Настройки поиска (Страница 1 из 2)

1. Конфигурируем сетку

    auto eth0
    iface eth0 inet static
        address 192.168.1.60
        gateway 192.168.1.1
        netmask 255.255.255.0

2. Обновляем систему (предварительно раскоментировав строчки в /etc/apt/sources.list)

apt-get update
apt-get upgrade
reboot

3. Добавляем в /etc/hosts имя контроллера домена

    127.0.1.1 ubuntu ubuntu.domain.local

    где ubuntu - имя сервера;
        domain.local - будущий домен.

4. Ставим SSH сервер и конфигурируем его на свое усмотрение

    apt-get install openssh-server

5. Ставим webmin для удобного администрирования нашего сервера (можно и не ставить). Для чего разрешаем зависимости

    apt-get install openssl libapt-pkg-perl libauthen-pam-perl libio-pty-perl libmd5-perl libnet-ssleay-perl apt-show-versions

    Качаем сам вэбмин

    wget http://prdownloads.sourceforge.net/weba … 20_all.deb

    И ставим его

    dpkg -i webmin_1.520_all.deb

    Теперь можно зайти по адресу https://192.168.1.60:10000/ и посмотреть на наш сервер (меняем тему админки и язык)

6. Ставим OpenLDAP

    apt-get install slapd ldap-utils migrationtools

    Нас попросят ввести пароль для записи админ в ldap

    вводим: 12345
    подтверждаем: 12345

    Реконфигурируем

    dpkg-reconfigure slapd

    На вопросы отвечаем

    нет
    domain.local
    domain.local
    BDB
    нет
    да
    12345
    12345
    нет

    Рестартуем OpenLDAP

    /etc/init.d/slapd restart

7. Ставим SAMBA

    apt-get install samba smbldap-tools smbclient samba-doc

    Копируем схему самбы и распаковываем ее

    cp /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz /etc/ldap/schema/
    gzip -d /etc/ldap/schema/samba.schema.gz

8.     И начинается самое интересное
    Добавляем схемы в базу LDAP
    Создаем файлик /etc/ldap/schema_convert.conf
    в котором вставляем

    include /etc/ldap/schema/core.schema
    include /etc/ldap/schema/collective.schema
    include /etc/ldap/schema/corba.schema
    include /etc/ldap/schema/cosine.schema
    include /etc/ldap/schema/duaconf.schema
    include /etc/ldap/schema/dyngroup.schema
    include /etc/ldap/schema/inetorgperson.schema
    include /etc/ldap/schema/java.schema
    include /etc/ldap/schema/nis.schema
    include /etc/ldap/schema/openldap.schema
    include /etc/ldap/schema/ppolicy.schema
    include /etc/ldap/schema/misc.schema
    include /etc/ldap/schema/samba.schema

    Далее создадим временный каталог для схем mkdir /tmp/ldif_output
    и конвертируем в него схемы
   
    slaptest -f schema_convert.conf -F /tmp/ldif_output

    Редактируем /tmp/ldif_output/cn=config/cn=schema/cn={11}misc.ldif

    dn: cn=misc,cn=schema,cn=config

    ...

    cn: misc

    ...

    В конце файла необходимо удалить записи вида

    structuralObjectClass: olcSchemaConfig
    entryUUID: 10dae0ea-0760-102d-80d3-f9366b7f7757
    creatorsName: cn=config
    createTimestamp: 20080826021140Z
    entryCSN: 20080826021140.791425Z#000000#000#000000
    modifiersName: cn=config
    modifyTimestamp: 20080826021140Z

    Аналогично поступаем с файлом /tmp/ldif_output/cn=config/cn=schema/cn={12}samba.ldif

    Настало время импортировать наши схемы

    ldapadd -x -D cn=admin,cn=config -W -f /tmp/ldif_output/cn\=config/cn\=schema/cn\=\{11\}misc.ldif
    ldapadd -x -D cn=admin,cn=config -W -f /tmp/ldif_output/cn\=config/cn\=schema/cn\=\{12\}samba.ldif

    Создадим файл uid_index.ldif содержащий

dn: olcDatabase={1}bdb,cn=config
changetype: modify
delete: olcAccess
add: olcAccess
olcAccess: {0}to attrs=userPassword,sambaNTPassword,sambaLMPassword by dn="cn=admin,dc=domain,dc=local" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=domain,dc=local" write by * read

    И импортируем настройки

    ldapmodify -x -D cn=admin,cn=config -W -f uid_index.ldif

    Рестартуем LDAP /etc/init.d/slapd restart

9.     Конфигурируем самбу, для чего забэкапим ее конфиг

    cp smb.conf smb.conf.original
    vim smb.conf

    Изменим в конфиге следующие строчки

    workgroup = DOMAIN
    security = user
    passdb backend = ldapsam:ldap://localhost/
    obey pam restrictions = no

    После строчки obey pam restrictions = no вставляем следующий текст
    #######################################################################

    #COPY AND PASTE THE FOLLOWING UNDERNEATH "OBEY PAM RESTRICTIONS = NO"

    #######################################################################
    #
    #    Begin: Custom LDAP Entries
    #
    ldap admin dn = cn=admin,dc=domain,dc=local
    ldap suffix = dc=domain, dc=local
    ldap group suffix = ou=Groups
    ldap user suffix = ou=Users
    ldap machine suffix = ou=Computers
    ldap idmap suffix = ou=Users
    ldap ssl = no
    ; Do ldap passwd sync
    ldap passwd sync = Yes
    passwd program = /usr/sbin/smbldap-passwd %u
    passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authentication*tokens*updated*
    add user script = /usr/sbin/smbldap-useradd -m "%u"
    ldap delete dn = Yes
    delete user script = /usr/sbin/smbldap-userdel "%u"
    add machine script = /usr/sbin/smbldap-useradd -w "%u"
    add group script = /usr/sbin/smbldap-groupadd -p "%g"
    delete group script = /usr/sbin/smbldap-groupdel "%g"
    add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
    delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
    set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
    domain logons = yes
    #
    #    End: Custom LDAP Entries
    #
    #####################################################

    #STOP COPYING HERE!

    #####################################################

    Рестартуем самбу /etc/init.d/samba restart
    Сообщяем ей админский пароль к дереву LDAP

    smbpasswd -w 12345

    Конфигурируем SMBLDAP-TOOLS

    cd /usr/share/doc/smbldap-tools/examples/
    cp smbldap_bind.conf /etc/smbldap-tools/
    cp smbldap.conf.gz /etc/smbldap-tools/
    gzip -d /etc/smbldap-tools/smbldap.conf.gz
    cd /etc/smbldap-tools/

    Получим SID нашего домена (скопируем его, он нам пригодится)
   
    net getlocalsid

    И немного поработаем
    Изменем в конфиге vim smbldap.conf следующие строки

    SID="S-1-5-21-949328747-3404738746-3052206637" ## Вписываем наш SID
    sambaDomain="DOMAIN"
    ldapTLS="0"
    suffix="dc=domain,dc=local"
    sambaUnixIdPooldn="sambaDomainName=DOMAIN,${suffix}"
    userSmbHome=
    userProfile=
    userHomeDrive=
    userScript=
    mailDomain="domain.local"
   
    А также в vim smbldap_bind.conf

    slaveDN="cn=admin,dc=example,dc=local"
    slavePw="12345"
    masterDN="cn=admin,dc=example,dc=local"
    masterPw="12345"

    Поменяем пермишинсы на конфиги

    chmod 0644 /etc/smbldap-tools/smbldap.conf
    chmod 0600 /etc/smbldap-tools/smbldap_bind.conf

10. Еще несколько шагов

    smbldap-populate -u 30000 -g 30000
    12345

    Проверим базу ldapsearch -x -b dc=domain,dc=local | less
    Листая вниз можно просмотреть созданные групы пользователей и прочую инфу
    Попробуем создать пользователя

    smbldap-useradd -a -m -M ricky -c "Richard M" ricky
    smbldap-passwd ricky

11. Сконфигурируем сервер на ldap авторизацию

    apt-get install auth-client-config libpam-ldap libnss-ldap

    ldapi://127.0.0.1
    dc=domain,dc=local
    3
    yes
    no
    cn=admin,dc=domain,dc=local
    12345

    Подправим конфиг vim /etc/ldap.conf

    host 127.0.0.1
    base dc=domain,dc=local
    uri ldap://127.0.0.1/
    rootbinddn cn=admin,dc=domain,dc=local
    bind_policy soft

    Далее cp /etc/ldap.conf /etc/ldap/ldap.conf

    Вставляем в файл vim /etc/auth-client-config/profile.d/open_ldap следующие строки

[open_ldap]
nss_passwd=passwd: compat ldap
nss_group=group: compat ldap
nss_netgroup=netgroup: compat ldap
nss_shadow=shadow: compat ldap
pam_auth=auth       required     pam_env.so
auth       sufficient   pam_unix.so likeauth nullok
auth       sufficient   pam_ldap.so use_first_pass
auth       required     pam_deny.so
pam_account=account    sufficient   pam_unix.so
account    sufficient   pam_ldap.so
account    required     pam_deny.so
pam_password=password   sufficient   pam_unix.so nullok md5 shadow use_authtok
password   sufficient   pam_ldap.so use_first_pass
password   required     pam_deny.so
pam_session=session    required     pam_limits.so
session    required     pam_mkhomedir.so skel=/etc/skel/
session    required     pam_unix.so
session    optional     pam_ldap.so

      Бэкапим конфиги

    cp /etc/nsswitch.conf /etc/nsswitch.conf.original
    cd /etc/pam.d/
    mkdir bkup
    cp * bkup/

    Применяем новый профиль

    auth-client-config -a -p open_ldap
    reboot

12. Поднимаем ДНС apt-get install bind9

    Заходим в вэбмин https://192.168.1.60:10000/ и нажимаем кнопку обновить модули
    Идем в СЛУЖБЫ и выбираем BIND
    Нажимаем Создать новую мастер-зону
    Тип зоны: Прямая
    Имя домена domain.local
    Сервер мастер: ubuntu.domain.local
    Адрес мыла: root@domain.local
    Жмем Создать

    Жмем иконку Адрес(0)

    Имя: ubuntu
    Адрес: 192.168.1.60
    Жмем Создать

    В правом верхнем углу жмем Apply Configuration

    Идем в vim /etc/resolv.conf
    и заставляем сервак резолвить через себя

    search domain.local
    nameserver 192.168.1.60
    reboot

    Собственно все. Как добавлять пользователя написано выше. Удаление, модифицирование пользователей, добавление и удаление групп (смотри название скриптов конфиге самбы). Тачки добавляються также, как и на виндовом сервере под учеткой admin. Самое смешное, что он имеет право ввести машину в домен, но на виндовой машине остается простым юзером.

[global]
    passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
    obey pam restrictions = no
    delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
    passwd program = /usr/bin/passwd %u
    dns proxy = no
    ldap passwd sync = Yes
    workgroup = DOMAIN
    os level = 20
    ldap admin dn = cn=admin,dc=domain,dc=local
    security = user
    usershare allow guests = no
    add machine script = /usr/sbin/smbldap-useradd -w "%u"
    delete user script = /usr/sbin/smbldap-userdel "%u"
    max log size = 1000
    log file = /var/log/samba/log.%m
    ldap user suffix = ou=Users
    ldap ssl = no
    add group script = /usr/sbin/smbldap-groupadd -p "%g"
    socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
    delete group script = /usr/sbin/smbldap-groupdel "%g"
    add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
    map to guest = bad user
    encrypt passwords = true
    passdb backend = ldapsam:ldap://localhost/
    wins support = true
    ldap delete dn = Yes
    ldap machine suffix = ou=Computers
    ldap group suffix = ou=Groups
    server string = %h server
    ldap suffix = dc=domain, dc=local
    unix password sync = yes
    logon path =
    add user script = /usr/sbin/smbldap-useradd -m "%u"
    set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
    syslog = 0
    panic action = /usr/share/samba/panic-action %d
    ldap idmap suffix = ou=Users
    domain logons = yes
    pam password change = yes
    enable privileges = yes
    acl compatibility = auto
    unix charset = utf8
    dos charset = cp1251
    display charset = cp1251
    preexec = echo \"%u connected to %S from %m (%I)\"

    nt acl support=yes
    acl map full control = false

   domain logons = yes
   logon script = users.bat

[netlogon]
   comment = Network Logon Service
   path = /home/netlogon
   guest ok = yes
   read only = yes
   browseable = no

[distr]
    path = /distr
    valid users = @aaprepods

[kafedra]
    comment = Kafedra
    path = /home/kafedra
    writable = yes
    inherit owner = yes
    inherit acls = yes
    inherit permissions = yes
    map acl inherit = yes
    locking = yes
    create mask = 0770
    directory mask = 0771
    valid users = @aaprepods
    veto files = /*.exe/*.inf/*.com/

[home]
    create mask = 0770
    comment = home directory share
    directory mask = 0770
    writable = yes
    path = /home/%U
    inherit acls = yes
    inherit owner = yes
    inherit acls = yes
    inherit permissions = yes
    map acl inherit = yes
    locking = yes
    valid users = @aaprepods
    veto files = /*.exe/*.inf/*.com/