Carrion: /* Cubrir a estrutura base do LDAP para o dominio Windows */

2007-07-05T18:22:16Z

Cubrir a estrutura base do LDAP para o dominio Windows

Página nueva

* Unha vez temos instalado o servidor de Samba como controlador de dominio e o servidor LDAP, só nos queda configurar o servidor de samba para que autentifique aos usuarios contra o servidor LDAP e teñamos así un único almacén de usuarios centralizado no dominio.

== Instalación dos paquetes necesarios ==

* En primeiro lugar, instalaremos o paquete '''smbldap-tools''', que contén un conxunto de scripts para manter a interacción entre o servidor samba e o LDAP.

== Configurar Samba para que autentifique contra o LDAP ==

* Podemos usar swat ou editar o ficheiro de configuración de samba para modificar os seguintes parámetros na configuración:
** Indicámoslle a samba que use o ldap para almacenar os usuarios:
passdb backend = ldapsam:ldap://localhost
** Estes scripts permiten que o servidor de samba poida dar de alta máquinas no LDAP (por exemplo, cando se agrega un equipo no dominio) e xestionar os usuarios e grupos, de forma que se podes así manipular con ferramentas de xestión de Windows:
add user script = /usr/sbin/smbldap-useradd -a -m '%u'
delete user script = /usr/sbin/smbldap-userdel '%u'
add group script = /usr/sbin/smbldap-groupadd -p '%g'
delete group script = /usr/sbin/smbldap-groupdel '%g'
add user to group script = /usr/sbin/smbldap-groupmod -m '%u' '%g'
delete user from group script = /usr/sbin/smbldap-groupmod -x '%u' '%g'
set primary group script = /usr/sbin/smbldap-groupmod -g '%g' '%u'
add machine script = /usr/sbin/smbldap-useradd -w '%u'
** Parámetros para a conexión co LDAP e localizar os distintos elementos:
ldap admin dn = cn=Manager,dc=omeudominio,dc=local
ldap group suffix = ou=group
ldap idmap suffix = ou=Idmap
ldap machine suffix = ou=machines
ldap passwd sync = Yes
ldap suffix = dc=omeudominio,dc=local
ldap ssl = no
ldap user suffix = ou=People
** Con estes parámetros samba usará o servidor LDAP para obter a asignación entre UIDs e GIDs cos identificadores dos usuarios en Windows:
idmap backend = ldap:ldap://localhost
idmap uid = 10000-20000
idmap gid = 10000-20000

* Para rematar, temos que proporcionarlle ao servidor de samba a clave do administrador do LDAP para que poida acceder a este servizo con privilexios administrativos. Esta clave non se almacena como un parámetro máis do servidor de samba porque o ficheiro de configuración de samba pode ser lido por todos os usuarios.
* Para subministrar a clave usaremos o comando '''smbpasswd'''
smbpasswd -w clave

== Cubrir a estrutura base do LDAP para o dominio Windows ==

* Agora é necesario introducir no LDAP a estrutura de usuarios e grupos necesaria para un controlador de dominio (grupos de administradores de dominio, ordenadores do dominio, etc.). Debemos editar dous ficheiros de configuración do paquete '''smbldap-tools''':
** '''/etc/smbldap-tools/smbldap.conf''': Modificaremos os seguintes parámetros:
SID="S-1-5-21-3596143854-3156901602-3839263879" (obtémolo de ''net getlocalsid'')
sambaDomain="omeudominio"
ldapTLS="0"
suffix="dc=omeudominio,dc=local"
** '''/etc/smbldap-tools/smbldap_bind.conf''': Quedaŕá da seguinte forma:
slaveDN="cn=Manager,dc=omeudominio,dc=local"
slavePw="ldap123."
masterDN="cn=Manager,dc=omeudominio,dc=local"
masterPw="ldap123."
* Executamos o comando '''smbldap-populate''', que creará as entradas no LDAP e ao rematar nos pedirá a clave para o root do dominio (abc123.):
smbldap-populate

* É recomendable eliminar posteriomente o ficheiro '''smbldap_bind.conf''' por motivos de seguridade, ou quitar del a clave do administrador de LDAP.

== Modificar os usuarios migrados de Linux ==

* Por defecto, os usuarios migrados de Linux cos scripts do paquete '''migrationtools''' non están incluídos como usuarios do dominio samba nas propiedades de LDAP, e tampouco teñen a clave de samba configurada.

* Deberemos modificar os usuarios que nos interese pasar ao dominio, cambiando as súas propiedades no apartado '''Samba 3''':

[[Imagen:Lam_password.jpg|600px]]

[[Imagen:Lam_password1.jpg|600px]]

Integración de Samba con LDAP - Historial de revisiones

Carrion: /* Cubrir a estrutura base do LDAP para o dominio Windows */