На главную
Samba-3
в примерах
Samba-3
адаптация
OpenLDAP
документация
О проекте

Smbldap-tools. Руководство пользователя


J.erome Tournier

Перевод Тренин Сергей, аkа greyzy

Версия : 1.7, от 22 апреля, 2008

Руководство применимо к версии smbldap-tools 0.9.3 (которое идет с пакетом версии 0.9.5, прим.перев.)

Оригинал документа является собственностью IDEALX (http://IDEALX.com), распространяется под условием лицензии GNU Free Documentation License (http://www.gnu.org/copyleft/fdl.html)

Обновление этого документа

Последняя версия этого документа может быть получена на странице проекта smbldap-tools по адресу http://gna.org/projects/smbldap-tools.

От переводчика: Данный документ может быть вам полезен в случае, если вы собираетесь поднять, или у вас уже есть действующий первичный контроллер домена на linux, в качестве клиентов которого будут выступать рабочие станции Windows XP. Инструменты, описываемые здесь, позволяют упростить управление учетными записями пользователей, групп и компьютеров на PDC, поднятом на связке Samba+LDAP.

Документация касается сугубо пакета smbldap-tools, поэтому перед прочтением необходимо иметь какое-то представление о терминах, понятиях и настройке серверов Samba и LDAP, в противном случае часть материала не будет вам ясна.

Содержание:

1. Ведение
2. Установка
3. Конфигурирование smbldap-tools
4. Использование скриптов
5. Samba и smbldap-tools
6. Часто задаваемые вопросы
7. Благодарности
8. Приложения

1. Введение

Smbldap-tools представляет из себя набор скриптов, обеспечивающий синхронную работу с базами данных пользователей, групп и компьютеров сервера Samba и LDAP каталога. Это инструмент как пользователей, так и администраторов систем Linux. Пользователи могут изменять их пароли так же, как и при использовании стандартной команды passwd.
(к началу страницы)

1.1 Опробование

Инструмент smbldap-tools был опробован и протестирован на следующем программном обеспечении:
- Linux CentOS4 (это будет работать на любой платформе);
- Samba release 3.0.10;
- OpenLDAP release 2.2.13;
- Microsoft Windows NT 4.0, Windows 2000 and Windows XP Workstations and Servers.
(к началу страницы)

2. Установка

2.1 Требования к программному обеспечению

Основное требование для использования smbldap-tools является наличие двух модулей Net::LDAP и Crypt::SmbHash. В большинстве случаев, вам потребуется модуль IO-Socket-SSL Perl для использования TLS.

Если вы хотите иметь возможность добавления, удаления, модификации пользователей и групп при помощи диспетчера пользователей под MS-Windows, сервер Samba и пакет smbldap-tools должны быть установлены на одном компьютере. Openldap может быть установлен на каком-либо другом компьютере. Но обязательно проверьте, чтобы ваш LDAP-клиент мог подключиться к серверу LDAP.

В этом документе не обсуждается установка Samba и OpenLDAP (но пакет Samba должен быть установлен с поддержкой LDAP, прим.перев.).
(к началу страницы)

2.2 Установка

Архив со скриптами smbldap-tools может быть загружен со страницы нашего проекта по адресу http://download.gna.org/smbldap-tools/packages. Так же здесь доступен архив для RadHat. Если вы получили версию, более новую, чем описана здесь, перед установкой прочитайте файл INSTALL.
(к началу страницы)

2.2.1 Установка из rpm-пакета

Если у вас не RadHat, загрузите архив smbldap-tools-0.9.3.tar.gz. Распакуйте и скопируйте все Perl-скрипты в директорию /usr/sbin/ , также создайте директорию /etc/smbldap-tools/ и скопируйте туда два конфигурационных файла:

mkdir /etc/smbldap-tools/
cp *.conf /etc/smbldap-tools/
cp smbldap-* /usr/sbin/

Все конфигурирование smbldap-tools базируется на двух файлах:
- smbldap.conf определяет общие параметры;
- smbldap_bind.conf определяет административный аккаунт для связи с сервером LDAP.

Второй файл должен быть доступен для чтения только root. Установите такие права на эти файлы:

chmod 644 /etc/smbldap-tools/smbldap.conf
chmod 600 /etc/smbldap-tools/smbldap_bind.conf
(к началу страницы)

3. Конфигурирование smbldap-tools

Как было сказано выше, для конфигурирования используется всего два файла. Первый – smbldap.conf – позволяет вам установить общие параметры, и он доступен на чтение любому. Второй – smbldap_bind.conf – определяет два административных аккаунта для связи с первичным и вторичным (главным и подчиненным) LDAP-серверами, вы должны позаботиться, чтобы он был доступен на чтение только суперпользователю root. Скрипт configure.pl, который вы можете найти в tarball или в директории с документацией (если установка была из prm-пакета) /usr/share/doc/smbldap-tools-0.9.3/, поможет вам заполнить эти файлы, выполните команду:

/usr/share/doc/smbldap-tools-0.9.3/configure.pl

Вследствие выполнения этого скрипта, будут получены параметры файла smb.conf и записаны в файлы конфигурации smbldap-tools. Исходя из предназначения этого скрипта, очевидно, что файл smb.conf уже должен быть сконфигурирован должным образом. Остановить скрипт можно командой Ctrl+C.

Проверьте перед использованием этого скрипта, что:
- два конфигурационных файла smbldap-tools находятся в директории /etc/smbldap-tools/;
- ваш Samba-сервер сконфигурирован и запущен (так скрипт сможет получить SID вашего домена).
(к началу страницы)

3.1 Файл smbldap.conf

Напоминаем, этот файл задает параметры, которые доступны для просмотра всем. Пример этого файла представлен в п. 8.1.1

Давайте рассмотрим параметры этого файла:

UID START и GID START – недействующий параметр
- этот параметр должен быть удален или закомментирован;
- доступные uid и gid сейчас по умолчанию определяются в значении sambaUnixIdPooldn="sambaDomainName=$". Позже будут рассмотрены параметры, имеющие к этому отношение ${sambaDomain} и ${suffix}.

SID – идентификатор безопасности домена
- пример: SID="S-1-5-21-3703471949-3718591838-2324585696"
- примечание: вы можете получить SID, используя команду net getlocalsid, сервер Samba при этом должен быть запущен.

slaveLDAP – вторичный (подчиненный) LDAP сервер
- пример: slaveLDAP="127.0.0.1"
- примечание: должно быть указано разрешенное DNS имя или IP адрес

slavePort – порт для связи со вторичным сервером
- пример: slavePort="389"

masterLDAP – первичный (основной) LDAP server
- пример: masterLDAP="127.0.0.1"

masterPort – порт для связи с первичный сервером
- пример: masterPort="389"

ldapTLS – определяет, желаете ли вы использовать TLS соединение для связи с LDAP сервером
– пример: ldapTLS="1"
– примечание: LDAP сервер должен быть сконфигурирован для поддержки ТLS соединения. См. п. 5.2 документа «Samba-LDAP Howto» (http://download.gna.org/smbldap-tools/docs/samba-ldap-howto/). Если вы используете поддержку TLS, выберите порт 389 для соединения с первичным или вторичным сервером.

verify – вид проверки сертификата (нет, опционально или требовать).
– пример: verify="require"
– примечание: изучите man-страницу Net::LDAP, секция start tls section для изучения подробностей.

cafile – файл повышенной защищенности (дословно PEM-format file) включающий сертификат для CA которым будет доверять slapd.
– пример: cafile="/etc/smbldap-tools/ca.pem"

clientcert – файл, содержащий клиентский сертификат
– пример: clientcert="/etc/smbldap-tools/smbldap-tools.iallanis.com.pem"

clientkey – файл, содержащий приватный ключ, который соответствует клиентскому сертификату.
- пример: clientkey="/etc/smbldap-tools/smbldap-tools.iallanis.com.key"

suffix – отличительное имя поиска по базе
- пример: suffix="dc=idealx,dc=com"

usersdn – ветвь (выражаясь терминами LDAP), в которой могут быть найдены, или в которую должны добавляться записи о пользователях
– пример: usersdn="ou=Users,${suffix}"
– примечание: эта ветвь не связана со значением suffix (см. выше)

computersdn – ветвь, в которой могут быть найдены, или в которую должны добавляться записи о компьютерах
– пример: computersdn="ou=Computers,${suffix}"
– примечание: эта ветвь не связана со значением suffix (см. выше)

groupsdn – ветвь, в которой могут быть найдены, или в которую должны добавляться записи о группах
– пример: groupsdn="ou=Groups,${suffix}"
– примечание: эта ветвь не связана со значением suffix (см. выше)

idmapdn – строка указывает, где находятся значения Idmap (используется, если сервер Samba является членом домена)
– пример: idmapdn="ou=Idmap,${suffix}"
– примечание: эта ветвь не связана со значением suffix (см. выше)

sambaUnixIdPooldn – параметр, описывающий где хранятся следующие свободные uidNumber и gidNumber
– пример: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
– примечание: эта ветвь не связана со значением suffix (см. выше)

scope – поиск области.
- пример: scope="sub"

hash encrypt – способ хэширования паролей пользователей
– пример: hash encrypt="SSHA"
- примечание: параметр используется для хранения паролей unix и связан с параметром userPassword.

crypt salt format="%s" – если у предыдущего параметра установлено значение CRYPT, вы можете установить тип шифрования «salt». По умолчанию используется значение ”%s”, но большинство систем способны генерировать пароль с хэшированием MD5, если вы установите ”$1$%.8s”. Этот параметр опционален.

userLoginShell – оболочка пользователя по умолчанию
– пример: userLoginShell="/bin/bash"
– примечание: значение хранится в атрибуте loginShell (см. п.
8.2).

userHome – по умолчанию определяет, где будет находиться домашняя директория пользователя.
– пример: userHome="/home/%U"
– примечание: значение хранится в атрибуте homeDirectory (см. п. 8.2).

userGecos – описание учетной записи пользователя (в unix)
- пример: userGecos="System User"

defaultUserGid – по умолчанию основная группа для учетных записей пользователей
– пример: defaultUserGid="513"
– примечание: значение хранится в атрибуте gidNumber (см. п. 8.2).

defaultComputerGid – по умолчанию основная группа для компьютеров
– пример: defaultComputerGid="550"
– примечание: значение хранится в атрибуте gidNumber (см. п. 8.2).

skeletonDir – место, где находится «скелетная» директория, являющаяся шаблоном для директорий пользователей
– пример: skeletonDir="/etc/skel"
– примечание: эта опция используется лишь в том случае, если вы явно укажете создать домашнюю директорию пользователя в ходе создания нового пользователя

defaultMaxPasswordAge – параметр задает, через какое время (в днях) должен быть изменен пароль пользователя
- пример: defaultMaxPassword="55"

userProfile – общий ресурс Samba для хранения профилей пользователей
– пример: userProfile="\\PDC-SMB3\profiles\%U"
– примечание: значение хранится в атрибуте sambaProfilePath (см. п. 8.2).

userHomeDrive – буква диска, использующаяся в Windows для назначения домашней директории
– пример: userHomeDrive="K:"

userScript – по умолчанию имя скрипта, использующегося при входе пользователя в систему. Если не определено, автоматически будет использоваться скрипт username.cmd
– пример: userScript="%U"
– примечание: значение хранится в атрибуте sambaProfilePath.

mailDomain – домен, добавляемый к атрибуту пользователя ”mail”.
– пример: mailDomain="idealx.org"

with smbpasswd – параметр, устанавливающий, будет ли использоваться команда smbpasswd для установки пароля пользователя Samba (вместо утилиты mkntpwd).
– пример: with smbpasswd="0"
– примечание: значение может быть 0 или 1.

smbpasswd – путь, по которому находится smbpasswd
– пример: smbpasswd="/usr/bin/smbpasswd"

with slappasswd – параметр, устанавливающий, будет ли использоваться команда slappasswd для установки пароля пользователя Unix (вместо утилиты Crypt:: librairies)
– пример: with smbpasswd="0"
– примечание: значение может быть 0 или 1.

slappasswd – путь, по которому находится slappasswd
– пример: smbpasswd="/usr/sbin/slappasswd".
(к началу страницы)

3.2 Файл smbldap_bind.conf

Напоминаем, что этот файл должен быть доступен для просмотра только суперпользователю. Файл используется при модификации базы данных LDAP каталога, он включает имя пользователя и его пароль, который имеет право подключаться к первичному и вторичному LDAP каталогу. Пример этого файла есть в п. 8.1.2.

Рассмотрим параметры этого файла.

slaveDN – отличительное имя, используемое для связи с вторичным сервером LDAP
– пример 1: slaveDN="cn=Manager,dc=idealx,dc=com"
– пример 2: slaveDN=""
– примечание: это может быть админисративная учетная запись каталога или другая учетная запись LDAP, которая имеет достаточные права для чтения всего каталога (база данных вторичного сервера используется только для чтения). Анонимные подключения подключаются, как показано в примере 2.

slavePw – пароль для доступа к вторичному серверу LDAP.
– пример 1: slavePw="secret"
– пример 2: slavePw=""
– примечание: пароль должен быть записан в незашифрованном виде. Файл должен быть доступен для чтения только суперпользователю root! Анонимные подключения конфигурируются по примеру 2.

masterDN – отличительное имя, используемое для связи с первичным сервером LDAP
– пример: masterDN="cn=Manager,dc=idealx,dc=com"
– примечание: это может быть административная учетная запись каталога или другая учетная запись LDAP, который имеет достаточные права для внесения изменений в базу данных LDAP. Анонимный доступ к первичному серверу не допускается.

masterPw – пароль пользователя с административными полномочиями
– пример: masterPw="secret"
– примечание: пароль должен быть записан в незашифрованном виде. Еще раз убедитесь, что доступ к файлу не имеют те, кто его не должен иметь.
(к началу страницы)

4. Использование скриптов

4.1 Создание структуры каталога

Вы можете сделать начальную структуру LDAP каталога, используя скрипт smbldap-populate. Чтобы сделать это, проверьте, что учетная запись, описанная в файле /etc/smbldap-tools/smbldap_bind.conf, которая имеет полномочия для связи с первичный LDAP сервером, так же является административной учетной записью вашего LDAP каталога.

Ключи, которые могут быть использованы при запуске скрипта smbldap-populate, представлены в таблице.

Таблица 1

Ключ Описание действия ключа Значение по умолчанию
-u uidNumber первый uidNumber, который будет назначен 1000
-g gidNumber первый gidNumber, который будет назначен 1000
-a user Логин администратора Administrator
-b user Логин гостя nobody
-e file Экспорт файла инициализации  
-i file Импорт файла инициализации  

В большинстве случаев для построения структуры LDAP каталога достаточно выполнить команду:

#smbldap-populate
Using builtin directory structure
Using the smbldap-tools scripts Revision : 1.7
adding new entry: dc=idealx,dc=com
adding new entry: ou=Users,dc=idealx,dc=com
adding new entry: ou=Groups,dc=idealx,dc=com
adding new entry: ou=Computers,dc=idealx,dc=com
adding new entry: ou=Idmap,dc=idealx,dc=org
adding new entry: cn=NextFreeUnixId,dc=idealx,dc=org
adding new entry: uid=Administrator,ou=Users,dc=idealx,dc=com
adding new entry: uid=nobody,ou=Users,dc=idealx,dc=com
adding new entry: cn=Domain Admins,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Domain Users,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Domain Guests,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Print Operators,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Backup Operators,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Replicator,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Domain Computers,ou=Groups,dc=idealx,dc=com

После этого шага, если вы больше не хотите использовать учетную запись cn=Manager,dc=idealx,dc=com, вы можете создать специальную учетную запись для Samba и smbldap-tools. Для подробностей обратитесь к п. 8.2.

Строка cn=NextFreeUnixId,dc=idealx,dc=org используется только для присвоения номеров uidNumber и gidNumber при создании новых пользователей и групп. По умолчанию нумерация (см. таб. 1) начинается с номера 1000. Для изменения этого числа используются ключи –u и –g. Например, если вы хотите, чтобы нумерация начиналась с числа 1500, при создании структуры каталога используйте такую команду:

#smbldap-populate -u 1500 -g 1500
(к началу страницы)

4.2 Управление пользователями

4.2.1 Добавление пользователей

Для добавления пользователей используется скрипт smbldap-useradd. Ключи, которые могут быть использованы при его запуске, представлены в таблице 2.

Пояснение: в четвертой колонке есть строки со значениями, которые начинаются с символа $. Значения таких ключей, если не назначены специально, берутся из файла /etc/smbldap-tools/smbldap.conf (с указанием секции этого файла).

Таблица 2

Ключ Описание действия ключа Пример Значение по умолчанию
-a Создать учетную запись Windows, без ключа будет создан Posix-аккаунт    
-w Создать учетную запись рабочей станции Windows    
-i Создать учетную запись пользователя домена, с которым установлено доверие, подробности см. в п. 4.4    
-u Назначить uid -u 1003 Первый из доступных uid
-g Назначить gid -g 1003 Первый из доступных gid
-G Добавить новую учетную запись в одну или несколько групп (несколько записываются через запятую) -G 512,550 Без ключа –G все созданные аккаунты попадают в группу 513 (пользователи)
-d Назначить домашнюю директорию -d /var/user $userHomePrefix /user
-s Назначить оболочку (login shell) -s /bin/ksh $userLoginShell
-c Добавить описание пользовательской учетной записи -c “admin user” $userGecos
-m Создать домашнюю директорию пользователя и скопировать туда информацию из папки /etc/skel/    
-k Назначить «скелетную» директорию (используется без ключа -m) -k /etc/skel2 $skeletonDir
-P По окончании обратится к скрипту smbldap-passwd для установки пароля пользователя    
-A Установить, имеет ли право пользователь изменять пароль, 0 – нет, 1- да -А 1  
-B Установить, должен ли пользователь изменить свой пароль после первого входа в систему, 0 – нет, 1 - да -B 0  
-C Назначить домашнюю папку Samba -С \\PDC\homes $userSmbHome
-D Установить букву диска, монтирующегося при входе пользователя в систему -D H: $userHomeDrive
-E Установить скрипт, который будет выполняться при входе пользователя в систему - E common.bat $userScript
-F Задать директорию с профилем пользователя -F \\PDC\profiles\user $userProfile
-H Установить флаг учетной записи Samba, наподобие [NDHTUMWSLKI] -H [X] Например, флаг D означает, что учетная запись отключена, прим.перев.
-N Установить реальное имя пользователя    
-S Установить фамилию пользователя    
-M Локальный электронный почтовый ящик (несколько записываются через запятую) -M testuser,aliasuser  
-T Непосредственный электронный почтовый ящик (несколько записываются через запятую) -T testuser@domain.org  

Например, если вы хотите создать пользователя с именем user_admin, который:
- будет являться пользователем Windows
- должен входить в группу с gid=512 (группа в Windows «Domain Admins»);
- иметь домашнюю директорию;
- не иметь оболочки входа (login shell);
- домашняя директория которого будет находиться в папке /dev/null;
- не иметь перемещаемого профиля;
- и которому при создании мы установим пароль.

то следует ввести команду:

#smbldap-useradd -a -G 512 -m -s /bin/false -d /dev/null -F "" -P user_admin

Еще несколько примеров (из Интернет, прим.перев.):

#smbldap-useradd –a –m –M pupkin –c "vasya pupkin" pupkin
#smbldap-useradd -a –c "Serg Alex Lad" -N "Serg Alex" -S "Lad" -s /bin/bash ladserg
(к началу страницы)

4.2.2 Удаление пользователей

Для удаления учетной записи пользователя используется скрипт smbldap-userdel, в таблице 3 представлены доступные ключи запуска:

Таблица 3

Ключ Описание действия ключа
-r Удалить домашнюю директорию (не спрашивая)
-R Удалить домашнюю директорию в диалоговом режиме

Например, если вы хотите удалить пользователя user1 из LDAP каталога, и если вы также хотите удалить его домашнюю директорию, выполните команду:

#smbldap-userdel -r user1

Примечание: с осторожностью используйте ключ -r, посредством его применения вы можете лишиться ценных незарезервированных данных.
(к началу страницы)

4.2.3 Внесение изменений в учетную запись пользователя

Для внесения изменений в учетную запись пользователя используется скрипт smbldap-usermod. Ключи, используемые с этим скриптом, вынесены в таблицу 4. Наряду с этим, для внесения некоторых изменений в учетные данные, используется скрипт smbldap-userinfo. Ключи, используемые с этим скриптом, вынесены в таблицу 5. Этот скрипт может быть использован самими пользователями для внесения некоторых данных в их учетную запись (ACL должен быть должным образом настроен на сервере каталогов).

Таблица 4

Ключ Описание действия ключа Пример
-c Добавить описание пользовательской учетной записи -c “admin user”
-d Назначить домашнюю директорию -d /var/user
-u Назначить uid -u 1003
-g Назначить gid -g 1003
-G Добавить новую учетную запись в одну или несколько групп или удалить пользователя из группы (несколько записываются через запятую) -G 512,550
-G -512,550
-G +512,550
-s Назначить оболочку (login shell) -s /bin/ksh
-N Установить реальное имя пользователя  
-S Установить фамилию пользователя  
-P По окончании обратится к скрипту smbldap-passwd для установки пароля пользователя  
-a Добавить класс объекта (objectClass) sambaSAMaccount  
-e Установить дату истечения срока действия пароля пользователя (формат ГГГГ-ММ-ДД ЧЧ:ММ:СС)  
-A Устанавливает, имеет ли право пользователь изменять пароль, 0 – нет, 1 - да  
-B Устанавливает, должен ли пользователь изменить свой пароль после первого входа в систему, 0 – нет, 1 - да  
-C Назначить домашнюю папку Samba -С \\PDC\homes
-С ""
-D Установить букву диска, монтирующегося при входе пользователя в систему -D H:
-E Установить скрипт, который будет выполняться при входе пользователя в систему - E common.bat
F Задать директорию с профилем пользователя -F \\PDC\profiles\user
-H Установить флаг учетной записи Samba, наподобие [NDHTUMWSLKI] -H [X]
-I Отключить учетную запись пользователя -I 1
-J Включить учетную запись пользователя -J 1
-w Создать учетную запись рабочей станции Windows  
-i Создать учетную запись пользователя домена, с которым установлено доверие, подробности см. в п. 4.4  
-M Локальный электронный почтовый ящик (несколько записываются через запятую) -M testuser,aliasuser
-T Непосредственный электронный почтовый ящик (несколько записываются через запятую) -T testuser@domain.org

Таблица 5

Ключ Описание действия ключа Пример
-f Задать полное имя пользователя -f MyName
-r Задать номер кабинета -r 99
-w Задать номер рабочего телефона -w 1111111
-h Задать номер домашнего телефона -h 2222222
-o Записать другую информацию (в секцию gecos) -o “second stage”
-s Задать оболочку по умолчанию -s /bin/ksh

(к началу страницы)

4.3 Управление группами

4.3.1 Создание групп

Для добавления новой группы в LDAP каталог используется скрипт smbldap-groupadd. Ключи, которые могут быть использованы при запуске этого скрипта, представлены в таблице 6.

Таблица 6

Ключ Описание действия ключа Пример
-a Добавить группу и автоматически установить соответствие (mapping)  
-g gid Установить gidNimber для группы -g 1002
-o gidNimber не будет уникальным  
-r group-rid Установить rid группы -r 1002
-s group-sid Установить sid группы -s S-1-5-21-3703471949-3718591838-2324585696-1002
-t group-type Установить sambaGroupType -t 2
-p Вывести gidNimber на экран  

Например, так вы можете создать группу group1 и поместить в нее ранее созданного пользователя user1

# smbldap-groupadd –a group1
# smbldap-usermod –G +group1 user1
(к началу страницы)

4.3.2 Удаление группы

Для удаления группы используется скрипт smbldap-userdel, например, для удаления группы group1 следует выполнить команду:

# smbldap-userdel group1
(к началу страницы)

4.4 Добавление пользователя доверенного домена

Для добавления учетной записи доверенного домена на контроллере домена trust-pdc, используйте ключ –i команды smbldap-useradd

# smbldap-useradd -i trust-pdc
New password : *******
Retype new password : *******

Работа скрипта будет окончена после запроса на ввод пароля доверенного пользователя. Учетная запись будет создан в том месте каталога, где хранятся записи обо всех компьютерах (по умолчанию это ou=Computers). Таким образом, у этой учетной записи две особенности, это установка пароля для него, и флаг [I ].
(к началу страницы)

5. Samba и smbldap-tools

5.1 Основное конфигурирование

Samba может быть сконфигурирована с использованием поддержки smbldap-tools. Это позволит администраторам добавлять, удалять или изменять группы и учетные записи пользователей операционной системы MS Windows, используя для этого, например, диспетчер пользователей. Для приведенной возможности следует добавить в файл smb.conf следующие команды:

ldap delete dn = Yes
add user script = /usr/local/sbin/smbldap-useradd -m "%u"
add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
add group script = /usr/local/sbin/smbldap-groupadd -p "%g"
add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u"

Примечание: также могут быть добавлены команды delete user script и delete group script. Однако в этом случае могут появляться сообщения об ошибке в диспетчере пользователей каждый раз после успешного удаления пользователя или группы. Если вы все-таки решите добавить данные команды, вам следует внести такие строки:

delete user script = /usr/local/sbin/smbldap-userdel "%u"
delete group script = /usr/local/sbin/smbldap-groupdel "%g"
(к началу страницы)

5.2 Миграция PDC c NT4 на Samba 3

Процедура переноса учетных записей по настоящему проста, если сервер Samba сконфигурирован с использованием smbldap-tools. Файл smb.conf должен включать команды для управления пользователями, группами и компьютерами (см. п. 5.1).

Процесс миграции детально описан в главе 36 Samba Howto «MIGRATION FROM NT4 PDC TO SAMBA-3 PDC».
(к началу страницы)

6. Часто задаваемые вопросы

6.1 Могу ли я использовать старые версии uidNumber и gidNumber ?

Есть два пути для решения этого вопроса:

- измените строку cn=NextFreeUnixId,dc=idealx,dc=org и измените значение uidNumber и/или gidNumber. Это должно быть сделано вручную. Например, если вы хотите использовать все значения uidNumber и gidNumber, номер которых выше, чем 1500, вы должны написать

dn: cn=NextFreeUnixId,dc=idealx,dc=org
changetype: modify
uidNumber: 1500
gidNumber: 1500

А затем выполнить команду:

ldapmodify -x -D "cn=Manager,dc=idealx,dc=org" -w secret -f update-NextFreeUnixId.ldif

- используйте ключи –u или –g скрипта smbldap-populate.
(к началу страницы)

6.2 Я получаю ошибку «Can’t locate IO/Socket/SSL.pm»

Это происходит, когда вы хотите использовать сертификат. В этом случае вам следует установить IOSocket-SSL Perl module.
(к началу страницы)

6.3 Я не могу создать начальную структуру каталога при помощи smbldap-populate

Когда я запускаю этот скрипт, я получаю такое сообщение об ошибке:

# smbldap-populate.pl
Using builtin directory structure
adding new entry: dc=IDEALX,dc=COM
Can’t call method "code" without a package or object reference at
/usr/local/sbin/smbldap-populate.pl line 270,  line 2.

Проверьте конфигурацию TLS
- если вы не хотите иметь поддержку TLS, установите в файле /etc/smbldap-tools/smbldap.conf следующий параметр на значение «0»

ldapTLS="0"

- если вы хотите иметь поддержку TLS, установите в файле /etc/smbldap-tools/smbldap.conf этот параметр на значение «1»

ldapTLS="1"

и проверьте, что сервер LDAP каталога сконфигурирован с поддержкой TLS соединений.
(к началу страницы)

6.4 Я не могу присоединить компьютер к домену с аккаунтом суперпользователя

- проверьте, что root-аккаунт имеет класс объекта (objectClass) sambaSAMaccount;
- проверьте, что команда add machine script есть и правильно описана.
(к началу страницы)

6.5 Класс объекта sambaSamAccount есть, но я не могу авторизоваться

Проверьте, что значение атрибута не равно нулю.
(к началу страницы)

6.6 Я хочу создать учетную запись компьютера при вводе компьютера в домен, но это не работает, сначала приходится заводить учетную запись на сервере

- команда add machine script не должна добавлять учетной записи компьютера класс объекта sambaSamAccount, эта команда должна лишь добавить Posix аккаунт компьютера. Samba добавит класс объекта sambaSamAccount при вводе компьютера в домен;
- проверьте, что строка add machine script есть в файле smb.conf.
(к началу страницы)

6.7 Я не могу управлять базой данных Oracle

Если вы видите примерно такую ошибку

Function Not Implemented at /usr/local/sbin/smbldap_tools.pm line 187.
Function Not Implemented at /usr/local/sbin/smbldap_tools.pm line 627.

в базе данных Oracle проверьте, все ли атрибуты, по которым будут выполнятся запросы, индексированы. Добавьте новый индекс для Samba и удостоверьтесь, что следующие атрибуты также индексированы: uidNumber, gidNumber, memberUid, homedirectory, description, userPassword ...
(к началу страницы)

6.8 Программа установки пароля /usr/local/sbin/smbldap-passwd -u %u не работает, или я получаю сообщение об ошибке, когда меняю пароль из под Windows

Установите значение

unix password sync = Yes

Примечание: также вы должны записать строку

passwd sync = Yes

- эта команда лишь обновит атрибут userPassword. Это из-за ключа –u. Пароли samba будут обновлены самой Samba;
- команда passwd chat должна выполняться согласованно с командой smbldap-passwd.
(к началу страницы)

6.9 Новой учетной записи компьютера нет в хранилище cn=Computers

Это известный баг Samba. Смотрите здесь http://marc.theaimsgroup.com/?l=samba&m=108439612826440&w=2 (данной страницы не удалось обнаружить, надеюсь и баг устранен, прим.перев.)
(к началу страницы)

6.10 Я подключился к домену, но я не могу авторизоваться

См. п. 6.9
(к началу страницы)

6.11 Я не могу создать пользователя, используя команду smbldap-useradd, я получаю следующую ошибку:

/usr/local/sbin/smbldap-useradd.pl: unknown group SID not set for unix group 513

проверьте:
- корректно ли настроен nss ldap?
- присоединена (map) ли группа пользователя, в которую он входит по умолчанию, к группе NT "Domain Users"? Для этого вы можете использовать такую команду:

net groupmap add rid=513 unixgroup="Domain Users" ntgroup="Domain Users"

(к началу страницы)

6.12 Я не могу создать пользователя, используя команду smbldap-useradd, я получаю следующую ошибку:

Can’t call method ”get value” on an undefined value at /usr/local/sbin/smbldap-useradd line 154

- существует ли группа, в которую по умолчанию помещается новый пользователь (defaultUserGid="513")?
- присоединена (map) ли группа NT "Domain Users" к группе unix, имеющей rid 513? (для установки rid см. ключ –r для команд smbldap-groupadd и smbldap-groupmod).
(к началу страницы)

6.13 Типичные ошибки, возникающие при создании нового пользователя или группы

- я получаю следующую ошибку:

Could not find base dn, to get next uidNumber at /usr/local/sbin/smbldap_tools.pm

Причина:
- вы не можете создать объект, так как невозможно определить следующий по порядку uidNumber или gidNumber.
Решение:
- для версии 0.8.7: единственное, что вы можете сделать, это запустить скрипт smbldap-populate и обновить значения sambaDomain, в которых хранится эта информация;
- для версии ранее 0.8.7: вы должны обновить свой пакет smbldap-tools, затем создайте LDIF-файл примерно такого содержания:

dn: cn=NextFreeUnixId,dc=idealx,dc=org
objectClass: inetOrgPerson
objectClass: sambaUnixIdPool
uidNumber: 1000
gidNumber: 1000
cn: NextFreeUnixId
sn: NextFreeUnixId

И внесите эти сведения в LDAP каталог:

ldapadd -x -D "cn=Manager,dc=idealx,dc=org" -w secret -f add.ldif

Где 1000, это первое доступное значение uidNumber и gidNumber (разумеется, если это значение уже используется каким-либо пользователем или группой, используйте следующий за ним номер uid или gid).

- я получаю следующую ошибку:

Use of uninitialized value in string at
/usr/local/sbin//smbldap\_tools.pm line 914.
Error: No DN specified at /usr/local/sbin//smbldap\_tools.pm line 919

Решение:
конфигурационный файл с описанными объектами и с доступными номерами uidNumber и gidNumber следует исправить. В нашем примере вы должны добавить следующую строку в файл /etc/smbldap-tools/smbldap.conf:

# Where to store next uidNumber and gidNumber available
sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"

- я получаю следующую ошибку:

Use of uninitialized value in concatenation (.) or string at /usr/local/sbin/smbldap-useradd Use of uninitialized value in substitution (s///) at /usr/local/sbin/smbldap-useradd line Use of uninitialized value in string at /usr/local/sbin/smbldap-useradd line 264. failed to add entry: homedirectory: value #0 invalid per syntax at /usr/local/sbin/smbldap-userHomeDirectory=User "jto" already member of the group "513". failed to add entry: No such object at /usr/local/sbin/smbldap-useradd line 382.

Решение:
вы должны изменить имя переменной userHomePrefix на userHome в файле /etc/smbldaptools/smbldap.conf.

- я получаю следующую ошибку:

failed to add entry: referral missing at /usr/local/sbin/smbldap-useradd line 279

Решение:
вы должны исправить конфигурационный файл, в котором определяются dn пользователей, групп и компьютеров. Эти параметры не должны соответствовать параметру suffix. Типичная конфигурация показана ниже:

usersdn="ou=Users,${suffix}"
computersdn="ou=Computers,${suffix}"
groupsdn="ou=Groups,${suffix}"

- я получаю следующую ошибку:

erreur LDAP: Can’t contact master ldap server (IO::Socket::INET: Bad protocol ’tcp’)
at /usr/local/sbin//smbldap_tools.pm line 153.

Решение:
удалите запись ldap из файла /etc/nsswitch.conf, то есть у вас должна быть запись

services files

а не

services: ldap [NOTFOUND=return] files

(к началу страницы)

7. Благодарности

Люди, работавшие над этим документом:

J.erome Tournier (jerome.tournier@IDEALX.com)
David Barth (david.barth@IDEALX.com)
Nat Makarevitch (nat@IDEALX.com)

Авторы благодарят следующих людей за предоставление помощи в некоторых более запутанных вопросах, за прояснение некоторых внутренних аспектов работы пакетов Samba и OpenLDAP, за указание на ошибки или заблуждения в первичной версии этого документа, за советы и предложения:
Команда IDEALX team:

Romeo Adekambi (romeo.adekambi@IDEALX.com)
Aurelien Degremont (adegremont@IDEALX.com)
Renaud Renard (rrenard@IDEALX.com)
John H Terpstra (jht@samba.org)
(к началу страницы)

8. Приложения

8.1 Примеры конфигурационных файлов

8.1.1 Файл /etc/smbldap-tools/smbldap.conf

# $Source: $
# $Id: smbldap.conf,v 1.18 2005/05/27 14:28:47 jtournier Exp $
#
# smbldap-tools.conf : Q & D configuration file for smbldap-tools
#
# This code was developped by IDEALX (http://IDEALX.org/) and
# contributors (their names can be found in the CONTRIBUTORS file).
#
# Copyright (C) 2001-2002 IDEALX
#
# This program is free software; you can redistribute it and/or
# modify it under the terms of the GNU General Public License
# as published by the Free Software Foundation; either version 2
# of the License, or (at your option) any later version.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307,
# USA.

# Purpose :
# . be the configuration file for all smbldap-tools scripts

##################################################
#
# General Configuration
#
##################################################

# Put your own SID. To obtain this number do: "net getlocalsid".
# If not defined, parameter is taking from "net getlocalsid" return
SID="S-1-5-21-2252255531-4061614174-2474224977"

# Domain name the Samba server is in charged.
# If not defined, parameter is taking from smb.conf configuration file
# Ex: sambaDomain="IDEALX-NT"
sambaDomain="DOMSMB"

###################################################
#
# LDAP Configuration
#
###################################################

# Notes: to use to dual ldap servers backend for Samba, you must patch
# Samba with the dual-head patch from IDEALX. If not using this patch
# just use the same server for slaveLDAP and masterLDAP.
# Those two servers declarations can also be used when you have
# . one master LDAP server where all writing operations must be done
# . one slave LDAP server where all reading operations must be done
# (typically a replication directory)

# Slave LDAP server
# Ex: slaveLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
slaveLDAP="ldap.iallanis.info"

# Slave LDAP port
# If not defined, parameter is set to "389"
slavePort="389"

# Master LDAP server: needed for write operations
# Ex: masterLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
masterLDAP="ldap.iallanis.info"

# Master LDAP port
# If not defined, parameter is set to "389"
#masterPort="389"
masterPort="389"

# Use TLS for LDAP
# If set to 1, this option will use start_tls for connection
# (you should also used the port 389)
# If not defined, parameter is set to "0"
ldapTLS="1"

# Use SSL for LDAP
# If set to 1, this option will use SSL for connection
# (standard port for ldaps is 636)
# If not defined, parameter is set to "0"
ldapSSL="0"

# How to verify the server’s certificate (none, optional or require)
# see "man Net::LDAP" in start_tls section for more details
verify="require"

# CA certificate
# see "man Net::LDAP" in start_tls section for more details
cafile="/etc/smbldap-tools/ca.pem"

# certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientcert="/etc/smbldap-tools/smbldap-tools.iallanis.info.pem"

# key certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientkey="/etc/smbldap-tools/smbldap-tools.iallanis.info.key"

# LDAP Suffix
# Ex: suffix=dc=IDEALX,dc=ORG
suffix="dc=iallanis,dc=info"

# Where are stored Users
# Ex: usersdn="ou=Users,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for usersdn
usersdn="ou=Users,${suffix}"

# Where are stored Computers
# Ex: computersdn="ou=Computers,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for computersdn
computersdn="ou=Computers,${suffix}"

# Where are stored Groups
# Ex: groupsdn="ou=Groups,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for groupsdn
groupsdn="ou=Groups,${suffix}"

# Where are stored Idmap entries (used if samba is a domain member server)
# Ex: groupsdn="ou=Idmap,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for idmapdn
idmapdn="ou=Idmap,${suffix}"

# Where to store next uidNumber and gidNumber available for new users and groups
# If not defined, entries are stored in sambaDomainName object.
# Ex: sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Ex: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"

# Default scope Used
scope="sub"

# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)
hash_encrypt="SSHA"

# if hash_encrypt is set to CRYPT, you may set a salt format.
# default is "%s", but many systems will generate MD5 hashed
# passwords if you use "$1$%.8s". This parameter is optional!
crypt_salt_format="%s"

#####################################################
#
# Unix Accounts Configuration
#
#####################################################

# Login defs
# Default Login Shell
# Ex: userLoginShell="/bin/bash"
userLoginShell="/bin/bash"

# Home directory
# Ex: userHome="/home/%U"
userHome="/home/%U"

# Default mode used for user homeDirectory
userHomeDirectoryMode="700"

# Gecos
userGecos="System User"

# Default User (POSIX and Samba) GID
defaultUserGid="513"

# Default Computer (Samba) GID
defaultComputerGid="515"

# Skel dir
skeletonDir="/etc/skel"

# Default password validation time (time in days) Comment the next line if
# you don’t want password to be enable for defaultMaxPasswordAge days (be
# careful to the sambaPwdMustChange attribute’s value)
defaultMaxPasswordAge="45"

#####################################################
#
# SAMBA Configuration
#
#####################################################

# The UNC path to home drives location (%U username substitution)
# Just set it to a null string if you want to use the smb.conf ’logon home’
# directive and/or disable roaming profiles
# Ex: userSmbHome="\\PDC-SMB3\%U"
userSmbHome="\\PDC-SRV\%U"

# The UNC path to profiles locations (%U username substitution)
# Just set it to a null string if you want to use the smb.conf ’logon path’
# directive and/or disable roaming profiles
# Ex: userProfile="\\PDC-SMB3\profiles\%U"
userProfile="\\PDC-SRV\profiles\%U"

# The default Home Drive Letter mapping
# (will be automatically mapped at logon time if home directory exist)
# Ex: userHomeDrive="H:"
userHomeDrive="H:"

# The default user netlogon script name (%U username substitution)
# if not used, will be automatically username.cmd
# make sure script file is edited under dos
# Ex: userScript="startup.cmd" # make sure script file is edited under dos
userScript="logon.bat"

# Domain appended to the users "mail"-attribute
# when smbldap-useradd -M is used
# Ex: mailDomain="idealx.com"
mailDomain="iallanis.info"

######################################################
#
# SMBLDAP-TOOLS Configuration (default are ok for a RedHat)
#
######################################################

# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but
# prefer Crypt::SmbHash library
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"

# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)
# but prefer Crypt:: libraries
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"

# comment out the following line to get rid of the default banner
# no_banner="1"

(к началу страницы)

8.1.2 Файл /etc/smbldap-tools/smbldap_bind.conf

############################
# Credential Configuration #
############################
# Notes: you can specify two differents configuration if you use a
# master ldap for writing access and a slave ldap server for reading access
# By default, we will use the same DN (so it will work for standard Samba
# release)
slaveDN="cn=Manager,dc=iallanis,dc=info"
slavePw="secret"
masterDN="cn=Manager,dc=iallanis,dc=info"
masterPw="secret"

(к началу страницы)

8.1.3 Файл /etc/samba/smb.conf

# Global parameters
[global]
workgroup = DOMSMB
netbios name = PDC-SRV
security = user
enable privileges = yes
#interfaces = 192.168.5.11
#username map = /etc/samba/smbusers
server string = Samba Server %v
#security = ads
encrypt passwords = Yes
min passwd length = 3
#pam password change = no
#obey pam restrictions = No

# method 1:
#unix password sync = no
#ldap passwd sync = yes

# method 2:
unix password sync = yes
ldap passwd sync = no
passwd program = /usr/sbin/smbldap-passwd -u "%u"
passwd chat = "Changing *\nNew password*" %n\n "*Retype new password*" %n\n"

log level = 0
syslog = 0
log file = /var/log/samba/log.%U
max log size = 100000
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
mangling method = hash2
Dos charset = 850
Unix charset = ISO8859-1

logon script = logon.bat
logon drive = H:
logon home =
logon path =

domain logons = Yes
domain master = Yes
os level = 65
preferred master = Yes
wins support = yes
# passdb backend = ldapsam:"ldap://ldap1.company.com ldap://ldap2.company.com"
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=Manager,dc=company,dc=com
#ldap admin dn = cn=samba,ou=DSA,dc=company,dc=com
ldap suffix = dc=company,dc=com
ldap group suffix = ou=Groups
ldap user suffix = ou=Users
ldap machine suffix = ou=Computers
#ldap idmap suffix = ou=Idmap
add user script = /usr/sbin/smbldap-useradd -m "%u"
#ldap delete dn = Yes
delete user script = /usr/sbin/smbldap-userdel "%u"
add machine script = /usr/sbin/smbldap-useradd -t 0 -w "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
#delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g ’%g’ ’%u’

# printers configuration
#printer admin = @"Print Operators"
load printers = Yes
create mask = 0640
directory mask = 0750
#force create mode = 0640
#force directory mode = 0750
nt acl support = No
printing = cups
printcap name = cups
deadtime = 10
guest account = nobody
map to guest = Bad User
dont descend = /proc,/dev,/etc,/lib,/lost+found,/initrd
show add printer wizard = yes
; to maintain capital letters in shortcuts in any of the profile folders:
preserve case = yes
short preserve case = yes
case sensitive = no

[netlogon]
path = /home/netlogon/
browseable = No
read only = yes

[profiles]
path = /home/profiles
read only = no
create mask = 0600
directory mask = 0700
browseable = No
guest ok = Yes
profile acls = yes
csc policy = disable
# next line is a great way to secure the profiles
#force user = %U
# next line allows administrator to access all profiles
#valid users = %U "Domain Admins"

[printers]
comment = Network Printers
#printer admin = @"Print Operators"
guest ok = yes
printable = yes
path = /home/spool/
browseable = No
read only = Yes
printable = Yes
print command = /usr/bin/lpr -P%p -r %s
lpq command = /usr/bin/lpq -P%p
lprm command = /usr/bin/lprm -P%p %j
# print command = /usr/bin/lpr -U%U@%M -P%p -r %s
# lpq command = /usr/bin/lpq -U%U@%M -P%p
# lprm command = /usr/bin/lprm -U%U@%M -P%p %j
# lppause command = /usr/sbin/lpc -U%U@%M hold %p %j
# lpresume command = /usr/sbin/lpc -U%U@%M release %p %j
# queuepause command = /usr/sbin/lpc -U%U@%M stop %p
# queueresume command = /usr/sbin/lpc -U%U@%M start %p

[print$]
path = /home/printers
guest ok = No
browseable = Yes
read only = Yes
valid users = @"Print Operators"
write list = @"Print Operators"
create mask = 0664
directory mask = 0775

[public]
path = /tmp
guest ok = yes
browseable = Yes
writable = yes

(к началу страницы)

8.1.4 Файл /etc/openldap/slapd.conf

#
# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/samba.schema

schemacheck on

# Allow LDAPv2 client connections. This is NOT the default.
allow bind_v2

# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral ldap://root.openldap.org

pidfile /var/run/slapd.pid
argsfile /var/run/slapd.args

# Load dynamic backend modules:
# modulepath /usr/sbin/openldap
# moduleload back_bdb.la
# moduleload back_ldap.la
# moduleload back_ldbm.la
# moduleload back_passwd.la
# moduleload back_shell.la

# The next three lines allow use of TLS for encrypting connections using a
# dummy test certificate which you can generate by changing to
# /usr/share/ssl/certs, running "make slapd.pem", and fixing permissions on
# slapd.pem so that the ldap user or group can read it. Your client software
# may balk at self-signed certificates, however.
#TLSCertificateFile /etc/openldap/ldap.company.com.pem
#TLSCertificateKeyFile /etc/openldap/ldap.company.com.key
#TLSCACertificateFile /etc/openldap/ca.pem
#TLSCipherSuite :SSLv3

# Sample security restrictions
# Require integrity protection (prevent hijacking)
# Require 112-bit (3DES or better) encryption for updates
# Require 63-bit encryption for simple bind
# security ssf=1 update_ssf=112 simple_bind=64

# Sample access control policy:
# Root DSE: allow anyone to read it
# Subschema (sub)entry DSE: allow anyone to read it
# Other DSEs:
# Allow self write access
# Allow authenticated users read access
# Allow anonymous users to authenticate
# Directives needed to implement policy:
# access to dn.base="" by * read
# access to dn.base="cn=Subschema" by * read
# access to *
# by self write
# by users read
# by anonymous auth
#
# if no access controls are present, the default policy
# allows anyone and everyone to read anything but restricts
# updates to rootdn. (e.g., "access to * by * read")
#
# rootdn can always read and write EVERYTHING!

#######################################################################
# ldbm and/or bdb database definitions
#######################################################################

database bdb
suffix "dc=company,dc=com"
rootdn "cn=Manager,dc=company,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided. See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw secret
# rootpw {crypt}ijFYNcSNctBYg

# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory /var/lib/ldap
lastmod on

# Indices to maintain for this database
index objectClass eq,pres
index ou,cn,sn,mail,givenname eq,pres,sub
index uidNumber,gidNumber,memberUid eq,pres
index loginShell eq,pres
## required to support pdb_getsampwnam
index uid pres,sub,eq
## required to support pdb_getsambapwrid()
index displayName pres,sub,eq
index nisMapName,nisMapEntry eq,pres,sub
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq
index default sub


# users can authenticate and change their password
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet
by dn="cn=Manager,dc=company,dc=com" write
by self write
by anonymous auth
by * none

# those 2 parameters must be world readable for password aging to work correctly
# (or use a priviledge account in /etc/ldap.conf to bind to the directory)
access to attrs=shadowLastChange,shadowMax
by dn="cn=Manager,dc=company,dc=com" write
by self write
by * read

# all others attributes are readable to everybody
access to *
by * read

# Replicas of this database
#replogfile /var/lib/ldap/openldap-master-replog
#replica host=ldap-1.example.com:389 starttls=critical
# bindmethod=sasl saslmech=GSSAPI
# authcId=host/ldap-master.example.com@EXAMPLE.COM

(к началу страницы)

8.2 Изменение административной учетной записи (ldap admin dn в файле smb.conf)

Если вы больше не хотите использовать учетную запись, описанную атрибутами cn=Manager,dc=idealx,dc=com, вы можете создать специальную учетную запись для сервера Samba и набора скриптов smbldap-tools. Чтобы сделать это, заведем пользователя с именем, например samba при помощи следующей команды (для подробностей в синтаксисе данной команды обратитесь к п. 4.2.1):

# smbldap-useradd -s /bin/false -d /dev/null -P samba

После ввода этой команды вам будет предложено ввести пароль для создаваемого пользователя, в нашем примере он тоже будет samba.

После этого измените соответствующим образом файл /etc/smbldap-tools/smbldap_bind.conf:

slaveDN="uid=samba,ou=Users,dc=idealx,dc=com"
slavePw="samba"
masterDN="uid=samba,ou=Users,dc=idealx,dc=com"
masterPw="samba"

файл /etc/samba/smb.conf:

#ldap admin dn = uid=samba,ou=Users,dc=idealx,dc=com

Не забудьте после этого записать пароль в файл secrets.tdb:

#smbpasswd -w samba

в файле /etc/openldap/slapd.conf вам стоит добавить полномочий пользователю samba:

# users can authenticate and change their password
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdLastSet,sambaPwdMustChange
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by self write
by anonymous auth
by * none
# some attributes need to be readable anonymously so that ’id user’ can answer cor rectly
access to attrs=objectClass,entry,gecos,homeDirectory,uid,uidNumber,gidNumber,cn,memberUid
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * read
# somme attributes can be writable by users themselves
access to attrs=description,telephoneNumber
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by self write
by * read
# some attributes need to be writable for samba
access to attrs=cn,sambaLMPassword,sambaNTPassword,sambaPwdLastSet,sambaLogonTime,
sambaLogoffTime,sambaKickoffTime,sambaPwdCanChange,sambaPwdMustChange,sambaAcctFlags,
displayName,sambaHomePath,sambaHomeDrive,sambaLogonScript,sambaProfilePath,description,
sambaUserWorkstations,sambaPrimaryGroupSID,sambaDomainName,sambaSID,sambaGroupType,
sambaNextRid,sambaNextGroupRid,sambaNextUserRid,sambaAlgorithmicRidBase
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by self read
by * none
# samba need to be able to create the samba domain account
access to dn.base="dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# samba need to be able to create new users account
access to dn="ou=Users,dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# samba need to be able to create new groups account
access to dn="ou=Groups,dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# samba need to be able to create new computers account
access to dn="ou=Computers,dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# this can be omitted but we leave it: there could be other branch
# in the directory
access to *
by self read
by * none
(к началу страницы)

8.3 Известные ошибки

Ключ -B (пользователь должен изменить свой пароль) команды smbldap-useradd не работает: когда вызывается команда smbldap-passwd, атрибут sambaPwdMustChange перезаписывается.
(к началу страницы)