HOW-TO: Настройка Samba 3 (PDC) + OpenLDAP 2.4 + Gosa 2.6 на базе Ubuntu 10.04 server

Эта страница только для чтения. Вы можете посмотреть исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
======HOW-TO: Настройка Samba 3 (PDC) + OpenLDAP 2.4 + Gosa 2.6.11 на базе Ubuntu 10.04  server======

С выходом Ubuntu 10.04 решил я перевести свои сервера на неё. Перевод начал с контроллера домена. Предыдущий контроллер домена представлял из себя Ubuntu 8.04, Samba3 (PDC) + OpenLDAP (Master), администрирование осуществлялось при помощи smbldap-tools. Как оказалось не всё так просто как хотелось, некоторые настройки претерпели серьёзные изменения и в добавок мне захотелось какую нибудь GUI для моего PDC. В процессе поиска GUI я наткнулся на Gosa. Меня вполне устроили возможности Gosa поэтому я остановил свой выбор на ней. Дабы не забыть как это всё настраивается я записал весь процесс настройки, собственно этими записями и решил поделится, может кому понадобиться. Это моя первая статья, так что сильно не пинайте :).

И так, имеется свежеустановленная Ubuntu 10.04 в процессе установки был выбран LAMP сервер, в связи с этим я здесь не буду описывать настройку apache2 + php5.

Все действия в этой статье выполняются от пользователя root.

Первым делом скачиваем Gosa 2.6.11 с оф. сайта, это последняя версия на момент написания статьи. В ней находится ряд схем которые понадобятся при настройке LDAP.

<code>
wget -P /tmp http://oss.gonicus.de/pub/gosa/gosa-combined-2.6.11.tar.bz2
</code>

Распаковываем содержимое архива 

<code>
tar xjf /tmp/gosa-combined-2.6.11.tar.bz2 -C /tmp
</code>

Копируем в /usr/share/gosa

<code>
cp -R /tmp/gosa-2.6.11 /usr/share/gosa
</code>

Создаём каталоги необходимые Gosa

<code>
mkdir /etc/gosa && mkdir /var/spool/gosa && mkdir /var/cache/gosa
</code>

Разрешим группе www-data запись в каталоги

<code>
chown root:www-data /var/spool/gosa && chmod 775 /var/spool/gosa
chown root:www-data /var/cache/gosa && chmod 770 /var/cache/gosa
</code>

===== 1. Приступаем к настройке LDAP. =====

Устанавливаем необходимые пакеты

<code>
apt-get install slapd ldap-utils
</code>

Подключаем базовые схемы

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/misc.ldif
</code>

Теперь нужно подключить схемы необходимые для работы Gosa и samba.

Копируем схему samba в каталог /etc/ldap/schema

<code>
cp /usr/share/gosa/contrib/openldap/samba3.schema /etc/ldap/schema/
</code>

Схему samba3.schema необходимо перевести в формат ldif.
Для этого переходим в каталог /etc/ldap 

<code>
cd /etc/ldap
</code>

и создаём файл schema_convert.conf 

<code>
> schema_convert.conf
</code>

следующего содержания:

<file>
include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.schema
include         /etc/ldap/schema/inetorgperson.schema
include         /etc/ldap/schema/openldap.schema
include         /etc/ldap/schema/nis.schema
include         /etc/ldap/schema/misc.schema
include         /etc/ldap/schema/samba3.schema
</file>

Затем создадим временный каталог и конвертируем в него схему

<code>
mkdir /tmp/ldif_output
slapcat -f schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={6}samba3,cn=schema,cn=config" > /tmp/cn=samba3.ldif
</code>

Переходим в каталог с полученной схемой

<code>
cd /tmp/
</code>

Далее приступаем к редактированию полученной схемы.
Открываем схему cn=samba3.ldif в вашем любимом редакторе (я пользуюсь редактором в mc) и приводим её к следующему виду

Редактируем заголовок:

было: 
<code>
dn: cn={6}samba3,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: {6}samba3
</code>

стало:
<code>
dn: cn=samba3,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: samba3
</code>

В конце схемы удаляем строки примерно следующего содержания

<code>
structuralObjectClass: olcSchemaConfig
entryUUID: 7ffcc302-2474-102f-8b3e-d5fe493c556a
creatorsName: cn=config
createTimestamp: 20100715155056Z
entryCSN: 20100715155056.239425Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20100715155056Z
</code>

То есть удаляем всё начиная с structuralObjectClass: и до конца файла.

Ну и на последок копируем и переименовываем файл схемы

<code>
cp /tmp/cn\=samba3.ldif /etc/ldap/schema/samba3.ldif
</code>

Далее необходимо подобным образом отредактировать все ldif файлы находящиеся в /usr/share/gosa/contrib/openldap/

<code>
cd /usr/share/gosa/contrib/openldap/
</code>

К примеру возьмём файл trust.ldif.

Было:
<file>
dn: cn={13}trust
objectClass: olcSchemaConfig
cn: {13}trust
olcAttributeTypes: {0}( 5.3.6.1.1.1.1.0 NAME 'trustModel' DESC 'Access scheme'
  EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5SubstringsMatch SYNTAX 1.3.6
 .1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: {1}( 5.3.6.1.1.1.1.1 NAME 'accessTo' DESC 'Access to which 
 servers user is allowed' EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5Subs
 tringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcObjectClasses: {0}( 5.3.6.1.1.1.2.0 NAME 'trustAccount' DESC 'Sets trust ac
 counts information' SUP top AUXILIARY MUST trustModel MAY accessTo )
structuralObjectClass: olcSchemaConfig
entryUUID: fbafdc48-f065-102e-960d-79233977c302
creatorsName: cn=config
createTimestamp: 20100510095600Z
entryCSN: 20100510095600.855485Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20100510095600Z
</file>

Стало:
<file>
dn: cn=trust,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: trust
olcAttributeTypes: {0}( 5.3.6.1.1.1.1.0 NAME 'trustModel' DESC 'Access scheme'
  EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5SubstringsMatch SYNTAX 1.3.6
 .1.4.1.1466.115.121.1.26 SINGLE-VALUE )
olcAttributeTypes: {1}( 5.3.6.1.1.1.1.1 NAME 'accessTo' DESC 'Access to which 
 servers user is allowed' EQUALITY caseIgnoreIA5Match SUBSTR caseIgnoreIA5Subs
 tringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcObjectClasses: {0}( 5.3.6.1.1.1.2.0 NAME 'trustAccount' DESC 'Sets trust ac
 counts information' SUP top AUXILIARY MUST trustModel MAY accessTo )
</file>

Теперь копируем их в каталог /etc/ldap/schema

<code>
cp /usr/share/gosa/contrib/openldap/*.ldif /etc/ldap/schema/ && cp /usr/share/gosa/contrib/openldap/*.schema /etc/ldap/schema/
</code>

Подключаем схемы в следующем порядке

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/trust.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/samba3.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gosystem.ldif 
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gofon.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/goto.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/goto-mime.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gosa-samba3.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/gofax.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/goserver.ldif
</code>

Переходим в каталог /etc/ldap

<code>
cd /etc/ldap
</code>

Создаём базу LDAP с которой в последствии и будем работать. Для этого создаём файл db.ldif 

<code>
>db.ldif 
</code>

следующего содержания:

<file>
dn: cn=module,cn=config
objectClass: olcModuleList
cn: module
olcModulepath: /usr/lib/ldap
olcModuleload: back_hdb

dn: olcDatabase={1}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {1}hdb
olcSuffix: dc=example,dc=com
olcDbDirectory: /var/lib/ldap
olcRootDN: cn=admin,dc=example,dc=com
olcRootPW: {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==
olcDbConfig: set_cachesize 0 2097152 0
olcDbConfig: set_lk_max_objects 1500
olcDbConfig: set_lk_max_locks 1500
olcDbConfig: set_lk_max_lockers 1500
olcDbIndex: objectClass eq
olcLastMod: TRUE
olcDbCheckpoint: 512 30
olcAccess: to attrs=sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet,userPassword by dn="cn=admin,dc=example,dc=com" write by anonymous auth by self write by * none
olcAccess: to attrs=shadowLastChange by self write by * read
olcAccess: to dn.base="" by * read
olcAccess: to dn.subtree="" by * read
olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read
</file>

Исправьте в созданном файле имя домена. Например, если ваш сервер называется servak.kontora.ru, то вам нужно заменить dc=example,dc=com на dc=kontora,dc=ru во всём тексте.

Установите пароль администратора  в соответствующей строке файла

olcRootPW: {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==                      
в данном примере пароль будет secret

для получения шифрованного пароля была использована утилита slappasswd, использовать её надо следующим образом 

<code>
slappasswd -h {<МЕТОД_ХЕШИРОВАНИЯ>} -s ПАРОЛЬ
</code>

Например

<code>
slappasswd -h {MD5} -s secret
</code>

Вывод: {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==

Запомните имя и пароль администратора - GOsa потом спросит.
Теперь загрузим эту конфигруацию:

<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f db.ldif
</code>

Далее включаем шифрование для нашего LDAP.

Устанавливаем пакет gnutls-bin

<code>
apt-get install gnutls-bin
</code>

Создаём ключ для Certificate Authority (CA)

<code>
sh -c "certtool --generate-privkey > /etc/ssl/private/cakey.pem"
</code>

Создаём файл /etc/ssl/ca.info 

<code>
cd /etc/ssl && >ca.info 
</code>

следующего содержания

<file>
cn = Example Company
ca
cert_signing_key
</file>

Example Company меняем на своё

Теперь создаём self-signed CA сертификат

<code>
certtool --generate-self-signed --load-privkey /etc/ssl/private/cakey.pem \
--template  /etc/ssl/ca.info --outfile /etc/ssl/certs/cacert.pem
</code>

Создаём закрытый ключ для нашего сервера
При создании замените ldap01 на hostname вашего сервера

<code>
sh -c "certtool --generate-privkey > /etc/ssl/private/ldap01_slapd_key.pem"
</code>

Чтобы подписать сертификат сервера с СА, создадим файл /etc/ssl/ldap01.info 

<code>
>/etc/ssl/ldap01.info 
</code>

следующего содержания (При создании замените ldap01 на hostname вашего сервера):

<file>
organization = Example Company
cn = ldap01.example.com
tls_www_server
encryption_key
signing_key
</file>

Example Company меняем на своё
ldap01.example.com меняем на  hostname_вашего _сервера .ваш.домен

Создаём сертификат для сервера (При создании замените ldap01 на hostname вашего сервера)

<code>
certtool --generate-certificate --load-privkey /etc/ssl/private/ldap01_slapd_key.pem \
--load-ca-certificate /etc/ssl/certs/cacert.pem --load-ca-privkey /etc/ssl/private/cakey.pem \
--template /etc/ssl/ldap01.info --outfile /etc/ssl/certs/ldap01_slapd_cert.pem
</code>

Теперь мы имеем certificate, key, и CA cert для установки, используем утилиту ldapmodify для добавления новых опций в конфигурацию

Вводим в консоли 

<code>
ldapmodify -Y EXTERNAL -H ldapi:///
</code>

затем вставляем следующее:
<code>
dn: cn=config
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/ldap01_slapd_cert.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/ldap01_slapd_key.pem
</code>

После чего жмём дважды enter должна появится надпись modifying entry "cn=config" и Ctrl+D для выхода.

Далее редактируем /etc/default/slapd опцию SLAPD_SERVICES

<code>
SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///"
</code>

Теперь пользователь openldap дорлжен иметь доступ к сертификату
(не забываем менять ldap01 на своё)

<code>
adduser openldap ssl-cert && chgrp ssl-cert /etc/ssl/private/ldap01_slapd_key.pem && chmod g+r /etc/ssl/private/ldap01_slapd_key.pem
</code>

Перезагружаем LDAP

<code>
/etc/init.d/slapd restart
</code>

Если после перезагрузки ldap не запустился, а  в syslog присутствует main: TLS init def ctx failed: -1, это ошибка конфигурации, проверьте содержимое файла /etc/ldap/slapd.d/cn=config.ldif правильно ли в нём указаны пути и названия сертификатов и убедитесь в том что группа ssl-cert имеет возможность читать закрытый ключ /etc/ssl/private/ldap01_slapd_key.pem

Теперь добавим индексы для samba

<code>
cd /etc/ldap
</code>

Создаём samba_indexes.ldif 

<code>
>samba_indexes.ldif 
</code>

следующего содержания:

<file>
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: uidNumber eq
olcDbIndex: gidNumber eq
olcDbIndex: loginShell eq
olcDbIndex: uid eq,pres,sub
olcDbIndex: memberUid eq,pres,sub
olcDbIndex: uniqueMember eq,pres
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub
</file>

Добавляем в базу

<code>
ldapmodify -Y EXTERNAL -H ldapi:/// -f samba_indexes.ldif
</code>

Добавим индексы для gosa

Создаём gosa_indexes.ldif 

<code>
>gosa_indexes.ldif 
</code>

следующего содержания:

<file>
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: mail eq,sub
olcDbIndex: gosaMailAlternateAddress,gosaMailForwardingAddress eq
olcDbIndex: cn,sn,givenName,ou pres,eq,sub
olcDbIndex: gosaSubtreeACL,gosaObject,gosaUser pres,eq
olcDbIndex: displayName eq
olcDbIndex: ipHostNumber eq
olcDbIndex: postfixMyDestinations eq
olcDbIndex: entryCSN eq
olcDbIndex: entryUUID eq
olcDbIndex: displayName eq
olcDbIndex: ipHostNumber eq
olcDbIndex: postfixMyDestinations eq
</file>

Добавляем в базу

<code>
ldapmodify -Y EXTERNAL -H ldapi:/// -f gosa_indexes.ldif
</code>

Редактируем /etc/ldap/ldap.conf
Указываем суффикс базы, в данном случае это dc=example,dc=com

<code>
BASE	dc=example,dc=com
URI     ldap://localhost ldaps://«hostname -f вашего сервера»
TLS_CACERT      /etc/ssl/certs/cacert.pem
</code>

Перезагружаем LDAP

<code>
/etc/init.d/slapd restart
</code>

Всё настройка LDAP окончена.

===== 2. Конфигурируем сервер на использование LDAP аутентификации =====

Устанавливаем необходимые пакеты

<code>
apt-get install libnss-ldap
</code>

На вопросы отвечаем следующим образом:

<code>
Should debconf manage LDAP configuration?: Yes
LDAP server Uniform Resource Identifier: ldaps://«hostname -f вашего сервера»
Distinguished name of the search base: dc=example,dc=com
LDAP version to use: 3
Make local root Database admin: Yes
Does the LDAP database require login? No
LDAP account for root: cn=admin,dc=example,dc=com
LDAP root account password: secret
</code>

Если в процессе ответов на вопросы вы ошиблись, исправить можно запустив переконфигурацию пакета ldap-auth-config командой

<code>
dpkg-reconfigure ldap-auth-config
</code>

Вносим изменения в аутентификацию на сервере

<code>
auth-client-config -t nss -p lac_ldap
</code>

Настраиваем pam аутентификацию, для этого выполняем

<code>
pam-auth-update
</code>
и активируем профили аутентификации LDAP и UNIX.

===== 3. Заполняем нашу базу в LDAP и настраиваем samba =====

Устанавливаем необходимые пакеты

<code>
apt-get install samba samba-doc smbldap-tools
</code>

Настраиваем smbldap-tools.

Запускаем скрипт конфигурации  smbldap-tools

<code>
gzip -d /usr/share/doc/smbldap-tools/configure.pl.gz
perl /usr/share/doc/smbldap-tools/configure.pl
</code>

И начинаем отвечать на вопросы:

<code>
Samba Configuration File Path [/etc/samba/smb.conf] >
(Путь к конфиг файлу samba, если нажать enter будет указан путь поумолчанию который находится в квадратных скобках)

Smbldap-tools Configuration Directory Path [/etc/smbldap-tools/] >
(Место нахождения конфигов Smbldap-tools)

workgroup name [WORKGROUP] >  EXAMPLE
(Имя рабочей группы samba в нашем случает это сокращённое имя домена)

netbios name [] > pdc
(netbios имя samba, указываем имя нашего сервера)

logon drive [] >
(Локальный каталог, который будет играть роль домашнего каталога пользователя, например Н:)

logon home (press the "." character if you don't want homeDirectory) [\\pdc\%U] > .
(Подключение домашнего каталога пользователя, можно поставить « . » точку если не хотим подключать домашний каталог)

logon path (press the "." character if you don't want roaming profile) [\\svarog\profiles\%U] >.
(Путь к каталогу с профилями пользователей, « . » точка если не хотим чтоб профили загружались по сети)

home directory prefix (use %U as username) [/home/%U] >/bin/false
(Путь к домашней директории пользователя, в нашем случае у пользователя нет домашней директории)

default users' homeDirectory mode [700] > 
(Права на домашнюю директорию пользоватля)

default user netlogon script (use %U as username) [] >
(Скрипт который будет выполняться при аутентификации пользователя, %U — логин пользователя)

default password validation time (time in days) [45] >.
(Время жизни пароля пользователя в днях, через указанное количество дней пароль должен быть сменён, « . » точка — время жизни пароля неограниченно)

ldap suffix [] > dc=example,dc=com
(суффикс базы LDAP)

ldap group suffix [] > ou=Groups
(Группы в LDAP)

ldap user suffix [] > ou=Users
(Пользователи в LDAP)

ldap machine suffix [] > uo=Computers
(Компьютеры в LDAP)

Idmap suffix [ou=Idmap] >
(строка указывает, где находятся значения Idmap (используется, если сервер Samba является членом домена))

sambaUnixIdPooldn object (relative to ${suffix}) [sambaDomainName=EXAMPLE] > 
(параметр, описывающий где хранятся следующие свободные uidNumber и gidNumber )

 ldap master server [] > 127.0.0.1
(Основной сервер LDAP)

ldap master port [389] >
(Порт на котором работает LDAP)

ldap master bind dn [] > cn=admin,dc=example,dc=com
(Админ сервера LDAP)

ldap master bind password [] > secret
(Пароль админа сервера LDAP, в нашем случае secret)

ldap slave server [] > 127.0.0.1
(Вторичный сервер LDAP)

ldap slave port [389] >
(Порт вторичного сервера LDAP)

ldap slave bind dn [] > cn=admin,dc=example,dc=com
(Админ вторичного сервера LDAP)

ldap slave bind password [] >secret
(Пароль админа вторичного сервера LDAP, «secret»)

ldap tls support (1/0) [0] >1
(использовать tls или нет, в нашем случае используем)

How to verify the server's certificate (none, optional or require) [require] >
(вид проверки сертификата (нет, опционально или требовать))

CA certificate file [/etc/smbldap-tools//ca.pem] > /etc/ssl/certs/cacert.pem
(файл повышенной защищенности (дословно PEM-format file) включающий сертификат для CA которым будет доверять slapd)

certificate to use to connect to the ldap server [/etc/smbldap-tools//smbldap-tools.pem] > /etc/ssl/certs/ldap01_slapd_cert.pem
(файл, содержащий клиентский сертификат)

key certificate to use to connect to the ldap server [/etc/smbldap-tools//smbldap-tools.key] > /etc/ssl/private/ldap01_slapd_key.pem
(файл, содержащий приватный ключ, который соответствует клиентскому сертификату)

SID for domain WORKGROUP [S-1-5-21-2252343921-2211050572-3431777101] >
(идентификатор безопасности домена, у вас будет свой)

unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA) [SSHA] > MD5
(способ хэширования паролей пользователей)

default user gidNumber [513] > 
(по умолчанию основная группа для учетных записей пользователей)

 default computer gidNumber [515] > 
(по умолчанию основная группа для компьютеров)

default login shell [/bin/bash] >
(оболочка пользователя по умолчанию)

default skeleton directory [/etc/skel] >
(место, где находится <<скелетная>> директория, являющаяся шаблоном для директорий пользователей, эта опция используется лишь в том случае, если вы явно укажете создать домашнюю директорию пользователя в ходе создания нового пользователя)

default domain name to append to mail adress [] >
(домен, добавляемый к атрибуту пользователя "mail")
</code>

Теперь нам необходимо проверить SID нашего домена.
Для этого делаем следующее, набираем команду

<code>
net getlocalsid hostname_вашего_сервера
</code>

ответом должна быть строка следующего вида

<code>
SID for domain hostname_вашего_сервера is: S-1-5-21-2252343921-2211050572-3431777101
</code>

Теперь идём в файл /etc/smbldap-tools/smbldap.conf
находим там опцию SID и проверяем, должно совпадать с тем что мы получили выше.

Если при конфигурировании на вопрос «default password validation time (time in days) [45] >» вы поставили « . » точку, тогда ищем опцию 

<code>
defaultMaxPasswordAge="" 
</code>
и комментируем её.

Находим 

<code>
crypt_salt_format="" 
</code>

и меняем на 

<code>
crypt_salt_format="$1$%.8s"
</code>

Заполняем базу LDAP.

Необходимо узнать администратора samba, для этого выполняем команду

<code>
pdbedit -Lw
</code>

Ответом должно показать двух пользователей, один из них nobody а второй и есть администратор samba (в моём случае это admins)

<code>
nobody:65534:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:[U          ]:LCT-00000000:
admins:1000:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:[U          ]:LCT-00000000:
</code>

Формируем ldif файл sambadb.ldif

<code>
smbldap-populate -a admins -e /etc/ldap/sambadb.ldif
</code>
Вместо admins указываете своего админа samba.

Переходим в /etc/ldap 

<code>
cd /etc/ldap
</code>

Необходимо отредактировать sambadb.ldif
Выполняем команду 

<code>
pdbedit -Lw admins -v
</code>

Ищем «User SID», записываем его (копируем или запоминаем :) ), далее открываем sambadb.ldif для редактирования, ищем описание администратора, начинается оно так

<code>
dn: uid=admins,ou=Users,dc=example,dc=com
</code>

ищем в описании sambaSID и меняем его значение на то что получили выше. 

Я ещё сделал следующее, поменял значение gidNumber и uidNumber на 1000, прописал homeDirectory: /home/admins и loginShell: /bin/sh (это значения локального пользователя admins), и в описании домена 

<code>
dn: sambaDomainName=EXAMPLE,dc=example,dc=com
</code>

изменил  gidNumber и uidNumber на 1001.
Думаю вы можете этого не делать.

Заполняем нашу базу

<code>
ldapadd -x -D cn=admin,dc=example,dc=com -W -f sambadb.ldif
</code>

Устанавливаем пароль администратору samba в LDAP

<code>
smbldap-passwd -a admins
</code>

Добавим нового пользователя

<code>
smbldap-useradd -a -P username
</code>

Перезагружаем сервер

<code>
reboot
</code>

Теперь проверим видит наш сервер пользователей в LDAP или нет, для этого можно попробовать войти в систему под ново созданным пользователем username или в mc выбрав любой файл перейти в меню Файл → Права (расширенные) и развернуть список групп, там должны быть все группы из LDAP которые мы добавили при заполнении базы, такие как Domain Admins, Domain Users и т.д.

Переходим к конфигурированию samba.
Идём в /etc/samba 

<code>
cd /etc/samba 
</code>
и делаем копию дефолтного конфига

<code>
cp smb.conf smb.conf.orig
</code>

Ниже приведу конфиг моей самбы:

<file>
[global]
        server string =
        workgroup = EXAMPLE
        netbios name = pdc
#=========================================================
        passdb backend = ldapsam:ldap://localhost
        obey pam restrictions = no
        security = user
        encrypt passwords = yes
        unix extensions  = no
#=========================================================
        local master = yes
        os level = 255
        domain master = yes
        preferred master = yes
        time server = yes
        admin users = admins
#=========================================================
        log level = 1
        log file = /var/log/samba/workstations/%m.log
        max log size = 50
#=========================================================
        socket options = SO_KEEPALIVE IPTOS_LOWDELAY TCP_NODELAY SO_RCVBUF=16384 SO_SNDBUF=16384
        getwd cache = yes
        read raw = yes
        write raw = yes
        max xmit = 65536
        wins support = yes
        wins proxy = yes
        dns proxy = no
        name resolve order = wins hosts bcast lmhosts
        wide links = yes
        hosts allow = 192.168. 127.0.0.1 127.0.1.1
        hosts deny = 0.0.0.0/0
        idmap uid = 10000-20000                                                                                                                                                     
        idmap gid = 10000-20000                                                                                                                                                     
#=========================================================                                                                                       
        ldap suffix = dc=example,dc=com
        ldap user suffix = ou=Users
        ldap group suffix = ou=Groups
        ldap machine suffix = ou=Computers
        ldap idmap suffix = ou=Idmap
        ldap admin dn = cn=admin,dc=example,dc=com
        ldap ssl = start tls
        ldap passwd sync = yes
        ldap delete dn = no                                                                                                                                                         
       add machine script = sudo /usr/sbin/smbldap-useradd -t 0 -w "%u"
       passwd program = /usr/sbin/smbldap-passwd %u                                                                                                                                
      passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authentication*tokens*updated*                                                                            
       
       domain logons = yes
       invalid users = root
       load printers = no
#=========Шары описываем сами :)========================
</file>

Создаём необходимые каталоги, в моём случае это 

<code>
mkdir /var/log/samba/workstations/
</code>

Перезагружаем  smbd

<code>
service smbd restart
</code>

Теперь samba необходимо указать пароль админа LDAP

<code>
smbpasswd -w secret
</code>
вместо secret поставьте ваш пароль.

Устанавливаем пароль админу samba такой же как установили в LDAP командой smbldap-passwd

<code>
smbpasswd -a admins
</code>

Перезагружаем  nmbd

<code>
service nmbd restart
</code>

Проверяем как работает samba для этого получим список групп в домене

<code>
net groupmap list
</code>

ответом должно быть

<code>
Domain Admins (S-1-5-21-2302747472-2920907650-383109413-512) -> Domain Admins
Domain Users (S-1-5-21-2302747472-2920907650-383109413-513) -> Domain Users
Domain Guests (S-1-5-21-2302747472-2920907650-383109413-514) -> Domain Guests
Domain Computers (S-1-5-21-2302747472-2920907650-383109413-515) -> Domain Computers
Administrators (S-1-5-32-544) -> Administrators
Account Operators (S-1-5-32-548) -> Account Operators
Print Operators (S-1-5-32-550) -> Print Operators
Backup Operators (S-1-5-32-551) -> Backup Operators
Replicators (S-1-5-32-552) -> Replicators
</code>

Всё настройка samba окончена.
Пробуем добавить виндовую машину в домен. 
Если всё ок продолжаем настраивать дальше.

===== 4. Назначаем права администратору домена и добавляем сервер в домен =====

Дадим группе Domain Admins права администратора домена
для этого выполним следующее:

<code>
net rpc rights grant "Domain Admins" SeMachineAccountPrivilege SeTakeOwnershipPrivilege \
SeBackupPrivilege SeRestorePrivilege SeRemoteShutdownPrivilege SePrintOperatorPrivilege \
SeAddUsersPrivilege SeDiskOperatorPrivilege -Uadmins%secret
</code>
Ответом должно быть Successfully granted rights.

Теперь любой пользователь входящий в эту группу будет иметь права администратора домена.

Добавим наш сервер в домен

<code>
net rpc join -U admins%secret
</code>
Ответом должно быть Joined domain EXAMPLE.

Проверить добавлен сервер в домен или нет можно командой 

<code>
net rpc testjoin
</code>

Ответом должно быть Join to 'EXAMPLE' is OK

Команды для администрирования samba c помощью smbldap-tools

Добавление пользователя: smbldap-useradd -a -P username
Удаление пользователя: smbldap-userdel username
Добавление группы: smbldap-groupadd -a groupname
Добавление пользователя в группу: smbldap-groupmod -m username groupname
Удаление пользователя из группы: smbldap-groupmod -x username groupname
Добавление компьютера в домен: smbldap-useradd -t 0 -w username
Установить основную группу пользователя: smbldap-usermod -g groupname username

Если для администрирования будет использоваться Gosa то этими командами пользоваться нельзя, так так пользователей и группы добавленные этими командами Gosa видеть не будет.

===== 5. Настраиваем Gosa. =====

Создадим в каталоге /etc/apache2/conf.d файл gosa 

<code>
>/etc/apache2/conf.d/gosa 
</code>

следующего содержания:

<file>
Alias /gosa /usr/share/gosa/html
<IfModule mod_php5.c>
   <Location /gosa>
     php_admin_flag engine on
     php_admin_flag register_globals off
     php_admin_flag allow_call_time_pass_reference on
     php_admin_flag expose_php off
     php_admin_flag zend.ze1_compatibility_mode off
     php_admin_flag register_long_arrays off
     php_admin_flag magic_quotes_gpc on
   </Location>
</IfModule>
</file>

Устанавливаем необходимые php модули

<code>
apt-get install php5-cli php5-common php5-gd php5-imagick php5-imap php5-ldap \
php5-memcache php5-mhash php5-mysql php5-pgsql php5-recode php5-snmp php5-sqlite
</code>

Перезагружаем apache

<code>
/etc/init.d/apache2 restart
</code>

Заходим на сервер через браузер 
<code>
http://ваш_сервер/gosa
</code>
и приступаем к конфигурации:

**Welcome**

Здесь вас попросят выполнить непосредственно на сервере команду приблизительно следующего содержания

<code>
echo -n jkru9iqn9de354u32kcou43dt3 > /tmp/gosa.auth
</code>
команда указана на странице. 

**Language setup**

Выбираем язык интерфейса. К сожалению перевод на русский ещё не закончен поэтому при выборе русского интерфейс будет русско-английский

**Installation check**

Здесь выполняется проверка модулей РНР если имеются error их необходимо исправить, до установив недостающие модули, прежде чем продолжить дальнейшее конфигурирование.

**License**

Раздел лицензии. Естественно нужно принять :)

**LDAP setup**

Здесь указываются настройки для соединения с LDAP.

//Местоположение// — пишем что хотим

//Connection URL// - ldap://localhost:389

//TLS connection// — yes

//Ветка// — dc=exampe,dc=com

//DN администратора// — cn=admin

//Пароль администратора// — secret

//Ставим галочку на «Automatically append LDAP base to admin DN»//

//Use rfc2307bis compliant groups// — no

Поле Информация должна быть подсвечена зелёным.

**LDAP schema check**

Проверка схем LDAP.

//Enable schema validation when logging in// — yes
Check status должен быть Schema check succeeded  в противном случае что-то не так со схемами и это необходимо устранить прежде чем продолжить настройку.

**GOsa settings 1/3**

Настройки Gosa этап первый. Здесь я укажу только то что я изменил, все остальные настройки оставил как есть.

//People DN attribute// — uid

//People storage subtree// — ou=Users

//Group storage subtree// — ou=Groups

//Password encryption algorithm// — md5

**GOsa settings 2/3**

Настройки Gosa этап второй.

//Samba SID// — S-1-5-21-2252343921-2211050572-3431777101

//RID base// — 1000

//Workstation container// — ou=Computers

//Samba SID mapping// - yes

//Timezone// — ваша

//Enable Copy & Paste// - yes

**GOsa settings 3/3**

Настройки Gosa этап третий. Здесь я всё оставил как есть

**LDAP inspection**

Здесь Gosa проверяет базу LDAP.
Если есть ошибки или предупреждения их необходимо исправить, благо Gosa может это исправить самостоятельно. Для этого необходимо нажать на кнопку Migrate, а дальше либо  ещё раз  Migrate либо поставить галочки на нужных элементах и Применить.
Здесь же вам необходимо будет создать администратора gosa.

**Feedback**

Здесь я ничего не писал а просто нажал Next

**Готово**

Конфигурация Gosa законченна. Скачиваем конфигурационный файл нажатием на кнопку Download configuration и помещаем его на сервер в папку /etc/gosa, после чего назначаем ему права 

<code>
chown root:www-data /etc/gosa/gosa.conf
chmod 640 /etc/gosa/gosa.conf
</code>

и жмём Next.

Более подробно о всех этапах настройки можно почитать [[https://oss.gonicus.de/labs/gosa/wiki/InstallingGOsaSetup|здесь]].

После того как gosa.conf помещён в указанный каталог и ему присвоены необходимые права, жмём next и попадаем на страницу авторизации. Для входа используем логин и пароль админа gosa который был создан в разделе **LDAP inspection**.

Если после указания логина и пароля появляется страница с ошибкой

<code>
Fatal error: Class 'opsiWare' not found in /usr/share/gosa/plugins/admin/opsi/class_opsiware.inc on line 4
</code>

Исправление данной ошибки приведено [[https://oss.gonicus.de/labs/gosa/changeset/18482|здесь]]  

Для исправления ошибки переходим в каталог

<code>
cd /usr/share/gosa/plugins/admin/opsi/
</code>

и редактируем файл class_opsiware.inc. Перемещаем классы

<code>
class opsiSoftware extends opsiWare
{
	protected $type = 0;
}

class opsiHardware extends opsiWare
{
	protected $type = 1;
}
</code>

с начала файла в конец, перед строкой
<code>
// vim:tabstop=2:expandtab:shiftwidth=2:filetype=php:syntax:ruler:
</code>

В результате конец файла должен выглядеть так
<code>
	}
}

class opsiSoftware extends opsiWare
{
	protected $type = 0;
}

class opsiHardware extends opsiWare
{
	protected $type = 1;
}
// vim:tabstop=2:expandtab:shiftwidth=2:filetype=php:syntax:ruler:
</code>

Теперь создадим дополнительные каталоги, чтоб в gosa не появлялись предупреждения 

<code>
mkdir /etc/gosa/asterisk && touch /etc/gosa/asterisk/sip_context.conf && touch /etc/gosa/asterisk/voicemail_context.conf
</code>

Вместо создания каталогов можно удалить плагин  asterisk, но я не стал на этом заморачиваться.

Ну вот и всё, настройка Gosa законченна.

Попробуем создать пользователя при помощи Gosa.

Заходим в gosa, в разделе Administration выбираем пункт Пользователи. Далее выбираем Действия — Создать — Пользователь. На открывшейся странице есть три обязательных поля 
//Last name// — фамилия пользователя, 
//First name// — Имя пользователя, 
//Имя пользователя// — логин пользователя, который будет использоваться для авторизации
указываем их, далее переходим на вкладку Unix и жмём кнопку Add Posix settings, здесь указываем Домашний каталог, в моём случае это /bin/false. Переходим на вкладку Samba, жмём кнопку Add samba settings, на этой вкладке я ничего не изменял. В низу страници жмём Ок, вас попросят задать пароль пользователя, указываем новый пароль и подтверждение, жмём изменить пароль. Всё пользователь создан.

Также необходимо открыть администратора samba перейти на вкладку Samba и нажать кнопку Применить. Это нужно сделать  для внесения необходимых параметров для Gosa.

Если вам необходимо чтоб после создания, удаления, изменения пользователя выполнялся какой нибудь скрипт, то вам необходимо выполнить следующее:

Добавить в конец файла /etc/sudoers следующую строку

<code>
www-data ALL=(ALL) NOPASSWD:ALL
</code>

В /etc/gosa/gosa.conf находим комент <!-- User dialog --> ниже его идёт блок <usertabs> в котором описаны все вкладки диалога по созданию пользователя, к примеру вы хотите чтоб после создания пользователя создавался его домашний каталог, тогда необходимо изменить 

<code>
<tab class="user" name="Generic" />
</code>

на

<code>
<tab class="user" name="Generic" 
postcreate="/usr/bin/sudo /etc/gosa/scripts/createuserfolder.sh %uid" />
</code>

если необходимо чтоб ещё выполнялись скрипты при удалении и изменении пользователя то необходимо добавить следующее

<code>
<tab class="user" name="Generic" 
postcreate="/usr/bin/sudo /etc/gosa/scripts/createuserfolder.sh %uid" 
postremove="/usr/bin/sudo /etc/gosa/scripts/deleteuserfolder.sh %uid"
postmodify="/usr/bin/sudo /etc/gosa/scripts/usermodify.sh" />
</code>

//%uid// - это переменная подставляющая имя пользователя,  /etc/gosa/scripts/createuserfolder.sh - это полный путь к скрипту.

Скрипты должны иметь права 750 и быть доступны для группы www-data.

Если же вам необходимо чтоб скрипты выполнялись к примеру только при создании samba акаунта пользователя тогда вместо строки 

<code>
<tab class="sambaAccount" name="Samba"  /> 
</code>

необходимо изменить

<code>
<tab class="sambaAccount" name="Samba" 
     postcreate="/usr/bin/sudo /etc/gosa/scripts/createuserfolder.sh %uid" 
     postremove="/usr/bin/sudo /etc/gosa/scripts/deleteuserfolder.sh %uid" />
</code>

Если же хотим выполнять скрипты после создания, удаления, изменения группы то ищем комент  <!-- Group dialog --> и изменяем строку

<code>
<tab class="group" name="Generic" />
</code>

на

<code>
<tab class="group" name="Generic" 
postcreate="/usr/bin/sudo /etc/gosa/scripts/creategroupdir.sh %cn" />
</code>

//%cn// - это переменная подставляющая название группы

Ну вот собственно и всё.
Надеюсь кому нибудь эта информация пригодится 8-)

**P.S.** Gosa довольно мощный инструмент для администрирования, немного в нём покопавшись я обнаружил что в Gosa реализована возможность администрирования почтового сервера Postfix. Так, что я решил перевести свой почтовик на LDAP и администрировать его через Gosa. О том что у меня получилось я напишу в [[http://help.ubuntu.ru/wiki/postfix_dovecot_ldap_ubuntu_10_04|следующей]] статье 8-)

Обсудить данную статью можно на [[http://forum.ubuntu.ru/index.php?topic=123425.0|форуме]].

===== 6. Перечень ссылок использованных при написании статьи =====

https://help.ubuntu.com/10.04/serverguide/C/openldap-server.html

https://help.ubuntu.com/10.04/serverguide/C/samba-ldap.html

https://help.ubuntu.com/10.04/serverguide/C/samba-dc.html

https://oss.gonicus.de/labs/gosa/wiki/InstallingLdap.ru

https://oss.gonicus.de/labs/gosa/wiki/InstallingLdap

http://www.ultimateliga.com/article/linux/2605-ustanovka-gosa-dlja-upravlenija-ldap-kataloga-i.html

http://www.opennet.ru/base/net/smbldap_howto.txt.html

http://www.xakep.ru/post/43923/default.asp

http://www.rrcomputerconsulting.com/view.php?article_id=2

http://www.rrcomputerconsulting.com/view.php?article_id=3

https://oss.gonicus.de/labs/gosa/wiki/InstallingGOsa

https://oss.gonicus.de/labs/gosa/wiki/InstallingGOsaSetup

http://tudimon.com/2009/05/18/kontroller-domena-pdc-na-sambaopenldap.html

http://tudimon.com/2009/03/16/kontroller-domena-pdc-na-samba.html

http://diary.ru/~ldap

http://jriosgosa.blogspot.com/2007/03/gosa2-perfect-integration.html

http://www.opennet.ru/base/net/ldap_search_filter.txt.html

===== 7. Статьи по теме =====

[[http://help.ubuntu.ru/wiki/postfix_dovecot_ldap_ubuntu_10_04|Настройка Postfix + Dovecot + Dovecot SASL + виртуальные пользователи в LDAP + roundcubemail c адресной книгой в LDAP]]

[[http://help.ubuntu.ru/wiki/amavis_clamav_dspam_ubuntu_10_04|Настройка Amavisd-new + ClamAV + Dspam]]

[[http://help.ubuntu.ru/wiki/roundcubemail_ubuntu_10_04|Настройка Roundcubemail c адресной книгой в LDAP]]

[[http://help.ubuntu.ru/wiki/samba_bdc_ldap_ubuntu_10_04|Настройка сервера Ubuntu 10.04 Samba 3 (BDC) + OpenLDAP 2.4 (Slave) + PhpLdapAdmin 1.2.0.5]]

{{tag>samba server 10.04 ldap NEW Можно_улучшить HOWTO}}
HOW-TO: Настройка Samba 3 (PDC) + OpenLDAP 2.4 + Gosa 2.6 на базе Ubuntu 10.04 server Правка
