J.erome Tournier
Перевод Тренин Сергей, аkа greyzy
Версия : 1.7, от 22 апреля, 2008
Руководство применимо к версии smbldap-tools 0.9.3 (которое идет с пакетом версии 0.9.5, прим.перев.)
Оригинал документа является собственностью IDEALX (http://IDEALX.com), распространяется под условием лицензии GNU Free Documentation License (http://www.gnu.org/copyleft/fdl.html)
Обновление этого документа
Последняя версия этого документа может быть получена на странице проекта smbldap-tools по адресуhttp://gna.org/projects/smbldap-tools.
Содержание:
1. Ведение 2. Установка 3. Конфигурирование smbldap-tools 4. Использование скриптов- 4.1 Создание структуры каталога
4.2 Управление пользователями
- 4.2.1 Добавление пользователей
4.2.2 Удаление пользователей
4.2.3 Внесение изменений в учетную запись пользователя
- 6.1 Могу ли я использовать старые версии uidNumber и gidNumber?
6.2 Я получаю ошибку «Can’t locate IO/Socket/SSL.pm»
6.3 Я не могу создать начальную структуру каталога при помощи
smbldap-populate6.4 Я не могу присоединить компьютер к домену с аккаунтом суперпользователя
6.5 Класс объекта sambaSamAccount есть, но я не могу авторизоваться
6.6 Я хочу создать учетную запись компьютера при вводе компьютера в домен, но это не работает, сначала приходится заводить учетную запись на сервере
6.7 Я не могу управлять базой данных Oracle
6.8 Программа установки пароля
/usr/local/sbin/smbldap-passwd -u %u не работает, или я получаю сообщение об ошибке, когда меняю пароль из под Windows6.9 Новой учетной записи компьютера нет в хранилище
cn=Computers6.10 Я подключился к домену, но я не могу авторизоваться
6.11 Я не могу создать пользователя, используя команду
smbldap-useradd, я получаю следующую ошибку:6.12 Я не могу создать пользователя, используя команду
smbldap-useradd, я получаю следующую ошибку:6.13 Типичные ошибки, возникающие при создании нового пользователя или группы
8. Приложения
- 8.1 Примеры конфигурационных файлов
- 8.1.1 Файл
/etc/smbldap-tools/smbldap.conf8.1.2 Файл
/etc/smbldap-tools/smbldap_bind.conf8.1.3 Файл
/etc/samba/smb.conf8.1.4 Файл
/etc/openldap/slapd.confldap admin dn в файле smb.conf)8.3 Известные ошибки
1. Введение
Smbldap-tools представляет из себя набор скриптов, обеспечивающий синхронную работу с базами данных пользователей, групп и компьютеров сервера Samba и LDAP каталога. Это инструмент как пользователей, так и администраторов систем Linux. Пользователи могут изменять их пароли так же, как и при использовании стандартной командыpasswd.1.1 Опробование
Инструмент smbldap-tools был опробован и протестирован на следующем программном обеспечении:- Linux CentOS4 (это будет работать на любой платформе);
- Samba release 3.0.10;
- OpenLDAP release 2.2.13;
- Microsoft Windows NT 4.0, Windows 2000 and Windows XP Workstations and Servers.
2. Установка
2.1 Требования к программному обеспечению
Основное требование для использования smbldap-tools является наличие двух модулей Net::LDAP и Crypt::SmbHash. В большинстве случаев, вам потребуется модуль IO-Socket-SSL Perl для использования TLS.Если вы хотите иметь возможность добавления, удаления, модификации пользователей и групп при помощи диспетчера пользователей под MS-Windows, сервер Samba и пакет smbldap-tools должны быть установлены на одном компьютере. Openldap может быть установлен на каком-либо другом компьютере. Но обязательно проверьте, чтобы ваш LDAP-клиент мог подключиться к серверу LDAP.
В этом документе не обсуждается установка Samba и OpenLDAP (но пакет Samba должен быть установлен с поддержкой LDAP, прим.перев.).
2.2 Установка
Архив со скриптами smbldap-tools может быть загружен со страницы нашего проекта по адресуhttp://download.gna.org/smbldap-tools/packages. Так же здесь доступен архив для RadHat. Если вы получили версию, более новую, чем описана здесь, перед установкой прочитайте файл INSTALL.2.2.1 Установка из rpm-пакета
Если у вас не RadHat, загрузите архив smbldap-tools-0.9.3.tar.gz. Распакуйте и скопируйте все Perl-скрипты в директорию/usr/sbin/ , также создайте директорию /etc/smbldap-tools/ и скопируйте туда два конфигурационных файла: mkdir /etc/smbldap-tools/
cp *.conf /etc/smbldap-tools/
cp smbldap-* /usr/sbin/
Все конфигурирование smbldap-tools базируется на двух файлах:
- smbldap.conf определяет общие параметры;
- smbldap_bind.conf определяет административный аккаунт для связи с сервером LDAP.
Второй файл должен быть доступен для чтения только root. Установите такие права на эти файлы:
chmod 644 /etc/smbldap-tools/smbldap.conf
chmod 600 /etc/smbldap-tools/smbldap_bind.conf
3. Конфигурирование smbldap-tools
Как было сказано выше, для конфигурирования используется всего два файла. Первый –smbldap.conf – позволяет вам установить общие параметры, и он доступен на чтение любому. Второй – smbldap_bind.conf – определяет два административных аккаунта для связи с первичным и вторичным (главным и подчиненным) LDAP-серверами, вы должны позаботиться, чтобы он был доступен на чтение только суперпользователю root. Скрипт configure.pl, который вы можете найти в tarball или в директории с документацией (если установка была из prm-пакета) /usr/share/doc/smbldap-tools-0.9.3/, поможет вам заполнить эти файлы, выполните команду: /usr/share/doc/smbldap-tools-0.9.3/configure.pl
Вследствие выполнения этого скрипта, будут получены параметры файла smb.conf и записаны в файлы конфигурации smbldap-tools. Исходя из предназначения этого скрипта, очевидно, что файл smb.conf уже должен быть сконфигурирован должным образом. Остановить скрипт можно командой Ctrl+C.
Проверьте перед использованием этого скрипта, что:
- два конфигурационных файла smbldap-tools находятся в директории /etc/smbldap-tools/;
- ваш Samba-сервер сконфигурирован и запущен (так скрипт сможет получить SID вашего домена).
3.1 Файл smbldap.conf
Напоминаем, этот файл задает параметры, которые доступны для просмотра всем. Пример этого файла представлен в п. 8.1.1Давайте рассмотрим параметры этого файла:
UID START и GID START – недействующий параметр
- этот параметр должен быть удален или закомментирован;
- доступные uid и gid сейчас по умолчанию определяются в значении sambaUnixIdPooldn="sambaDomainName=$". Позже будут рассмотрены параметры, имеющие к этому отношение ${sambaDomain} и ${suffix}.
SID – идентификатор безопасности домена
- пример: SID="S-1-5-21-3703471949-3718591838-2324585696"
- примечание: вы можете получить SID, используя команду net getlocalsid, сервер Samba при этом должен быть запущен.
slaveLDAP – вторичный (подчиненный) LDAP сервер
- пример: slaveLDAP="127.0.0.1"
- примечание: должно быть указано разрешенное DNS имя или IP адрес
slavePort – порт для связи со вторичным сервером
- пример: slavePort="389"
masterLDAP – первичный (основной) LDAP server
- пример: masterLDAP="127.0.0.1"
masterPort – порт для связи с первичный сервером
- пример: masterPort="389"
ldapTLS – определяет, желаете ли вы использовать TLS соединение для связи с LDAP сервером
– пример: ldapTLS="1"
– примечание: LDAP сервер должен быть сконфигурирован для поддержки ТLS соединения. См. п. 5.2 документа «Samba-LDAP Howto» (http://download.gna.org/smbldap-tools/docs/samba-ldap-howto/). Если вы используете поддержку TLS, выберите порт 389 для соединения с первичным или вторичным сервером.
suffix – отличительное имя поиска по базе
- пример: suffix="dc=idealx,dc=com"
scope – поиск области.
- пример: scope="sub"
userLoginShell – оболочка пользователя по умолчанию
– пример: userLoginShell="/bin/bash"
– примечание: значение хранится в атрибуте loginShell (см. п. 8.2).
userHome – по умолчанию определяет, где будет находиться домашняя директория пользователя.
– пример: userHome="/home/%U"
– примечание: значение хранится в атрибуте homeDirectory (см. п. 8.2).
userGecos – описание учетной записи пользователя (в unix)
- пример: userGecos="System User"
defaultUserGid – по умолчанию основная группа для учетных записей пользователей
– пример: defaultUserGid="513"
– примечание: значение хранится в атрибуте gidNumber (см. п. 8.2).
defaultComputerGid – по умолчанию основная группа для компьютеров
– пример: defaultComputerGid="550"
– примечание: значение хранится в атрибуте gidNumber (см. п. 8.2).
skeletonDir – место, где находится «скелетная» директория, являющаяся шаблоном для директорий пользователей
– пример: skeletonDir="/etc/skel"
– примечание: эта опция используется лишь в том случае, если вы явно укажете создать домашнюю директорию пользователя в ходе создания нового пользователя
defaultMaxPasswordAge – параметр задает, через какое время (в днях) должен быть изменен пароль пользователя
- пример: defaultMaxPassword="55"
userProfile – общий ресурс Samba для хранения профилей пользователей
– пример: userProfile="\\PDC-SMB3\profiles\%U"
– примечание: значение хранится в атрибуте sambaProfilePath (см. п. 8.2).
userHomeDrive – буква диска, использующаяся в Windows для назначения домашней директории
– пример: userHomeDrive="K:"
userScript – по умолчанию имя скрипта, использующегося при входе пользователя в систему. Если не определено, автоматически будет использоваться скрипт username.cmd
– пример: userScript="%U"
– примечание: значение хранится в атрибуте sambaProfilePath.
mailDomain – домен, добавляемый к атрибуту пользователя ”mail”.
– пример: mailDomain="idealx.org"
with smbpasswd – параметр, устанавливающий, будет ли использоваться команда smbpasswd для установки пароля пользователя Samba (вместо утилиты mkntpwd).
– пример: with smbpasswd="0"
– примечание: значение может быть 0 или 1.
smbpasswd – путь, по которому находится smbpasswd
– пример: smbpasswd="/usr/bin/smbpasswd"
with slappasswd – параметр, устанавливающий, будет ли использоваться команда slappasswd для установки пароля пользователя Unix (вместо утилиты Crypt:: librairies)
– пример: with smbpasswd="0"
– примечание: значение может быть 0 или 1.
slappasswd – путь, по которому находится slappasswd
– пример: smbpasswd="/usr/sbin/slappasswd".
3.2 Файл smbldap_bind.conf
Напоминаем, что этот файл должен быть доступен для просмотра только суперпользователю. Файл используется при модификации базы данных LDAP каталога, он включает имя пользователя и его пароль, который имеет право подключаться к первичному и вторичному LDAP каталогу. Пример этого файла есть в п.8.1.2.Рассмотрим параметры этого файла.
slaveDN – отличительное имя, используемое для связи с вторичным сервером LDAP
– пример 1: slaveDN="cn=Manager,dc=idealx,dc=com"
– пример 2: slaveDN=""
– примечание: это может быть админисративная учетная запись каталога или другая учетная запись LDAP, которая имеет достаточные права для чтения всего каталога (база данных вторичного сервера используется только для чтения). Анонимные подключения подключаются, как показано в примере 2.
slavePw – пароль для доступа к вторичному серверу LDAP.
– пример 1: slavePw="secret"
– пример 2: slavePw=""
– примечание: пароль должен быть записан в незашифрованном виде. Файл должен быть доступен для чтения только суперпользователю root! Анонимные подключения конфигурируются по примеру 2.
masterDN – отличительное имя, используемое для связи с первичным сервером LDAP
– пример: masterDN="cn=Manager,dc=idealx,dc=com"
– примечание: это может быть административная учетная запись каталога или другая учетная запись LDAP, который имеет достаточные права для внесения изменений в базу данных LDAP. Анонимный доступ к первичному серверу не допускается.
masterPw – пароль пользователя с административными полномочиями
– пример: masterPw="secret"
– примечание: пароль должен быть записан в незашифрованном виде. Еще раз убедитесь, что доступ к файлу не имеют те, кто его не должен иметь.
4. Использование скриптов
4.1 Создание структуры каталога
Вы можете сделать начальную структуру LDAP каталога, используя скриптsmbldap-populate. Чтобы сделать это, проверьте, что учетная запись, описанная в файле /etc/smbldap-tools/smbldap_bind.conf, которая имеет полномочия для связи с первичный LDAP сервером, так же является административной учетной записью вашего LDAP каталога. Ключи, которые могут быть использованы при запуске скрипта smbldap-populate, представлены в таблице.
Таблица 1
Ключ
Описание действия ключа
Значение по умолчанию
-u uidNumber
первый uidNumber, который будет назначен
1000
-g gidNumber
первый gidNumber, который будет назначен
1000
-a user
Логин администратора
Administrator
-b user
Логин гостя
nobody
-e file
Экспорт файла инициализации
-i file
Импорт файла инициализации
В большинстве случаев для построения структуры LDAP каталога достаточно выполнить команду:
#smbldap-populate
Using builtin directory structure
Using the smbldap-tools scripts Revision : 1.7
adding new entry: dc=idealx,dc=com
adding new entry: ou=Users,dc=idealx,dc=com
adding new entry: ou=Groups,dc=idealx,dc=com
adding new entry: ou=Computers,dc=idealx,dc=com
adding new entry: ou=Idmap,dc=idealx,dc=org
adding new entry: cn=NextFreeUnixId,dc=idealx,dc=org
adding new entry: uid=Administrator,ou=Users,dc=idealx,dc=com
adding new entry: uid=nobody,ou=Users,dc=idealx,dc=com
adding new entry: cn=Domain Admins,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Domain Users,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Domain Guests,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Print Operators,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Backup Operators,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Replicator,ou=Groups,dc=idealx,dc=com
adding new entry: cn=Domain Computers,ou=Groups,dc=idealx,dc=com
После этого шага, если вы больше не хотите использовать учетную запись cn=Manager,dc=idealx,dc=com, вы можете создать специальную учетную запись для Samba и smbldap-tools. Для подробностей обратитесь к п.8.2.
Строка cn=NextFreeUnixId,dc=idealx,dc=org используется только для присвоения номеров uidNumber и gidNumber при создании новых пользователей и групп. По умолчанию нумерация (см. таб. 1) начинается с номера 1000. Для изменения этого числа используются ключи –u и –g. Например, если вы хотите, чтобы нумерация начиналась с числа 1500, при создании структуры каталога используйте такую команду:
#smbldap-populate -u 1500 -g 1500
4.2 Управление пользователями
4.2.1 Добавление пользователей
Для добавления пользователей используется скриптsmbldap-useradd. Ключи, которые могут быть использованы при его запуске, представлены в таблице 2. Пояснение: в четвертой колонке есть строки со значениями, которые начинаются с символа $. Значения таких ключей, если не назначены специально, берутся из файла /etc/smbldap-tools/smbldap.conf (с указанием секции этого файла).
Таблица 2
Ключ
Описание действия ключа
Пример
Значение по умолчанию
-a
Создать учетную запись Windows, без ключа будет создан Posix-аккаунт
-w
Создать учетную запись рабочей станции Windows
-i
Создать учетную запись пользователя домена, с которым установлено доверие, подробности см. в п. 4.4
-u
Назначить uid
-u 1003
Первый из доступных uid
-g
Назначить gid
-g 1003
Первый из доступных gid
-G
Добавить новую учетную запись в одну или несколько групп (несколько записываются через запятую)
-G 512,550
Без ключа –G все созданные аккаунты попадают в группу 513 (пользователи)
-d
Назначить домашнюю директорию
-d /var/user
$userHomePrefix /user
-s
Назначить оболочку (login shell)
-s /bin/ksh
$userLoginShell
-c
Добавить описание пользовательской учетной записи
-c “admin user”
$userGecos
-m
Создать домашнюю директорию пользователя и скопировать туда информацию из папки /etc/skel/
-k
Назначить «скелетную» директорию (используется без ключа -m)
-k /etc/skel2
$skeletonDir
-P
По окончании обратится к скрипту smbldap-passwd для установки пароля пользователя
-A
Установить, имеет ли право пользователь изменять пароль, 0 – нет, 1- да
-А 1
-B
Установить, должен ли пользователь изменить свой пароль после первого входа в систему, 0 – нет, 1 - да
-B 0
-C
Назначить домашнюю папку Samba
-С \\PDC\homes
$userSmbHome
-D
Установить букву диска, монтирующегося при входе пользователя в систему
-D H:
$userHomeDrive
-E
Установить скрипт, который будет выполняться при входе пользователя в систему
- E common.bat
$userScript
-F
Задать директорию с профилем пользователя
-F \\PDC\profiles\user
$userProfile
-H
Установить флаг учетной записи Samba, наподобие [NDHTUMWSLKI]
-H [X]
Например, флаг D означает, что учетная запись отключена, прим.перев.
-N
Установить реальное имя пользователя
-S
Установить фамилию пользователя
-M
Локальный электронный почтовый ящик (несколько записываются через запятую)
-M testuser,aliasuser
-T
Непосредственный электронный почтовый ящик (несколько записываются через запятую)
-T testuser@domain.org
Например, если вы хотите создать пользователя с именем user_admin, который:
- будет являться пользователем Windows
- должен входить в группу с gid=512 (группа в Windows «Domain Admins»);
- иметь домашнюю директорию;
- не иметь оболочки входа (login shell);
- домашняя директория которого будет находиться в папке /dev/null;
- не иметь перемещаемого профиля;
- и которому при создании мы установим пароль.
то следует ввести команду:
#smbldap-useradd -a -G 512 -m -s /bin/false -d /dev/null -F "" -P user_admin
Еще несколько примеров (из Интернет, прим.перев.):
#smbldap-useradd –a –m –M pupkin –c "vasya pupkin" pupkin
#smbldap-useradd -a –c "Serg Alex Lad" -N "Serg Alex" -S "Lad" -s /bin/bash ladserg
4.2.2 Удаление пользователей
Для удаления учетной записи пользователя используется скриптsmbldap-userdel, в таблице 3 представлены доступные ключи запуска: Таблица 3
Ключ
Описание действия ключа
-r
Удалить домашнюю директорию (не спрашивая)
-R
Удалить домашнюю директорию в диалоговом режиме
Например, если вы хотите удалить пользователя user1 из LDAP каталога, и если вы также хотите удалить его домашнюю директорию, выполните команду:
#smbldap-userdel -r user1
Примечание: с осторожностью используйте ключ -r, посредством его применения вы можете лишиться ценных незарезервированных данных.
4.2.3 Внесение изменений в учетную запись пользователя
Для внесения изменений в учетную запись пользователя используется скриптsmbldap-usermod. Ключи, используемые с этим скриптом, вынесены в таблицу 4. Наряду с этим, для внесения некоторых изменений в учетные данные, используется скрипт smbldap-userinfo. Ключи, используемые с этим скриптом, вынесены в таблицу 5. Этот скрипт может быть использован самими пользователями для внесения некоторых данных в их учетную запись (ACL должен быть должным образом настроен на сервере каталогов). Таблица 4
Ключ
Описание действия ключа
Пример
-c
Добавить описание пользовательской учетной записи
-c “admin user”
-d
Назначить домашнюю директорию
-d /var/user
-u
Назначить uid
-u 1003
-g
Назначить gid
-g 1003
-G
Добавить новую учетную запись в одну или несколько групп или удалить пользователя из группы (несколько записываются через запятую)
-G 512,550
-G -512,550
-G +512,550
-s
Назначить оболочку (login shell)
-s /bin/ksh
-N
Установить реальное имя пользователя
-S
Установить фамилию пользователя
-P
По окончании обратится к скрипту smbldap-passwd для установки пароля пользователя
-a
Добавить класс объекта (objectClass) sambaSAMaccount
-e
Установить дату истечения срока действия пароля пользователя (формат ГГГГ-ММ-ДД ЧЧ:ММ:СС)
-A
Устанавливает, имеет ли право пользователь изменять пароль, 0 – нет, 1 - да
-B
Устанавливает, должен ли пользователь изменить свой пароль после первого входа в систему, 0 – нет, 1 - да
-C
Назначить домашнюю папку Samba
-С \\PDC\homes
-С ""
-D
Установить букву диска, монтирующегося при входе пользователя в систему
-D H:
-E
Установить скрипт, который будет выполняться при входе пользователя в систему
- E common.bat
F
Задать директорию с профилем пользователя
-F \\PDC\profiles\user
-H
Установить флаг учетной записи Samba, наподобие [NDHTUMWSLKI]
-H [X]
-I
Отключить учетную запись пользователя
-I 1
-J
Включить учетную запись пользователя
-J 1
-w
Создать учетную запись рабочей станции Windows
-i
Создать учетную запись пользователя домена, с которым установлено доверие, подробности см. в п. 4.4
-M
Локальный электронный почтовый ящик (несколько записываются через запятую)
-M testuser,aliasuser
-T
Непосредственный электронный почтовый ящик (несколько записываются через запятую)
-T testuser@domain.org
Таблица 5
Ключ
Описание действия ключа
Пример
-f
Задать полное имя пользователя
-f MyName
-r
Задать номер кабинета
-r 99
-w
Задать номер рабочего телефона
-w 1111111
-h
Задать номер домашнего телефона
-h 2222222
-o
Записать другую информацию (в секцию gecos)
-o “second stage”
-s
Задать оболочку по умолчанию
-s /bin/ksh
4.3 Управление группами
4.3.1 Создание групп
Для добавления новой группы в LDAP каталог используется скриптsmbldap-groupadd. Ключи, которые могут быть использованы при запуске этого скрипта, представлены в таблице 6. Таблица 6
Ключ
Описание действия ключа
Пример
-a
Добавить группу и автоматически установить соответствие (mapping)
-g gid
Установить gidNimber для группы
-g 1002
-o
gidNimber не будет уникальным
-r group-rid
Установить rid группы
-r 1002
-s group-sid
Установить sid группы
-s S-1-5-21-3703471949-3718591838-2324585696-1002
-t group-type
Установить sambaGroupType
-t 2
-p
Вывести gidNimber на экран
Например, так вы можете создать группу group1 и поместить в нее ранее созданного пользователя user1
# smbldap-groupadd –a group1
# smbldap-usermod –G +group1 user1
4.3.2 Удаление группы
Для удаления группы используется скриптsmbldap-userdel, например, для удаления группы group1 следует выполнить команду: # smbldap-userdel group1
4.4 Добавление пользователя доверенного домена
Для добавления учетной записи доверенного домена на контроллере доменаtrust-pdc, используйте ключ –iкоманды smbldap-useradd# smbldap-useradd -i trust-pdc
New password : *******
Retype new password : *******
Работа скрипта будет окончена после запроса на ввод пароля доверенного пользователя. Учетная запись будет создан в том месте каталога, где хранятся записи обо всех компьютерах (по умолчанию этоou=Computers). Таким образом, у этой учетной записи две особенности, это установка пароля для него, и флаг [I ].
5. Samba и smbldap-tools
5.1 Основное конфигурирование
Samba может быть сконфигурирована с использованием поддержки smbldap-tools. Это позволит администраторам добавлять, удалять или изменять группы и учетные записи пользователей операционной системы MS Windows, используя для этого, например, диспетчер пользователей. Для приведенной возможности следует добавить в файлsmb.conf следующие команды: ldap delete dn = Yes
add user script = /usr/local/sbin/smbldap-useradd -m "%u"
add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
add group script = /usr/local/sbin/smbldap-groupadd -p "%g"
add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u"
Примечание: также могут быть добавлены команды delete user script и delete group script. Однако в этом случае могут появляться сообщения об ошибке в диспетчере пользователей каждый раз после успешного удаления пользователя или группы. Если вы все-таки решите добавить данные команды, вам следует внести такие строки:
delete user script = /usr/local/sbin/smbldap-userdel "%u"
delete group script = /usr/local/sbin/smbldap-groupdel "%g"
5.2 Миграция PDC c NT4 на Samba 3
Процедура переноса учетных записей по настоящему проста, если сервер Samba сконфигурирован с использованием smbldap-tools. Файлsmb.conf должен включать команды для управления пользователями, группами и компьютерами (см. п. 5.1). Процесс миграции детально описан в главе 36 Samba Howto «MIGRATION FROM NT4 PDC TO SAMBA-3 PDC».
6. Часто задаваемые вопросы
6.1 Могу ли я использовать старые версии uidNumber и gidNumber ?
Есть два пути для решения этого вопроса:- измените строку cn=NextFreeUnixId,dc=idealx,dc=org и измените значение uidNumber и/или gidNumber. Это должно быть сделано вручную. Например, если вы хотите использовать все значения uidNumber и gidNumber, номер которых выше, чем 1500, вы должны написать
dn: cn=NextFreeUnixId,dc=idealx,dc=org
changetype: modify
uidNumber: 1500
gidNumber: 1500
А затем выполнить команду:
ldapmodify -x -D "cn=Manager,dc=idealx,dc=org" -w secret -f update-NextFreeUnixId.ldif
- используйте ключи –u или –g скрипта smbldap-populate.
6.2 Я получаю ошибку «Can’t locate IO/Socket/SSL.pm»
Это происходит, когда вы хотите использовать сертификат. В этом случае вам следует установить IOSocket-SSL Perl module.6.3 Я не могу создать начальную структуру каталога при помощи smbldap-populate
Когда я запускаю этот скрипт, я получаю такое сообщение об ошибке: # smbldap-populate.pl
Using builtin directory structure
adding new entry: dc=IDEALX,dc=COM
Can’t call method "code" without a package or object reference at
/usr/local/sbin/smbldap-populate.pl line 270, line 2.
Проверьте конфигурацию TLS
- если вы не хотите иметь поддержку TLS, установите в файле /etc/smbldap-tools/smbldap.conf следующий параметр на значение «0»
ldapTLS="0"
- если вы хотите иметь поддержку TLS, установите в файле /etc/smbldap-tools/smbldap.conf этот параметр на значение «1»
ldapTLS="1"
и проверьте, что сервер LDAP каталога сконфигурирован с поддержкой TLS соединений.
6.4 Я не могу присоединить компьютер к домену с аккаунтом суперпользователя
- проверьте, что root-аккаунт имеет класс объекта (objectClass)sambaSAMaccount;- проверьте, что команда
add machine script есть и правильно описана.6.5 Класс объекта sambaSamAccount есть, но я не могу авторизоваться
Проверьте, что значение атрибута не равно нулю.6.6 Я хочу создать учетную запись компьютера при вводе компьютера в домен, но это не работает, сначала приходится заводить учетную запись на сервере
- командаadd machine script не должна добавлять учетной записи компьютера класс объекта sambaSamAccount, эта команда должна лишь добавить Posix аккаунт компьютера. Samba добавит класс объекта sambaSamAccountпри вводе компьютера в домен;- проверьте, что строка
add machine script есть в файле smb.conf.6.7 Я не могу управлять базой данных Oracle
Если вы видите примерно такую ошибкуFunction Not Implemented at /usr/local/sbin/smbldap_tools.pm line 187.
Function Not Implemented at /usr/local/sbin/smbldap_tools.pm line 627.
в базе данных Oracle проверьте, все ли атрибуты, по которым будут выполнятся запросы, индексированы. Добавьте новый индекс для Samba и удостоверьтесь, что следующие атрибуты также индексированы:uidNumber, gidNumber, memberUid, homedirectory, description, userPassword ...
6.8 Программа установки пароля /usr/local/sbin/smbldap-passwd -u %u не работает, или я получаю сообщение об ошибке, когда меняю пароль из под Windows
Установите значение unix password sync = Yes
Примечание: также вы должны записать строку
passwd sync = Yes
- эта команда лишь обновит атрибут userPassword. Это из-за ключа –u. Пароли samba будут обновлены самой Samba;
- команда passwd chat должна выполняться согласованно с командой smbldap-passwd.
6.9 Новой учетной записи компьютера нет в хранилище cn=Computers
Это известный баг Samba. Смотрите здесь http://marc.theaimsgroup.com/?l=samba&m=108439612826440&w=2 (данной страницы не удалось обнаружить, надеюсь и баг устранен, прим.перев.)6.10 Я подключился к домену, но я не могу авторизоваться
См. п. 6.96.11 Я не могу создать пользователя, используя команду smbldap-useradd, я получаю следующую ошибку:
/usr/local/sbin/smbldap-useradd.pl: unknown group SID not set for unix group 513
проверьте:
- корректно ли настроен nss ldap?
- присоединена (map) ли группа пользователя, в которую он входит по умолчанию, к группе NT "Domain Users"? Для этого вы можете использовать такую команду:
net groupmap add rid=513 unixgroup="Domain Users" ntgroup="Domain Users"
6.12 Я не могу создать пользователя, используя команду smbldap-useradd, я получаю следующую ошибку:
Can’t call method ”get value” on an undefined value at /usr/local/sbin/smbldap-useradd line 154
- существует ли группа, в которую по умолчанию помещается новый пользователь (defaultUserGid="513")?
- присоединена (map) ли группа NT "Domain Users" к группе unix, имеющей rid 513? (для установки rid см. ключ –r для команд smbldap-groupadd и smbldap-groupmod).
6.13 Типичные ошибки, возникающие при создании нового пользователя или группы
- я получаю следующую ошибку:Could not find base dn, to get next uidNumber at /usr/local/sbin/smbldap_tools.pm
Причина:
- вы не можете создать объект, так как невозможно определить следующий по порядку uidNumber или gidNumber.
Решение:
- для версии 0.8.7: единственное, что вы можете сделать, это запустить скрипт smbldap-populate и обновить значения sambaDomain, в которых хранится эта информация;
- для версии ранее 0.8.7: вы должны обновить свой пакет smbldap-tools, затем создайте LDIF-файл примерно такого содержания:
dn: cn=NextFreeUnixId,dc=idealx,dc=org
objectClass: inetOrgPerson
objectClass: sambaUnixIdPool
uidNumber: 1000
gidNumber: 1000
cn: NextFreeUnixId
sn: NextFreeUnixId
И внесите эти сведения в LDAP каталог:
ldapadd -x -D "cn=Manager,dc=idealx,dc=org" -w secret -f add.ldif
Где 1000, это первое доступное значение uidNumber и gidNumber (разумеется, если это значение уже используется каким-либо пользователем или группой, используйте следующий за ним номер uid или gid).
- я получаю следующую ошибку:
Use of uninitialized value in string at
/usr/local/sbin//smbldap\_tools.pm line 914.
Error: No DN specified at /usr/local/sbin//smbldap\_tools.pm line 919
Решение:
конфигурационный файл с описанными объектами и с доступными номерами uidNumber и gidNumber следует исправить. В нашем примере вы должны добавить следующую строку в файл /etc/smbldap-tools/smbldap.conf:
# Where to store next uidNumber and gidNumber available
sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
- я получаю следующую ошибку:
Use of uninitialized value in concatenation (.) or string at /usr/local/sbin/smbldap-useradd Use of uninitialized value in substitution (s///) at /usr/local/sbin/smbldap-useradd line Use of uninitialized value in string at /usr/local/sbin/smbldap-useradd line 264. failed to add entry: homedirectory: value #0 invalid per syntax at /usr/local/sbin/smbldap-userHomeDirectory=User "jto" already member of the group "513". failed to add entry: No such object at /usr/local/sbin/smbldap-useradd line 382.
Решение:
вы должны изменить имя переменной userHomePrefix на userHome в файле /etc/smbldaptools/smbldap.conf.
- я получаю следующую ошибку:
failed to add entry: referral missing at /usr/local/sbin/smbldap-useradd line 279
Решение:
вы должны исправить конфигурационный файл, в котором определяются dn пользователей, групп и компьютеров. Эти параметры не должны соответствовать параметру suffix. Типичная конфигурация показана ниже:
usersdn="ou=Users,${suffix}"
computersdn="ou=Computers,${suffix}"
groupsdn="ou=Groups,${suffix}"
- я получаю следующую ошибку:
erreur LDAP: Can’t contact master ldap server (IO::Socket::INET: Bad protocol ’tcp’)
at /usr/local/sbin//smbldap_tools.pm line 153.
Решение:
удалите запись ldap из файла /etc/nsswitch.conf, то есть у вас должна быть запись
services files
а не
services: ldap [NOTFOUND=return] files
7. Благодарности
Люди, работавшие над этим документом:J.erome Tournier (jerome.tournier@IDEALX.com)
David Barth (david.barth@IDEALX.com)
Nat Makarevitch (nat@IDEALX.com)
Авторы благодарят следующих людей за предоставление помощи в некоторых более запутанных вопросах, за прояснение некоторых внутренних аспектов работы пакетов Samba и OpenLDAP, за указание на ошибки или заблуждения в первичной версии этого документа, за советы и предложения:
Команда IDEALX team:
Romeo Adekambi (romeo.adekambi@IDEALX.com)
Aurelien Degremont (adegremont@IDEALX.com)
Renaud Renard (rrenard@IDEALX.com)
John H Terpstra (jht@samba.org)
8. Приложения
8.1 Примеры конфигурационных файлов
8.1.1 Файл /etc/smbldap-tools/smbldap.conf
# $Source: $
# $Id: smbldap.conf,v 1.18 2005/05/27 14:28:47 jtournier Exp $
#
# smbldap-tools.conf : Q & D configuration file for smbldap-tools
#
# This code was developped by IDEALX (http://IDEALX.org/) and
# contributors (their names can be found in the CONTRIBUTORS file).
#
# Copyright (C) 2001-2002 IDEALX
#
# This program is free software; you can redistribute it and/or
# modify it under the terms of the GNU General Public License
# as published by the Free Software Foundation; either version 2
# of the License, or (at your option) any later version.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307,
# USA.
# Purpose :
# . be the configuration file for all smbldap-tools scripts
##################################################
#
# General Configuration
#
##################################################
# Put your own SID. To obtain this number do: "net getlocalsid".
# If not defined, parameter is taking from "net getlocalsid" return
SID="S-1-5-21-2252255531-4061614174-2474224977"
# Domain name the Samba server is in charged.
# If not defined, parameter is taking from smb.conf configuration file
# Ex: sambaDomain="IDEALX-NT"
sambaDomain="DOMSMB"
###################################################
#
# LDAP Configuration
#
###################################################
# Notes: to use to dual ldap servers backend for Samba, you must patch
# Samba with the dual-head patch from IDEALX. If not using this patch
# just use the same server for slaveLDAP and masterLDAP.
# Those two servers declarations can also be used when you have
# . one master LDAP server where all writing operations must be done
# . one slave LDAP server where all reading operations must be done
# (typically a replication directory)
# Slave LDAP server
# Ex: slaveLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
slaveLDAP="ldap.iallanis.info"
# Slave LDAP port
# If not defined, parameter is set to "389"
slavePort="389"
# Master LDAP server: needed for write operations
# Ex: masterLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
masterLDAP="ldap.iallanis.info"
# Master LDAP port
# If not defined, parameter is set to "389"
#masterPort="389"
masterPort="389"
# Use TLS for LDAP
# If set to 1, this option will use start_tls for connection
# (you should also used the port 389)
# If not defined, parameter is set to "0"
ldapTLS="1"
# Use SSL for LDAP
# If set to 1, this option will use SSL for connection
# (standard port for ldaps is 636)
# If not defined, parameter is set to "0"
ldapSSL="0"
# How to verify the server’s certificate (none, optional or require)
# see "man Net::LDAP" in start_tls section for more details
verify="require"
# CA certificate
# see "man Net::LDAP" in start_tls section for more details
cafile="/etc/smbldap-tools/ca.pem"
# certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientcert="/etc/smbldap-tools/smbldap-tools.iallanis.info.pem"
# key certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientkey="/etc/smbldap-tools/smbldap-tools.iallanis.info.key"
# LDAP Suffix
# Ex: suffix=dc=IDEALX,dc=ORG
suffix="dc=iallanis,dc=info"
# Where are stored Users
# Ex: usersdn="ou=Users,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for usersdn
usersdn="ou=Users,${suffix}"
# Where are stored Computers
# Ex: computersdn="ou=Computers,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for computersdn
computersdn="ou=Computers,${suffix}"
# Where are stored Groups
# Ex: groupsdn="ou=Groups,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for groupsdn
groupsdn="ou=Groups,${suffix}"
# Where are stored Idmap entries (used if samba is a domain member server)
# Ex: groupsdn="ou=Idmap,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for idmapdn
idmapdn="ou=Idmap,${suffix}"
# Where to store next uidNumber and gidNumber available for new users and groups
# If not defined, entries are stored in sambaDomainName object.
# Ex: sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Ex: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Default scope Used
scope="sub"
# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)
hash_encrypt="SSHA"
# if hash_encrypt is set to CRYPT, you may set a salt format.
# default is "%s", but many systems will generate MD5 hashed
# passwords if you use "$1$%.8s". This parameter is optional!
crypt_salt_format="%s"
#####################################################
#
# Unix Accounts Configuration
#
#####################################################
# Login defs
# Default Login Shell
# Ex: userLoginShell="/bin/bash"
userLoginShell="/bin/bash"
# Home directory
# Ex: userHome="/home/%U"
userHome="/home/%U"
# Default mode used for user homeDirectory
userHomeDirectoryMode="700"
# Gecos
userGecos="System User"
# Default User (POSIX and Samba) GID
defaultUserGid="513"
# Default Computer (Samba) GID
defaultComputerGid="515"
# Skel dir
skeletonDir="/etc/skel"
# Default password validation time (time in days) Comment the next line if
# you don’t want password to be enable for defaultMaxPasswordAge days (be
# careful to the sambaPwdMustChange attribute’s value)
defaultMaxPasswordAge="45"
#####################################################
#
# SAMBA Configuration
#
#####################################################
# The UNC path to home drives location (%U username substitution)
# Just set it to a null string if you want to use the smb.conf ’logon home’
# directive and/or disable roaming profiles
# Ex: userSmbHome="\\PDC-SMB3\%U"
userSmbHome="\\PDC-SRV\%U"
# The UNC path to profiles locations (%U username substitution)
# Just set it to a null string if you want to use the smb.conf ’logon path’
# directive and/or disable roaming profiles
# Ex: userProfile="\\PDC-SMB3\profiles\%U"
userProfile="\\PDC-SRV\profiles\%U"
# The default Home Drive Letter mapping
# (will be automatically mapped at logon time if home directory exist)
# Ex: userHomeDrive="H:"
userHomeDrive="H:"
# The default user netlogon script name (%U username substitution)
# if not used, will be automatically username.cmd
# make sure script file is edited under dos
# Ex: userScript="startup.cmd" # make sure script file is edited under dos
userScript="logon.bat"
# Domain appended to the users "mail"-attribute
# when smbldap-useradd -M is used
# Ex: mailDomain="idealx.com"
mailDomain="iallanis.info"
######################################################
#
# SMBLDAP-TOOLS Configuration (default are ok for a RedHat)
#
######################################################
# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but
# prefer Crypt::SmbHash library
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"
# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)
# but prefer Crypt:: libraries
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"
# comment out the following line to get rid of the default banner
# no_banner="1"
8.1.2 Файл /etc/smbldap-tools/smbldap_bind.conf
############################
# Credential Configuration #
############################
# Notes: you can specify two differents configuration if you use a
# master ldap for writing access and a slave ldap server for reading access
# By default, we will use the same DN (so it will work for standard Samba
# release)
slaveDN="cn=Manager,dc=iallanis,dc=info"
slavePw="secret"
masterDN="cn=Manager,dc=iallanis,dc=info"
masterPw="secret"
8.1.3 Файл /etc/samba/smb.conf
# Global parameters
[global]
workgroup = DOMSMB
netbios name = PDC-SRV
security = user
enable privileges = yes
#interfaces = 192.168.5.11
#username map = /etc/samba/smbusers
server string = Samba Server %v
#security = ads
encrypt passwords = Yes
min passwd length = 3
#pam password change = no
#obey pam restrictions = No
# method 1:
#unix password sync = no
#ldap passwd sync = yes
# method 2:
unix password sync = yes
ldap passwd sync = no
passwd program = /usr/sbin/smbldap-passwd -u "%u"
passwd chat = "Changing *\nNew password*" %n\n "*Retype new password*" %n\n"
log level = 0
syslog = 0
log file = /var/log/samba/log.%U
max log size = 100000
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
mangling method = hash2
Dos charset = 850
Unix charset = ISO8859-1
logon script = logon.bat
logon drive = H:
logon home =
logon path =
domain logons = Yes
domain master = Yes
os level = 65
preferred master = Yes
wins support = yes
# passdb backend = ldapsam:"ldap://ldap1.company.com ldap://ldap2.company.com"
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=Manager,dc=company,dc=com
#ldap admin dn = cn=samba,ou=DSA,dc=company,dc=com
ldap suffix = dc=company,dc=com
ldap group suffix = ou=Groups
ldap user suffix = ou=Users
ldap machine suffix = ou=Computers
#ldap idmap suffix = ou=Idmap
add user script = /usr/sbin/smbldap-useradd -m "%u"
#ldap delete dn = Yes
delete user script = /usr/sbin/smbldap-userdel "%u"
add machine script = /usr/sbin/smbldap-useradd -t 0 -w "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
#delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g ’%g’ ’%u’
# printers configuration
#printer admin = @"Print Operators"
load printers = Yes
create mask = 0640
directory mask = 0750
#force create mode = 0640
#force directory mode = 0750
nt acl support = No
printing = cups
printcap name = cups
deadtime = 10
guest account = nobody
map to guest = Bad User
dont descend = /proc,/dev,/etc,/lib,/lost+found,/initrd
show add printer wizard = yes
; to maintain capital letters in shortcuts in any of the profile folders:
preserve case = yes
short preserve case = yes
case sensitive = no
[netlogon]
path = /home/netlogon/
browseable = No
read only = yes
[profiles]
path = /home/profiles
read only = no
create mask = 0600
directory mask = 0700
browseable = No
guest ok = Yes
profile acls = yes
csc policy = disable
# next line is a great way to secure the profiles
#force user = %U
# next line allows administrator to access all profiles
#valid users = %U "Domain Admins"
[printers]
comment = Network Printers
#printer admin = @"Print Operators"
guest ok = yes
printable = yes
path = /home/spool/
browseable = No
read only = Yes
printable = Yes
print command = /usr/bin/lpr -P%p -r %s
lpq command = /usr/bin/lpq -P%p
lprm command = /usr/bin/lprm -P%p %j
# print command = /usr/bin/lpr -U%U@%M -P%p -r %s
# lpq command = /usr/bin/lpq -U%U@%M -P%p
# lprm command = /usr/bin/lprm -U%U@%M -P%p %j
# lppause command = /usr/sbin/lpc -U%U@%M hold %p %j
# lpresume command = /usr/sbin/lpc -U%U@%M release %p %j
# queuepause command = /usr/sbin/lpc -U%U@%M stop %p
# queueresume command = /usr/sbin/lpc -U%U@%M start %p
[print$]
path = /home/printers
guest ok = No
browseable = Yes
read only = Yes
valid users = @"Print Operators"
write list = @"Print Operators"
create mask = 0664
directory mask = 0775
[public]
path = /tmp
guest ok = yes
browseable = Yes
writable = yes
8.1.4 Файл /etc/openldap/slapd.conf
#
# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/samba.schema
schemacheck on
# Allow LDAPv2 client connections. This is NOT the default.
allow bind_v2
# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral ldap://root.openldap.org
pidfile /var/run/slapd.pid
argsfile /var/run/slapd.args
# Load dynamic backend modules:
# modulepath /usr/sbin/openldap
# moduleload back_bdb.la
# moduleload back_ldap.la
# moduleload back_ldbm.la
# moduleload back_passwd.la
# moduleload back_shell.la
# The next three lines allow use of TLS for encrypting connections using a
# dummy test certificate which you can generate by changing to
# /usr/share/ssl/certs, running "make slapd.pem", and fixing permissions on
# slapd.pem so that the ldap user or group can read it. Your client software
# may balk at self-signed certificates, however.
#TLSCertificateFile /etc/openldap/ldap.company.com.pem
#TLSCertificateKeyFile /etc/openldap/ldap.company.com.key
#TLSCACertificateFile /etc/openldap/ca.pem
#TLSCipherSuite :SSLv3
# Sample security restrictions
# Require integrity protection (prevent hijacking)
# Require 112-bit (3DES or better) encryption for updates
# Require 63-bit encryption for simple bind
# security ssf=1 update_ssf=112 simple_bind=64
# Sample access control policy:
# Root DSE: allow anyone to read it
# Subschema (sub)entry DSE: allow anyone to read it
# Other DSEs:
# Allow self write access
# Allow authenticated users read access
# Allow anonymous users to authenticate
# Directives needed to implement policy:
# access to dn.base="" by * read
# access to dn.base="cn=Subschema" by * read
# access to *
# by self write
# by users read
# by anonymous auth
#
# if no access controls are present, the default policy
# allows anyone and everyone to read anything but restricts
# updates to rootdn. (e.g., "access to * by * read")
#
# rootdn can always read and write EVERYTHING!
#######################################################################
# ldbm and/or bdb database definitions
#######################################################################
database bdb
suffix "dc=company,dc=com"
rootdn "cn=Manager,dc=company,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided. See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw secret
# rootpw {crypt}ijFYNcSNctBYg
# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory /var/lib/ldap
lastmod on
# Indices to maintain for this database
index objectClass eq,pres
index ou,cn,sn,mail,givenname eq,pres,sub
index uidNumber,gidNumber,memberUid eq,pres
index loginShell eq,pres
## required to support pdb_getsampwnam
index uid pres,sub,eq
## required to support pdb_getsambapwrid()
index displayName pres,sub,eq
index nisMapName,nisMapEntry eq,pres,sub
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq
index default sub
# users can authenticate and change their password
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet
by dn="cn=Manager,dc=company,dc=com" write
by self write
by anonymous auth
by * none
# those 2 parameters must be world readable for password aging to work correctly
# (or use a priviledge account in /etc/ldap.conf to bind to the directory)
access to attrs=shadowLastChange,shadowMax
by dn="cn=Manager,dc=company,dc=com" write
by self write
by * read
# all others attributes are readable to everybody
access to *
by * read
# Replicas of this database
#replogfile /var/lib/ldap/openldap-master-replog
#replica host=ldap-1.example.com:389 starttls=critical
# bindmethod=sasl saslmech=GSSAPI
# authcId=host/ldap-master.example.com@EXAMPLE.COM
8.2 Изменение административной учетной записи (ldap admin dn в файле smb.conf)
Если вы больше не хотите использовать учетную запись, описанную атрибутами cn=Manager,dc=idealx,dc=com, вы можете создать специальную учетную запись для сервера Samba и набора скриптов smbldap-tools. Чтобы сделать это, заведем пользователя с именем, например samba при помощи следующей команды (для подробностей в синтаксисе данной команды обратитесь к п. 4.2.1): # smbldap-useradd -s /bin/false -d /dev/null -P samba
После ввода этой команды вам будет предложено ввести пароль для создаваемого пользователя, в нашем примере он тоже будет samba.
После этого измените соответствующим образом файл /etc/smbldap-tools/smbldap_bind.conf:
slaveDN="uid=samba,ou=Users,dc=idealx,dc=com"
slavePw="samba"
masterDN="uid=samba,ou=Users,dc=idealx,dc=com"
masterPw="samba"
файл /etc/samba/smb.conf:
#ldap admin dn = uid=samba,ou=Users,dc=idealx,dc=com
Не забудьте после этого записать пароль в файл secrets.tdb:
#smbpasswd -w samba
в файле /etc/openldap/slapd.conf вам стоит добавить полномочий пользователю samba:
# users can authenticate and change their password
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdLastSet,sambaPwdMustChange
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by self write
by anonymous auth
by * none
# some attributes need to be readable anonymously so that ’id user’ can answer cor rectly
access to attrs=objectClass,entry,gecos,homeDirectory,uid,uidNumber,gidNumber,cn,memberUid
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * read
# somme attributes can be writable by users themselves
access to attrs=description,telephoneNumber
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by self write
by * read
# some attributes need to be writable for samba
access to attrs=cn,sambaLMPassword,sambaNTPassword,sambaPwdLastSet,sambaLogonTime,
sambaLogoffTime,sambaKickoffTime,sambaPwdCanChange,sambaPwdMustChange,sambaAcctFlags,
displayName,sambaHomePath,sambaHomeDrive,sambaLogonScript,sambaProfilePath,description,
sambaUserWorkstations,sambaPrimaryGroupSID,sambaDomainName,sambaSID,sambaGroupType,
sambaNextRid,sambaNextGroupRid,sambaNextUserRid,sambaAlgorithmicRidBase
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by self read
by * none
# samba need to be able to create the samba domain account
access to dn.base="dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# samba need to be able to create new users account
access to dn="ou=Users,dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# samba need to be able to create new groups account
access to dn="ou=Groups,dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# samba need to be able to create new computers account
access to dn="ou=Computers,dc=idealx,dc=com"
by dn="uid=samba,ou=Users,dc=idealx,dc=com" write
by * none
# this can be omitted but we leave it: there could be other branch
# in the directory
access to *
by self read
by * none
8.3 Известные ошибки
Ключ-B (пользователь должен изменить свой пароль) команды smbldap-useradd не работает: когда вызывается команда smbldap-passwd, атрибут sambaPwdMustChange перезаписывается.
