Samba en Active Directory

[Jazzy]

Ik heb een Linux-server met 10 lokale gebruikers. Samba draait en er zijn een aantal shares gemaakt aanwezig. Deze gebruikers zijn ook in AD aanwezig en hebben de zelfde gebruikersnaam alleen een ander wachtwoord.

Ze kunnen bij hun resources met bijvoorbeeld iets als

code:

net use l: \\linux\share /user:%username% wachtwoord

Wat ik wil bereiken is dat hun wachtwoorden op de Samba-server gelijk zijn aan die in Active Directory, alleen weet ik niet goed op welke manier. Moet de Samba-server nu BDC worden in het Windows-domein, met LDAP? Moet dan de volledige directorie aanwezig zijn op de Linux-server terwijl het om slechts 10 gebruikers en een enkele groep gaat? Of moet ik het misschien andersom doen met Services for Unix aan de Windows kant?

Nu heb ik weinig ervaring met Linux en Samba en zie ik door de bomen het bos niet meer, ik lees wel howto's en man pages maar kan eerlijk gezegd het concept niet goed overzien. Kan iemand me een duwtje in de goede richting geven?

Voor zover relevant wat details:
- RedHat EL ES 4
- Windows Server 2003 domein
- Stukje van de huidige config:

code:

[global]
netbios name = SERVER
workgroup = WORKGROUP
security = user
encrypt passwords = yes
smb passwd file = /etc/samba/smbpasswd
wins support = yes
hostname lookups = yes
hosts equiv = /etc/hosts
interfaces = lo eth0
bind interfaces only = yes
guest ok = no
browse list = yes
printcap name = cups
printing = cups
load printers = yes
username map = /etc/samba/smbusers

[share]
    comment = Dit is een share
    path = /pad
    valid users = henk jan truus miep
    public = no
    writeable = yes

[GX]

Sorry hoor, maar eerste hit "samba ldap" op google:

http://aput.net/~jheiss/samba/ldap.shtml

Je snapt zelf natuurlijk wel dat /etc/samba/smbpasswd niet de wachtwoorden uit LDAP zal bevatten, dus zoek naar de juiste keywords. Samba is lastig te configgen, dus _lees_ vooral goed.

[Jazzy]

GX schreef op maandag 01 oktober 2007 @ 17:33:
Sorry hoor, maar eerste hit "samba ldap" op google:

http://aput.net/~jheiss/samba/ldap.shtml

Je snapt zelf natuurlijk wel dat /etc/samba/smbpasswd niet de wachtwoorden uit LDAP zal bevatten, dus zoek naar de juiste keywords. Samba is lastig te configgen, dus _lees_ vooral goed.

Als ik begreep waar de wachtwoorden stonden dan had ik niet gevraagd of iemand me het concept kon uitleggen.

Mijn vraag is juist of iemand wat meer kan uitleggen omdat ik door de bomen het bos niet meer zie. Ik zit niet te springen om weer een howto, en als was de link die je gaf wel van toepassing op mijn situatie, dan heb ik er nog niet zoveel aan omdat ik geen idee heb wat ik aan het doen ben.

[GX]

Als je die Howto gelezen had, had je er misschien inmiddels meer van begrepen. Het idee is vrij eenvoudig (de uitvoering niet); je moet gewoon de configuratie die samba gebruikt (inclusief shares) in de ldap hangen.

Dit is iets dat met grote regelmaat gebeurt in grotere bedrijfsnetwerken en daarom is er ook voldoende over te vinden. Als je graag wilt dat iemand specifieke dingen aan je uitleg, kan dat natuurlijk wel, maar dit is gewoon zo complex en daarom lijkt het mij niet meer dan redelijk dat je je eerst inleest.

En ja, howto's kan je van leren, het zijn niet alleen stappenplannen.

Ik wilde je niet beledigen of vervelend naar je zijn - ik ben een didactische antiheld en met regelmaat tactloos, maar dit soort dingen zijn gewoon de moeite waard om er wat extra tijd in te steken. Vooral als je het goed wilt doen.

[Jazzy]

Mwah, gebrek aan tact hebben we allemaal wel eens last van. Wat me een beetje stoorde is je aanname dat ik niet Google en me niet inlees, dat ik er geen tijd in wil steken. Ook in bovenstaand bericht weer, ik heb dat document wel degelijk gelezen. Mijn probleem was juist dat ik hetgeen wat ik las niet begreep en op zoek naar een beetje globale uitleg, details uitzoeken kan ik zelf vervolgens wel weer. Ik dacht dat ik dat duidelijk in mijn startpost had gezet.

Het idee is vrij eenvoudig (de uitvoering niet); je moet gewoon de configuratie die samba gebruikt (inclusief shares) in de ldap hangen.

Voor jou klinkt het misschien raar maar dat had ik niet begrepen uit het artikel, maar bedankt voor je toelichting. Dat is nou informatie waar ik naar op zoek was.

Niet dat het me nu helemaal helder is, maar goed. Ik zoek anders zelf wel weer even verder.

[Zwerver]

GX schreef op dinsdag 02 oktober 2007 @ 13:38:
Als je die Howto gelezen had, had je er misschien inmiddels meer van begrepen. Het idee is vrij eenvoudig (de uitvoering niet); je moet gewoon de configuratie die samba gebruikt (inclusief shares) in de ldap hangen.

En hoe ga jij (adhv die howto) de koppeling maken met de AD? Die AD gaat echt niet weg (neem ik aan) dus is het nodig om samba de AD uit te laten lezen... das wat anders dan wat die howto beschrijft....

Voor de TS, er zijn wel wat howto's te vinden die samba tegen de AD laten authenticaten, maar ik kan even geen up2date vinden. Check anders even de man-pages over de security=ADS optie, alhoewel ik niet weet of die doet wat jij wil

Oeh: http://www.netadmintools.com/art172.html << deze misschien?

[ Voor 11% gewijzigd door Zwerver op 02-10-2007 14:04 ]

[GX]

Zwerver schreef op dinsdag 02 oktober 2007 @ 14:02:
[...]


En hoe ga jij (adhv die howto) de koppeling maken met de AD? Die AD gaat echt niet weg (neem ik aan) dus is het nodig om samba de AD uit te laten lezen... das wat anders dan wat die howto beschrijft....

Voor de TS, er zijn wel wat howto's te vinden die samba tegen de AD laten authenticaten, maar ik kan even geen up2date vinden. Check anders even de man-pages over de security=ADS optie, alhoewel ik niet weet of die doet wat jij wil

Die howto beschrijft hoe je samba tegen ldap laat authenticaten. Dat lijkt mij stap 1. Wat heeft dat precies te maken met AD weg laten gaan?

[Zwerver]

GX schreef op dinsdag 02 oktober 2007 @ 14:05:
[...]

Die howto beschrijft hoe je samba tegen ldap laat authenticaten. Dat lijkt mij stap 1. Wat heeft dat precies te maken met AD weg laten gaan?

Hij wil tegen de AD authenticaten, iets wat ingewikkelder ligt dan botweg tegen een normale ldap te authen Vandaar dat ik je vraag of je weet hoe hij dat moet doen

[Jungian]

Zwerver schreef op dinsdag 02 oktober 2007 @ 15:15:
Hij wil tegen de AD authenticaten, iets wat ingewikkelder ligt dan botweg tegen een normale ldap te authen Vandaar dat ik je vraag of je weet hoe hij dat moet doen

offtopic:
Een "normale" LDAP bestaat niet. Ik neem aan dat je OpenLDAP bedoelt ?

[GX]

Zwerver schreef op dinsdag 02 oktober 2007 @ 15:15:
[...]

Hij wil tegen de AD authenticaten, iets wat ingewikkelder ligt dan botweg tegen een normale ldap te authen Vandaar dat ik je vraag of je weet hoe hij dat moet doen

AD is gewoon een LDAP implementatie, met z'n eigenaardigheden, maar die ontdek je gaandeweg? Ik heb er in het verleden in ieder geval nog geen grote problemen mee gehad (noot: dat was geen samba maar een eigen applicatie).

[Zwerver]

Jungian schreef op dinsdag 02 oktober 2007 @ 15:22:
[...]

offtopic:
Een "normale" LDAP bestaat niet. Ik neem aan dat je OpenLDAP bedoelt ?

Alles wat zich wel aan de ldap-standaarden houdt noem ik normaal

GX schreef op dinsdag 02 oktober 2007 @ 15:34:
[...]

AD is gewoon een LDAP implementatie, met z'n eigenaardigheden, maar die ontdek je gaandeweg? Ik heb er in het verleden in ieder geval nog geen grote problemen mee gehad (noot: dat was geen samba maar een eigen applicatie).

AD is geen gewone LDAP-implementatie maar een hele brakke Vandaar dat het niet _even_ meewerkt

[GX]

Het zal best brak zijn, maar volgens mij werkt het vaker prima dan niet.

[Jazzy]

Of het brak is of niet, in deze omgeving staat nu eenmaal een Windows Server 2003 domaincontroller en geen OpenLDAP.

[MrBarBarian]

Zwerver schreef op dinsdag 02 oktober 2007 @ 15:54:
AD is geen gewone LDAP-implementatie maar een hele brakke Vandaar dat het niet _even_ meewerkt

AD is pas vanaf 2003 R2 compliant met de ldap-RFC's. Hierdoor mag je alle eerdere versies dus niet beschrijven als een ldap-implementatie (en het is afwachten waneer de limitaties van 2003 R2 boven water komen )

Ontopic:
Ik heb me hier gelukkig al een tijd niet meer meebezig gehouden. Maar ooit wat het mogelijk om met Winbind te bereiken wat jij wil, zover ik hety begrepen heb. En onthoudt dat Samba geen AD is en dat ook niet kan simuleren.

[Clueless]

Heel stom, maar ik ben momenteel voor mijn werk hier ook mee bezig. Op internet kwam ik onderandere dit tegen:

14.3.2.1. Active Directory Domain Member Server
The following smb.conf file shows a sample configuration needed to implement an Active Directory domain member server. In this example, Samba authenticates users for services being run locally but is also a client of the Active Directory. Ensure that your kerberos realm parameter is shown in all caps (for example realm = EXAMPLE.COM). Since Windows 2000/2003 requires Kerberos for Active Directory authentication, the realm directive is required. If Active Directory and Kerberos are running on different servers, the password server directive may be required to help the distinction.

code:

[global]
realm = EXAMPLE.COM
security = ADS
encrypt passwords = yes
# Optional. Use only if Samba cannot determine the Kerberos server automatically.
password server = kerberos.example.com

In order to join a member server to an Active Directory domain, the following steps must be completed:

• Configuration of the smb.conf file on the member server
• Configuration of Kerberos, including the /etc/krb5.conf file, on the member server
• Creation of the machine account on the Active Directory domain server
• Association of the member server to the Active Directory domain

To create the machine account and join the Windows 2000/2003 Active Directory, Kerberos must first be initialized for the member server wishing to join the Active Directory domain. To create an administrative Kerberos ticket, type the following command as root on the member server:

code:

root# kinit [e-mail]

The kinit command is a Kerberos initialization script that references the Active Directory administrator account and Kerberos realm. Since Active Directory requires Kerberos tickets, kinit obtains and caches a Kerberos ticket-granting ticket for client/server authentication. For more information on Kerberos, the /etc/krb5.conf file, and the kinit command, refer to Chapter 19 Kerberos.

To join an Active Directory server (windows1.example.com), type the following command as root on the member server:

code:

root# net ads join -S windows1.example.com -U administrator%password

Since the machine windows1 was automatically found in the corresponding Kerberos realm (the kinit command succeeded), the net command connects to the Active Directory server using its required administrator account and password. This creates the appropriate machine account on the Active Directory and grants permissions to the Samba domain member server to join the domain.

Note
Since security = ads and not security = user is used, a local password backend such as smbpasswd is not needed. Older clients that do not support security = ads are authenticated as if security = domain had been set. This change does not affect functionality and allows local users not previously in the domain.

Heb nog niet kunnen checken of dit daadwerkelijk ook werkt maar dit ga ik maandag uit testen op de machine die we hiervoor gereserveerd hebben. De quote komt hier vandaan:
http://www.linuxtopia.org...ide/s1-samba-servers.html

De wens uit het bedrijf waar ik werk is om CentOS te gebruiken, maar dat zou niks uit moeten maken:

Other than logo and name changes CentOS Enterprise Linux is compatible with the equivalent Red Hat version. This document applies equally to both Red Hat and CentOS Enterprise Linux.

[ Voor 3% gewijzigd door Clueless op 05-10-2007 16:29 ]