, al termine del processo di creazione di gruppi e utenti, di cambiare la password di Administrator come indicato nel paragrafo precedente:
<pre>
<pre>
Riga 1 164: Riga 1 164:
</pre>
</pre>


== Configurazione delle autenticazioni Unix ==
A questo punto occorre configurare il nostro server affinchè veda gli utenti LDAP come normali utenti unix di sistema.
=== Installazione del demone name service caching daemon (nscd) ===
=== Installazione del demone name service caching daemon (nscd) ===
Poichè il nostro server LDAP sarà consultato in maniera continuativa, potrebbe essere una buona idea installare un servizio di cache per alcuni dati degli utenti. In questo modo i dati contenuti in cache saranno forniti senza eseguire un accesso al database LDAP, velocizzando di conseguenza i tempi di risposta del server. Il demone nscd (name service caching daemon) esegue esattamente questa cosa:
Poichè il nostro server LDAP sarà consultato in maniera continuativa, potrebbe essere una buona idea installare un servizio di cache per alcuni dati degli utenti. In questo modo i dati contenuti in cache saranno forniti senza eseguire un accesso al database LDAP, velocizzando di conseguenza i tempi di risposta del server. Il demone nscd (name service caching daemon) esegue esattamente questa cosa:
Riga 1 173: Riga 1 175:
<pre>
<pre>
# /etc/init.d/samba restart
# /etc/init.d/samba restart
</pre>
=== Installazione di libnss-ldap ===
Per prima cosa installeremo il pacchetto libnss-ldap, con il classico comando:
<pre>
# apt-get install libnss-ldap ldap-utils
</pre>
Non preoccupatevi delle domande che vi vengono poste durante l'installazione. Non appena terminata, infatti, andremo a riconfigurare il pacchetto con il comando:
<pre>
# dpkg-reconfigure libnss-ldap
</pre>
Rispondete in questo modo alle domande che vi vengono poste dall'installer:
* URI del Server LDAP: ''ldap:///127.0.0.1''
* Distinguished Name (DN): ''dc=dominio,dc=local''
* LDAP Version: ''3''
* Configurazione leggibile e scrivibile solo dal propietario: ''sí''
* Account LDAP per root: ''cn=admin,dc=dominio,dc=local''
* Password LDAP di root: ''mia_password''
* nsswitch non è gestito automaticamente: ''OK''
* Permettere all'account amministrativo LDAP di agire come root?: ''Sì''
* Il database LDAP richiede il login?: ''No''
* Account LDAP per root: ''cn=admin,dc=dominio,dc=local''
* Password LDAP di root: ''mia_password''
Verifichiamo che il file <code>/etc/pam_ldap.conf</code> contenga almeno:
<pre>
host 127.0.0.1
base dc=dominio,dc=local
uri ldap://127.0.0.1/
</pre>
<br/>
Assicuriamoci che l'uri sia settato correttamente in ''/etc/default/slapd'' alla voce ''SLAPD_SERVICES = ldap://10.0.0.10:389''.
<br/><br/>
A questo punto bisogna modificare il file <code>/etc/nsswitch.conf</code> come indicato dall'installer. Prima però ne facciamo una copia di backup.
<pre>
# cp -pf /etc/nsswitch.conf /etc/nsswitch.conf.orig
# nano /etc/nsswitch.conf
</pre>
Cambiamo le righe:
<pre>
passwd: compat
group: compat
shadow: compat
</pre>
con
<pre>
passwd: compat ldap
group: compat ldap
shadow: compat ldap
hosts: files dns ldap
netgroup: ldap
</pre>
Il contenuto del file dovrebbe essere il seguente:<br/>
'''/etc/nsswitch.conf'''
<pre>
# /etc/nsswitch.conf
#Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc-reference' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.
passwd: compat ldap
group: compat ldap
shadow: compat ldap
hosts: files dns ldap
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: ldap
</pre>
{{ Warningbox | Modificando in maniera sbagliata il file precedente rischiate di bloccare ogni forma di autenticazione sul server, compreso l'utente '''root'''. E' fondamentale avere una copia di backup del file, da poter ripristinare attraverso una distribuzione Live o attraverso il Rescue Mode del Debian Installer }}
<br/>
Modificate inotre il file '''/etc/libnss-ldap.conf''', decommentando e modificando le righe seguenti e lasciando decommentate quelle di default:
<pre>
# cp -pf /etc/libnss-ldap.conf /etc/libnss-ldap.conf.orig
# nano /etc/libnss-ldap.conf
</pre>
<pre>
host 127.0.0.1
base dc=dominio,dc=local
ldap_version 3
scope one
pam_filter objectclass=posixaccount
pam_login_attribute uid
pam_member_attribute gid
bind_policy soft
pam_password exop
nss_base_passwd ou=Users,dc=dominio,dc=local?sub
nss_base_passwd ou=Computers,dc=dominio,dc=local?sub
nss_base_shadow ou=Users,dc=dominio,dc=local?sub
nss_base_group ou=Groups,dc=dominio,dc=local?one
</pre>
<br/>
A causa di un bug documentato (http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=375077) e a cui il team di sviluppo di Debian ha fornito una soluzione parziale (è stato eliminato il problema, ma non i messaggi d'errore generati al boot) è possibile che al reboot compaiano messaggi di errore simili ai seguenti:
<pre>
...
udevd[1350]: nss_ldap: could not connect to any LDAP server as cn=admin,dc=home,dc=tld - Can't contact LDAP server
udevd[1350]: nss_ldap: failed to bind to LDAP server ldap://127.0.0.1: Can't contact LDAP server
udevd[1350]: nss_ldap: could not search LDAP server - Server is unavailable
udevd[1350]: lookup_user: error resolving user 'tss': Illegal seek
...
</pre>
Una possibile via per eludere il problema è quella di aggiungere a mano gli utenti di sistema mancanti:
<pre>
# addgroup --system tss
# addgroup --system kvm
# addgroup --system rdma
# addgroup --system fuse
# addgroup --system scanner
# addgroup --system nvram
# adduser --system tss
</pre>
=== Installazione di libpam-ldap ===
L'installazione del pacchetto libpam-ldap viene eseguita allo stesso modo di quella precedente:
<pre>
# apt-get install libpam-ldap
# dpkg-reconfigure libpam-ldap
</pre>
rispondendo in questo modo alle domande poste dall'installer:
* URI Server LDAP: ''ldap:///127.0.0.1''
* Distinguished name (DN): ''dc=dominio,dc=local''
* LDAP version: ''3''
* Permettere all'account amministrativo LDAP di agire come root?: ''sí''
* Il database LDAP richiede login?: ''no''
* LDAP account for root: ''cn=admin,dc=dominio,dc=local''
* LDAP root password: ''mia_password''
* Local crypt to use when changing passwords: ''cifrato''
* PAM profiles to enable: ''selezionare tutto''
Modificate come segue il file '''/etc/pam_ldap.conf''':
<pre>
# cp -pf /etc/pam_ldap.conf /etc/pam_ldap.conf.orig
# nano /etc/pam_ldap.conf
</pre>
<pre>
bind_policy soft
nss_base_passwd dc=dominio,dc=local?sub
nss_base_shadow dc=dominio,dc=local?sub
nss_base_group ou=Groups,dc=dominio,dc=local?one
</pre>
=== Sicurezza del server: configurazione di Pam ===
Il metodo migliore per evitare che gli utenti indiscriminatamente si logghino sul server è configurare correttamente ''PAM''. Dopo aver effettuato delle copie di backup:
<pre>
# cd /etc/pam.d
# cp -pf common-account common-account.orig
# cp -pf common-auth common-auth.orig
# cp -pf common-password common-password.orig
# cp -pf common-session common-session.orig
</pre>
andiamo quindi a modificare i quattro files che gestiscono la configurazione di ''pam'' per LDAP in modo che il loro contenuto sia:<br/><br/>
'''/etc/pam.d/common-account'''<br/>
<pre>
#/etc/pam.d/common-account - authorization settings common to all services
account sufficient pam_ldap.so
account required pam_unix.so
</pre>
<br/>
'''/etc/pam.d/common-auth'''<br/>
<pre>
# /etc/pam.d/common-auth - authentication settings common to all services
auth sufficient pam_ldap.so
auth required pam_unix.so nullok_secure use_first_pass
</pre>
<br/>
'''/etc/pam.d/common-password'''<br/>
<pre>
# /etc/pam.d/common-password - password-related modules common to all services
password sufficient pam_ldap.so md5
password required pam_unix.so nullok obscure md5
</pre>
<br/>
'''/etc/pam.d/common-session'''<br/>
<pre>
session    sufficient      pam_ldap.so
session    required        pam_unix.so
</pre>
Infine verifichiamo la password di root di OpenLDAP con i comandi:
<pre>
# less /etc/libnss-ldap.secret
# less /etc/pam_ldap.secret
</pre>
</pre>


Riga 1 193: Riga 1 375:
<pre>
<pre>
net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Domain Admins"  
net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Domain Admins"  
\SeMachineAccountPrivilege SePrintOperatorPrivilege SeAddUsersPrivilege  
SeMachineAccountPrivilege SePrintOperatorPrivilege SeAddUsersPrivilege  
\SeDiskOperatorPrivilege SeRemoteShutdownPrivilege
SeDiskOperatorPrivilege SeRemoteShutdownPrivilege
</pre>
</pre>
<pre>
<pre>
net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Print Operators" \SePrintOperatorPrivilege
net -S DEBIAN -U Administrator rpc rights grant "DOMINIO\Print Operators" SePrintOperatorPrivilege
</pre>
</pre>
dove DEBIAN è il nome Samba assegnato al server.
dove DEBIAN è il nome Samba assegnato al server. i due comandi precedenti vanno scritti su un'unica riga.
 
== Aggiungere i primi utenti di dominio ==
== Aggiungere i primi utenti di dominio ==
Il pacchetto smbldap-tools presente in Lenny, a differenza di quelli di Etch e Sarge, effettua un controllo di uid e gid ogni qualvolta si tenta di aggiungere un utente OpenLDAP al dominio, al fine di evitare sovrapposizioni nei valori; pertanto non è più necessario specificare a mano i corretti valori di uid e gid.
Il pacchetto smbldap-tools presente in Squeeze, a differenza di quelli di Etch e Sarge, effettua un controllo di uid e gid ogni qualvolta si tenta di aggiungere un utente OpenLDAP al dominio, al fine di evitare sovrapposizioni nei valori; pertanto non è più necessario specificare a mano i corretti valori di uid e gid.
Adesso siamo pronti per la creazione del primo utente con il comando:
Adesso siamo pronti per la creazione del primo utente con il comando:
<pre>
<pre>
Riga 1 230: Riga 1 413:
# chown -R nome.utente /home/users/nome.utente
# chown -R nome.utente /home/users/nome.utente
</pre>
</pre>
== Creazione di un semplice script da eseguire al login di windows ==
E' possibile creare uno script "logon.bat" (come specificato nel file /etc/smbldap-tools/smbldap.conf) da mettere nella cartella indicata per la condivisione netlogon. Questo script conterrà alcuni comandi che saranno eseguiti all'avvio dei client Windows.
Tale script dovrà esser scritto in modalità dos, per far questo sfrutteremo il tool unix2dos contenuto nel pacchetto tofrodos.
<pre>
# apt-get install tofrodos
</pre>
creiamo lo script con l'editor che preferiamo
<pre>
# vim /dominio/netlogon/logon.bat
</pre>
syncronizziamo gli orologi del client windows con il nostro server e mappiamo una condivisione di rete scrivendo nel file
<pre>
net time %LOGONSERVER% /set /yes
net use X: \\SERVER\Nome_Condivisione
</pre>
infine
<pre>
# todos /dominio/netlogon/logon.bat
</pre>
Allo script si possono aggiungere operazioni come il montaggio di unità di rete o altre condivisioni.
Tenete conto che con queste impostazioni viene già creata un'unità di rete collegata alla home dell'utente linux.
== Test e connessione al dominio ==
== Test e connessione al dominio ==
Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.<br/>
Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.<br/>
Riga 1 260: Riga 1 466:
# Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer)
# Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer)
# Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) )
# Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) )
# Scaricare da Samba.org la patch per il registro WinXP_SignOrSeal. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande
# Scaricare la patch per il registro http://www.pepinet.com/download/samba/sambapatch.reg. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande
# A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator.
# A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator.
*'''Windows Vista'''
*'''Windows Vista'''
# Non ancora testato.
# Non ancora testato.
*'''Windows 7'''
*'''Windows 7'''
Il supporto a Windows 7 è stato aggiunto a partire dalla versione 3.3 di Samba; bisogna quindi provvedere all'installazione di Samba dal repository backports, come descritto nel relativo capitolo di questa guida.
# Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro:
# Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro:
<pre>
<pre>
Riga 1 271: Riga 1 478:
DWORD  DNSNameResolutionRequired = 0
DWORD  DNSNameResolutionRequired = 0
</pre>
</pre>
Occorre inoltre scaricare dal sito di Microsoft un hotfix che corregge un problema di "Server DNS non trovato". Il link all'hotfix è riportato nel wiki ufficiale di Samba: http://wiki.samba.org/index.php/Windows7
<br/>
A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP.
A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP.
== Backup e restore del database LDAP ==
Vengono suggeriti di seguito alcuni metodi per effettuare dei backup del database LDAP. Consiglio di prendere seriamente in considerazione l'idea di impostare dei backup regolari magari tramite cron e suggerisco altresì di effettuare '''sempre''' un backup dei dati LDAP prima di ogni modifica o riconfigurazione del server.
=== Offline Physical Backup ===
Un offline physical backup deve essere effettuato sul server stesso. Lo svantaggio di questo tipo di backup è che il server LDAP non sarà disponibile per l'intera durata del processo.
# Stopare il server LDAP: <code>/usr/sbin/rcldap stop</code>
# Copiare tutti i files in /var/lib/ldap/ dentro una directory di backup
# Riavviare il server LDAP: <code>/usr/sbin/rcldap start</code>
=== Offline Logical Backup ===
Questo tipo di backup, noto anche come '''database dump''' richiede sempre l'arresto del servizio LDAP:
# <code>/usr/sbin/rcldap stop</code>
# <code>slapcat >ldap.\$(date +'\%Y\%m\%d-\%T')</code> Questo comando genera nella directory corrente un file LDIF che può successivamente essere archiviato
# <code>/usr/sbin/rcldap start</code>
=== Online Backup ===
Questo tipo di backup, a differenza dei precedenti, utilizza LDAP stesso per effettuare il dump dei dati del database e quindi, pur appensantendo il server, non richiede l'arresto del servizio.
# <code>ldapsearch -h LDAPServer -x -b baseDN > ldap.\$(date +'\%Y\%m\%d-\%T')</code><br/>
dove <code>LDAPServer</code> è il nome del server e <code>baseDN</code> è il distinguished name (DN) della struttura LDAP, nel nostro caso <code>dc=dominio,dc=local</code>
=== Database Restore ===
# Per ripristinare un offline backup:
## <code>/usr/sbin/rcldap stop</code>
## copiare i files salvati in /var/lib/ldap (Se Offline Physical Backup)
## <code>slapadd -l nome_del_backupfile</code> (Se Offline Logical Backup)
## <code>/usr/sbin/rcldap start</code>
# Per ripristinare un online backup:
## <code>ldapadd -D adminDN -x -w adminPassword -h LDAPServer -x -f nome_del_backupfile</code><br/>
dove <code>adminDN</code> è nel nostro caso dn=admin,dc=dominio,dc=local


== Replica del database LDAP su un altro server ==
== Replica del database LDAP su un altro server ==
Se siete interessati a fornire ridondanza alla vostra rete, potete prendere in considerazione l'idea di inserire un secondo server OpenLDAP sincronizzato con il server principale che abbiamo appena configurato.<br/>
Se siete interessati a fornire ridondanza alla vostra rete, potete prendere in considerazione l'idea di inserire un secondo server OpenLDAP sincronizzato con il server principale che abbiamo appena configurato.<br/>
In tal caso suggerisco di seguire [[Implementare un'architettura ridondante master/slave OpenLDAP | questa guida]], nella quale viene utilizzato lo stesso database LDAP che abbiamo appena configurato per costruire un server di replica.
In tal caso suggerisco di seguire [[Implementare un'architettura ridondante master/slave OpenLDAP | questa guida]], nella quale viene utilizzato lo stesso database LDAP che abbiamo appena configurato per costruire un server di replica.


== db4 ==
== db4 ==
OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare:
OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare:
<pre>
<pre>
# apt-get install db4.2-util
# apt-get install db4.8-util
</pre>
</pre>
Questo pacchetto contiene l'utility db4.2_recover che viene lanciata automaticamente ad ogni restart di ldap, risolvendo eventuali problemi di incongruenza del Barkley DB.
Questo pacchetto contiene l'utility db4.8_recover che viene lanciata automaticamente ad ogni restart di ldap, risolvendo eventuali problemi di incongruenza del Barkley DB.
<br/>
<br/>
== Interfacce web alternative per OpenLDAP ==
Altre due interfacce grafiche comode, da utilizzare congiuntamente o in alternativa a phpldapadmin, sono gosa e ldap-account-manager.
* '''LDAP-Account-Manager'''
<pre>
apt-get install ldap-account-manager libkadm55 php5-snmp php5-mhash
</pre>
Una volta installato, collegatevi col vostro browser all'indirizzo:
<pre>
http://ip_vostro_server/lam
</pre>
Prima di effettuare il login, cliccate sulla voce '''LAM configuration''', scegliete Edit Server Profiles e inserite la password di default (lam). Una volta entrati sostituite:
* la voce '''Tree Suffix''' con il DN del vostro dominio: dc=dominio,dc=local
* la voce '''List of valid users''' con l DN dell'amministratore del dominio: cn=admin,dc=dominio,dc=local
* la voce Password con la password di Administrator del dominio
Quindi cliccate su '''Edit Account Types''' e modificate le voci come segue:
* al posto di People sostituite Users
* al posto di group sostituite Groups
* al posto di machines sostituite Computers
* eliminate l'indicazione ou=domains nella voce Samba Domains
Date infine OK a questa schermata e OK alla successiva.<br/>
Come ultima cosa cliccate sulla voce '''LAM configuration''', scegliete Edit General Settings e inserite la password di default (lam). Una volta entrati sostituite la password di default con quella di Administrator del dominio.<br/>
Ora siete pronti per effettuare il login in LDAP Account Manager.<br/>
* '''GOsa'''
''To do''
* '''Luma'''
Non è un'interfaccia web, ma un'applicazione scritta in python. E' molto utile se il server che state installando è provvisto di interfaccia grafica (Gnome, Xfce o KDE). Per installarlo basta semplicemente il comando:
<pre>
apt-get install luma
</pre>


== Comandi utili e consigli finali ==
== Comandi utili e consigli finali ==
Riga 1 355: Riga 1 624:
</pre>
</pre>
Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto.
Nel caso si reinstalli slapd controllare non ci sia un backup in /var/backups con lo stesso numero di versione, altrimenti un dpkg.reconfigure non ricrea il file di configurazione corretto.
== Per approfondimenti ==
== Per approfondimenti ==
=== Debianizzati ===
[[Samba e OpenLDAP: creare un controller di dominio]]<br/>
[[Samba e OpenLDAP: creare un controller di dominio]]<br/>
[[Samba e OpenLDAP: creare un controller di dominio con Debian Etch]]<br/>
[[Samba e OpenLDAP: creare un controller di dominio con Debian Etch]]<br/>
Riga 1 361: Riga 1 632:
[[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]]<br/>
[[Samba, OpenLDAP, Kerberos: creare un controller di dominio sicuro con Debian Lenny]]<br/>
[[Implementare un'architettura ridondante master/slave OpenLDAP]]<br/>
[[Implementare un'architettura ridondante master/slave OpenLDAP]]<br/>
[[Scansione antivirus con ClamAV su condivisioni Samba]]<br/>
[[Samba: guida estesa]]<br/>
[[Accedere alle condivisioni Samba dal browser]]<br/>
[[Samba: creare un cestino di rete per le condivisioni]]<br/>
[[Creare un Cestino di rete per le condivisioni Samba]]<br/>
[[ClamAV: scansione antivirus delle condivisioni Samba]]<br />
<br/>
<br/>
<br/>
 
: [[Utente:Gigipin|Gigipin]]
{{Autori
----
|Autore = [[Utente:Ferdybassi|Ferdybassi]]
[[Categoria:Server]]
}}
[[Categoria:Networking]]
 
[[Categoria:Reti con Windows]][[Categoria:Samba]]
HAL 9000
3 581

contributi

Estratto da "https://guide.debianizzati.org/index.php/Speciale:DiffMobile/21667...41004"