[Wiki] [HOWTO] Настройка Samba 3(PDC)+OpenLDAP2.4+Gosa2.6.11 в Ubuntu 10.04

[vovan1982]

Доброго времени суток vovan1982
1.1 Первый раздел, после изменения кучи файлов мы создаем db.ldif

3. А можете что-то кокретное, проверенное, подсказать
5. Эх, я в man'е увидел что нужно эти дефисы ставить  (-), но не сработало
6. А шестой я сам пропустил =)

Где же вы раньше со скриптом были? Я не знал как файлы можно редактировать было... приходилось ручками, а так остается вопрос как автоматизировать  две вещи:
- apt-get install libnss-ldap
- перл-скрипт /usr/share/doc/smbldap-tools/configure.pl  

8. (new) При всем этом возникал вопрос, что произойдет если устанавливать госу пакетом через apt?
9. (new) В конце установке, для того чтобы госа могла исполнять файлы, мы даем пользователю www-data возможность повышать права, при этом без пароля. Не кажется ли это немного небезопасным? Ладно если сервер виден только в локалке, но если обратная ситуация, да еще если подняты сайты...

Здравствуй yujin1st

1.1 Первый раздел, после изменения кучи файлов мы создаем db.ldif

Непосредственно в статье я ничего подобного не писал, по этому и просил напомнить где именно я это советовал. Посоветовать поменять  хеш пароля в файле /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif при ошибке ldap_bind: Invalid credentials (49) я мог для того чтоб проверить правильность пароля в файле db.ldif, но это не правильно, я ошибся, т.к. при добавлении файла db.ldif хеш пароля ещё раз шифруется в результате вносить изменения пароля можно только через ldapmodify.
А файл /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif создаётся при добавлении файла db.ldif, т.е. db.ldif и /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif можно сказать одно и тоже, за исключением некоторых отличий, можешь их сравнить.

3. А можете что-то кокретное, проверенное, подсказать

Лично мне очень помог этот сайт http://diary.ru/~ldap плюс копания в интернете и метод проб и ошибок
Более конкретного к сожалению ничего подсказать не могу.

Где же вы раньше со скриптом были?

Хотел его до ума довести да всё ни как, а потом и вовсе про него забыл, теперь вот вспомнил и выложил как есть

стается вопрос как автоматизировать  две вещи:
- apt-get install libnss-ldap
- перл-скрипт /usr/share/doc/smbldap-tools/configure.pl

об автоматизации libnss-ldap я как то не задумывался, а вот  /usr/share/doc/smbldap-tools/configure.pl можно автоматизировать самому создав конфиг файлы которые сознаются при выполнении /usr/share/doc/smbldap-tools/configure.pl

8. (new) При всем этом возникал вопрос, что произойдет если устанавливать госу пакетом через apt?

Не советую, в пакетах через apt, gosa версии 2.5

9. (new) В конце установке, для того чтобы госа могла исполнять файлы, мы даем пользователю www-data возможность повышать права, при этом без пароля. Не кажется ли это немного небезопасным? Ладно если сервер виден только в локалке, но если обратная ситуация, да еще если подняты сайты...

Кажется , но как говорится всё в ваших руках, Лично у меня сервер виден только в локалке.

[yujin1st]

kolyan_k

Люди  дак что  делать  с  это  windows 7 ? никто не знает как с ней  бороться ??
после  манипуляций  с реестром "[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesLanmanWorkstationParameters]
DomainCompatibilityMode=dword:00000001
DNSNameResolutionRequired=dword:00000000
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesNetlogonParameters]
RequireSignOrSeal=dword:00000001
RequireStrongKey=dword:00000001
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesTcpipParametersInterfaces]
Domain=example.ru
NV Domain=example.ru
Где example.ru - это имя домена вашей сети. "
7 входит в домен НО НО
когда  пытаюсь зайти под  доменной  записью  выдает  следущие
" не удается установить доверительные отношения между этой рабочий станцией и основным доменом"
на  sambe   дает такую ошибку 

rejecting auth read_fd_with_timeout

Я сделал как в wiki.samba
добавил два параметра:

Код: [Выделить]

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesLanmanWorkstationParameters]
DomainCompatibilityMode=dword:00000001
DNSNameResolutionRequired=dword:00000000Все  заработало - машина вошла в домен, пользователи начали входить. Добавил параметры из секции ускорение - заработало еще быстрее.
Пробовали без дополнительных параметров?
Пользователь решил продолжить мысль 19 Июля 2011, 07:09:16:vovan1982

Непосредственно в статье я ничего подобного не писал, по этому и просил напомнить где именно я это советовал. Посоветовать поменять  хеш пароля в файле /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif при ошибке ldap_bind: Invalid credentials (49) я мог для того чтоб проверить правильность пароля в файле db.ldif, но это не правильно, я ошибся, т.к. при добавлении файла db.ldif хеш пароля ещё раз шифруется в результате вносить изменения пароля можно только через ldapmodify.
А файл /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif создаётся при добавлении файла db.ldif, т.е. db.ldif и /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif можно сказать одно и тоже, за исключением некоторых отличий, можешь их сравнить.

И тем не менее именно это сработало. То есть именно повторных хеш не дает правильно авторизироваться. Или я чего-то не понимаю?

стается вопрос как автоматизировать  две вещи:
- apt-get install libnss-ldap

об автоматизации libnss-ldap я как то не задумывался, а вот  /usr/share/doc/smbldap-tools/configure.pl можно автоматизировать самому создав конфиг файлы которые сознаются при выполнении /usr/share/doc/smbldap-tools/configure.pl

Вопрос в том как быть с параметрами которые спрашивает apt во время установки. Думаю, наверняка есть возможность их заранее объявлять - просто еще не знаю о ней.
Как закончу с настройкой - возьмусь за скрипт.

8. (new) При всем этом возникал вопрос, что произойдет если устанавливать госу пакетом через apt?

Не советую, в пакетах через apt, gosa версии 2.5

У меня и желания не возникает. Просто интересно, что происходит во время установки: так же добавляются схемы, разворачивается сайт...?
Кстати, а на сайте есть свежая версия в виде пакета. =)

9. (new) В конце установке, для того чтобы госа могла исполнять файлы, мы даем пользователю www-data возможность повышать права, при этом без пароля. Не кажется ли это немного небезопасным? Ладно если сервер виден только в локалке, но если обратная ситуация, да еще если подняты сайты...

Кажется , но как говорится всё в ваших руках, Лично у меня сервер виден только в локалке.
[/quote]
Есть идеи как можно этого избежать? Мне sudo, все равно нужен при изменении в /home. Знаете как можно как попробовать на уровне самбы?
Пойдет ли вариант создать другого пользователя и от его имени запускать задачи, при этом с паролем...?


1. После исправления ошибки с одинаковыми именами возникло пару вопросов.

(Нажмите, чтобы показать/скрыть)

Думаю окажется полезным:

Через несколько дней после подъема сервер возникла проблема: Клиенты XP начали при загрузке перед входом в систему выдавать ошибку "В сети обнаружены совпадающие имена". И отказывались входить под учетной записью  домена. Однако войдя под локальной, все прекрасно видели, и входили по сетевой записью.
Проблема оказалась в том что в smb.conf совпадали два параметра - они должны быть разными не только по регистру.

Код: [Выделить]

[global]
        workgroup = EXAMPLE
        netbios name = example
Хотя в статье было правильно указано

Код: [Выделить]

[global]
        workgroup = EXAMPLE
        netbios name = pdc
То есть по факту мы входим в домен workgroup, а позже входим на сервер и прикрепляем сетевые профили по адресу \netbios_name.

- В GOsa у пользователей на вкладке Samba появилось теперь два домена - старый и новый, как убрать старый?
- Получается что, сам сервер у меня находится еще в старом домене, как подключить к новому?



2.Win XP, Win 7 работают. Сейчас вожусь над тем  как ввести в домен Mac OS. Обнаружил, что он требует Kerberos.  Ну раз нужно - значит ставим =)  При этом нужно вместе с нашей базой ldap интегрировать. Нашел статью:
https://help.ubuntu.com/10.04/serverguide/C/kerberos-ldap.html
Насколько понял по ней в начале мы работаем c LDAP:
- мы создаем свою схему kerberos с помощью slapcat. (как в статье db.ldif)
- добавляем схему
- добавляем атрибут
- добавляем acl

На первом же этапе возникла ошибка:
При генерации схемы

Код: [Выделить]

slapcat -f schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={12}kerberos,cn=schema,cn=config" > /tmp/cn=kerberos.ldif
  у нас на выходе получается пустой файл. Что это может быть?


И возник еще вопрос:
В вашей, vovan1982, мы сначала конвертируем новую схему, потом добавляем ее, потом добавляем схемы указанные   в chema_convert.conf.
Здесь про другие схемы ничего не написано. Но, насколько понимаю, их тоже нужно добавлять, так ведь?

[kolyan_k]

kolyan_k

Люди  дак что  делать  с  это  windows 7 ? никто не знает как с ней  бороться ??
после  манипуляций  с реестром "[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesLanmanWorkstationParameters]
DomainCompatibilityMode=dword:00000001
DNSNameResolutionRequired=dword:00000000
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesNetlogonParameters]
RequireSignOrSeal=dword:00000001
RequireStrongKey=dword:00000001
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesTcpipParametersInterfaces]
Domain=example.ru
NV Domain=example.ru
Где example.ru - это имя домена вашей сети. "
7 входит в домен НО НО
когда  пытаюсь зайти под  доменной  записью  выдает  следущие
" не удается установить доверительные отношения между этой рабочий станцией и основным доменом"
на  sambe   дает такую ошибку 

rejecting auth read_fd_with_timeout

Я сделал как в wiki.samba
добавил два параметра:

Код: [Выделить]

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesLanmanWorkstationParameters]
DomainCompatibilityMode=dword:00000001
DNSNameResolutionRequired=dword:00000000Все  заработало - машина вошла в домен, пользователи начали входить. Добавил параметры из секции ускорение - заработало еще быстрее.

не подскажите что за параметры  ускорения?? 

[yujin1st]

не подскажите что за параметры  ускорения?? 

там же по ссылке: http://wiki.samba.org/index.php/Windows7#Windows_7_Performance_and_Time_Registry_settings

Код: [Выделить]

    ; Speedup settings
       [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
       "SlowLinkDetectEnabled"=dword:00000000
       "DeleteRoamingCache"=dword:00000001
       "WaitForNetwork"=dword:00000000
       "CompatibleRUPSecurity"=dword:00000001


[kolyan_k]

thanks a lot!!!!

[yujin1st]

thanks a lot!!!!

В итоге значит заработало? =)

[iam_numlock]

пытаюсь написать скрипт автоустановки, но уже устал...
давайте откорректируем его общими усилиями, думаю, что всем пригодится.

[kolyan_k]

thanks a lot!!!!

В итоге значит заработало? =)

да   в домен  зашли  и  пользователи стали  заходить!  сделал только  ваши  2 строчки  а
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesNetlogonParameters]
RequireSignOrSeal=dword:00000001
RequireStrongKey=dword:00000001
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesTcpipParametersInterfaces]
Domain=example.ru
NV Domain=example.ru
не стал  делать!
Пользователь решил продолжить мысль 19 Июля 2011, 12:16:04:

пытаюсь написать скрипт автоустановки, но уже устал...
давайте откорректируем его общими усилиями, думаю, что всем пригодится.

автоустановки  что  именно ты  хочешь сделать?

[yujin1st]

пытаюсь написать скрипт автоустановки, но уже устал...
давайте откорректируем его общими усилиями, думаю, что всем пригодится.

Писать всем код в один файл - не вариант.
Спрашивай в чем проблема, поможем.
Если хочешь готового, подожди пятницы -  я думаю к этому времени справлюсь

[vovan1982]

yujin1st

И тем не менее именно это сработало. То есть именно повторных хеш не дает правильно авторизироваться. Или я чего-то не понимаю?

Правильно авторизоваться не даёт неправильный пароль, а изменение пароля в файле /etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif даёт право утверждать что пароль при создании базы ldap и пароль для авторизации в этой базе одинаковы, но изменять пароль можно только с помощью ldapmodify.

У меня и желания не возникает. Просто интересно, что происходит во время установки: так же добавляются схемы, разворачивается сайт...?

Скачай пакеты с http://packages.ubuntu.com/ и посмотри содержимое

Кстати, а на сайте есть свежая версия в виде пакета. =)

Только для debian, для ubuntu нет.

9. (new) В конце установке, для того чтобы госа могла исполнять файлы, мы даем пользователю www-data возможность повышать права, при этом без пароля. Не кажется ли это немного небезопасным? Ладно если сервер виден только в локалке, но если обратная ситуация, да еще если подняты сайты...
Кажется , но как говорится всё в ваших руках, Лично у меня сервер виден только в локалке.

Есть идеи как можно этого избежать? Мне sudo, все равно нужен при изменении в /home. Знаете как можно как попробовать на уровне самбы?
Пойдет ли вариант создать другого пользователя и от его имени запускать задачи, при этом с паролем...?

Я над этим даже не задумывался, поэтому к сожалению ни чем помочь не могу, но думаю если задаться целью то всё получится

1. После исправления ошибки с одинаковыми именами возникло пару вопросов.
- В GOsa у пользователей на вкладке Samba появилось теперь два домена - старый и новый, как убрать старый?
- Получается что, сам сервер у меня находится еще в старом домене, как подключить к новому?

Я с такой ситуацией не сталкивался, поэтому помочь не могу. Не имея вашего сервера под рукой трудно что либо сказать.

На первом же этапе возникла ошибка:
При генерации схемы

Код: [Выделить]

slapcat -f schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={12}kerberos,cn=schema,cn=config" > /tmp/cn=kerberos.ldif  у нас на выходе получается пустой файл. Что это может быть?

Прикрепите ваши schema_convert.conf и kerberos схему, я посмотрю.

И возник еще вопрос:
В вашей, vovan1982, мы сначала конвертируем новую схему, потом добавляем ее, потом добавляем схемы указанные   в chema_convert.conf.
Здесь про другие схемы ничего не написано. Но, насколько понимаю, их тоже нужно добавлять, так ведь?

А если точнее то на оборот
Сначала добавляю схемы указанные в chema_convert.conf, потом конвертирую схему и добавляю её.
Вообще всё зависит от того какие там другие схемы, может они уже добавлены, в chema_convert.conf указываются только те схемы которые необходимы для конвертирования данной схемы, проще говоря зависимости.

[yujin1st]

vovan1982

При генерации схемы
Код:
slapcat -f schema_convert.conf -F /tmp/ldif_output -n0 -s "cn={12}kerberos,cn=schema,cn=config" > /tmp/cn=kerberos.ldif
  у нас на выходе получается пустой файл. Что это может быть?

Здесь была моя ошибка - в конфиг. файле пропустил одну схему.

Иду дальше: сконвертировал, исправил  (добавил cn=schema,cn=config, убрал {число} и абзац в конце) схему /tmp/cn=kerberos.ldif  и недостающие сконвертированные схемы в папке /tmp/ldif_output/cn\=config/cn\=schema/  

(Нажмите, чтобы показать/скрыть)

collective.schema
corba.schema
duaconf.schema
dyngroup.schema
java.schema
ppolicy.schema

Добавил  недостающие схемы командой ldapadd -Y EXTERNAL -H ldapi:/// -f
А вот при добавлении схемы /tmp/cn=kerberos.ldif командой  (при подстановке своего адреса)

Код: [Выделить]

ldapadd -x -D cn=admin,dc=example,dc=com -W -f /tmp/cn\=kerberos.ldifпосле ввода пароля возникает ошибка

Код: [Выделить]

Enter LDAP Password:
adding new entry "cn=kerberos,cn=schema,cn=config"
ldap_add: insufficient access (50)
В статье в команде использовался другой суффикс:

Код: [Выделить]

ldapadd -x -D cn=admin,cn=config -W -f /tmp/cn\=kerberos.ldif
Возможно я с суфиксами напутал, но с оригинальной командой пароль не принимает.

[vovan1982]

yujin1st

Схему kerberos.ldif нужно добавлять также как и все остальные

ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/cn\=kerberos.ldif

[yujin1st]

vovan1982

yujin1st

Схему kerberos.ldif нужно добавлять также как и все остальные

ldapadd -Y EXTERNAL -H ldapi:/// -f /tmp/cn\=kerberos.ldif

Хорошо, тогда какие индексы править дальше?
или же как в Вашей статье: ldapmodify -Y EXTERNAL -H ldapi:///

1.Add an index for the krb5principalname attribute:

Код: [Выделить]

ldapmodify -x -D cn=admin,cn=config -W
Enter LDAP Password:
dn: olcDatabase={1}hdb,cn=config
add: olcDbIndex
olcDbIndex: krbPrincipalName eq,pres,sub
modifying entry "olcDatabase={1}hdb,cn=config"
Finally, update the Access Control Lists (ACL):

Код: [Выделить]

ldapmodify -x -D cn=admin,cn=config -W
Enter LDAP Password:
dn: olcDatabase={1}hdb,cn=config
replace: olcAccess
olcAccess: to attrs=userPassword,shadowLastChange,krbPrincipalKey by dn="cn=admin,dc=exampl
 e,dc=com" write by anonymous auth by self write by * none
-
add: olcAccess
olcAccess: to dn.base="" by * read
-
add: olcAccess
olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read

modifying entry "olcDatabase={1}hdb,cn=config"


[vovan1982]

yujin1st

теоретически должно быть так

ldapmodify -Y EXTERNAL -H ldapi:///

затем вставляем

dn: olcDatabase={1}hdb,cn=config
add: olcDbIndex
olcDbIndex: krbPrincipalName eq,pres,sub
-
dn: olcDatabase={1}hdb,cn=config
replace: olcAccess
olcAccess: to attrs=userPassword,shadowLastChange,krbPrincipalKey by dn="cn=admin,dc=exampl
 e,dc=com" write by anonymous auth by self write by * none
-
add: olcAccess
olcAccess: to dn.base="" by * read
-
add: olcAccess
olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read

После чего жмём дважды enter должна появится надпись modifying entry «"olcDatabase={1}hdb,cn=config» и Ctrl+D для выхода.
Пользователь решил продолжить мысль 20 Июля 2011, 10:44:55:наверное можно вставить и так

dn: olcDatabase={1}hdb,cn=config
add: olcDbIndex
olcDbIndex: krbPrincipalName eq,pres,sub
-
replace: olcAccess
olcAccess: to attrs=userPassword,shadowLastChange,krbPrincipalKey by dn="cn=admin,dc=example,dc=com" write by anonymous auth by self write by * none
-
add: olcAccess
olcAccess: to dn.base="" by * read
-
add: olcAccess
olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read

[yujin1st]

1. В общем работает  ldapmodify -Y EXTERNAL -H ldapi:///
2. получается заменили мы строку из оригинального

Код: [Выделить]

olcAccess: to attrs=sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet,userPassword by dn="cn=admin,dc=example,dc=com" write by anonymous auth by self write by * none
Вопрос в том стоило ли оставлять старый вариант?
О последствиях нового результата расскажу как узнаю =)

3. не работает ldapmodify -Y EXTERNAL -H ldapi:/// -f filename,  когда вместо строк с "минусом" вставляем пустые - он обрабатывает только первый абзац...