[Linux/Solaris] Hoe remote /etc/passwd & /etc/group updaten?

[arnova]

Ik zit met het volgende probleem. Ik heb een Linux Samba file server maar daar staan geen user accounts, paswoorden e.d. op, die staan namelijk op een andere bak: een sun met Solaris en ook Samba erop.

Nu kan ik samba op die linux bak de user / password laten autoriseren tegen de Solaris bak en dat werkt dus ook door op de Linux machine in smb.conf het volgende te zetten:

code:

security = password server
password server = onze_solaris_bak

Maar nu komt het, de Linux bak weet niet de bijbehorende GID/UID's, die weet alleen de Solaris machine. Mijn idee was om dus de /etc/passwd file op de 1 of andere manier (regelmatig) te updaten met info van /etc/passwd van de Solaris machine.

Is dit een handige methode? En zo ja, hoe kan ik dit het beste doen?

[Verwijderd]

Je zou hiervoor eens kunnen kijken naar NIS of NIS+ als je daar servers voor kan vinden. NIS+ heeft de voorkeur, omdat die gebruik maakt van encryptie en NIS is gewoon cleartext communicatie.

Dan is ook de samba server op die Sun solaris machine overbodig.

[arnova]

Dat is denk ik niet helemaal waar, want volgens mij moet je met NIS of NIS+ nog steeds op zowel de linux als de solaris machine je user password updaten als je SMB encrypted passwords wil gebruiken...

[arnova]

We hebben wel NIS draaien trouwens maar het nadeel daarvan is dat wanneer die down is je meteen ook niks meer met je fileserver kan.

[Verwijderd]

Euh, nee niet als je natuurlijk je users centraal op die solaris machine wil beheren. Ik moet toegeven dat ik nooit met NIS heb gewerkt en dus alleen theoretische kennis erover heb. Ik las ook je andere topic, wat volgens mij over dezelfde machines gaat. Wat is de gewenste eindsituatie? Dus wie moet samba server worden en waar moeten gebruikers geauthenticeerd worden?

[ Voor 0% gewijzigd door Verwijderd op 13-09-2002 17:29 . Reden: zin aangepast ]

[arnova]

Verwijderd schreef op 13 september 2002 @ 17:27:
Euh, nee niet als je natuurlijk je users centraal op die solaris machine wil beheren. Ik moet toegeven dat ik nooit met NIS heb gewerkt en dus alleen theoretische kennis erover heb. Ik las ook je andere topic, wat volgens mij over dezelfde machines gaat. Wat is de gewenste eindsituatie? Dus wie moet samba server worden en waar moeten gebruikers geauthenticeerd worden?

Sparc-Solaris bak: NIS, unix password, ssh login users, mail etc.
i386-Linux bak: samba file server (files hebben uid/gid van de users op de sparc bak)

Notes:
1) Op die Sparc stonden vroeger de user dirs van de gebruikers op maar die schijf werd te klein en is dus daarom overgezet naar die Linux bak.
2) Momenteel werkt het nog als volgt: via NFS mount die Sun een export op de Linux bak, die die sun vervolgens weer exporteerd met SMB (is dus errug inefficient, maar werkt wel).
3) Ik wil Samba bovendien op de fileserver hebben zodat bij eventuele hangers niet onze mailserver op zun bek gaat. En bovendien is de Samba support gewoon het beste voor Linux.

Verder wil ik dat als een gebruiker zijn beide passwords (of 1, met smb unix passwd sync) op de Sparc kan updaten, omdat daar ook de user shell logins zijn.

Het is een lastige opzet maar het moet toch lukken op de 1 of andere manier.

[Verwijderd]

master_artech schreef op 13 september 2002 @ 17:39:
[...]
2) Momenteel werkt het nog als volgt: via NFS mount die Sun een export op de Linux bak, die die sun vervolgens weer exporteerd met SMB (is dus errug inefficient, maar werkt wel).

Niet erg efficient maar wel creatief.
Aan de ene kant zou ik zeggen, laat die Sun bak lekker zijn werk doen en ga daar geen samba users authenticeren en samba gebruiken als je niet wil dat hij onderuit wordt getrokken. Blijkbaar is die Sun daar te belangrijk voor en misschien staat die zelfs in een DMZ (ivm. de mail).
Het probleem is dus eigenlijk dat je samba users eerst apart moet toevoegen via smbpasswd. Ik blijf toch bij mijn NIS verhaal. Laat je Linux bak zijn user gegevens via NIS van die Sun bak afhalen. Je moet dan nog wel op de linux machine alle gebruikers met smbpasswd toevoegen. Voordeel is dat je onderscheid kunt maken tussen shell toegang en toegang tot samba shares. Op deze manier zou de Linux bak de gid's en uid's van de Sun bak krijgen/opvragen via NIS en kan een hangende client alleen de linux machine blokken en niet de Sun.

[experimentele modus]
Bedenk me net ineens dat samba volgens mij zijn users opslaat in de file secrets.tdb. Die zou je volgens mij kunnen kopieren en dan hoef je niet al je samba users opnieuw aan te maken. Tenzij dit machine sid afhankelijk is.
[/experimentele modus]

[Verwijderd]

NIS is deprecated, fragiel, insecure en gecompliceerd, niet gebruiken dus....

zie het "username map" directive in smb.conf, en scp deze file vanuit cron van de sunos bak naar de lnx bak. Vervolgens scp je de /etc/passwd en de /etc/shadow van sunos naar lnx (geparsed natuurlijk, alleen de die in smbpasswd voorkomen) . Mits de solaris bak en de lnx bak hetzelfde encryptie protocol gebruiken voor het wachtwoord zou je met een minimale hoeveelheid scripten dit kunnen bewerkstelliggen. Hooguit wat met collommetjes schuiven, en evt een andere shell toekennen. Hierna zou je users vanuit swat (of een zelfgeschreven script) hun wachtwoorden kunnen laten wijzigen voor samba/pam op zowel de sunos doos, als de lnx doos kunne beheren.
Het enige probleem van deze oplossing is dat ie nogal fragiel en niet standaard is. Er kan een hoop foutgaan, wat kan resulteren in niet functionerende systemen. Verder zal dit een hoop tijd kosten om te implementeren, iets wat jouw baas wel of niet in achting kan nemen.

Wat imo een beter idee zou zijn is een ldap directory aanleggen. Zowel PAM als Samba, en nog een berg met andere applicaties kunnen zich tegen een ldap directory authenticaten. Dit is een beetje hetzelfde id als een windows ad. Als je dit zou gebruiken, ben je ook een flinke tijd bezig, maar als het eenmaal draait, heeft jouw bedrijf iig een machine waarop users worden beheerd, die flink uitbreidbaar is, en simpel te beheren is (scalable heet dat volgens mij).

[igmar]

master_artech schreef op 13 september 2002 @ 17:17:

Maar nu komt het, de Linux bak weet niet de bijbehorende GID/UID's, die weet alleen de Solaris machine. Mijn idee was om dus de /etc/passwd file op de 1 of andere manier (regelmatig) te updaten met info van /etc/passwd van de Solaris machine.

Is dit een handige methode? En zo ja, hoe kan ik dit het beste doen?

winbind (onderdeel van recente SAMBA distribs)

[arnova]

winbind lijkt inderdaad hetgeen te kunnen te doen wat ik wil, bedankt!

Toch nog een paar vraagjes:
Kan winbind:
- omgaan met een locale encrypted /etc/samba/smbpasswd file ?
- omgaan met workgroups (ik gebruik geen domains, en ze hebben het alleen maar over domains)
- omgaan eventueel (minder belangrijk) met een passwd server?
- omgaan met het feit dit ik een uid/gid range van 200-499 gebruik (en dus niet de hele hoge getallen van >10000). Dit omdat ik het namelijk ook nog compatible willen houden met het huidige filesysteem en NFS exports enzo (hoef ik niet alle uids en gids om te zetten?