Samba3 PDC HOWTO SuSE [office]

[Verwijderd]

Ooh nee nog een samba3 PDC HOWTO...

Nou een aantal van de pdc howto's op GoT waren op dusdanig niveau dat ik het niet kon laten.

Hier is mijn samba3 PDC HOWTO voor office gebruik (SuSE GNU/linux)

Download/install packeges

Download and install the samba3 packages for SuSE at:
ftp.suse.com /pub/projects/samba/3.0

code:

rpm -Uvh package.rpm

start the samba (smb) and nmb server

code:

rcsmb start|restart
rcnmb start|restart

Configure your smb.conf

example

edit for your situation (check file/program/vars locations)

code:

[global]

        ; Global settings...
                workgroup = DOMAIN
                netbios name = SERVERNAME
                server string = on %L
                log file = /var/log/samba.log
                log level = 2

        ; Domain settings...
                domain logons = yes
                os level = 65
                preferred master = yes
                domain master = yes
                wins support = yes

        ; Authoristation settings...
                ; passdb backend = smbpasswd
                passdb backend = tdbsam
                encrypt passwords = yes
                unix password sync = Yes
                passwd program = /usr/bin/passwd %u
                passwd chat = *New*password* %n\n *Retype*new*password* %n\n \
                *password:*all*authentication*tokens*updated*successfully
                Pam password change = yes

                username map = /etc/samba/smbusers
                add user script = /usr/sbin/useradd -m %u -c "domain users" -g users
                delete user script = /usr/sbin/userdel -r %u
                add group script = /usr/sbin/groupadd %g
                set primary group script = /usr/sbin/usermod -g %g %u
                delete group script = /usr/sbin/groupdel %g
                add user to group script = /usr/sbin/usermod -G %g %u
                delete user from group script = /var/lib/samba/bin/gpasswd -d %u %g
                add machine script = /usr/sbin/useradd -r -c "machineaccount" -g machines -s /bin/false \
                -d /var/tmp/ %u

                ; template homedir = /home/%D/%U

                logon script = scripts\%g.bat
                logon path = \\%L\profiles\%U
                logon drive = H:
                logon home = \\%L\%U

        ; Security settings...
                bind interfaces only = yes
                interfaces = 10.1.0.15/24
                hosts allow = 10.1.0.0/24 127.0.0.1
                ; hosts deny =
                max connections = 10
                security = user
                ; security = domain
                null passwords = no
                guest account = nobody
                map to guest = Bad User
                admin users = admin
                ; invalid users =

        ; File settings
                hide dot files = yes
                hide unreadable = yes
                hide files = /desktop.ini/
                ; max disk size = 1000

        ; Other...
                time server = yes
                idmap uid = 15000-20000
                idmap gid = 15000-20000

        ; Printing settings...
                printing = cups
                printcap name = cups
                printcap cache time = 750
                cups options = raw
                printer admin = username


; Default Shares...

[homes]
        comment = Home Directories
        valid users = %S
        read only = No
        browseable = No
        inherit permissions = yes
        hide dot files = yes
        ; veto files =

[profiles]
        comment = Roaming Profile Share
        path = /home/profiles/.winprofiles
        read only = No
        profile acls = yes
        browseable = No

[netlogon]
        comment = Network Logon Service
        path = /var/lib/samba/netlogon
        max connections = 15
        ; admin users = admin
        invalid users = root
        guest ok = no
        browseable = no

[users]
        comment = All users
        path = /home
        read only = no
        inherit permissions = yes
        veto files = /aquota.user/groups/shares/
        valid users = username

[pdf]
        comment = PDF creator
        path = /var/tmp
        printable = Yes
        print command = /usr/bin/smbprngenpdf -J '%J' -c %c -s %s -u '%u' -z %z
        create mask = 0600

[printers]
        comment = All Printers
        path = /var/tmp
        printable = Yes
        create mask = 0600
        browseable = Yes
[print$]
        comment = Printer Drivers
        path = /var/lib/samba/drivers
        write list = @ntadmin root
        force group = ntadmin
        create mask = 0664
        directory mask = 0775


; Organisation shares...

[documents]
        comment = Users Data
        browseable = yes
        read only = no
        create mode = 0775
        directory mask = 0775
        force create mode = 0775
        force directory mode = 0775
        path = /files/data
        users = @groupname

[software]
        comment = Software
        browseable = yes
        read only = yes
        path = /files/software
        valid users = @groupname

[root]
        comment = Servers root
        browseable = no
        read only = no
        create mode = 0664
        directory mask = 0775
        path = /
        valid users = username

Check your smb.conf

code:

testparm

restart both smb and nmb demons

code:

rcsmb restart
rcnmb restart

Create groups/users with your favorite tool (eg. YAST)

create group for the Domain Admin user(s) eg. ntadmins
create custom group(s) eg. organisationname
map unix groups to nt groups (users -> (Domain Users) and ntadmins -> (Domain Admins), etc)

code:

net groupmap modify ntgroup="Domain Admins" unixgroup=ntadmins
net groupmap modify ntgroup="Domain Users"  unixgroup=users
net groupmap modify ntgroup="Domain Guests" unixgroup=nobody
net groupmap add ntgroup="organisationname" unixgroup=organistationname

check config

code:

net groupmap list

create linux and smb root/admin user
create admin users with ntadmin group gid (default group)

eg. user: admin with default group: ntadmin (wich is mapped to Domain admin)

create root entry in your smbpasswd database (smbpasswd/tdbsam) needed to add machines to join domain. (use differend pwd for securtry reasons)

code:

smbpasswd -a root or pdbedit -a -u root

to convert your smbpasswd file to and tdbsam backend execute

code:

pdbedit -i smbpasswd -e tdbsam

edit yout smbusers (map to unix users)

code:

root = administrator
nobody = guest pcguest smbguest

Make directory for the location of the login script and create directory for the roaming profiles (eg. /home/profiles/.winprofile)

code:

mkdir -p /var/lib/samba/netlogon/scripts
mkdir -p /home/profiles/.winprofile (be sure it's writeable for the Domain User group (users(linuxgroup))

Create logon script

users.bat (/var/lib/samba/netlogon/scripts/users.bat)

code:

echo Mapping Network Drives to Server...
net use f: \\netbiosname\documents
net time \\netbiosname /SET /YES

Add windows box to the domain

First excecute a registry hack (winxp) click
Its windows so reboot..

Network settings
Check your tcp/ip settings!
if you are using wins support add the serverip to the wins server list

Join domain
When the loginbox pops up login with the user root and its pwd
If sucseeded reboot again

login with your admin user (Domain Admin) for creating users and group (srvtools)
login with a normal user for normal operation

Windows/samba network management

download nt4 domain management tool (srvtools)

login as your domain admin users install the tool (srvtools.exe), now you can create/assign users and groups

Toelichting...
Met het bovenstaande voorbeeld heb je bij een succesvolle afronding een domein. een domein admin user, en een aanmelding procedure met roaming profiles en beheer functionalitied doormiddlen van de srvtools (server en user management).

todo
policies

note
for SuSE 9.1 find an older version of the gpasswd program. Since 9.1 gpasswd can only be used tot changen a group password. So 9.1 users edit your delete user from group scripts, download and point it to an older version op gpasswd (eg /var/lib/samba/bin/gpasswd

References

The Official Samba-3 HOWTO and Reference Guide
man smb.conf

[ Voor 10% gewijzigd door Verwijderd op 17-06-2004 12:29 . Reden: machine worden nu toegevoegd als system users ]

[Verwijderd]

Bug/probleem:

Bij het toevoegen van een user via usrmng (User Management (srvtools)) via de "new user" optie wordt er geen login script en profile locatie ect aangemaakt.

Copieer je echter een user dan neem usermng netjes deze settings over en vervangt hij de vars met %USERNAME% (je kriijgt wel een melding dan je de home dir handmatig moet aanmaken naar dat gaat wel goed)

Weet iemand of is het uberhaubt mogelijk het aanmaken van een profile dir en een login scriipt referentie af te vangen in smb.conf voor het aanmaken van nieuwe users vie usrmng?

[Zym0tiC]

Voor een beginnende gebruiker zal dit vaak nog zeer verwarrend zijn. In principe is het niet meer dan je smb.conf posten. Voor een echt goede howto verwijs ik mensen liever naar:

http://www-106.ibm.com/de...utorials/samba/index.html waar een hoop uitleg bij de commando's staat gegeven. Aan de hand van deze tut had ik binnen 30 minuten een draaiende PDC

_{niet kwaad bedoeld ofzo}

[ Voor 7% gewijzigd door Zym0tiC op 14-06-2004 13:15 ]

[Verwijderd]

Zym0tiC schreef op 14 juni 2004 @ 13:14:
Voor een beginnende gebruiker zal dit vaak nog zeer verwarrend zijn. In principe is het niet meer dan je smb.conf posten. Voor een echt goede howto verwijs ik mensen liever naar:

http://www-106.ibm.com/de...utorials/samba/index.html waar een hoop uitleg bij de commando's staat gegeven. Aan de hand van deze tut had ik binnen 30 minuten een draaiende PDC

_{niet kwaad bedoeld ofzo}

De howto van IBM is idd vrij ok, ibm heeft veel goede howto (unix rechten ect)

Ik heb deze howto ook niet geschreven voor de beginnende users. het is eingelijk meer een checklist voor een wat gevordere gebruiker. (no offence voor de beginnnede gebruiker maar ik zou me in hun geval eerste verdiepen in samba shares/workgroups)

Ik hoopte alleen het niveau een beetje op te krikken door niet stap voor stap alles uit te leggen (unix users en groups aanmaken ect) maar gewoon de basis stappen voor een PDC met een uitgebreide smb.conf.

Het voordeel van mijn config is dat er wat praktische gedrag en voorbeelden in zitten. Denk aan de add user/group/machine regels

[Verwijderd]

Even een vraag voor de windows admin;

Is het mogelijk via een domain, een user local admin rechten te geven. Nu geeft je iemand Domain admin rechten. maar ik zoek eingelijk een manier om via smb een users op de machine waar deze inlog locaal admin rechten te geven.

Wie kan mij dit vertellen?

[CH4OS]

Verwijderd schreef op 16 juni 2004 @ 10:53:
Even een vraag voor de windows admin;

Is het mogelijk via een domain, een user local admin rechten te geven. Nu geeft je iemand Domain admin rechten. maar ik zoek eingelijk een manier om via smb een users op de machine waar deze inlog locaal admin rechten te geven.

Wie kan mij dit vertellen?

Dit kan. Dat moet je wel aangeven als je je de eerste keer aanmeld op het domein. Dan staat de gebruiker lokaal als administrator, en in het domein als gebruiker
Weet alleen niet hoe het moet in SMB

Maar waarom is de howto in het Engels?

[Verwijderd]

GJ-tje schreef op 16 juni 2004 @ 11:00:
[...]
Maar waarom is de howto in het Engels?

Nou het is eingelijk een stappenplan wat ik heb gemaakt en gedocumenteerd. Dit heb ik voor een klant gedaan (smb pdc) en vervolgens in onze online docmentatie gehangen wat we dus weer in engels doen.

Maar de meeste nederlanders kunnen een woordje engels niet.....

dus waarom niet..

Maar thanks voor je reactie, dus als ik een gebruiker die al admin is aanmeld in het domain voor de eerste keer dan heeft deze locaal nog steeds de admin rechten.. Klinkt logische inderdaad.

[Verwijderd]

(kick)

kan iemand mij verstellen hoe ik een domein gebruiker locaal admin rechten geeft in de bovenstaande cominatie


Thanks!

[Bas!]

Waarom er niet geantwoord wordt heeft denk ik te maken met het feit dat je niet de enige bent die dit wil en dus dat google je vriend is.
Bovendien is dit heel eenvoudig als je dit op het locale workstation doet.

[_JGC_]

Verwijderd schreef op 17 juni 2004 @ 13:40:
(kick)

kan iemand mij verstellen hoe ik een domein gebruiker locaal admin rechten geeft in de bovenstaande cominatie


Thanks!

Je voegt op je lokale machine de domain user toe aan de Administrators groep van die machine, is nix moeilijks aan toch? Deed ik ook altijd om domain admins ook admin te maken op win2k machines, mn groupmappings zijn nooit goed geweest, totdat ik migratie heb gedaan naar samba 3.0

[Verwijderd]

_JGC_ schreef op 17 juni 2004 @ 16:35:
[...]


Je voegt op je lokale machine de domain user toe aan de Administrators groep van die machine, is nix moeilijks aan toch? Deed ik ook altijd om domain admins ook admin te maken op win2k machines, mn groupmappings zijn nooit goed geweest, totdat ik migratie heb gedaan naar samba 3.0

Oke, dit is vrij duidelijk misschien was ik wat onduidelijker met;

in de bovenstaande cominatie

Wat ik dus zoek een een mogelijkheid dit globaal te beheren. Kijk bij een thuis netwerk met 3 pc is dit geen probleem. Maar zakelijk heb ik geen behoefte dit soort dingen locaal per machine te regelen.

Het wat ook al weer een tijdje geleden dat ik me in windows domein rechten/pols heb zitten spelen.

windos doe bij maar ietst met unix

[_JGC_]

Mja, daar is je domain administrators group voor. Andere mogelijkheid is er ook nog: je maakt een extra groep aan, en deze groep wijs je op elke PC toe. Vervolgens kan je centraal users aan de groep toevoegen.

Ik kan begrijpen dat je niet wilt dat een domain administrator die wel op een workstation dingen mag installeren, niet dingen op een server aan mag passen. Volgens mij kan je dat op die server ook wel instellen, dat je zo iemand niet in je server wilt.