Ver el código de «Integración de Samba con LDAP»

* Unha vez temos instalado o servidor de Samba como controlador de dominio e o servidor LDAP, só nos queda configurar o servidor de samba para que autentifique aos usuarios contra o servidor LDAP e teñamos así un único almacén de usuarios centralizado no dominio.

== Instalación dos paquetes necesarios ==

* En primeiro lugar, instalaremos o paquete '''smbldap-tools''', que contén un conxunto de scripts para manter a interacción entre o servidor samba e o LDAP.


== Configurar Samba para que autentifique contra o LDAP ==

* Podemos usar swat ou editar o ficheiro de configuración de samba para modificar os seguintes parámetros na configuración:
** Indicámoslle a samba que use o ldap para almacenar os usuarios:
 passdb backend = ldapsam:ldap://localhost
** Estes scripts permiten que o servidor de samba poida dar de alta máquinas no LDAP (por exemplo, cando se agrega un equipo no dominio) e xestionar os usuarios e grupos, de forma que se podes así manipular con ferramentas de xestión de Windows:
 add user script = /usr/sbin/smbldap-useradd -a -m '%u'
 delete user script = /usr/sbin/smbldap-userdel '%u'
 add group script = /usr/sbin/smbldap-groupadd -p '%g'
 delete group script = /usr/sbin/smbldap-groupdel '%g'
 add user to group script = /usr/sbin/smbldap-groupmod -m '%u'  '%g'
 delete user from group script = /usr/sbin/smbldap-groupmod -x '%u'  '%g'
 set primary group script = /usr/sbin/smbldap-groupmod -g '%g'  '%u'
 add machine script = /usr/sbin/smbldap-useradd -w '%u'
** Parámetros para a conexión co LDAP e localizar os distintos elementos:
 ldap admin dn = cn=Manager,dc=omeudominio,dc=local
 ldap group suffix = ou=group
 ldap idmap suffix = ou=Idmap
 ldap machine suffix = ou=machines
 ldap passwd sync = Yes
 ldap suffix = dc=omeudominio,dc=local
 ldap ssl = no
 ldap user suffix = ou=People
** Con estes parámetros samba usará o servidor LDAP para obter a asignación entre UIDs e GIDs cos identificadores dos usuarios en Windows:
 idmap backend = ldap:ldap://localhost
 idmap uid = 10000-20000
 idmap gid = 10000-20000

* Para rematar, temos que proporcionarlle ao servidor de samba a clave do administrador do LDAP para que poida acceder a este servizo con privilexios administrativos. Esta clave non se almacena como un parámetro máis do servidor de samba porque o ficheiro de configuración de samba pode ser lido por todos os usuarios.
* Para subministrar a clave usaremos o comando '''smbpasswd'''
 smbpasswd -w clave


== Cubrir a estrutura base do LDAP para o dominio Windows ==

* Agora é necesario introducir no LDAP a estrutura de usuarios e grupos necesaria para un controlador de dominio (grupos de administradores de dominio, ordenadores do dominio, etc.). Debemos editar dous ficheiros de configuración do paquete '''smbldap-tools''':
** '''/etc/smbldap-tools/smbldap.conf''': Modificaremos os seguintes parámetros:
 SID="S-1-5-21-3596143854-3156901602-3839263879" (obtémolo de ''net getlocalsid'')
 sambaDomain="omeudominio"
 ldapTLS="0"
 suffix="dc=omeudominio,dc=local"
** '''/etc/smbldap-tools/smbldap_bind.conf''': Quedaŕá da seguinte forma:
 slaveDN="cn=Manager,dc=omeudominio,dc=local"
 slavePw="ldap123."
 masterDN="cn=Manager,dc=omeudominio,dc=local"
 masterPw="ldap123."
* Executamos o comando '''smbldap-populate''', que creará as entradas no LDAP e ao rematar nos pedirá a clave para o root do dominio (abc123.):
 smbldap-populate

* É recomendable eliminar posteriomente o ficheiro '''smbldap_bind.conf''' por motivos de seguridade, ou quitar del a clave do administrador de LDAP.

== Modificar os usuarios migrados de Linux ==

* Por defecto, os usuarios migrados de Linux cos scripts do paquete '''migrationtools''' non están incluídos como usuarios do dominio samba nas propiedades de LDAP, e tampouco teñen a clave de samba configurada.

* Deberemos modificar os usuarios que nos interese pasar ao dominio, cambiando as súas propiedades no apartado '''Samba 3''':

[[Imagen:Lam_password.jpg|600px]]


[[Imagen:Lam_password1.jpg|600px]]