[Wiki] [HOWTO] Ввод Ubuntu в домен Active Directory

[ViTalityU]

а для чего выполняется вот это?

Код: [Выделить]

# Изменение GDM
echo -en "33[1mНастройка GDM... 33[0m"
sed -i "/^.*IncludeAll.*$/,/^.*true.*$/ s/true/false/" $GDM_FILE
Пользователь решил продолжить мысль 22 Марта 2011, 16:38:29:И почему предлагается редактировать /etc/sudoers
когда можно добавить необходимых пользователей или группу в группу admin?

[Charles Malaheenee]

а для чего выполняется вот это?

С закосом под политику безопаcности Windows: т.е. в окне GDM не будет видно никаких пользователей - ни локальных, ни доменных; нужно набирать логин/пароль.
В Debian Squeeze, кстати, это делается не в пример легче.

И почему предлагается редактировать /etc/sudoers

Хм... Вот на этот вопрос ответить не сможем.

[ViTalityU]

С закосом под политику безопаcности Windows: т.е. в окне GDM не будет видно никаких пользователей - ни локальных, ни доменных; нужно набирать логин/пароль.

спасибо. а может среди них есть опция заставляющая вводить логин и пароль в разных полях ввода, аля Windows?

В Debian Squeeze, кстати, это делается не в пример легче.

там наверное старый гтк/гном со старым гдм-ом? с возможностью использования тем оформления? и нормальным конфигуратором "экрана входа в систему"?

[Charles Malaheenee]

спасибо. а может среди них есть опция заставляющая вводить логин и пароль в разных полях ввода, аля Windows?

Так там же разные поля ввода - сначала логин, потом пароль. Или Вам сразу две нужно? Вроде так нельзя:)

(Оффтоп немного)

там наверное старый гтк/гном со старым гдм-ом? с возможностью использования тем оформления? и нормальным конфигуратором "экрана входа в систему"?

Нет, новый, GDM3, конфигуратор все тот же, что и в Ubuntu, но для прикручивания темы оформления, отключения показа пользователей и т.п. нужно редактировать файлы /etc/gdm3/daemon.conf и /etc/gdm3/greeter.gconf-defaults, имеющих обычный текстовый формат, а не кошмарный xml.
Например, для реализации "а-ля политика безопасности" файл будет таким:

(Нажмите, чтобы показать/скрыть)

# GDM configuration storage
#
# See /usr/share/gdm/gdm.schemas for a list of available options.
# Some settings can also be configured using the gdmsetup tool.

[daemon]
# AutomaticLoginEnable = false
# AutomaticLogin =

[security]

[xdmcp]

[greeter]
IncludeAll = false

[chooser]

[debug]

А смена темы оформления или обоев еще проще:

(Нажмите, чтобы показать/скрыть)

# Use a specific background
/desktop/gnome/background/picture_filename   /usr/share/images/desktop-base/moreblue-orbit-wallpaper-widescreen.png
/desktop/gnome/background/picture_options   zoom

# Theming options
/desktop/gnome/interface/gtk_theme      Gilouche
/desktop/gnome/interface/icon_theme      gnome-brave

# Greeter options
/apps/gdm/simple-greeter/logo_icon_name    debian-swirl

# Play system beeps - especially the one when the greeter is ready
/desktop/gnome/sound/event_sounds      true

# Some other possible options
#/apps/gdm/simple-greeter/banner_message_enable      true
#/apps/gdm/simple-greeter/banner_message_text      Добро пожаловать в %h
#/apps/gdm/simple-greeter/disable_restart_buttons   false
#/apps/gdm/simple-greeter/disable_user_list      false

# The lower panel doesn't work with the compositor
/apps/metacity/general/compositing_manager      false

# Prevent the power management icon from showing up
/apps/gnome-power-manager/ui/icon_policy      never

А не сплошное извращение, как здесь.

[Charles Malaheenee]

Имею lubuntu 10.04
Настроил все по статье, из консоли без проблем захожу под доменным юзером, вижу все соответ. правам ресурсы на win-серве, а вот из под иксов, точнее из под lxdm могу зайти только под локальным юзером пробовал ставить gdm, под доменным юзером пускает, но после этого вижу пустой экран....

Кажется, вот: http://forum.runtu.org/index.php?PHPSESSID=mk14fk4nk5v3kfqbek60j75oj1&/topic,566.0.html

[evors]

Hi all! Вопрос тут: https://forum.ubuntu.ru/index.php?topic=17941.msg1085413#msg1085413

Если кратко, то не срабатывает ограничение pam_group.so. Есть идеи у сообщества?

[RHODIUM]

Првиет!

делаю все по интсрукции представленной в первом сообщении.
после выполнения команды sudo aptitude install krb5-user samba winbind
просит удалить apache2, php и другие пакеты.
Подскажите в чем проблема?


Системы ubuntu 11.04 server.
на ней поднят Web server.

[ViTalityU]

Я для ввода в домен использую likewise.
И заметил один неприятный вещь:
Если зайдя на ПК под доменным пользователем попробовать запустить какойнить терминал, будь то gnome-terminal или lxterminal, неважно.
То после того как запустится само приложение проходит 7-10 секунд прежде чем появится приглашение bash.(естественно под локальным пользователем такого не происходит)
В вашем варианте ввода в домен такое наблюдается?

[Charles Malaheenee]

В вашем варианте ввода в домен такое наблюдается?

Если терминал - "...дцатый", то наблюдается. А так разницы между локальным и доменным никакой.

[ViTalityU]

sudo bash -c "for i in 2 3 4 5; do mv /etc/rc$i.d/S20winbind /etc/rc$i.d/S99winbind; done"

не срабатывает
замените двойные кавычки на одинарные

sudo bash -c 'for i in 2 3 4 5; do mv /etc/rc$i.d/S20winbind /etc/rc$i.d/S99winbind; done'

Пользователь решил продолжить мысль 02 Июня 2011, 14:55:14:а никто не пытался прикрутить libpam_mount к этому варианту авторизации?
я попытался основываясь на http://www.likewise.com/community/index.php/forums/viewthread/825/
и на https://forum.ubuntu.ru/index.php?topic=17941.0
перестало пускать в систему как доменных так и локальных ((

[ViTalityU]

а еще вот тут рекомендуют сменить backend для nss.
а также есть пример TRUE-шной настройки pam.

[Charles Malaheenee]

ViTalityU, пробуйте и дописывайте хау-ту. На то и *nix-way Нам такие вещи попробовать трудно, ибо доменконтроллер админим не мы и в случае чего - будут "сильно вонять" неприятности..

[MoTn]

Доброго времени суток. Пытаюсь ввести в домен Ubuntu 11.0.4, но запарываюсь, другого слова не нашёл, на настройке Самбы.
Вот настройки которые я делал. До сегодняшнего дня, дел с юникс системами я не имел, может где то ошибся до Самбы.

(Нажмите, чтобы показать/скрыть)

 
127.0.0.1   localhost
192.168.2.15   smbtst.TTT.LOCAL     smbtst

(Нажмите, чтобы показать/скрыть)

smbtst

(Нажмите, чтобы показать/скрыть)

search TTT.LOCAL
nameserver 192.168.2.1

(Нажмите, чтобы показать/скрыть)

127.0.0.1   localhost
192.168.2.15   smbtst.TTT.LOCAL     smbtst

(Нажмите, чтобы показать/скрыть)

[libdefaults]
    default_realm = TTT.LOCAL
    kdc_timesync = 1
    ccache_type = 4
    forwardable = true
    proxiable = true

[realms]
    TTT.LOCAL = {
           kdc = 192.168.2.1
           admin_server = 192.168.2.1
           default_domain = TTT.LOCAL
       }
      
[domain_realm]
   .ttt.local = TTT.LOCAL
   ttt.local = TTT.LOCAL
[login]
   krb4_convert = false
   krb4_get_tickets = false

(Нажмите, чтобы показать/скрыть)

[global]

# Эти две опции нужно писать именно в заглавном регистре, причём workgroup без
# последней секции после точки, а realm - полное имя домена
  workgroup = TTT
  realm = TTT.LOCAL
     
# Эти две опции отвечают как раз за авторизацию через AD
   security = ads
   encrypt passwords = true
   
# Просто важные
   dns proxy = no
   socket options = TCP_NODELAY
   
# Если вы не хотите, чтобы самба пыталась при случае вылезти в лидеры в домене или рабочей группе,
# или даже стать доменконтроллером, то всегда прописывайте эти пять опций именно в таком виде
   domain master = no
   local master = no
   preferred master = no
   os level = 0
   domain logons = no
   
# Опции сопоставления доменных пользователей и виртуальных пользователей в системе через Winbind.
# Диапазоны идентификаторов для виртуальных пользователей и групп.
   idmap uid = 10000 - 40000
   idmap gid = 10000 - 40000
   
# Эти опции не стоит выключать.
   winbind enum groups = yes
   winbind enum users = yes
   
# Использовать домен по умолчанию для имён пользователей. Без этой опции имена пользователей и групп
# будут использоваться с доменом, т.е. вместо username - DOMAIN\username.
# Возможно именно это вам и нужно, однако обычно проще этот параметр включить.
   winbind use default domain = yes
   
# Если вы хотите разрещить использовать командную строку для пользователей домена, то
# добавьте следующую строку, иначе в качестве shell'а будет вызываться /bin/false
   template shell = /bin/bash
 
# Для автоматического обновления билета Kerberos модулем pam_winbind.so нужно добавить строчку
    winbind refresh tickets = yes
   
# Для возможности оффлайн-авторизации при недоступности доменконтроллера необходимо вписать
    winbind offline logon = yes

# Период кэширования учетных записей, по умолчанию равен 300 секунд
    winbind cache time = 1440
   
# Отключить поддержку принтеров
   load printers = no
   show add printer wizard = no
   printcap name = /dev/null
   disable spoolss = yes                 

Билеты с помощью kinit получаю.

(Нажмите, чтобы показать/скрыть)

Ticket cache: FILE:/tmp/krb5cc_0
Default principal: motn@TTT.LOCAL

Valid starting     Expires            Service principal
06/10/11 13:59:58  06/10/11 23:58:23  krbtgt/TTT.LOCAL@TTT.LOCAL
   renew until 06/11/11 13:59:58

За ранее спасибо, за потраченное на меня время.

[ViTalityU]

2MoTn
так в чем трабл та? чего не выходит? что при этом выдает?

[MoTn]

Точную ошибку сказать в данный момент не могу, т.к. Ubuntu ставлю на работе. Пишет, что не может найти домен.