PDC Samba LDAP Très largement inspiré de "Un article de L'admin Debian. L'admin Debian Prérequis et Conseils Ce tutoriel fonctionne sur les distributions suivantes: Debian SID Debian Sarge Debian Etch ....... Ce guide a été fait avec une Debian Etch. (personnellement) Afin que ce guide corresponde totalement à votre environnement, je vous conseille de modifier le niveau de priorité de Debconf. Sur la nouvelle debian Etch et sur Ubuntu le niveau de Debconf est à « Élevé ». Ce qui réduit sensiblement le nombre de questions qui vous ai posé lors de l'installation d'un paquet. On va donc changer le niveau à « Intermédiaire » voir à « basse » pour controler un maximum. Pour cela tapez en root : # dpkg-reconfigure debconf Choisissez "Dialogue" puis « Intermédiaire » ou « basse » Je vous conseille grandement d'utiliser le même mot de passe que celui de votre utilisateur root à chaque fois q'on vous demande un mot de passe. Cela évitera les erreurs !! Le contrôleur de domaine doit impérativement avoir une adresse IP statique, si vous changez d'adresse IP en cours de route vous risquez de ne plus pouvoir joindre le domaine. Une autre astuce étant de faire des réservations DHCP...
Création de contrôleur de domaine + LDAP sous samba
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
PDC Samba LDAP
Très largement inspiré de "Un article de L'admin Debian. L'admin Debian
Prérequis et Conseils
Ce tutoriel fonctionne sur les distributions suivantes:
Debian SID Debian Sarge Debian Etch .......
Ce guide a été fait avec une Debian Etch. (personnellement)
Afin que ce guide corresponde totalement à votre environnement, je vous conseille de modifier le niveau de priorité de Debconf. Sur la nouvelle debian Etch et sur Ubuntu le niveau de Debconf est à « Élevé ». Ce qui réduit sensiblement le nombre de questions qui vous ai posé lors de l'installation d'un paquet. On va donc changer le niveau à « Intermédiaire » voir à « basse » pour controler un maximum.
Pour cela tapez en root : # dpkg-reconfigure debconf
Choisissez "Dialogue" puis « Intermédiaire » ou « basse »
Je vous conseille grandement d'utiliser le même mot de passe que celui de votre utilisateur root à chaque fois q'on vous demande un mot de passe. Cela évitera les erreurs !!
Le contrôleur de domaine doit impérativement avoir une adresse IP statique, si vous changez d'adresse IP en cours de route vous risquez de ne plus pouvoir joindre le domaine.Une autre astuce étant de faire des réservations DHCP...
Dans notre cas le serveur samba et le serveur OpenLDAP se trouvent sur le méme PC.
Installation du serveur OpenLDAP
Installation
Le paquet slapd contient la partie serveur d'openLDAP :
apt-get install slapd db4.2-util ldap-utils
Debconf nous pose plusieurs questions :
Le nom du domaine : c'est celui de LDAP (Totalement diférent du domaine Samba):
Si vous mettez domaine.local vous aurez donc dc=domaine,dc=local (rappelez-vous en !!)
Car au nom FQDN: domaine.local correspondra le Workgroup: domaine.
Un peu comme le préconise Microsoft lors de la configuration d'un Active Directory.
Nom de votre organisation: représente la visibilité de votre annuaire ! Chez moi par exemple dom-sln.local.
domaine.local
Mot de passe de l'administrateur :
C'est ce mot de passe que vous utiliserez pour vous connecter, rappelez vous en !!
Module de base de données à utiliser :
BDB
Faut-il supprimer la base de données à la purge du paquet ?
NON
Faut-il déplacer l'ancienne base de données ?
NON
Faut-il autoriser le protocole LDAPv2 ?
NON
Schéma Samba
LDAP fonctionne avec des schémas, par défaut 4 schémas sont déjé présents, pour utiliser samba avec LDAP il faut le schéma approprié. Celui se trouve dans le paquet SAMBA-DOC (14mo !!)
Installation:
apt-get install samba-doc
On copie le schéma que l'on place dans le répertoire dans le répertoire des schémas de LDAP:
Il y a ici un probléme de sécurité car votre mot de passe est en clair, changez les droits de ce fichier pour que seul root puisse le lire
chmod 600 /etc/smbldap-tools/smbldap_bind.conf
Modification du fichier smbldap.conf
Éditez ou créez le fichier /etc/smbldap-tools/smbldap.conf et copiez ceci:
################################################################################ General Configuration###############################################################################
# Put your own SID. To obtain this number do: "net getlocalsid".# If not defined, parameter is taking from "net getlocalsid" returnSID="S-1-5-21-2955114329-942759136-1117618233"
# Domain name the Samba server is in charged.# If not defined, parameter is taking from smb.conf configuration file# Ex: sambaDomain="DOMAIN"sambaDomain="DOMAIN"
# Notes: to use to dual ldap servers backend for Samba, you must patch# Samba with the dual-head patch from IDEALX. If not using this patch
# just use the same server for slaveLDAP and masterLDAP.# Those two servers declarations can also be used when you have # . one master LDAP server where all writing operations must be done# . one slave LDAP server where all reading operations must be done# (typically a replication directory)
# Slave LDAP server# Ex: slaveLDAP=127.0.0.1# If not defined, parameter is set to "127.0.0.1"slaveLDAP="127.0.0.1"
# Slave LDAP port# If not defined, parameter is set to "389"slavePort="389"
# Master LDAP server: needed for write operations# Ex: masterLDAP=127.0.0.1# If not defined, parameter is set to "127.0.0.1"masterLDAP="127.0.0.1"
# Master LDAP port# If not defined, parameter is set to "389"masterPort="389"
# Use TLS for LDAP# If set to 1, this option will use start_tls for connection# (you should also used the port 389)# If not defined, parameter is set to "1"ldapTLS="0"
# How to verify the server's certificate (none, optional or require)# see "man Net::LDAP" in start_tls section for more detailsverify="require"
# CA certificate# see "man Net::LDAP" in start_tls section for more details#cafile="/etc/opt/IDEALX/smbldap-tools/ca.pem"
# certificate to use to connect to the ldap server# see "man Net::LDAP" in start_tls section for more details#clientcert="/etc/opt/IDEALX/smbldap-tools/smbldap-tools.pem"
# key certificate to use to connect to the ldap server# see "man Net::LDAP" in start_tls section for more details#clientkey="/etc/opt/IDEALX/smbldap-tools/smbldap-tools.key"
# Where are stored Users# Ex: usersdn="ou=Users,dc=DOMAIN,dc=local"# Warning: if 'suffix' is not set here, you must set the full dn for usersdnusersdn="ou=Users,${suffix}"
# Where are stored Computers# Ex: computersdn="ou=Computers,dc=DOMAIN,dc=local"# Warning: if 'suffix' is not set here, you must set the full dn for computersdncomputersdn="ou=Computers,${suffix}"
# Where are stored Groups# Ex: groupsdn="ou=Groups,dc=DOMAIN,dc=local"# Warning: if 'suffix' is not set here, you must set the full dn for groupsdngroupsdn="ou=Groups,${suffix}"
# Where are stored Idmap entries (used if samba is a domain member server)# Ex: groupsdn="ou=Idmap,dc=DOMAIN,dc=local"# Warning: if 'suffix' is not set here, you must set the full dn for idmapdnidmapdn="ou=Idmap,${suffix}"
# Where to store next uidNumber and gidNumber available for new users and groups# If not defined, entries are stored in sambaDomainName object.# Ex: sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"# Ex: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"sambaUnixIdPooldn="sambaDomainName=DOMAIN,${suffix}"
# if hash_encrypt is set to CRYPT, you may set a salt format.# default is "%s", but many systems will generate MD5 hashed# passwords if you use "$1$%.8s". This parameter is optional!crypt_salt_format="%s"
# Default password validation time (time in days) Comment the next line if# you don't want password to be enable for defaultMaxPasswordAge days (be# careful to the sambaPwdMustChange attribute's value)defaultMaxPasswordAge="45"
# The UNC path to home drives location (%U username substitution)# Just set it to a null string if you want to use the smb.conf 'logon home'# directive and/or disable roaming profiles# Ex: userSmbHome="\\PDC-SMB3\%U"userSmbHome="\\debian\%U"
# The UNC path to profiles locations (%U username substitution)# Just set it to a null string if you want to use the smb.conf 'logon path'# directive and/or disable roaming profiles# Ex: userProfile="\\PDC-SMB3\profiles\%U"userProfile="\\debian\profiles\%U"
# The default Home Drive Letter mapping# (will be automatically mapped at logon time if home directory exist)# Ex: userHomeDrive="H:"userHomeDrive="H:"
# The default user netlogon script name (%U username substitution)# if not used, will be automatically username.cmd# make sure script file is edited under dos# Ex: userScript="startup.cmd" # make sure script file is edited under dosuserScript="%U.bat"
# Domain appended to the users "mail"-attribute# when smbldap-useradd -M is used# Ex: mailDomain="DOMAIN.local"mailDomain="DOMAIN.local"
################################################################################ SMBLDAP-TOOLS Configuration (default are ok for a RedHat)###############################################################################
# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but# prefer Crypt::SmbHash librarywith_smbpasswd="0"smbpasswd="/usr/bin/smbpasswd"
# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)# but prefer Crypt:: librarieswith_slappasswd="0"slappasswd="/usr/sbin/slappasswd"
# comment out the following line to get rid of the default banner# no_banner="1"
Vous devez changer:
suffix="dc=.........,dc=......"
On commence tout d'abord par stopper samba
/etc/init.d/samba stop
Puis il faut créer le fichier /var/lib/samba/secrets.tdb: On fournit à samba le mot de passe du compte administrateur qui effectue les requétes dans l'annuaire LDAP.
smbpasswd -w votremotdepasseroot
On relance ensuite le serveur samba:
/etc/init.d/samba start
Le démarrage du service doit etre quasi immédia, s'il dure plusiers secondes c'est qu'il y a une erreur
net getlocalsid
Vérifiez que tout c'est bien passé:
shuttle:~# net getlocalsidSID for domain DOMAINE is: S-1-5-21-344654654654654654654654
La commande net getlocalsid ne doit retourner aucune erreur ni warning !
Vous pouvez donc changer la valeur dans /etc/smbldap-tools/smbldap.conf
smbldap-populate
On va pouvoir créer l'archictecture de notre base LDAP:
smbldap-populate
Vous devez saisir deux fois votre mot de passe root si tout se passe bien !
Cette commande créée:
Les différentes OU (Organisation Unit) qui contiendront vos Machines, Users et Groups
Deux UID : root et nobody qui seront dans OU = Users
Plusieurs CN (Common Name): Les groupes qui seront dans OU = Groups
Copiez quelque part la derniére ligne
sambaDomainName=domaine,dc=domaine,dc=local
domaine est le nom workroup que vous avez renseigné dans smb.conf, cette ligne servira à configurer l'interface LAM (si vous le souhaitez), copiez la quelque part.
Faites un test, ajoutez un utilisateur:
smbldap-useradd -a -c "Pierre Dupont" -m -P pdupont
-a : désigne un utilisateur -c : Information Gecos : Le nom entier -m : Créé le répertoire personnel -P : création du mot de passe
Lisez l'aide:
smbldap-useradd -?
Pour étre certain que l'utilisateur root a été correctement créé:
smbldap-usershow root
Cette commande vous retourne toutes les informations de l'utilisateur root de votre annuaire.
Authentification Unix
Un systéme Linux peut aller chercher dans différents endroits pour authentifier des utilisateurs. Par défaut il s'agit du fichier /etc/passwd Cependant on peut lui en ajouter d'autres sources de données. Or sur la machine elle méme le but n'étant pas d'authentifier les utilisateurs locaux de la machine par LDAP, cette partie n'est pas nécessaire. Si toute fois vous désirez l'implémenter veuillez vous reporter à : http://damstux.free.fr/wiki/index.php?title=PDC_Samba_LDAP#Authentification_Unix : Authentification Unix
Un systéme Linux peut aller chercher dans différents endroits pour authentifier des utilisateurs. Par défaut il s'agit du fichier /etc/passwd Cependant on peut lui en ajouter d'autres sources de données. On va donc lui indiquer notre annuaire LDAP
NSS (Name Service Switch)
On ajoute un module à NSS qui lui permet d'interroger notre annuaire LDAP
apt-get install libnss-ldap
Debconf nous pose plusieurs questions:
Adresse du serveur LDAP : 127.0.0.1
Nom distinctif (DN) de la base de recherche: dc=.......,dc=.....
Version de LDAP: 3
La base de données demande-t-elle une identification ? NON
Le fichier de configuration doit-il étre lisible et modifiable uniquement par son propriétaire ? NON
Expliquation: sinon seul root pourra interroger l'annuaire. De toute façon, il n'y a pas de mot de passe dans ce fichier
Vérifiez que dans /etc/libnss-ldap.conf vos paramétres sont corrects.
Une nouvelle version de libnss-ldap exige une modification de son fichier de configuration: /etc/libnss-ldap.conf. Il faudra peut-étre aussi modifier une ligne rootbinddn cn=admin,dc=domaine,dc=local en plus de base et uri
Par défaut, si la connexion au serveur LDAP échoue, celle-ci est automatiquement relancée, le temps écoulé avant une nouvelle connexion est augmenté à chaque fois, si bien que votre poste client n'arrive pas à booter (obligation de booter sur un live CD et de monter la partition systéme pour revenir à une configuration correcte).
Il faut donc modifier le mode de connexion: Par défaut il est à HARD, on décommente la ligne #bind_policy hard et l'on remplace hard par soft Ainsi, en cas d'erreur, le poste démarre quand méme.
Vous devez donc avoir dans /etc/libnss-ldap.conf
# Reconnect policy: # hard_open: reconnect to DSA with exponential backoff if # opening connection failed# hard_init: reconnect to DSA with exponential backoff if# initializing connection failed# hard: alias for hard_open# soft: return immediately on server failurebind_policy soft
Il est possible d'affiner considérablement la configuration, mais seule la directive base est à changer pour une configuration classique
PAM
De même, on installe le module LDAP pour PAM:
apt-get install libpam-ldap
Hôte du serveur LDAP : 127.0.0.1
Nom distinctif (« distinguished name») de la base de recherche : dc=........,dc=......
Version de LDAP: 3
Faut-il créer une base de données locale pour l'administrateur ? NON
La base de données requiert-elle une connexion authentifiée ? NON
Méthode de chiffrement pour les changements de mots de passe : crypt
Vérifiez que le fichier /etc/pam_ldap.conf contient au moins:
Il suffit d'indiquer maintenant au système d'aller interroger notre annuaire LDAP
nano /etc/nsswitch.conf
Il vous suffit de rajouter après compat la directive ldap pour
passwd
group
shadow
# /etc/nsswitch.conf## Example configuration of GNU Name Service Switch functionality.# If you have the `glibc-doc' and `info' packages installed, try:# `info libc "Name Service Switch"' for information about this file.
Click droit sur Poste de Travail, Propriétés. Onglet Nom de l'ordinateur Click sur le bouton Modifier... Membre de: Choisissez Domaine : Saisissez le nom de la directive workgroup que
vous avez renseigné dans smb.conf OK On vous demande un login: root et votre mot de passe : celui de root Si tout va bien le message " Bienvenue dans le domaine ...." s'affiche. Redémarrez la machine Choisissez le domaine que vous avez créé et connectez vous avec root ou toto
Votre profile Windows XP/2003 est stocké sur le serveur Linux dans /home/profiles/ chaque utilisateur possède son répertoire $LOGIN.
Votre profile Windows 2008 Serveur/Vista est stocké sur le serveur Linux dans /home/profiles/ chaque utilisateur possède son répertoire $LOGIN.V2. V2 pour différencier le
profile avant et après Vista. Sachant que Vista cherche un partage profiles.v2, c'est pourquoi nous avons créé un :
[profiles.V2] copy = profiles
Ils contient les éléments de votre bureau, le répertoire "Mes Documents", les fichiers de configuration des applications (Firefox, Thunderbird....).
ATTENTION : Si vous avez des scripts de logon, pensez à ajouter vos comptes aux groupes voulus : smbldap-groupmod -m $USER "$GROUP1 , $GROUP2"
Intégration d'un client Linux
Si vous avez des clients Linux avec les quels vous ne désirez pas créer de compte en local suivez la méthode dans 5 Authentification Unix , puis http://www.e-glop.net/main/GDM-LDAP-Ubuntu.
Car GDM ou KDM utilisant /etc/pam.d/ pour chercher les logins il advient qu'à la connexion de session :
Login Failed !
La solution se situe dans la modification des pam.d :
Configuration
PAM (authentification)
Pour faire fonctionner GDM/KDM, voici comment paramétrer l'authentification PAM :
Vous pouvez afficher toutes options possibles en faisant:
smbldap-... -?
Vous pouvez spécifier des options dans /etc/smbldap-tools/smbldap.conf
PHPLDAPADMIN
C'est une sorte d'équivalent de PHPMYADMIN (Pour gérer son serveur Mysql). PHPLDAPADMIN vous permet de manipuler et de visualiser facilement les éléments de votre annuaire LDAP.
Installation
apt-get install phpldapadmin
On ouvre un navigateur internet:
http://adresseipduserveur/phpldapadmin
Login DN
cn=admin,dc=domaine,dc=local
Password
votre mot de passe
APACHE DIRECTORY STUDIO
Apache Directory Studio vous permet de manipuler et de visualiser facilement les éléments de votre annuaire LDAP.
http://directory.apache.org/studio/downloads.html
Derniére modification de cette page le 22 septembre 2008 à 18:30.
Contenu disponible sous GNU Free Documentation License 1.2.