Carrion: /* Instalación do servidor Samba */

2017-10-19T22:07:02Z

Instalación do servidor Samba

Página nueva

==Introdución==

*Neste apartado abordaremos os pasos necesarios para instalar o servidor Samba e configuralo para que use como base de datos de usuarios o servidor LDAP.
*Pero en primeiro lugar, teremos que engadir no LDAP o esquema de samba, que define unha serie de atributos que o servidor samba precisará almacenar para as propiedades dos usuarios do dominio Windows.

*Imos configurar o servidor SAMBA para que use como backend o servizo LDAP.
[[Imagen:00Platega_U910_server_Escenario_04.1.jpg|600px]]

== Instalación do servidor Samba ==

*Imos instalar tres paquetes:
**servidor samba,
**a documentación
**utilidades para xestionar os usuarios e grupos de samba no LDAP:
'''apt-get install samba smbldap-tools winbind smbclient samba-testsuite samba-common-bin samba-common registry-tools libsmbclient libpam-winbind

* Podemos comprobar que a versión do paquete instalado é a 4.X, aínda que o usaremos en modo de compatibilidade de Samba3:
root@dserver00:~# samba --version
Version 4.X.X-Debian

== Configurar o servidor LDAP para servir de base de datos de samba ==

=== Incluír o esquema de samba no servidor LDAP ===
*Para incluír o esquema no servizo LDAP, precisamos realizar unha serie de pasos:

====Copiar o ficheiro samba.schema a /etc/ldap e estudo do mesmo====

* O paquete '''samba-doc''' inclúe o esquema de samba para o LDAP en formato ''schema'',
* Así que, descomprimirémolo a /etc/ldap/schema e converterémolo a formato LDIF para introducir o esquema no LDAP.

* Descomprimimos o ficheiro co esquema samba:
'''zcat /usr/share/doc/samba/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

*O contido do esquema pódese ver en: [https://www.mail-archive.com/debian-bugs-dist@lists.debian.org/msg1217965/samba.schema samba.schema]

*Imos ver os '''objectClass''' que define:
'''cat /etc/ldap/schema/samba.schema | grep objectclass
## 1.3.6.1.4.1.7165.2.2.x - objectclasses
## 1.3.6.1.4.1.7165.2.3.2.x - objectclasses
## 1.3.6.1.4.1.7165.4.2.x - objectclasses
## objectclass ( 1.3.6.1.4.1.7165.2.2.XX NAME ....
## <attributetype|objectclass> ( 1.3.6.1.4.1.7165.2.XX.XX NAME ....
## The smbPasswordEntry objectclass has been depreciated in favor of the
## sambaAccount objectclass
#objectclass ( 1.3.6.1.4.1.7165.2.2.1 NAME 'smbPasswordEntry' SUP top AUXILIARY
#objectclass ( 1.3.6.1.4.1.7165.2.2.2 NAME 'sambaAccount' SUP top STRUCTURAL
#objectclass ( 1.3.6.1.4.1.7165.2.2.3 NAME 'sambaAccount' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.6 NAME 'sambaSamAccount' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.4 NAME 'sambaGroupMapping' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.14 NAME 'sambaTrustPassword' SUP top STRUCTURAL
objectclass ( 1.3.6.1.4.1.7165.2.2.15 NAME 'sambaTrustedDomainPassword' SUP top STRUCTURAL
objectclass ( 1.3.6.1.4.1.7165.2.2.5 NAME 'sambaDomain' SUP top STRUCTURAL
objectclass ( 1.3.6.1.4.1.7165.2.2.7 NAME 'sambaUnixIdPool' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.8 NAME 'sambaIdmapEntry' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.9 NAME 'sambaSidEntry' SUP top STRUCTURAL
objectclass ( 1.3.6.1.4.1.7165.2.2.10 NAME 'sambaConfig' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.11 NAME 'sambaShare' SUP top STRUCTURAL
objectclass ( 1.3.6.1.4.1.7165.2.2.12 NAME 'sambaConfigOption' SUP top STRUCTURAL
##objectclass ( 1.3.6.1.4.1.7165.2.2.13 NAME 'sambaPrivilege' SUP top AUXILIARY
objectclass ( 1.3.6.1.4.1.7165.2.2.16 NAME 'sambaTrustedDomain' SUP top STRUCTURAL

* Observar que hai unhas cantas clases de obxectos comentadas, por evolución nas versións de samba.
* Por mencionar algunha clase de obxectos: sambaAccount, sambaDomain, sambaShare

*'''Os atributos que define son:
<pre>
cat /etc/ldap/schema/samba.schema | grep attributetype
## 1.3.6.1.4.1.7165.2.1.x - attributetypes
## 1.3.6.1.4.1.7165.2.3.1.x - attributetypes
## 1.3.6.1.4.1.7165.4.1.x - attributetypes
## attributetype ( 1.3.6.1.4.1.7165.2.1.XX NAME ....
## <attributetype|objectclass> ( 1.3.6.1.4.1.7165.2.XX.XX NAME ....
#attributetype ( 1.3.6.1.4.1.7165.2.1.1 NAME 'lmPassword'
#attributetype ( 1.3.6.1.4.1.7165.2.1.2 NAME 'ntPassword'
#attributetype ( 1.3.6.1.4.1.7165.2.1.4 NAME 'acctFlags'
#attributetype ( 1.3.6.1.4.1.7165.2.1.3 NAME 'pwdLastSet'
#attributetype ( 1.3.6.1.4.1.7165.2.1.5 NAME 'logonTime'
#attributetype ( 1.3.6.1.4.1.7165.2.1.6 NAME 'logoffTime'
#attributetype ( 1.3.6.1.4.1.7165.2.1.7 NAME 'kickoffTime'
#attributetype ( 1.3.6.1.4.1.7165.2.1.8 NAME 'pwdCanChange'
#attributetype ( 1.3.6.1.4.1.7165.2.1.9 NAME 'pwdMustChange'
#attributetype ( 1.3.6.1.4.1.7165.2.1.10 NAME 'homeDrive'
#attributetype ( 1.3.6.1.4.1.7165.2.1.11 NAME 'scriptPath'
#attributetype ( 1.3.6.1.4.1.7165.2.1.12 NAME 'profilePath'
#attributetype ( 1.3.6.1.4.1.7165.2.1.13 NAME 'userWorkstations'
#attributetype ( 1.3.6.1.4.1.7165.2.1.17 NAME 'smbHome'
#attributetype ( 1.3.6.1.4.1.7165.2.1.18 NAME 'domain'
#attributetype ( 1.3.6.1.4.1.7165.2.1.14 NAME 'rid'
#attributetype ( 1.3.6.1.4.1.7165.2.1.15 NAME 'primaryGroupID'
attributetype ( 1.3.6.1.4.1.7165.2.1.24 NAME 'sambaLMPassword'
attributetype ( 1.3.6.1.4.1.7165.2.1.25 NAME 'sambaNTPassword'
attributetype ( 1.3.6.1.4.1.7165.2.1.26 NAME 'sambaAcctFlags'
attributetype ( 1.3.6.1.4.1.7165.2.1.27 NAME 'sambaPwdLastSet'
attributetype ( 1.3.6.1.4.1.7165.2.1.28 NAME 'sambaPwdCanChange'
attributetype ( 1.3.6.1.4.1.7165.2.1.29 NAME 'sambaPwdMustChange'
attributetype ( 1.3.6.1.4.1.7165.2.1.30 NAME 'sambaLogonTime'
attributetype ( 1.3.6.1.4.1.7165.2.1.31 NAME 'sambaLogoffTime'
attributetype ( 1.3.6.1.4.1.7165.2.1.32 NAME 'sambaKickoffTime'
attributetype ( 1.3.6.1.4.1.7165.2.1.48 NAME 'sambaBadPasswordCount'
attributetype ( 1.3.6.1.4.1.7165.2.1.49 NAME 'sambaBadPasswordTime'
attributetype ( 1.3.6.1.4.1.7165.2.1.55 NAME 'sambaLogonHours'
attributetype ( 1.3.6.1.4.1.7165.2.1.33 NAME 'sambaHomeDrive'
attributetype ( 1.3.6.1.4.1.7165.2.1.34 NAME 'sambaLogonScript'
attributetype ( 1.3.6.1.4.1.7165.2.1.35 NAME 'sambaProfilePath'
attributetype ( 1.3.6.1.4.1.7165.2.1.36 NAME 'sambaUserWorkstations'
attributetype ( 1.3.6.1.4.1.7165.2.1.37 NAME 'sambaHomePath'
attributetype ( 1.3.6.1.4.1.7165.2.1.38 NAME 'sambaDomainName'
attributetype ( 1.3.6.1.4.1.7165.2.1.47 NAME 'sambaMungedDial'
attributetype ( 1.3.6.1.4.1.7165.2.1.54 NAME 'sambaPasswordHistory'
attributetype ( 1.3.6.1.4.1.7165.2.1.20 NAME 'sambaSID'
attributetype ( 1.3.6.1.4.1.7165.2.1.23 NAME 'sambaPrimaryGroupSID'
attributetype ( 1.3.6.1.4.1.7165.2.1.51 NAME 'sambaSIDList'
attributetype ( 1.3.6.1.4.1.7165.2.1.19 NAME 'sambaGroupType'
attributetype ( 1.3.6.1.4.1.7165.2.1.21 NAME 'sambaNextUserRid'
attributetype ( 1.3.6.1.4.1.7165.2.1.22 NAME 'sambaNextGroupRid'
attributetype ( 1.3.6.1.4.1.7165.2.1.39 NAME 'sambaNextRid'
attributetype ( 1.3.6.1.4.1.7165.2.1.40 NAME 'sambaAlgorithmicRidBase'
attributetype ( 1.3.6.1.4.1.7165.2.1.41 NAME 'sambaShareName'
attributetype ( 1.3.6.1.4.1.7165.2.1.42 NAME 'sambaOptionName'
attributetype ( 1.3.6.1.4.1.7165.2.1.43 NAME 'sambaBoolOption'
attributetype ( 1.3.6.1.4.1.7165.2.1.44 NAME 'sambaIntegerOption'
attributetype ( 1.3.6.1.4.1.7165.2.1.45 NAME 'sambaStringOption'
attributetype ( 1.3.6.1.4.1.7165.2.1.46 NAME 'sambaStringListOption'
##attributetype ( 1.3.6.1.4.1.7165.2.1.50 NAME 'sambaPrivName'
##attributetype ( 1.3.6.1.4.1.7165.2.1.52 NAME 'sambaPrivilegeList'
attributetype ( 1.3.6.1.4.1.7165.2.1.53 NAME 'sambaTrustFlags'
attributetype ( 1.3.6.1.4.1.7165.2.1.58 NAME 'sambaMinPwdLength'
attributetype ( 1.3.6.1.4.1.7165.2.1.59 NAME 'sambaPwdHistoryLength'
attributetype ( 1.3.6.1.4.1.7165.2.1.60 NAME 'sambaLogonToChgPwd'
attributetype ( 1.3.6.1.4.1.7165.2.1.61 NAME 'sambaMaxPwdAge'
attributetype ( 1.3.6.1.4.1.7165.2.1.62 NAME 'sambaMinPwdAge'
attributetype ( 1.3.6.1.4.1.7165.2.1.63 NAME 'sambaLockoutDuration'
attributetype ( 1.3.6.1.4.1.7165.2.1.64 NAME 'sambaLockoutObservationWindow'
attributetype ( 1.3.6.1.4.1.7165.2.1.65 NAME 'sambaLockoutThreshold'
attributetype ( 1.3.6.1.4.1.7165.2.1.66 NAME 'sambaForceLogoff'
attributetype ( 1.3.6.1.4.1.7165.2.1.67 NAME 'sambaRefuseMachinePwdChange'
attributetype ( 1.3.6.1.4.1.7165.2.1.68 NAME 'sambaClearTextPassword'
attributetype ( 1.3.6.1.4.1.7165.2.1.69 NAME 'sambaPreviousClearTextPassword'
attributetype ( 1.3.6.1.4.1.7165.2.1.70 NAME 'sambaTrustType'
attributetype ( 1.3.6.1.4.1.7165.2.1.71 NAME 'sambaTrustAttributes'
attributetype ( 1.3.6.1.4.1.7165.2.1.72 NAME 'sambaTrustDirection'
attributetype ( 1.3.6.1.4.1.7165.2.1.73 NAME 'sambaTrustPartner'
attributetype ( 1.3.6.1.4.1.7165.2.1.74 NAME 'sambaFlatName'
attributetype ( 1.3.6.1.4.1.7165.2.1.75 NAME 'sambaTrustAuthOutgoing'
attributetype ( 1.3.6.1.4.1.7165.2.1.76 NAME 'sambaTrustAuthIncoming'
attributetype ( 1.3.6.1.4.1.7165.2.1.77 NAME 'sambaSecurityIdentifier'
attributetype ( 1.3.6.1.4.1.7165.2.1.78 NAME 'sambaTrustForestTrustInfo'
</pre>
*Botarlle un ollo aos distintos atributos, seguro que moitos son familiares.

====Transformar o ficheiro samba.schema en formato LDIF====

*Imos agora '''transformar samba.schema en formato LDIF''' para poder engadilo no LDAP

* Creamos o ficheiro '''schema_convert.conf''' co seguinte contido:
<pre>
include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/samba.schema
</pre>

* Creamos un directorio temporal para almacenar o ficheiros LDIF:
'''mkdir /tmp/ldif

* Usamos o comando '''slaptest''' para converter o ficheiro de esquema a LDIF:
'''slaptest -f schema_convert.conf -F /tmp/ldif

*Podemos ver no directorio temporal todo o que se creou, e entre outros, o ficheiro '''cn={4}samba.ldif''' que é o que cargaremos no LDAP.

<pre>
tree /tmp/ldif
/tmp/ldif
├── cn=config
│ ├── cn=schema
│ │ ├── cn={0}core.ldif
│ │ ├── cn={1}cosine.ldif
│ │ ├── cn={2}inetorgperson.ldif
│ │ ├── cn={3}nis.ldif
│ │ └── cn={4}samba.ldif
│ ├── cn=schema.ldif
│ ├── olcDatabase={0}config.ldif
│ └── olcDatabase={-1}frontend.ldif
└── cn=config.ldif
</pre>

====Cargar o ficheiro LDIF no ldap====
*Temos dúas opcións:
**Usando o comando '''ldapadd''', precisamos facer uns cambios no ficheiro, pero non hai que reiniciar o servizo.
**Copiando o ficheiro ldif a '''/etc/ldap/slapd.d/cn=config/cn=schema''', pero hai que reiniciar o servizo ldap.
* En calquera caso imos facer unha copia do ficheiro ldif a ''/etc/ldap/schema'' que é onde tiñamos os outros esquemas e os seus ficheiros ldif asociados, e así témolos todos xuntos.

<pre>
ls /etc/ldap/schema/
collective.ldif duaconf.ldif misc.ldif ppolicy.ldif
collective.schema duaconf.schema misc.schema ppolicy.schema
corba.ldif dyngroup.ldif nis.ldif README
corba.schema dyngroup.schema nis.schema samba.schema
core.ldif inetorgperson.ldif openldap.ldif
core.schema inetorgperson.schema openldap.schema
cosine.ldif java.ldif pmi.ldif
cosine.schema java.schema pmi.schema
</pre>

*Copiamos o ficheiro ao directorio anterior
'''cp "/tmp/ldif/cn=config/cn=schema/cn={4}samba.ldif" "/etc/ldap/schema/samba.ldif"

*O ficheiro copiado (/etc/ldap/schema/samba.ldif) precisa que realicemos nel as seguintes modificacións, cambiando estes dous atributos:
dn: cn=samba,cn=schema,cn=config
...
cn: samba

* e borrando as seguintes liñas que se atopan ao final do ficheiro:
<pre>
structuralObjectClass: olcSchemaConfig
entryUUID: b53b75ca-083f-102d-9fff-2f64fd123c95
creatorsName: cn=config
createTimestamp: 20080827045234Z
entryCSN: 20080827045234.341425Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20080827045234Z
</pre>

*Antes de cargar o LDIF no servizo LDAP imos ver que esquemas están cargados:
<pre>
tree /etc/ldap
/etc/ldap
├── ldap.conf
├── sasl2
├── schema
│ ├── collective.ldif
...
│ ├── core.ldif
│ ├── core.schema
│ ├── cosine.ldif
│ ├── cosine.schema
...
│ ├── inetorgperson.ldif
│ ├── inetorgperson.schema
...
│ ├── nis.ldif
│ ├── nis.schema
...
│ ├── samba.ldif
│ └── samba.schema
└── slapd.d
├── cn=config
│ ├── cn=module{0}.ldif
│ ├── cn=schema
│ │ ├── cn={0}core.ldif
│ │ ├── cn={1}cosine.ldif
│ │ ├── cn={2}nis.ldif
│ │ └── cn={3}inetorgperson.ldif
│ ├── cn=schema.ldif
│ ├── olcBackend={0}mdb.ldif
│ ├── olcDatabase={0}config.ldif
│ ├── olcDatabase={-1}frontend.ldif
│ └── olcDatabase={1}mdb.ldif
└── cn=config.ldif
</pre>

*Vemos que en '''/etc/ldap/slap.d/cn=config/cn=schema''' están os esquemas que actualmente están cargados no ldap.

*Tamén o podemos ver consultado o directorio ldap.
<pre>
ldapsearch -LLLQY EXTERNAL -H ldapi:/// -b cn=schema,cn=config "(objectClass=olcSchemaConfig)" dn
dn: cn=schema,cn=config

dn: cn={0}core,cn=schema,cn=config

dn: cn={1}cosine,cn=schema,cn=config

dn: cn={2}nis,cn=schema,cn=config

dn: cn={3}inetorgperson,cn=schema,cn=config
</pre>

*'''Opción A: cargar o esquema sen reiniciar o servizo: ldapadd
*Cargamos o ficheiro samba.ldif modificado anteriormente
'''ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/samba.ldif
''adding new entry "cn=samba,cn=schema,cn=config"''

*Comprobación do realizado.
<pre>
ldapsearch -LLLQY EXTERNAL -H ldapi:/// -b cn=schema,cn=config "(objectClass=olcSchemaConfig)" dn

dn: cn=schema,cn=config

dn: cn={0}core,cn=schema,cn=config

dn: cn={1}cosine,cn=schema,cn=config

dn: cn={2}nis,cn=schema,cn=config

dn: cn={3}inetorgperson,cn=schema,cn=config

dn: cn={4}samba,cn=schema,cn=config
</pre>

*Vemos que en '''/etc/ldap/slap.d/cn=config/cn=schema''' está cargado o novo esquema.
<pre>
tree /etc/ldap
/etc/ldap
├── ldap.conf
├── sasl2
├── schema
│ ├── collective.ldif
...
│ ├── core.ldif
│ ├── core.schema
│ ├── cosine.ldif
│ ├── cosine.schema
...
│ ├── inetorgperson.ldif
│ ├── inetorgperson.schema
...
│ ├── nis.ldif
│ ├── nis.schema
...
│ ├── samba.ldif
│ └── samba.schema
└── slapd.d
├── cn=config
│ ├── cn=module{0}.ldif
│ ├── cn=schema
│ │ ├── cn={0}core.ldif
│ │ ├── cn={1}cosine.ldif
│ │ ├── cn={2}nis.ldif
│ │ ├── cn={3}inetorgperson.ldif
│ │ └── cn={4}samba.ldif
│ ├── cn=schema.ldif
│ ├── olcBackend={0}mdb.ldif
│ ├── olcDatabase={0}config.ldif
│ ├── olcDatabase={-1}frontend.ldif
│ └── olcDatabase={1}mdb.ldif
└── cn=config.ldif
</pre>

'''OPCIÓN B: reiniciando o servidor pero sen modificar o ficheiro:
'''cp "/tmp/ldif/cn=config/cn=schema/cn={4}samba.ldif" "/etc/ldap/slapd.d/cn=config/cn=schema"
'''chown openldap: '/etc/ldap/slapd.d/cn=config/cn=schema/cn={4}samba.ldif'
'''service slapd restart

=== Engadir os índices necesarios para as buscas de samba ===

* Neste caso imos engadir un conxunto de campos bastante grande que van ser índices no LDAP, así que os introduciremos nun ficheiro. Introducimos o seguinte contido no ficheiro '''samba_indices_1.ldif''':

<pre>
dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: loginShell eq
olcDbIndex: uniqueMember eq,pres
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub
</pre>

* E cargamos os índices no LDAP con '''ldapadd''':
'''ldapadd -Y EXTERNAL -H ldapi:/// -f samba_indices_1.ldif
''modifying entry "olcDatabase={1}mdb,cn=config"''

*Reemplazamos índices que xa existen. Creamos o ficheiro: samba_indices_2.ldif
<pre>
dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcDbIndex
olcDbIndex: uidNumber eq
olcDbIndex: gidNumber eq
olcDbIndex: memberUid eq,pres,sub
</pre>

* Aplicamos os cambios no LDAP con '''ldapadd''':
'''ldapadd -Y EXTERNAL -H ldapi:/// -f samba_indices_2.ldif
''modifying entry "olcDatabase={1}mdb,cn=config"''

-- [[Usuario:antonio| Antonio de Andrés Lema]] e [[Usuario:Carrion| Carlos Carrión Álvarez]]

Instalación do servidor samba. Configuración LDAP - Historial de revisiones

Carrion: /* Instalación do servidor Samba */