HOW-TO: Настройка сервера Ubuntu 10.04 Samba 3 (BDC) + OpenLDAP 2.4 (Slave) + PhpLdapAdmin 1.2.0.5

Эта страница только для чтения. Вы можете посмотреть исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
======HOW-TO: Настройка сервера Ubuntu 10.04 Samba 3 (BDC) + OpenLDAP 2.4 (Slave) + PhpLdapAdmin 1.2.0.5 ======


Настроив PDC + LDAP и прикрутив к LDAP почтовик и авторизацию Squid я задумался о следующем, а что если мой незаменимый LDAP сервер сломается и что тогда, куча разъярённых пользователей во главе с директором оставшиеся без почты, интернета, файл сервера и возможности зайти на свой компьютер, носятся по офису с криками а ну делай что нибудь, при этом директор то и дело рассказывает что он сделает с тобой если в ближайшее время всё не заработает ;). Ситуация как говорится не из приятных. Дабы избежать подобных ситуаций я решил настроить резервный сервер.

И так, имеется свежеустановленная Ubuntu 10.04 в процессе установки был выбран LAMP сервер, в связи с этим я здесь не буду описывать настройку apache2 + php5.

Все действия в этой статье выполняются от пользователя root.

Для настройки резервного сервера LDAP нам понадобятся все схемы установленные на основном сервере, их можно взять на основном сервере, если вы не сохраняли подготовленные для установки схемы, тогда их необходимо будет создать заново. В данной статье я буду создавать необходимые схемы заново.

Скачиваем Gosa 2.6.11 с оф. сайта, это последняя версия на момент написания статьи. 

<code>
wget -P /tmp http://oss.gonicus.de/pub/gosa/gosa-combined-2.6.11.tar.bz2
</code>

Распаковываем содержимое архива 

<code>
tar xjf /tmp/gosa-combined-2.6.11.tar.bz2 -C /tmp
</code>

===== 1. Приступаем к настройке LDAP =====

Устанавливаем необходимые пакеты

<code>
apt-get install slapd ldap-utils
</code>

Подключаем базовые схемы

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/misc.ldif
</code>

Теперь нужно подключить схемы которые мы подключали для работы  Gosa и samba.

Копируем схему samba в каталог /etc/ldap/schema

<code>
cp /tmp/gosa-2.6.11/contrib/openldap/samba3.schema /etc/ldap/schema/
</code>

Схему samba3.schema необходимо перевести в формат ldif.
Для этого переходим в каталог /etc/ldap 

<code>
cd /etc/ldap
</code>

и создаём файл schema_convert.conf 

<code>
> schema_convert.conf
</code>

следующего содержания:

<file>
include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.schema
include         /etc/ldap/schema/inetorgperson.schema
include         /etc/ldap/schema/openldap.schema
include         /etc/ldap/schema/nis.schema
include         /etc/ldap/schema/misc.schema
include         /etc/ldap/schema/samba3.schema
</file>

Затем создадим временный каталог и конвертируем в него схему

<code>
mkdir /tmp/ldif_output
slapcat -f schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={6}samba3,cn=schema,cn=config" > /tmp/cn=samba3.ldif
</code>

Переходим в каталог с полученной схемой

<code>
cd /tmp/
</code>

Далее приступаем к редактированию полученной схемы.
Открываем схему cn=samba3.ldif в вашем любимом редакторе (я пользуюсь редактором в mc) и приводим её к следующему виду

Редактируем заголовок:

было: 

<code>
dn: cn={6}samba3,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: {6}samba3
</code>

стало:

<code>
dn: cn=samba3,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: samba3
</code>

В конце схемы удаляем строки примерно следующего содержания

<code>
structuralObjectClass: olcSchemaConfig
entryUUID: 7ffcc302-2474-102f-8b3e-d5fe493c556a
creatorsName: cn=config
createTimestamp: 20100715155056Z
entryCSN: 20100715155056.239425Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20100715155056Z
</code>

То есть удаляем всё начиная с structuralObjectClass: и до конца файла.

Ну и на последок копируем и переименовываем файл схемы

<code>
cp /tmp/cn\=samba3.ldif /etc/ldap/schema/samba3.ldif
</code>

Далее необходимо подобным образом отредактировать все ldif файлы находящиеся в /tmp/gosa-2.6.11/contrib/openldap/

<code>
cd /tmp/gosa-2.6.11/contrib/openldap/
</code>

К примеру возьмём файл trust.ldif.

Было:

<file>
dn: cn={13}trust
objectClass: olcSchemaConfig
cn: {13}trust
olcAttributeTypes: {0}( 5.3.6.1.1.1.1.0 NAME 'trustModel' DESC 'Access scheme'
  EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5SubstringsMatch SYNTAX 1.3.6
 .1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: {1}( 5.3.6.1.1.1.1.1 NAME 'accessTo' DESC 'Access to which 
 servers user is allowed' EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5Subs
 tringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcObjectClasses: {0}( 5.3.6.1.1.1.2.0 NAME 'trustAccount' DESC 'Sets trust ac
 counts information' SUP top AUXILIARY MUST trustModel MAY accessTo )
structuralObjectClass: olcSchemaConfig
entryUUID: fbafdc48-f065-102e-960d-79233977c302
creatorsName: cn=config
createTimestamp: 20100510095600Z
entryCSN: 20100510095600.855485Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20100510095600Z
</file>

Стало:

<file>
dn: cn=trust,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: trust
olcAttributeTypes: {0}( 5.3.6.1.1.1.1.0 NAME 'trustModel' DESC 'Access scheme'
  EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5SubstringsMatch SYNTAX 1.3.6
 .1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: {1}( 5.3.6.1.1.1.1.1 NAME 'accessTo' DESC 'Access to which 
 servers user is allowed' EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5Subs
 tringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcObjectClasses: {0}( 5.3.6.1.1.1.2.0 NAME 'trustAccount' DESC 'Sets trust ac
 counts information' SUP top AUXILIARY MUST trustModel MAY accessTo )
</file>

Теперь копируем их в каталог /etc/ldap/schema

<code>
cp /tmp/gosa-2.6.11/contrib/openldap/*.ldif /etc/ldap/schema/ && cp /tmp/gosa-2.6.11/contrib/openldap/*.schema /etc/ldap/schema/
</code>

Подключаем схемы в следующем порядке

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/trust.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/samba3.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gosystem.ldif 
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gofon.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/goto.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/goto-mime.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gosa-samba3.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gofax.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/goserver.ldif
</code>

Так как при подключении почтовика была добавлена ещё одна схема то её также необходимо будет добавить.
Переходим в каталог /tmp/gosa-2.6.11/contrib/plugins/fai и редактируем файл схемы fai.ldif, так как это описывалось выше т.е.:

Строки в начале приводим к виду

<code>
dn: cn=fai,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: fai
</code>

и в конце файла удаляем всё начиная с structuralObjectClass: и до конца файла.

Добавляем эту схему в LDAP

<code>
cp /tmp/gosa-2.6.11/contrib/plugins/fai/fai.ldif /etc/ldap/schema/
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/fai.ldif
</code>

Переходим в каталог /etc/ldap

<code>
cd /etc/ldap
</code>

Создаём базу LDAP такую же как создавали для основного сервера. Для этого создаём файл db.ldif 

<code>
>db.ldif 
</code>

следующего содержания:

<file>
dn: cn=module,cn=config
objectClass: olcModuleList
cn: module
olcModulepath: /usr/lib/ldap
olcModuleload: back_hdb

dn: olcDatabase={1}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {1}hdb
olcSuffix: dc=example,dc=com
olcDbDirectory: /var/lib/ldap
olcRootDN: cn=admin,dc=example,dc=com
olcRootPW: {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==
olcDbConfig: set_cachesize 0 2097152 0
olcDbConfig: set_lk_max_objects 1500
olcDbConfig: set_lk_max_locks 1500
olcDbConfig: set_lk_max_lockers 1500
olcDbIndex: objectClass eq
olcLastMod: TRUE
olcDbCheckpoint: 512 30
olcAccess: to attrs=sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet,userPassword by dn="cn=admin,dc=example,dc=com" write by anonymous auth by self write by * none
olcAccess: to attrs=shadowLastChange by self write by * read
olcAccess: to dn.base="" by * read
olcAccess: to dn.subtree="" by * read
olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read
</file>

Исправьте в созданном файле имя домена на то что у вас указанно в основном сервере. Например, если у вас на основном сервере домен  dc=kontora,dc=ru то и здесь замените домен dc=example,dc=com на dc=kontora,dc=ru во всём тексте.

Установите пароль администратора такой же как на основном сервере в соответствующей строке файла

<code>
olcRootPW: {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==                      
в данном примере пароль будет secret
</code>

для получения шифрованного пароля была использована утилита slappasswd, использовать её надо следующим образом 

<code>
slappasswd -h {<МЕТОД_ХЕШИРОВАНИЯ>} -s ПАРОЛЬ
</code>

Например

<code>
slappasswd -h {MD5} -s secret
</code>

Вывод: {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==

Теперь загрузим эту конфигруацию:

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f db.ldif
</code>

Далее включаем шифрование для нашего резервного LDAP.

Идём на наш основной LDAP сервер.

Создаём папку для сертификатов backup сервера и заходим в неё

<code>
mkdir /etc/ssl/ldap02-ssl && cd /etc/ssl/ldap02-ssl
</code>

Создаём ключ для резервного сервера

<code>
certtool --generate-privkey > ldap02_slapd_key.pem
</code>

Создаём файл ldap02.info следующего содержания

<code>
country = US
state = North Carolina
locality = Winston-Salem
organization = Example Company
cn = mail.example.com
tls_www_client
encryption_key
signing_key
</code>
Первые пять значений меняйте на свои.

Создаём сертификат

<code>
certtool --generate-certificate --load-privkey ldap02_slapd_key.pem \
--load-ca-certificate /etc/ssl/certs/cacert.pem --load-ca-privkey /etc/ssl/private/cakey.pem \
--template ldap02.info --outfile ldap02_slapd_cert.pem
</code>

Копируем СА сертификат

<code>
cp /etc/ssl/certs/cacert.pem .
</code>

Теперь содержимое папки ldap02-ssl необходимо скопировать на backup сервер следующим образом: файлы cacert.pem и ldap02_sldapd_cert.pem необходимо положить в папку /etc/ssl/certs на backup сервере, файл ldap02_sldapd_key.pem необходимо положить в папку /etc/ssl/private на backup сервере.

Теперь мы имеем certificate, key, и CA cert для установки, используем утилиту ldapmodify для добавления новых опций в конфигурацию.

Вводим в консоли 

<code>
ldapmodify -Y EXTERNAL -H ldapi:///
</code>

затем вставляем следующее:

<code>
dn: cn=config
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/ldap02_slapd_cert.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/ldap02_slapd_key.pem
</code>

После чего жмём дважды enter должна появится надпись modifying entry "cn=config" и Ctrl+D для выхода.

Далее редактируем /etc/default/slapd опцию SLAPD_SERVICES

<code>
SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///"
</code>

Теперь пользователь openldap дорлжен иметь доступ к сертификату (не забываем менять ldap02 на своё)

<code>
adduser openldap ssl-cert && chgrp ssl-cert /etc/ssl/private/ldap02_slapd_key.pem && chmod g+r /etc/ssl/private/ldap02_slapd_key.pem
</code>

Перезагружаем LDAP

<code>
/etc/init.d/slapd restart
</code>

Если после перезагрузки ldap не запустился, а  в syslog присутствует main: TLS init def ctx failed: -1, это ошибка конфигурации, проверьте содержимое файла /etc/ldap/slapd.d/cn=config.ldif правильно ли в нём указаны пути и названия сертификатов и убедитесь в том что группа ssl-cert имеет возможность читать закрытый ключ /etc/ssl/private/ldap02_slapd_key.pem

Теперь добавим индексы для samba

<code>
cd /etc/ldap
</code>

Создаём samba_indexes.ldif следующего содержания:

<file>
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: uidNumber eq
olcDbIndex: gidNumber eq
olcDbIndex: loginShell eq
olcDbIndex: uid eq,pres,sub
olcDbIndex: memberUid eq,pres,sub
olcDbIndex: uniqueMember eq,pres
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub
</file>

Добавляем в базу

<code>
ldapmodify -Y EXTERNAL -H ldapi:/// -f samba_indexes.ldif
</code>

Добавим индексы для gosa

Создаём gosa_indexes.ldif следующего содержания:

<file>
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: mail eq,sub
olcDbIndex: gosaMailAlternateAddress,gosaMailForwardingAddress eq
olcDbIndex: cn,sn,givenName,ou pres,eq,sub
olcDbIndex: gosaSubtreeACL,gosaObject,gosaUser pres,eq
olcDbIndex: displayName eq
olcDbIndex: ipHostNumber eq
olcDbIndex: postfixMyDestinations eq
olcDbIndex: entryCSN eq
olcDbIndex: displayName eq
olcDbIndex: ipHostNumber eq
olcDbIndex: postfixMyDestinations eq
</file>

Добавляем в базу

<code>
ldapmodify -Y EXTERNAL -H ldapi:/// -f gosa_indexes.ldif
</code>

Редактируем /etc/ldap/ldap.conf

Указываем суффикс базы, в данном случае это dc=example,dc=com

<code>
BASE	dc=example,dc=com
URI     ldap://localhost ldaps://«hostname -f вашего сервера»
TLS_CERT        /etc/ssl/certs/ldap02_slapd_cert.pem
TLS_KEY         /etc/ssl/private/ldap02_slapd_key.pem
TLS_CACERT      /etc/ssl/certs/cacert.pem
</code>

Перезагружаем LDAP

<code>
/etc/init.d/slapd restart
</code>

===== 2. Перенос данных с основного LDAP сервера на резервный =====

Переходим на основной LDAP сервер, останавливаем LDAP, делаем резервную копию данных и запускаем LDAP.

<code>
cd /etc/ldap
/etc/init.d/slapd stop
slapcat -v -l backup.ldif
/etc/init.d/slapd start
</code>

Переносим файл backup.ldif на backup сервер в папку /etc/ldap.

Переходим на backup сервер.

Останавливаем LDAP

<code>
/etc/init.d/slapd stop
</code>

Прежде чем восстановить резервную копию данных необходимо очистить всё содержимое папки /var/lib/ldap

<code>
rm -f /var/lib/ldap/*
</code>

Восстанавливаем резервную копию данных и выполняем переиндексацию

<code>
cd /etc/ldap
sudo -u openldap slapadd -v -c -l backup.ldif
sudo -u openldap slapindex -v
</code>

Запускаем LDAP

<code>
/etc/init.d/slapd start
</code>

Для проверки восстановленных данных можно выполнить поиск

<code>
ldapsearch -x -b ou=Users,dc=citramon,dc=donetsk,dc=ua "uid=*"
</code>

в данном случае должны отобразиться все пользователи, если в ответ получаем всех пользователей из основного LDAP сервера то всё ок, данные перенесены успешно.

===== 3. Настраиваем репликацию LDAP =====

==== 3.1 Настройка репликаций на основном сервере LDAP ====

Создать файл provider_sync.ldif следующего содержания

<file>
# Добавление индексов в основную БД.
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: entryCSN eq
-
add: olcDbIndex
olcDbIndex: entryUUID eq

#Загрузка syncprov и accesslog модулей.
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: syncprov
-
add: olcModuleLoad
olcModuleLoad: accesslog

# Создание БД Accesslog
dn: olcDatabase={2}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap/accesslog
olcSuffix: cn=accesslog
olcRootDN: cn=admin,dc=example,dc=com
olcDbIndex: default eq
olcDbIndex: entryCSN,objectClass,reqEnd,reqResult,reqStart

# Добавление syncprov в БД Accesslog.
dn: olcOverlay=syncprov,olcDatabase={2}hdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
olcSpNoPresent: TRUE
olcSpReloadHint: TRUE

#  Добавление syncprov в основную БД
dn: olcOverlay=syncprov,olcDatabase={1}hdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
olcSpNoPresent: TRUE

# Добавление определения accesslog для основной БД
dn: olcOverlay=accesslog,olcDatabase={1}hdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcAccessLogConfig
olcOverlay: accesslog
olcAccessLogDB: cn=accesslog
olcAccessLogOps: writes
olcAccessLogSuccess: TRUE
# Сканировать БД accesslog каждый день, и удалять записи старше 7 дней
olcAccessLogPurge: 07+00:00 01+00:00
</file>

Вместо cn=admin,dc=example,dc=com подставьте своё значение.

Отредактируем файл /etc/apparmor.d/usr.sbin.slapd добавив в него:

<code>
/var/lib/ldap/accesslog/ r,
  /var/lib/ldap/accesslog/** rwk,
</code>

Создаём необходимую директорию, скопировать DB_CONFIG и перезагружаем профиль apparmor 

<code>
sudo -u openldap mkdir /var/lib/ldap/accesslog
sudo -u openldap cp /var/lib/ldap/DB_CONFIG /var/lib/ldap/accesslog/
sudo /etc/init.d/apparmor reload
</code>

Внесём изменения в БД LDAP

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f provider_sync.ldif
</code>

Перезагрузим LDAP

<code>
/etc/init.d/slapd restart
</code>

Всё основной сервер настроен на проведение репликаций.

==== 3.2 Настройка репликаций на резервном сервере LDAP ====

Создаём файл consumer_sync.ldif следующего содержания

<file>
#Load the syncprov module.
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: syncprov

# syncrepl specific indices
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: entryUUID eq
-
add: olcSyncRepl
olcSyncRepl: rid=0 provider=ldap://ldap01.example.com bindmethod=simple binddn="cn=admin,dc=example,dc=com" credentials=secret searchbase="dc=example,dc=com" logbase="cn=accesslog" logfilter="(&(objectClass=auditWriteObject)(reqResult=0))" schemachecking=on  type=refreshAndPersist retry="60 +" syncdata=accesslog starttls=yes
-
add: olcUpdateRef
olcUpdateRef: ldap://ldap01.example.com
</file>

В olcSyncRepl следующие значения поменяйте на свои

<code>
provider=ldap://ldap01.example.com — основной LDAP сервер, вместо  ldap01.example.com можно указать IP сервера

binddn="cn=admin,dc=example,dc=com" — админ LDAP основного сервера

credentials=secret — пароль админа LDAP основного сервера (здесь пароль secret)

searchbase="dc=example,dc=com" — база для репликаций
</code>

Так же поменяйте на своё значение olcUpdateRef.

Внесём изменения в БД LDAP

<code>
ldapadd -c -Y EXTERNAL -H ldapi:/// -f consumer_sync.ldif
</code>

Перезагружаем LDAP

<code>
/etc/init.d/slapd restart
</code>

==== 3.3 Проверка работы репликации ====

Допустим в LDAP присутствует пользователь test, выполним на backup сервере следующий запрос

<code>
ldapsearch -x -b ou=Users,dc=citramon,dc=donetsk,dc=ua "uid=test"
</code>

Результатом данного запроса будет информация по пользователю test, смотрим  значение параметра sn оно равно test, теперь заходим в gosa на основном сервере, открываем пользователя test для редактирования и меняем значение поля Last Name значение этого поля и есть значение параметра sn в LDAP, возвращаемся на backup сервер и снова выполняем запрос указанный выше, теперь значение параметра sn должно быть таким как вы указали его в gosa. Если всё так и есть то репликация работает.

На этом настройка LDAP окончена.

===== 4. Конфигурируем сервер на использование LDAP аутентификации =====

Устанавливаем необходимые пакеты

<code>
apt-get install libnss-ldap
</code>

На вопросы отвечаем следующим образом:

<code>
Should debconf manage LDAP configuration?: Yes
LDAP server Uniform Resource Identifier: ldaps://«hostname -f вашего сервера»
Distinguished name of the search base: dc=example,dc=com
LDAP version to use: 3
Make local root Database admin: Yes
Does the LDAP database require login? No
LDAP account for root: cn=admin,dc=example,dc=com
LDAP root account password: secret
</code>

Если в процессе ответов на вопросы вы ошиблись, исправить можно запустив переконфигурацию пакета ldap-auth-config командой

<code>
dpkg-reconfigure ldap-auth-config
</code>

Вносим изменения в аутентификацию на сервере

<code>
auth-client-config -t nss -p lac_ldap
</code>

Настраиваем pam аутентификацию, для этого выполняем

<code>
pam-auth-update
</code>
и активируем профили аутентификации LDAP и UNIX.

===== 5. Конфигурируем samba =====

Устанавливаем необходимые пакеты

<code>
apt-get install samba samba-doc
</code>

Идём в /etc/samba и делаем копию дефолтного конфига

<code>
cp smb.conf smb.conf.orig
</code>

Ниже приведу конфиг моей самбы:

<file>
[global]
        server string =
        workgroup = EXAMPLE
        netbios name = bdc
#=================================================================================
        passdb backend = ldapsam:ldap://localhost
        obey pam restrictions = no
        security = user
        encrypt passwords = true
        unix extensions  = no
#=================================================================================
        local master = yes
        os level = 250
        domain master = no
        preferred master = yes
        time server = yes
        admin users = admins
#=================================================================================
        log level = 1
        log file = /var/log/samba/workstations/%m.log
        max log size = 50
#=================================================================================
        socket options = SO_KEEPALIVE IPTOS_LOWDELAY TCP_NODELAY SO_RCVBUF=16384 SO_SNDBUF=16384
        getwd cache = yes
        read raw = yes
        write raw = yes
        max xmit = 65536
        wins support = yes
        wins proxy = yes
        dns proxy = no
        name resolve order = wins hosts bcast lmhosts
        wide links = yes
        hosts allow = 192.168. 127.0.0.1 127.0.1.1
        hosts deny = 0.0.0.0/0
        idmap uid = 10000-20000
        idmap gid = 10000-20000
#=================================================================================
        logon script = %U.cmd
        logon path =

        ldap suffix = dc=example,dc=com
        ldap user suffix = ou=Users
        ldap group suffix = ou=Groups
        ldap machine suffix = ou=Computers
        ldap idmap suffix = ou=Idmap
        ldap admin dn = cn=admin,dc=example,dc=com
        ldap ssl = start tls
        ldap passwd sync = yes
        ldap delete dn = no
        domain logons = yes
        
        invalid users = root
        load printers = no
        enhanced browsing = Yes
        remote announce = «IP PDC сервера»/EXAMPLE
#=================================================================================
[netlogon]
        comment = Network logon service
        path = /etc/samba/netlogon
        writable = yes
        browseable = no
        guest ok = yes
#=========Шары описываем сами :)====================================================
</file>

Создаём необходимые каталоги, в моём случае это 

<code>
mkdir /var/log/samba/workstations/
mkdir /etc/samba/netlogon/
</code>

Перезагружаем  smbd

<code>
service smbd restart
</code>

Перезагружаем  nmbd

<code>
service nmbd restart
</code>

Теперь samba необходимо указать пароль админа LDAP

<code>
smbpasswd -w secret
</code>
вместо secret поставьте ваш пароль.

Устанавливаем пароль админу samba такой же как на PDC

<code>
smbpasswd -a admins
</code>

Извлекаем SID домена EXAMPLE из главного контроллера домена

<code>
net rpc getsid
</code>

Добавляем BDC в домен EXAMPLE

<code>
net rpc join -S pdc -U admins%password
(здесь «pdc» это netbios name главного контроллера домена)
</code>

Проверяем как работает samba для этого получим список групп в домене

<code>
net groupmap list
</code>

ответом должно быть

<code>
Domain Admins (S-1-5-21-2302747472-2920907650-383109413-512) -> Domain Admins
Domain Users (S-1-5-21-2302747472-2920907650-383109413-513) -> Domain Users
Domain Guests (S-1-5-21-2302747472-2920907650-383109413-514) -> Domain Guests
Domain Computers (S-1-5-21-2302747472-2920907650-383109413-515) -> Domain Computers
Administrators (S-1-5-32-544) -> Administrators
Account Operators (S-1-5-32-548) -> Account Operators
Print Operators (S-1-5-32-550) -> Print Operators
Backup Operators (S-1-5-32-551) -> Backup Operators
Replicators (S-1-5-32-552) -> Replicators
...И все остальные группы из LDAP...
</code>

Дадим группе Domain Admins права администратора домена
для этого выполним следующее:

<code>
net rpc rights grant "Domain Admins" SeMachineAccountPrivilege SeTakeOwnershipPrivilege \
SeBackupPrivilege SeRestorePrivilege SeRemoteShutdownPrivilege SePrintOperatorPrivilege \
SeAddUsersPrivilege SeDiskOperatorPrivilege -Uadmins%password
</code>
Ответом должно быть Successfully granted rights.

Всё настройка samba окончена.

===== 6. Настраиваем PhpLdapAdmin. =====

Для просмотра содержимого резервного LDAP сервера будем использовать phpldapadmin (хочу отметить что именно для просмотра, все изменения необходимо производить на основном LDAP сервере).

В настройке  phpldapadmin нет ничего сложного, итак приступим.

Заходим на сайт [[https://launchpad.net/ubuntu/+source/phpldapadmin/]] и скачиваем последнюю версию phpldapadmin

<code>
wget https://launchpad.net/ubuntu/+archive/primary/+files/phpldapadmin_1.2.0.5-2ubuntu1_all.deb
</code>

Устанавливаем необходимые пакеты

<code>
apt-get install php5-ldap
</code>

Устанавливаем phpldapadmin

<code>
dpkg -i phpldapadmin_1.2.0.5-2ubuntu1_all.deb
</code>

Переходим в директорию /etc/phpldapadmin

<code>
cd /etc/phpldapadmin
</code>

Редактируем файл config.php, находим в нём следующие строки и меняем на свои

<code>
$servers->setValue('server','name','My LDAP Server'); # название вашего LDAP сервера
$servers->setValue('server','base',array('dc=example,dc=com')); # база для подключения
$servers->setValue('login','bind_id','cn=admin,dc=example,dc=com'); # админ LDAP сервера
</code>

Перезагружаем apache

<code>
/etc/init.d/apache2 restart
</code>

Теперь можно заходить в phpldapadmin по адресу

<code>
http://«Ваш сервер»/phpldapadmin
</code>

Всё настройка законченна :)

Обсудить данную статью можно на [[http://forum.ubuntu.ru/index.php?topic=124332.0|форуме]].

===== 7. Перечень ссылок использованных при написании статьи: =====

https://help.ubuntu.com/10.04/serverguide/C/openldap-server.html#openldap-server-replication

http://www.lissyara.su/articles/freebsd/programms/samba+pdc+bdc+ldap/

http://www.server-world.info/en/note?os=Ubuntu_10.04&p=samba&f=6

===== 8. Статьи по теме =====

[[http://help.ubuntu.ru/wiki/samba_pdc_ldap_ubuntu_10_04|Настройка Samba 3 (PDC) + OpenLDAP 2.4 + Gosa 2.6.11 на базе Ubuntu 10.04 server]]

[[http://help.ubuntu.ru/wiki/postfix_dovecot_ldap_ubuntu_10_04|Настройка Postfix + Dovecot + Dovecot SASL + виртуальные пользователи в LDAP + roundcubemail c адресной книгой в LDAP]]

[[http://help.ubuntu.ru/wiki/amavis_clamav_dspam_ubuntu_10_04|Настройка Amavisd-new + ClamAV + Dspam]]

[[http://help.ubuntu.ru/wiki/roundcubemail_ubuntu_10_04|Настройка Roundcubemail c адресной книгой в LDAP]]

{{tag>samba server 10.04 ldap NEW Можно_улучшить HOWTO}}
HOW-TO: Настройка сервера Ubuntu 10.04 Samba 3 (BDC) + OpenLDAP 2.4 (Slave) + PhpLdapAdmin 1.2.0.5 Правка
