Форум русскоязычного сообщества Ubuntu


Получить помощь и пообщаться с другими пользователями Ubuntu можно
на irc канале #ubuntu-ru в сети Freenode
и в Jabber конференции ubuntu@conference.jabber.ru

Автор Тема: HOWTO: Active Directory Member Workstation- (Версия Исаева Романа А.)  (Прочитано 173288 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Denis Konstantinov

  • Автор темы
  • Активист
  • *
  • Сообщений: 864
    • Просмотр профиля
Настройка рабочей станции на основе Ubuntu 7.10 для домена Windows от Исаева Романа А.

Прошу при перепечатке данного руководства указывать мое авторство.

Цели:
1.   Обеспечить авторизацию пользователя в домене Active Directory
2.   Обеспечить прозрачную и сквозную авторизацию на ресурсах сети
3.   Закрыть для пользователя использование внешних носителей таких как Flash, CD, Floppy.
4.   Обеспечить хранение пользовательских данных на сервере.
Для тех кому 4 пункт бесполезен я сделал пометки.
для тех кого задалбливает набирать перед каждой командой sudo
сделайте sudo -i и все следующие команды до закрытия терминала будут от рута идти.
Все команды в этом руководстве требуют прав root так, что я обычно пользуюсь sudo -i
Все конфигурационные составлены мной и используются в действующей сети.
Для получения большей информации смотрите оригинальные файлы конфигурации.
DOMAIN ваш домен. dc это сокращение от domain controller
редактируйте чем хотите. Я это делаею либо через mcedit либо через vim

1.   Редактируем часовой пояс gksudo gedit /etc/default/rcS
cтавим UTC=no

2.   Настраиваем сеть.
Проверяем наличие пинга до домен-контроллера(DC) по полному доменному имени (FQDN), еcли проблемы - настраиваем /etc/resolv.conf, в моём cлучае - при получении IP через DHCP, проблем не было.
   # ping dc.domain.ru

mcedit /etc/default/ntpdate
      NTPSERVERS="dc.domain.ru"            <--- меняем эту cтроку указывая домен контроллер

в домене с несколькими домен контроллерами главным сервером времени является эмулятор PDC. остальные dc берут время у него.

даем команду на синхронизацию
/etc/network/if-up.d/ntpdate

Пропиcываем полное FQDN для настраиваемой машины workstation
   
# mcedit /etc/hosts
      127.0.0.1   workstation.domain.ru localhost workstation

   проверка   

   # ping  workstation.domain.ru

3.   Начнем ставить пакеты для работы в домене:

sudo apt-get install samba smbfs winbind libpam-mount

smbfs нужен для монтирование сетевых папок. Он делает два файла в /sbin/(u)mount.cifs
Дополнительно кому нужен ssh доступ к рабочей станции и наличие редакторов, файл менеджеров:
sudo apt-get install mc gnome-commander openssh-server
А теперь конфигурируем SAMBA для работы в домене
создадим папку для пользователей домена mkdir /home/DOMAIN

Правим конфиг
# mcedit /etc/samba/smb.conf
[global]
unix charset = UTF-8
dos charset = CP866
display charset = UTF-8
workgroup = DOMAIN
server string = %h server (Samba, Ubuntu)
; У кого есть wins можете включить   wins support = no
; и прописать wins сервер
; wins server = 192.168…

   dns proxy = no
   log file = /var/log/samba/log.%m
   max log size = 1000
   syslog = 0
   panic action = /usr/share/samba/panic-action %d
# вот тут мы показываем, что используем AD
   security = ads

# если стоит * то samba сама будет искать домен контроллер через dc, или же можно перечислить их IP адреса через пробел в явном виде. Или указать один #IP для того dc на котором хотите авторизоваться. Для отказоустойчивости лучше указать несколько dc или *
   password server = *

 
   realm = DOMAIN.RU  #Внимание realm пишется большими буквами !!!
   encrypt passwords = true
   passdb backend = tdbsam
   obey pam restrictions = yes
   invalid users = root
   passwd program = /usr/bin/passwd %u
passwd chat = *Enter\snew\sUNIX\spassword:* %n\n *Retype\snew\sUNIX\spassword                                                                              :* %n\n *passwd:*password\supdated\ssuccessfully* .


   socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
   idmap uid = 10000-20000
   idmap gid = 10000-20000
   template shell = /bin/bash
   winbind enum groups = yes
   winbind enum users = yes
#домашняя папку у пользователя будет в папке с именем домена. Лучше ее создать заранее вручную.
   template homedir = /home/%D/%U
   client use spnego = yes
   winbind use default domain = yes
   winbind refresh tickets = yes
   restrict anonymous = 2
# строки ниже, чтобы рабочая станция не пыталась стать обозревателем в сети.
domain master = no
local master = no
preferred master = no
os level = 0

Проверяем конфигурацию SAMBA командой testparm

4.   Даем команду чтобы демоны перечитали конфигурацию:
/etc/init.d/winbind stop && /etc/init.d/samba restart && /etc/init.d/winbind start

5.   Подключаем машину в домен
net ads join –U administrator
Далее будет запрос пароля доменного админа. Вместо доменного админа можно указать любую пользовательскую учетку. Да, у пользователя есть право ввести  ПК в домен, но ограниченное  кол-вот раз .

В случае успеха видим:
Using short domain name – DOMAIN
Joined  ‘namepc'  to realm ‘DOMAIN.RU'

Если такая машина уже существует увидим
Failed to set password for machine account (NT_STATUS_ACCESS_DENIED)
Failed to join domain !
Если будет такая ошибка содержащая что то про principal name, а в AD появится учетка, но со знаком красного крестика значит смотри и проверяй /etc/hosts
При рассинхронизации времени с DC возможно появление ошибки из-за несовпдаения времени на DC и на workstation
Перегрузитесь для синхронизации времени с DC и повторно попытайтесь ввести в домен Ubuntu 7.10

ВСЕ ! ПК в домене.



Дальше настраиваем PAM . PAM это подключаемые модули авторизации.
        То есть любое приложение которое принимает пароль дальше передает его системе PAM на проверку, а та выдает только ответ пустить или нет. Привожу рабочий текст.
1.   Текст /etc/pam.d/common-auth

# /etc/pam.d/common-auth - authentication settings common to all services
auth    required        pam_mount.so
auth    optional        pam_group.so
auth    sufficient      pam_unix.so nullok_secure  use_first_pass
auth    sufficient      pam_winbind.so use_first_pass krb5_auth krb5_ccache_type=FILE debug
auth    required        pam_deny.so

Опция debug нужна для отладки. Сыплет лишними данными в /var/log/auth.log
Полезно при проблемах, а так можно ее не ставить.
Первая строка  "auth    required        pam_mount.so" принимает пароль.
Опция required указывает на обязательность этого модуля.
Если он будет провален по каким то причинам PAM даст ответ "не пускать"
Дальше идет модуль pam_group.so  то что он optional указывает на неважность выполнения этого модуля для общего ответа. То есть будет ли выполнен pam_group корректно или нет - неважно.
Дальше идут модули авторизации для локальных учеток pam_unix.so  и  для доменных pam_winbind.so

В моем конфиге пароль принимет pam_mount поэтому в модулях, которые принимают пароль указана опция use_first_pass,  если ее не указать, то пароль придется вводить вручную несколько раз. Опция sufficient работает так, что положительный ответ любого из модулей авторизует пользователя, а отрицательный ответ одного из них не играет роли. Зато отрицательный ответ обоих будет обломом.
Например входит локальный пользователь модуль unix даст ответ ДА, winbind не найдет в домене такой учетки и даст ответ НЕТ (или найдет учетку, но пароли не совпадут). Здесь надо предупредить, что неверные попытки авторизоваться по существующей учетке в домене приведут к ее блокировке. Мое мнениие, что стоит избегать совпадения имен учеток на самом ПК и в домене.

Последний модуль обязателен и в ЛЮБОМ случае отказывает во входе. Если дело дошло до него значит все плохо и никто из модулей не сказал ДА.

Pam_group нужен для вытягивания из домена групп в которые он входит.
Так  же  в моей конфигурации winbind авторизуется по Kerberos посему никакие kerberos пакеты мы не ставили. Билет пользователь получает при входе автоматически и билет кербероса кешируется в файлике.



2.   /etc/pam.d/common-account
account sufficient        pam_winbind.so
account required        pam_unix.so

3.   /etc/pam.d/common-password
password   sufficient   pam_unix.so nullok obscure md5
password   sufficient   pam_winbind.so

файл common-password начинает работать когда приходит время менять пароль (принудительная смена пароля по истечению срока) или когда запускается утилита для смены пароля passwd, например.


4.   /etc/pam.d/common-session
session required        pam_winbind.so
session required        pam_unix.so
#session required        pam_mkhomedir.so umask=0022 skel=/etc/skel
session optional        pam_foreground.so

ВНИМАНИЕ ! здесь я закомментировал модуль для создания домашнего каталога пользователя по той причине, что домашняя папка может создана быть на сетевом ресурсе (у меня это так), а pam_mount еще не выполнен.
Если у вас локально лежат профиля пользователей. На том же ПК где и логин раскомментируйте строку.

5.   etc/pam.d/sudo   #Надо чтобы работало нормально gksu
#%PAM-1.0
auth    sufficient      pam_winbind.so
auth    sufficient      pam_unix.so use_first_pass
auth    required        pam_deny.so
@include common-account

Файл sudo работает при запуске утилиты sudo или при попытке запустить любое из административных приложений в GNOME (KDE не испытывал).
Обеспечивает нормальную работу Synaptic и прочих подобных приложений выдающих табличку на пароль для административных действий.

6.   /etc/pam.d/gdm
#%PAM-1.0
auth    requisite       pam_nologin.so
auth    required        pam_env.so

@include common-auth
@include common-account
session required        pam_limits.so
@include common-session
#session required       pam_mount.so use_first_pass
@include common-pammount

#строка нужна для создания
#домашней папки после монтирования шары !!! создать папку в сетевой шаре до монтирования #не выйдет будет ошибка.
session required        pam_mkhomedir.so umask=0022 skel=/etc/skel
@include common-password


А вот файл указующий в каком порядке вызывать авторизационные скрипты и авторизовывать пользователя входящего через графический GDM интрефейс. Как видите тут строка создания домашней папки идет после common-pammount то есть после монтирования сетевого ресурса с файл сервера w2k3
Тем у кого профиль лежит на рабочей станции эта строку рекомендуется поместить в
/etc/pam.d/common-session
Строки для keyring я убрал ибо не пользуюсь им.

7. А теперь вернемся к модулю перечисления групп pam_group из файла etc/pam.d/common-auth
У нас есть возможность включить доменного пользователя в те или иные ЛОКАЛЬНЫЕ группы ubuntu станции. Таким образом мы можем управлять правами пользователя домена на локальные ресурсы. Подключение флешек, аудио устройства, сканеры и т.д.
И у модуля есть файл конфигурации. Я привожу его в сокращенном виде. Рекомендую поглядеть оригинал там много образцов и показаны интересные вещи.
mcedit /etc/security/group.conf

# the syntax of the lines is as follows:
#
#       services;ttys;users;times;groups
#для пользователей.
*;*;*;Wk0900-2200;adm,audio,scanner,lpadmin

#для админов.
*;*;usysop;Al0000-2400;adm,audio,scanner,cdrom,floppy,plugdev,admin,dip,video,netdev,lpadmin,powerdev
*;*;admin-domena;Al0000-2400;adm,audio,scanner,cdrom,floppy,plugdev,admin,dip,video,netdev,lpadmin,powerdev

Первый параметр сервис, для нас это любой будет, второй терминал (консоль или терминал),
Третий это имя пользователя домена!, четвертый это разрешенное время входа для этого пользователя. Пятый параметр это локальные группы. Членство в группе  admin дает право на sudo
В данном случае пользователи имеют право ставить принтера, и пользоваться локальными ресурсами ПК на полную катушку.
У меня есть подозрение, что из-за того что модуль pam_group грузится с опцией optional ограничение по времени работать не станет, тогда для ограничения входа по времени модулую скорее всего нужно будет поставить вместо optional  required в common-auth

8.   Добавить в файл след строку, если нужно монтировать сетевые ресурсы /etc/security/pam_mount.conf
## СТрока монтирования сетевой папки USERS с win2k3 сервера win2003
volume * cifs win2003 users /home/DOMAIN id=&,iocharset=utf8,codepage=cp866,dmask=0700,fmask=0700 - -

Эта строка нужна тем кто хранит профиль пользователя на сервере или может служить примером монтирования сетевых ресурсов.
те кто хранит файл профили локально могут пункт 8 опустить. В этом файле есть опция debug она помогает выяснить проблемы с монтированием папок.
информация сыпется в /var/log/auth.log

9.   Файл очень важен /etc/nsswitch.conf
passwd:         compat winbind
group:          compat winbind
shadow:         compat
hosts:          files dns
networks:       files dns
protocols:      db files
services:       db files
ethers:         db files
rpc:            db files
netgroup:       files winbind

10.    К сожалению в 7.10 появилась неприятная  вещь. Вход в домен  работает только через пять минут после появления графического приглашения.
Скорее всего это связано с тем, что winbind стартует до поднятия сетевого интерфейса и не может получить полноценную информацию о домене. Симптомы: Рабочая станция либо просто тупо не пускает хотя имя и пароль верные или еще при этом пишет что то типа NO_LOGON_SERVERS

Лекарство - создаем скрипт перестартующий winbind после поднятия сети.
Делаем файл
/etc/network/if-up.d/winbr
#!/bin/sh
/etc/init.d/winbind restart

И присваиваем ему права запуска.
chmod  +x /etc/network/if-up.d/winbr

11.   Удаление ненужных пакетов. Эти сервисы глючат при сетевом монтировании домашней папки,  оставляя к  моменту размонтирования открытыми файлы из-за чего размонтирование либо не проходит либо некорректно  проходит.
sudo apt-get -y remove compiz-core tracker
после удаления Кампиза пропадает заголовок у окон. Лечится запуском
"Система – параметры Внешний Вид"  и попыткой перестановки  на вкладке Визуальные эффекты  на
Обычные эффекты. После чего система выдаст сообщение об ошибке и восстановит нормальный вид окон.

12.   Проблемы с административными права на рабочих станциях у доменных учеток.
Несмотря на то что по команде id видно что доменная учетка состоит в группе admin
Команда sudo проходит с ошибкой
Проблема появилась только в 7.10
Лечится редактированием /etc/sudoers
Туда надо добавить либо пользователя домена либо группу домена
Например так

# User privilege specification
root    ALL=(ALL) ALL
domain-user ALL=(ALL) ALL
# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL
%support ALL=(ALL) ALL

Здесь support и domain-user доменная группа и пользователь.

sudoers редактируется через visudo

настройка окончена ! У меня все это чудо упаковано в файл и развертывание получается быстрым. Однако сначала я специально ставил все машины вручную, чтобы лучше понять взаимодействие и саму ubuntu. Надеюсь мое руководство  сэкономит вам время и силы. Добавления и исправления приветствуются.

для проверки работы winbind есть утилита wbinfo
ПРимеры ключей для проверки работы winbind с доменом
# wbinfo -u
# wbinfo -g
#wbinfo -t

Кто желает может использовать для получения билетов Кербероса пакеты krb5-user libpam-krb5 см. первую страницу. Я лично отказался от них в пользцу простоты.

При обновлении Ubuntu могут сыпаться ошибки вроде того что "не могу обновить fonts кеш" это следствие неверной установки времени. Гррафическая установка ubuntu сдвигает время при установке системы и время создания файлов получается будущее, потому утилита обновления и ругается. исправляется временным переводом часов вперед.

Удачи Вам! Исаев Р.А.
Копия руководства.
http://rapidshare.com/files/75596453/Ubuntu710andAD.pdf

Благодарности выражаю MBear, и другим участникам помогавшим мне в этом трудном деле   ;)
« Последнее редактирование: 17 Март 2008, 09:28:50 от Denis Konstantinov »
AltYo консоль для Gtk3 в стиле консоли quake https://forum.ubuntu.ru/index.php?topic=198594.0

Оффлайн J.Rico

  • Новичок
  • *
  • Сообщений: 36
    • Просмотр профиля
начало здесь https://forum.ubuntu.ru/index.php?topic=4776.195
короче еще в sudo все auth'ы закоментил (это к предыдущему моему посту)

Оффлайн chain

  • Старожил
  • *
  • Сообщений: 1263
    • Просмотр профиля
коментируя winbind ты соответственно просто возвращаешься к только локальной авторизации
такое ощущение, что ты невнимательно читал мануал, и вобще пока разговор напоминает сверление зуба по телефону,
давай по порядку, если хочешь чтобы толк был
что у тебя за группы и юзеры, и скажи на каких примеры будешь показывать.
скажем user - это локальный пользователь
d-user - доменный пользователь
в домен вошел как , проблем не было?
группы и юзеров проверял после подключения?
# wbinfo -u
# wbinfo -g
#wbinfo -t
пробовал псоле входа в домен и изменения пам модулей без перезагрузки сменить пользователя на доменного?

PS чтобы сейчас поправить авторизацию как локального юзера, достаточно вернуть пам в исходное состояние
-вечный чайник-

Оффлайн J.Rico

  • Новичок
  • *
  • Сообщений: 36
    • Просмотр профиля

PS чтобы сейчас поправить авторизацию как локального юзера, достаточно вернуть пам в исходное состояние

этим сейчас и занимаюсь. Пока сделаю как в самом первом примере было. Там "косяки" не критичны, ибо лин не на рабочем месте, а типа небольшого сервака, где будет крутиться одна программка.
Потом на виртуалке, если время будет, буду снова второй вариант пробовать.

Оффлайн Denis Konstantinov

  • Автор темы
  • Активист
  • *
  • Сообщений: 864
    • Просмотр профиля
2 Роман Исаев
Огромное спасибо за статью! Не знал про pam_group.so это была единственная проблема для меня :)
Есть такая штука недавно проскачила.
графическая утилита для ввода в домен. Есть даже пакет для gutsy.
http://lists.likewisesoftware.com/pipermail/likewise-open-discuss/2007-December/thread.html
http://www.likewisesoftware.com/community/index.php/download
http://www.likewisesoftware.com/community/
проверил работает. но она пока кривенькая.

Замечание, при создании домашней папки пользователя назначаются не верные права на папку.
В место того пользователя для кого создана папка владелец указывается другой.
Пока не нашёл в чём проблема. Но если сменить владельца на правильного то всё работает отлично.
Компиз только для двоих пользователей не работает одновременно.

Эти записи непонятны
Dec 21 14:26:21 denisu gnome-screensaver-dialog: PAM pam_parse: expecting return value; [...suffucient]
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_winbind(gnome-screensaver:account): request failed
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_group(gnome-screensaver:setcred): unable to set the group membership for user: Operation not permitted
« Последнее редактирование: 21 Декабрь 2007, 14:34:01 от Denis Konstantinov »
AltYo консоль для Gtk3 в стиле консоли quake https://forum.ubuntu.ru/index.php?topic=198594.0

Оффлайн vlarx

  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Спасибо за HOWTO!
Возникла пара проблем:
1) - После изменения файла /etc/nsswitch.conf в соответствии с HOWTO после входа в систему выдается сообщение: "Внутренняя ошибка" - "Unable to initialize HAL". После чего система работает крайне нестабильно: периодически зависает на минуту, некоторые приложения не запускаются. Скорее всего виновата строка "compat winbind". Проблема решилась возвратом старого файла /etc/nsswitch.conf.
2) - После настройки PAM пароли локальных пользователей проверяются 10-20 секунд.
3) - Команда wbinfo выдает, что невозможно получить доступ к пользователям (группам)
Заранее спасибо за помощь!

PS OC Ubuntu 7.10
« Последнее редактирование: 18 Январь 2008, 14:39:56 от vlarx »

Оффлайн Denis Konstantinov

  • Автор темы
  • Активист
  • *
  • Сообщений: 864
    • Просмотр профиля
выложи файлы /etc/pam.d/* ?
AltYo консоль для Gtk3 в стиле консоли quake https://forum.ubuntu.ru/index.php?topic=198594.0

Оффлайн vlarx

  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
/etc/pam.d/common-auth
auth    required        pam_mount.so
auth    optional        pam_group.so
auth    sufficient      pam_unix.so nullok_secure  use_first_pass
auth    sufficient      pam_winbind.so use_first_pass krb5_auth krb5_ccache_type=FILE debug
auth    required        pam_deny.so

/etc/pam.d/common-account
account sufficient pam_winbind.so
account required pam_unix.so

/etc/pam.d/common-password
password sufficient pam_unix.so nullok obscure md5
password suffucient pam_winbind.so

/etc/pam.d/common-session
session required        pam_winbind.so
session required        pam_unix.so
session required        pam_mkhomedir.so umask=0022 skel=/etc/skel
session optional        pam_foreground.so

/etc/pam.d/sudo
#%PAM-1.0
auth    sufficient      pam_winbind.so
auth    sufficient      pam_unix.so use_first_pass
auth    required        pam_deny.so
@include common-account

/etc/pam.d/gdm
#%PAM-1.0
auth    requisite       pam_nologin.so
auth    required        pam_env.so
@include common-auth
@include common-account
session required        pam_limits.so
@include common-session
@include common-pammount
@include common-password

Оффлайн chain

  • Старожил
  • *
  • Сообщений: 1263
    • Просмотр профиля
2 Роман Исаев

Эти записи непонятны
Dec 21 14:26:21 denisu gnome-screensaver-dialog: PAM pam_parse: expecting return value; [...suffucient]
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_winbind(gnome-screensaver:account): request failed
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_group(gnome-screensaver:setcred): unable to set the group membership for user: Operation not permitted
может проблема в "suffUcient" вместо "suffIcient"?

vlarx - файл nsswitch.conf отвечает за выбор соответствующей службы имен, естественно вернув его к изначальному виду ты получишь одни проблемы, возвращай в таком случае к изначальному виду все
давай лучше посмотрим, что у тебя /etc/hosts
что выдают команды
hostname
hostname --fqdn
-вечный чайник-

Оффлайн vlarx

  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
/etc/hosts
127.0.0.1 workstation.domain.ru localhost WORKSTATION
#127.0.1.1 workstation.domain.ru workstation.DOMAIN.RU
 
#hostname
  WORKSTATION

#hostname --fqdn
   workstation.domain.ru

Често говоря, я чуть-чуть отступил от данного HOWTO  :-[, т.к. у меня не получалось включить рабочую станцию в домен
root@WORKSTATION:~# net ads join -U ADMIN_DOMENA@DOMAIN.RU
ADMIN_DOMENA@DOMAIN.RU's password:
[2008/01/22 10:33:08, 0] libsmb/smb_signing.c:signing_good(253)
  signing_good: BAD SIG: seq 1
Failed to join domain: Logon failure
и я включил ее в соответствии с другим HOWTO (SirYorik) https://forum.ubuntu.ru/index.php?topic=4776.0, получив Ticket-Granting Ticket, а дальше снова продолжил настраивать по данному HOWTO.

В настоящий момент я уже исключил рабочую станцию из домена утилитой http://www.likewisesoftware.com/community/index.php/download, удалил компьютер WORKSTATION в оснастке "Пользователи и компьютеры" в DC, чтобы попробовать все сделать по-новой. Теперь пароли локальных пользователей стали проверяться моментально. Но дойдя до подключения WS к домену по данному HOWTO опять точно такая же проблема.

Кстати, этой утилитой /opt/likewise-open/bin/domainjoin-gui я тоже не мог подключиться к домену, выдает "Error: Can not join to domain. Exec() error: STDOUT: 20080122121315:ERROR:FAILED [Error code: 00080035] FAILED"

Прошу помочь, очень хочется все настроить как надо. Это уже 2-я попытка, первая закончилась переустановкой системы.

PS играет ли какую-либо роль записи на вкладках "Общие" и "DNS" (Имя узла, имя домена, серверы имен, искать домены) в Сетевых настройках?
« Последнее редактирование: 22 Январь 2008, 12:31:41 от vlarx »

Оффлайн samoqle

  • Новичок
  • *
  • Сообщений: 16
    • Просмотр профиля
Мдя неужели столько действий надо сделать чтоб ввести в компьютер в домен.
А если задача попроще - ввести компьютер в домен с одним серваком, никакие синхронизации и прочее не нужны, задача сделать так чтоб юзвери из этого же домена под виндой и линухом видели твой комп и расшареные папки..

Оффлайн samoqle

  • Новичок
  • *
  • Сообщений: 16
    • Просмотр профиля
подскажите еще testparm выдает вот такое
Load smb config files from /etc/samba/smb.conf
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions
Server role: ROLE_DOMAIN_MEMBER - что это обозначает?

net ads join –U administrator
[2008/01/22 14:16:04, 0] utils/net_ads.c:ads_startup_int(286)
  ads_connect: No logon servers
Failed to join domain: No logon servers
root@test1:/home/adminn#
и непонятно почему пишет No logon servers
« Последнее редактирование: 22 Январь 2008, 14:20:09 от samoqle »

Оффлайн Denis Konstantinov

  • Автор темы
  • Активист
  • *
  • Сообщений: 864
    • Просмотр профиля
2 Роман Исаев

Эти записи непонятны
Dec 21 14:26:21 denisu gnome-screensaver-dialog: PAM pam_parse: expecting return value; [...suffucient]
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_winbind(gnome-screensaver:account): request failed
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_group(gnome-screensaver:setcred): unable to set the group membership for user: Operation not permitted
может проблема в "suffUcient" вместо "suffIcient"?


Ты прав, меня чуток переклинило :)
Теперь без ошибок.

Но
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_winbind(gnome-screensaver:account): request failed
Dec 21 14:26:25 denisu gnome-screensaver-dialog: pam_group(gnome-screensaver:setcred): unable to set the group membership for user:

так и осталось.
« Последнее редактирование: 24 Январь 2008, 11:04:01 от Denis Konstantinov »
AltYo консоль для Gtk3 в стиле консоли quake https://forum.ubuntu.ru/index.php?topic=198594.0

Оффлайн chain

  • Старожил
  • *
  • Сообщений: 1263
    • Просмотр профиля
Мдя неужели столько действий надо сделать чтоб ввести в компьютер в домен.
А если задача попроще - ввести компьютер в домен с одним серваком, никакие синхронизации и прочее не нужны, задача сделать так чтоб юзвери из этого же домена под виндой и линухом видели твой комп и расшареные папки..

для этого не нужен pam
введи в домен и расшарь папки из убунты
а можешь и в домен не вводить, просто придется логин пароль юзера убунты вводить

подскажите еще testparm выдает вот такое
Load smb config files from /etc/samba/smb.conf
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions
Server role: ROLE_DOMAIN_MEMBER - что это обозначает?

это значит, что он не станет домэйн мастером, все нормально

net ads join –U administrator
[2008/01/22 14:16:04, 0] utils/net_ads.c:ads_startup_int(286)
  ads_connect: No logon servers
Failed to join domain: No logon servers
root@test1:/home/adminn#
и непонятно почему пишет No logon servers

почитай howto внимательней, winbind и самбу рестартовал после изменения конфигов?
-вечный чайник-

Оффлайн chain

  • Старожил
  • *
  • Сообщений: 1263
    • Просмотр профиля
/etc/hosts
127.0.0.1 workstation.domain.ru localhost WORKSTATION
#127.0.1.1 workstation.domain.ru workstation.DOMAIN.RU
 
#hostname
  WORKSTATION

#hostname --fqdn
   workstation.domain.ru

Кстати, этой утилитой /opt/likewise-open/bin/domainjoin-gui я тоже не мог подключиться к домену, выдает "Error: Can not join to domain. Exec() error: STDOUT: 20080122121315:ERROR:FAILED [Error code: 00080035] FAILED"

Прошу помочь, очень хочется все настроить как надо. Это уже 2-я попытка, первая закончилась переустановкой системы.

PS играет ли какую-либо роль записи на вкладках "Общие" и "DNS" (Имя узла, имя домена, серверы имен, искать домены) в Сетевых настройках?

likewise свои модули авторизации в систему прописывает, свой конфиг самбы, у тебя там каша похоже получилась, вторая переустановка - это далеко не рекорд) пока разберешься...:)
совет - поставь Ubuntu в vmware и экспериментируй, к дефолтным настройкам вернешься мгновенно
 записи в сетевых настройках естественно имеют значение, у тебя IP по DHCP выдается или ты ручную настройку делаешь?
-вечный чайник-

 

Страница сгенерирована за 0.064 секунд. Запросов: 24.