Smbldap-tools. Руководство пользователя
J.erome Tournier
Перевод Тренин Сергей, аkа greyzy
Версия : 1.7, от 22 апреля, 2008Руководство применимо к версии
smbldap-tools 0.9.3 (которое идет с пакетом версии 0.9.5, прим.перев.)Оригинал документа является собственностью IDEALX (http://IDEALX.com), распространяется под условием лицензии GNU Free Documentation License (http://www.gnu.org/copyleft/fdl.html)
Обновление этого документа
Последняя версия этого документа может быть получена на странице проекта smbldap-tools по адресуhttp://gna.org/projects/smbldap-tools.
От переводчика: Данный документ может быть вам полезен в случае, если вы собираетесь поднять, или у вас уже есть действующий первичный контроллер домена на linux, в качестве клиентов которого будут выступать рабочие станции Windows XP. Инструменты, описываемые здесь, позволяют упростить управление учетными записями пользователей, групп и компьютеров на PDC, поднятом на связке Samba+LDAP.
Документация касается сугубо пакета smbldap-tools, поэтому перед прочтением необходимо иметь какое-то представление о терминах, понятиях и настройке серверов Samba и LDAP, в противном случае часть материала не будет вам ясна. |
Содержание:
1. Ведение2. Установка
3. Конфигурирование smbldap-tools
4. Использование скриптов
- 4.1 Создание структуры каталога
4.2 Управление пользователями
- 4.2.1 Добавление пользователей
4.2.2 Удаление пользователей
4.2.3 Внесение изменений в учетную запись пользователя
4.4 Добавление пользователя доверенного домена
6. Часто задаваемые вопросы
- 6.1 Могу ли я использовать старые версии uidNumber и gidNumber?
6.2 Я получаю ошибку «Can’t locate IO/Socket/SSL.pm»
6.3 Я не могу создать начальную структуру каталога при помощи
smbldap-populate6.4 Я не могу присоединить компьютер к домену с аккаунтом суперпользователя
6.5 Класс объекта sambaSamAccount есть, но я не могу авторизоваться
6.6 Я хочу создать учетную запись компьютера при вводе компьютера в домен, но это не работает, сначала приходится заводить учетную запись на сервере
6.7 Я не могу управлять базой данных Oracle
6.8 Программа установки пароля
/usr/local/sbin/smbldap-passwd -u %u не работает, или я получаю сообщение об ошибке, когда меняю пароль из под Windows6.9 Новой учетной записи компьютера нет в хранилище
cn=Computers6.10 Я подключился к домену, но я не могу авторизоваться
6.11 Я не могу создать пользователя, используя команду
smbldap-useradd, я получаю следующую ошибку:6.12 Я не могу создать пользователя, используя команду
smbldap-useradd, я получаю следующую ошибку:6.13 Типичные ошибки, возникающие при создании нового пользователя или группы
8. Приложения
- 8.1 Примеры конфигурационных файлов
- 8.1.1 Файл
/etc/smbldap-tools/smbldap.conf8.1.2 Файл
/etc/smbldap-tools/smbldap_bind.conf8.1.3 Файл
/etc/samba/smb.conf8.1.4 Файл
/etc/openldap/slapd.confldap admin dn в файле smb.conf)8.3 Известные ошибки
1. Введение
Smbldap-tools представляет из себя набор скриптов, обеспечивающий синхронную работу с базами данных пользователей, групп и компьютеров сервера Samba и LDAP каталога. Это инструмент как пользователей, так и администраторов систем Linux. Пользователи могут изменять их пароли так же, как и при использовании стандартной командыpasswd. (к началу страницы)
1.1 Опробование
Инструмент smbldap-tools был опробован и протестирован на следующем программном обеспечении:- Linux CentOS4 (это будет работать на любой платформе);
- Samba release 3.0.10;
- OpenLDAP release 2.2.13;
- Microsoft Windows NT 4.0, Windows 2000 and Windows XP Workstations and Servers.
(к началу страницы)
2. Установка
2.1 Требования к программному обеспечению
Основное требование для использования smbldap-tools является наличие двух модулей Net::LDAP и Crypt::SmbHash. В большинстве случаев, вам потребуется модуль IO-Socket-SSL Perl для использования TLS.Если вы хотите иметь возможность добавления, удаления, модификации пользователей и групп при помощи диспетчера пользователей под MS-Windows, сервер Samba и пакет smbldap-tools должны быть установлены на одном компьютере. Openldap может быть установлен на каком-либо другом компьютере. Но обязательно проверьте, чтобы ваш LDAP-клиент мог подключиться к серверу LDAP.
В этом документе не обсуждается установка Samba и OpenLDAP (но пакет Samba должен быть установлен с поддержкой LDAP, прим.перев.).
(к началу страницы)
2.2 Установка
Архив со скриптами smbldap-tools может быть загружен со страницы нашего проекта по адресуhttp://download.gna.org/smbldap-tools/packages. Так же здесь доступен архив для RadHat. Если вы получили версию, более новую, чем описана здесь, перед установкой прочитайте файл INSTALL.(к началу страницы)
2.2.1 Установка из rpm-пакета
Если у вас не RadHat, загрузите архив smbldap-tools-0.9.3.tar.gz. Распакуйте и скопируйте все Perl-скрипты в директорию/usr/sbin/ , также создайте директорию /etc/smbldap-tools/ и скопируйте туда два конфигурационных файла:mkdir /etc/smbldap-tools/ cp *.conf /etc/smbldap-tools/ cp smbldap-* /usr/sbin/ |
-
smbldap.conf определяет общие параметры;-
smbldap_bind.conf определяет административный аккаунт для связи с сервером LDAP.Второй файл должен быть доступен для чтения только root. Установите такие права на эти файлы:
chmod 644 /etc/smbldap-tools/smbldap.conf chmod 600 /etc/smbldap-tools/smbldap_bind.conf |
3. Конфигурирование smbldap-tools
Как было сказано выше, для конфигурирования используется всего два файла. Первый –smbldap.conf – позволяет вам установить общие параметры, и он доступен на чтение любому. Второй – smbldap_bind.conf – определяет два административных аккаунта для связи с первичным и вторичным (главным и подчиненным) LDAP-серверами, вы должны позаботиться, чтобы он был доступен на чтение только суперпользователю root. Скриптconfigure.pl, который вы можете найти в tarball или в директории с документацией (если установка была из prm-пакета) /usr/share/doc/smbldap-tools-0.9.3/, поможет вам заполнить эти файлы, выполните команду:/usr/share/doc/smbldap-tools-0.9.3/configure.pl |
smb.conf и записаны в файлы конфигурации smbldap-tools. Исходя из предназначения этого скрипта, очевидно, что файл smb.conf уже должен быть сконфигурирован должным образом. Остановить скрипт можно командой Ctrl+C.Проверьте перед использованием этого скрипта, что:
- два конфигурационных файла smbldap-tools находятся в директории
/etc/smbldap-tools/;- ваш Samba-сервер сконфигурирован и запущен (так скрипт сможет получить SID вашего домена).
(к началу страницы)
3.1 Файл smbldap.conf
Напоминаем, этот файл задает параметры, которые доступны для просмотра всем. Пример этого файла представлен в п. 8.1.1Давайте рассмотрим параметры этого файла:
UID START и GID START – недействующий параметр- этот параметр должен быть удален или закомментирован;
- доступные uid и gid сейчас по умолчанию определяются в значении
sambaUnixIdPooldn="sambaDomainName=$". Позже будут рассмотрены параметры, имеющие к этому отношение ${sambaDomain} и ${suffix}.SID – идентификатор безопасности домена- пример:
SID="S-1-5-21-3703471949-3718591838-2324585696"- примечание: вы можете получить
SID, используя команду net getlocalsid, сервер Samba при этом должен быть запущен.slaveLDAP – вторичный (подчиненный) LDAP сервер- пример:
slaveLDAP="127.0.0.1"- примечание: должно быть указано разрешенное DNS имя или IP адрес
slavePort – порт для связи со вторичным сервером- пример:
slavePort="389"masterLDAP – первичный (основной) LDAP server- пример:
masterLDAP="127.0.0.1"masterPort – порт для связи с первичный сервером- пример:
masterPort="389"ldapTLS – определяет, желаете ли вы использовать TLS соединение для связи с LDAP сервером– пример:
ldapTLS="1"– примечание: LDAP сервер должен быть сконфигурирован для поддержки ТLS соединения. См. п. 5.2 документа «Samba-LDAP Howto» (http://download.gna.org/smbldap-tools/docs/samba-ldap-howto/). Если вы используете поддержку TLS, выберите порт 389 для соединения с первичным или вторичным сервером.
verify – вид проверки сертификата (нет, опционально или требовать).– пример:
verify="require"– примечание: изучите man-страницу
Net::LDAP, секция start tls section для изучения подробностей.cafile – файл повышенной защищенности (дословно PEM-format file) включающий сертификат для CA которым будет доверять slapd.– пример:
cafile="/etc/smbldap-tools/ca.pem"clientcert – файл, содержащий клиентский сертификат– пример:
clientcert="/etc/smbldap-tools/smbldap-tools.iallanis.com.pem"clientkey – файл, содержащий приватный ключ, который соответствует клиентскому сертификату.- пример:
clientkey="/etc/smbldap-tools/smbldap-tools.iallanis.com.key"suffix – отличительное имя поиска по базе- пример:
suffix="dc=idealx,dc=com"usersdn – ветвь (выражаясь терминами LDAP), в которой могут быть найдены, или в которую должны добавляться записи о пользователях– пример:
usersdn="ou=Users,${suffix}"– примечание: эта ветвь не связана со значением
suffix (см. выше)computersdn – ветвь, в которой могут быть найдены, или в которую должны добавляться записи о компьютерах– пример:
computersdn="ou=Computers,${suffix}"– примечание: эта ветвь не связана со значением
suffix (см. выше)groupsdn – ветвь, в которой могут быть найдены, или в которую должны добавляться записи о группах– пример:
groupsdn="ou=Groups,${suffix}"– примечание: эта ветвь не связана со значением
suffix (см. выше)idmapdn – строка указывает, где находятся значения Idmap (используется, если сервер Samba является членом домена)– пример:
idmapdn="ou=Idmap,${suffix}"– примечание: эта ветвь не связана со значением
suffix (см. выше)sambaUnixIdPooldn – параметр, описывающий где хранятся следующие свободные uidNumber и gidNumber– пример:
sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"– примечание: эта ветвь не связана со значением
suffix (см. выше)scope – поиск области.- пример:
scope="sub"hash encrypt – способ хэширования паролей пользователей– пример:
hash encrypt="SSHA"- примечание: параметр используется для хранения паролей unix и связан с параметром
userPassword.crypt salt format="%s" – если у предыдущего параметра установлено значение CRYPT, вы можете установить тип шифрования «salt». По умолчанию используется значение ”%s”, но большинство систем способны генерировать пароль с хэшированием MD5, если вы установите ”$1$%.8s”. Этот параметр опционален.userLoginShell – оболочка пользователя по умолчанию– пример:
userLoginShell="/bin/bash"– примечание: значение хранится в атрибуте
loginShell (см. п. 8.2).userHome – по умолчанию определяет, где будет находиться домашняя директория пользователя.– пример:
userHome="/home/%U"– примечание: значение хранится в атрибуте
homeDirectory (см. п. 8.2).userGecos – описание учетной записи пользователя (в unix)- пример:
userGecos="System User"defaultUserGid – по умолчанию основная группа для учетных записей пользователей– пример:
defaultUserGid="513"– примечание: значение хранится в атрибуте
gidNumber (см. п. 8.2).defaultComputerGid – по умолчанию основная группа для компьютеров– пример:
defaultComputerGid="550"– примечание: значение хранится в атрибуте
gidNumber (см. п. 8.2).skeletonDir – место, где находится «скелетная» директория, являющаяся шаблоном для директорий пользователей– пример:
skeletonDir="/etc/skel"– примечание: эта опция используется лишь в том случае, если вы явно укажете создать домашнюю директорию пользователя в ходе создания нового пользователя
defaultMaxPasswordAge – параметр задает, через какое время (в днях) должен быть изменен пароль пользователя- пример:
defaultMaxPassword="55"userProfile – общий ресурс Samba для хранения профилей пользователей– пример:
userProfile="\\PDC-SMB3\profiles\%U"– примечание: значение хранится в атрибуте
sambaProfilePath (см. п. 8.2).userHomeDrive – буква диска, использующаяся в Windows для назначения домашней директории– пример:
userHomeDrive="K:"userScript – по умолчанию имя скрипта, использующегося при входе пользователя в систему. Если не определено, автоматически будет использоваться скрипт username.cmd– пример:
userScript="%U"– примечание: значение хранится в атрибуте
sambaProfilePath.mailDomain – домен, добавляемый к атрибуту пользователя ”mail”.– пример:
mailDomain="idealx.org"with smbpasswd – параметр, устанавливающий, будет ли использоваться команда smbpasswd для установки пароля пользователя Samba (вместо утилиты mkntpwd).– пример:
with smbpasswd="0"– примечание: значение может быть 0 или 1.
smbpasswd – путь, по которому находится smbpasswd– пример:
smbpasswd="/usr/bin/smbpasswd"with slappasswd – параметр, устанавливающий, будет ли использоваться команда slappasswd для установки пароля пользователя Unix (вместо утилиты Crypt:: librairies)– пример:
with smbpasswd="0"– примечание: значение может быть 0 или 1.
slappasswd – путь, по которому находится slappasswd– пример:
smbpasswd="/usr/sbin/slappasswd".(к началу страницы)
3.2 Файл smbldap_bind.conf
Напоминаем, что этот файл должен быть доступен для просмотра только суперпользователю. Файл используется при модификации базы данных LDAP каталога, он включает имя пользователя и его пароль, который имеет право подключаться к первичному и вторичному LDAP каталогу. Пример этого файла есть в п. 8.1.2.Рассмотрим параметры этого файла.
slaveDN – отличительное имя, используемое для связи с вторичным сервером LDAP– пример 1:
slaveDN="cn=Manager,dc=idealx,dc=com"– пример 2:
slaveDN=""– примечание: это может быть админисративная учетная запись каталога или другая учетная запись LDAP, которая имеет достаточные права для чтения всего каталога (база данных вторичного сервера используется только для чтения). Анонимные подключения подключаются, как показано в примере 2.
slavePw – пароль для доступа к вторичному серверу LDAP.– пример 1:
slavePw="secret"– пример 2:
slavePw=""– примечание: пароль должен быть записан в незашифрованном виде. Файл должен быть доступен для чтения только суперпользователю root! Анонимные подключения конфигурируются по примеру 2.
masterDN – отличительное имя, используемое для связи с первичным сервером LDAP– пример:
masterDN="cn=Manager,dc=idealx,dc=com"– примечание: это может быть административная учетная запись каталога или другая учетная запись LDAP, который имеет достаточные права для внесения изменений в базу данных LDAP. Анонимный доступ к первичному серверу не допускается.
masterPw – пароль пользователя с административными полномочиями– пример:
masterPw="secret"– примечание: пароль должен быть записан в незашифрованном виде. Еще раз убедитесь, что доступ к файлу не имеют те, кто его не должен иметь.
(к началу страницы)
4. Использование скриптов
4.1 Создание структуры каталога
Вы можете сделать начальную структуру LDAP каталога, используя скриптsmbldap-populate. Чтобы сделать это, проверьте, что учетная запись, описанная в файле /etc/smbldap-tools/smbldap_bind.conf, которая имеет полномочия для связи с первичный LDAP сервером, так же является административной учетной записью вашего LDAP каталога.Ключи, которые могут быть использованы при запуске скрипта
smbldap-populate, представлены в таблице.Таблица 1
| Ключ | Описание действия ключа | Значение по умолчанию |
| -u uidNumber | первый uidNumber, который будет назначен | 1000 |
| -g gidNumber | первый gidNumber, который будет назначен | 1000 |
| -a user | Логин администратора | Administrator |
| -b user | Логин гостя | nobody |
| -e file | Экспорт файла инициализации | |
| -i file | Импорт файла инициализации |
#smbldap-populate Using builtin directory structure Using the smbldap-tools scripts Revision : 1.7 adding new entry: dc=idealx,dc=com adding new entry: ou=Users,dc=idealx,dc=com adding new entry: ou=Groups,dc=idealx,dc=com adding new entry: ou=Computers,dc=idealx,dc=com adding new entry: ou=Idmap,dc=idealx,dc=org adding new entry: cn=NextFreeUnixId,dc=idealx,dc=org adding new entry: uid=Administrator,ou=Users,dc=idealx,dc=com adding new entry: uid=nobody,ou=Users,dc=idealx,dc=com adding new entry: cn=Domain Admins,ou=Groups,dc=idealx,dc=com adding new entry: cn=Domain Users,ou=Groups,dc=idealx,dc=com adding new entry: cn=Domain Guests,ou=Groups,dc=idealx,dc=com adding new entry: cn=Print Operators,ou=Groups,dc=idealx,dc=com adding new entry: cn=Backup Operators,ou=Groups,dc=idealx,dc=com adding new entry: cn=Replicator,ou=Groups,dc=idealx,dc=com adding new entry: cn=Domain Computers,ou=Groups,dc=idealx,dc=com |
cn=Manager,dc=idealx,dc=com, вы можете создать специальную учетную запись для Samba и smbldap-tools. Для подробностей обратитесь к п. 8.2.Строка
cn=NextFreeUnixId,dc=idealx,dc=org используется только для присвоения номеров uidNumber и gidNumber при создании новых пользователей и групп. По умолчанию нумерация (см. таб. 1) начинается с номера 1000. Для изменения этого числа используются ключи –u и –g. Например, если вы хотите, чтобы нумерация начиналась с числа 1500, при создании структуры каталога используйте такую команду:#smbldap-populate -u 1500 -g 1500 |
4.2 Управление пользователями
4.2.1 Добавление пользователей
Для добавления пользователей используется скриптsmbldap-useradd. Ключи, которые могут быть использованы при его запуске, представлены в таблице 2.Пояснение: в четвертой колонке есть строки со значениями, которые начинаются с символа $. Значения таких ключей, если не назначены специально, берутся из файла
/etc/smbldap-tools/smbldap.conf (с указанием секции этого файла).Таблица 2
| Ключ | Описание действия ключа | Пример | Значение по умолчанию |
| -a | Создать учетную запись Windows, без ключа будет создан Posix-аккаунт | ||
| -w | Создать учетную запись рабочей станции Windows | ||
| -i | Создать учетную запись пользователя домена, с которым установлено доверие, подробности см. в п. 4.4 | ||
| -u | Назначить uid | -u 1003 | Первый из доступных uid |
| -g | Назначить gid | -g 1003 | Первый из доступных gid |
| -G | Добавить новую учетную запись в одну или несколько групп (несколько записываются через запятую) | -G 512,550 | Без ключа –G все созданные аккаунты попадают в группу 513 (пользователи) |
| -d | Назначить домашнюю директорию | -d /var/user | $userHomePrefix /user |
| -s | Назначить оболочку (login shell) | -s /bin/ksh | $userLoginShell |
| -c | Добавить описание пользовательской учетной записи | -c “admin user” | $userGecos |
| -m | Создать домашнюю директорию пользователя и скопировать туда информацию из папки /etc/skel/ | ||
| -k | Назначить «скелетную» директорию (используется без ключа -m) | -k /etc/skel2 | $skeletonDir |
| -P | По окончании обратится к скрипту smbldap-passwd для установки пароля пользователя | ||
| -A | Установить, имеет ли право пользователь изменять пароль, 0 – нет, 1- да | -А 1 | |
| -B | Установить, должен ли пользователь изменить свой пароль после первого входа в систему, 0 – нет, 1 - да | -B 0 | |
| -C | Назначить домашнюю папку Samba | -С \\PDC\homes | $userSmbHome |
| -D | Установить букву диска, монтирующегося при входе пользователя в систему | -D H: | $userHomeDrive |
| -E | Установить скрипт, который будет выполняться при входе пользователя в систему | - E common.bat | $userScript |
| -F | Задать директорию с профилем пользователя | -F \\PDC\profiles\user | $userProfile |
| -H | Установить флаг учетной записи Samba, наподобие [NDHTUMWSLKI] | -H [X] | Например, флаг D означает, что учетная запись отключена, прим.перев. |
| -N | Установить реальное имя пользователя | ||
| -S | Установить фамилию пользователя | ||
| -M | Локальный электронный почтовый ящик (несколько записываются через запятую) | -M testuser,aliasuser | |
| -T | Непосредственный электронный почтовый ящик (несколько записываются через запятую) | -T testuser@domain.org |
user_admin, который:- будет являться пользователем Windows
- должен входить в группу с
gid=512 (группа в Windows «Domain Admins»);- иметь домашнюю директорию;
- не иметь оболочки входа (login shell);
- домашняя директория которого будет находиться в папке
/dev/null;- не иметь перемещаемого профиля;
- и которому при создании мы установим пароль.
то следует ввести команду:
#smbldap-useradd -a -G 512 -m -s /bin/false -d /dev/null -F "" -P user_admin |
#smbldap-useradd –a –m –M pupkin –c "vasya pupkin" pupkin #smbldap-useradd -a –c "Serg Alex Lad" -N "Serg Alex" -S "Lad" -s /bin/bash ladserg |
4.2.2 Удаление пользователей
Для удаления учетной записи пользователя используется скриптsmbldap-userdel, в таблице 3 представлены доступные ключи запуска:Таблица 3
| Ключ | Описание действия ключа |
| -r | Удалить домашнюю директорию (не спрашивая) |
| -R | Удалить домашнюю директорию в диалоговом режиме |
user1 из LDAP каталога, и если вы также хотите удалить его домашнюю директорию, выполните команду:#smbldap-userdel -r user1 |
-r, посредством его применения вы можете лишиться ценных незарезервированных данных.(к началу страницы)
4.2.3 Внесение изменений в учетную запись пользователя
Для внесения изменений в учетную запись пользователя используется скриптsmbldap-usermod. Ключи, используемые с этим скриптом, вынесены в таблицу 4. Наряду с этим, для внесения некоторых изменений в учетные данные, используется скрипт smbldap-userinfo. Ключи, используемые с этим скриптом, вынесены в таблицу 5. Этот скрипт может быть использован самими пользователями для внесения некоторых данных в их учетную запись (ACL должен быть должным образом настроен на сервере каталогов).Таблица 4
| Ключ | Описание действия ключа | Пример |
| -c | Добавить описание пользовательской учетной записи | -c “admin user” |
| -d | Назначить домашнюю директорию | -d /var/user |
| -u | Назначить uid | -u 1003 |
| -g | Назначить gid | -g 1003 |
| -G | Добавить новую учетную запись в одну или несколько групп или удалить пользователя из группы (несколько записываются через запятую) | -G 512,550 -G -512,550 -G +512,550 |
| -s | Назначить оболочку (login shell) | -s /bin/ksh |
| -N | Установить реальное имя пользователя | |
| -S | Установить фамилию пользователя | |
| -P | По окончании обратится к скрипту smbldap-passwd для установки пароля пользователя | |
| -a | Добавить класс объекта (objectClass) sambaSAMaccount | |
| -e | Установить дату истечения срока действия пароля пользователя (формат ГГГГ-ММ-ДД ЧЧ:ММ:СС) | |
| -A | Устанавливает, имеет ли право пользователь изменять пароль, 0 – нет, 1 - да | |
| -B | Устанавливает, должен ли пользователь изменить свой пароль после первого входа в систему, 0 – нет, 1 - да | |
| -C | Назначить домашнюю папку Samba | -С \\PDC\homes -С "" |
| -D | Установить букву диска, монтирующегося при входе пользователя в систему | -D H: |
| -E | Установить скрипт, который будет выполняться при входе пользователя в систему | - E common.bat |
| F | Задать директорию с профилем пользователя | -F \\PDC\profiles\user |
| -H | Установить флаг учетной записи Samba, наподобие [NDHTUMWSLKI] | -H [X] |
| -I | Отключить учетную запись пользователя | -I 1 |
| -J | Включить учетную запись пользователя | -J 1 |
| -w | Создать учетную запись рабочей станции Windows | |
| -i | Создать учетную запись пользователя домена, с которым установлено доверие, подробности см. в п. 4.4 | |
| -M | Локальный электронный почтовый ящик (несколько записываются через запятую) | -M testuser,aliasuser |
| -T | Непосредственный электронный почтовый ящик (несколько записываются через запятую) | -T testuser@domain.org |
| Ключ | Описание действия ключа | Пример |
| -f | Задать полное имя пользователя | -f MyName |
| -r | Задать номер кабинета | -r 99 |
| -w | Задать номер рабочего телефона | -w 1111111 |
| -h | Задать номер домашнего телефона | -h 2222222 |
| -o | Записать другую информацию (в секцию gecos) | -o “second stage” |
| -s | Задать оболочку по умолчанию | -s /bin/ksh |
4.3 Управление группами
4.3.1 Создание групп
Для добавления новой группы в LDAP каталог используется скриптsmbldap-groupadd. Ключи, которые могут быть использованы при запуске этого скрипта, представлены в таблице 6.Таблица 6
| Ключ | Описание действия ключа | Пример |
| -a | Добавить группу и автоматически установить соответствие (mapping) | |
| -g gid | Установить gidNimber для группы | -g 1002 |
| -o | gidNimber не будет уникальным | |
| -r group-rid | Установить rid группы | -r 1002 |
| -s group-sid | Установить sid группы | -s S-1-5-21-3703471949-3718591838-2324585696-1002 |
| -t group-type | Установить sambaGroupType | -t 2 |
| -p | Вывести gidNimber на экран |
group1 и поместить в нее ранее созданного пользователя user1# smbldap-groupadd –a group1 # smbldap-usermod –G +group1 user1 |
4.3.2 Удаление группы
Для удаления группы используется скриптsmbldap-userdel, например, для удаления группы group1 следует выполнить команду:# smbldap-userdel group1 |
4.4 Добавление пользователя доверенного домена
Для добавления учетной записи доверенного домена на контроллере доменаtrust-pdc, используйте ключ –iкоманды smbldap-useradd# smbldap-useradd -i trust-pdc New password : ******* Retype new password : ******* |
ou=Computers). Таким образом, у этой учетной записи две особенности, это установка пароля для него, и флаг [I ].(к началу страницы)
5. Samba и smbldap-tools
5.1 Основное конфигурирование
Samba может быть сконфигурирована с использованием поддержки smbldap-tools. Это позволит администраторам добавлять, удалять или изменять группы и учетные записи пользователей операционной системы MS Windows, используя для этого, например, диспетчер пользователей. Для приведенной возможности следует добавить в файлsmb.conf следующие команды:ldap delete dn = Yes add user script = /usr/local/sbin/smbldap-useradd -m "%u" add machine script = /usr/local/sbin/smbldap-useradd -w "%u" add group script = /usr/local/sbin/smbldap-groupadd -p "%g" add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g" delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g" set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u" |
delete user script и delete group script. Однако в этом случае могут появляться сообщения об ошибке в диспетчере пользователей каждый раз после успешного удаления пользователя или группы. Если вы все-таки решите добавить данные команды, вам следует внести такие строки:delete user script = /usr/local/sbin/smbldap-userdel "%u" delete group script = /usr/local/sbin/smbldap-groupdel "%g" |
5.2 Миграция PDC c NT4 на Samba 3
Процедура переноса учетных записей по настоящему проста, если сервер Samba сконфигурирован с использованием smbldap-tools. Файлsmb.conf должен включать команды для управления пользователями, группами и компьютерами (см. п. 5.1).Процесс миграции детально описан в главе 36 Samba Howto «MIGRATION FROM NT4 PDC TO SAMBA-3 PDC».
(к началу страницы)
6. Часто задаваемые вопросы
6.1 Могу ли я использовать старые версии uidNumber и gidNumber ?
Есть два пути для решения этого вопроса:- измените строку
cn=NextFreeUnixId,dc=idealx,dc=org и измените значение uidNumber и/или gidNumber. Это должно быть сделано вручную. Например, если вы хотите использовать все значения uidNumber и gidNumber, номер которых выше, чем 1500, вы должны написатьdn: cn=NextFreeUnixId,dc=idealx,dc=org changetype: modify uidNumber: 1500 gidNumber: 1500 |
ldapmodify -x -D "cn=Manager,dc=idealx,dc=org" -w secret -f update-NextFreeUnixId.ldif |
–u или –g скрипта smbldap-populate.(к началу страницы)
6.2 Я получаю ошибку «Can’t locate IO/Socket/SSL.pm»
Это происходит, когда вы хотите использовать сертификат. В этом случае вам следует установить IOSocket-SSL Perl module.(к началу страницы)
6.3 Я не могу создать начальную структуру каталога при помощи smbldap-populate
Когда я запускаю этот скрипт, я получаю такое сообщение об ошибке:# smbldap-populate.pl Using builtin directory structure adding new entry: dc=IDEALX,dc=COM Can’t call method "code" without a package or object reference at /usr/local/sbin/smbldap-populate.pl line 270, |
- если вы не хотите иметь поддержку TLS, установите в файле /
etc/smbldap-tools/smbldap.conf следующий параметр на значение «0»ldapTLS="0" |
/etc/smbldap-tools/smbldap.conf этот параметр на значение «1»ldapTLS="1" |
(к началу страницы)
6.4 Я не могу присоединить компьютер к домену с аккаунтом суперпользователя
- проверьте, что root-аккаунт имеет класс объекта (objectClass)sambaSAMaccount;- проверьте, что команда
add machine script есть и правильно описана. (к началу страницы)
6.5 Класс объекта sambaSamAccount есть, но я не могу авторизоваться
Проверьте, что значение атрибута не равно нулю.(к началу страницы)
6.6 Я хочу создать учетную запись компьютера при вводе компьютера в домен, но это не работает, сначала приходится заводить учетную запись на сервере
- командаadd machine script не должна добавлять учетной записи компьютера класс объекта sambaSamAccount, эта команда должна лишь добавить Posix аккаунт компьютера. Samba добавит класс объекта sambaSamAccount при вводе компьютера в домен;- проверьте, что строка
add machine script есть в файле smb.conf. (к началу страницы)
6.7 Я не могу управлять базой данных Oracle
Если вы видите примерно такую ошибкуFunction Not Implemented at /usr/local/sbin/smbldap_tools.pm line 187. Function Not Implemented at /usr/local/sbin/smbldap_tools.pm line 627. |
uidNumber,gidNumber, memberUid, homedirectory, description, userPassword ...(к началу страницы)
6.8 Программа установки пароля /usr/local/sbin/smbldap-passwd -u %u не работает, или я получаю сообщение об ошибке, когда меняю пароль из под Windows
Установите значениеunix password sync = Yes |
passwd sync = Yes |
userPassword. Это из-за ключа –u. Пароли samba будут обновлены самой Samba;- команда
passwd chat должна выполняться согласованно с командой smbldap-passwd.(к началу страницы)
6.9 Новой учетной записи компьютера нет в хранилище cn=Computers
Это известный баг Samba. Смотрите здесь http://marc.theaimsgroup.com/?l=samba&m=108439612826440&w=2 (данной страницы не удалось обнаружить, надеюсь и баг устранен, прим.перев.) (к началу страницы)
6.10 Я подключился к домену, но я не могу авторизоваться
См. п. 6.9(к началу страницы)
6.11 Я не могу создать пользователя, используя команду smbldap-useradd, я получаю следующую ошибку:
/usr/local/sbin/smbldap-useradd.pl: unknown group SID not set for unix group 513 |
- корректно ли настроен
nss ldap?- присоединена (map) ли группа пользователя, в которую он входит по умолчанию, к группе NT "Domain Users"? Для этого вы можете использовать такую команду:
net groupmap add rid=513 unixgroup="Domain Users" ntgroup="Domain Users" |
(к началу страницы)
6.12 Я не могу создать пользователя, используя команду smbldap-useradd, я получаю следующую ошибку:
Can’t call method ”get value” on an undefined value at /usr/local/sbin/smbldap-useradd line 154 |
defaultUserGid="513")?- присоединена (map) ли группа NT "Domain Users" к группе unix, имеющей
rid 513? (для установки rid см. ключ –r для команд smbldap-groupadd и smbldap-groupmod).(к началу страницы)
6.13 Типичные ошибки, возникающие при создании нового пользователя или группы
- я получаю следующую ошибку:Could not find base dn, to get next uidNumber at /usr/local/sbin/smbldap_tools.pm |
- вы не можете создать объект, так как невозможно определить следующий по порядку
uidNumber или gidNumber.Решение:
- для версии 0.8.7: единственное, что вы можете сделать, это запустить скрипт
smbldap-populate и обновить значения sambaDomain, в которых хранится эта информация;- для версии ранее 0.8.7: вы должны обновить свой пакет smbldap-tools, затем создайте LDIF-файл примерно такого содержания:
dn: cn=NextFreeUnixId,dc=idealx,dc=org objectClass: inetOrgPerson objectClass: sambaUnixIdPool uidNumber: 1000 gidNumber: 1000 cn: NextFreeUnixId sn: NextFreeUnixId |
ldapadd -x -D "cn=Manager,dc=idealx,dc=org" -w secret -f add.ldif |
uidNumber и gidNumber (разумеется, если это значение уже используется каким-либо пользователем или группой, используйте следующий за ним номер uid или gid).- я получаю следующую ошибку:
Use of uninitialized value in string at /usr/local/sbin//smbldap\_tools.pm line 914. Error: No DN specified at /usr/local/sbin//smbldap\_tools.pm line 919 |
конфигурационный файл с описанными объектами и с доступными номерами
uidNumber и gidNumber следует исправить. В нашем примере вы должны добавить следующую строку в файл /etc/smbldap-tools/smbldap.conf:# Where to store next uidNumber and gidNumber available
sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
|
Use of uninitialized value in concatenation (.) or string at /usr/local/sbin/smbldap-useradd Use of uninitialized value in substitution (s///) at /usr/local/sbin/smbldap-useradd line Use of uninitialized value in string at /usr/local/sbin/smbldap-useradd line 264. failed to add entry: homedirectory: value #0 invalid per syntax at /usr/local/sbin/smbldap-userHomeDirectory=User "jto" already member of the group "513". failed to add entry: No such object at /usr/local/sbin/smbldap-useradd line 382. |
вы должны изменить имя переменной
userHomePrefix на userHome в файле /etc/smbldaptools/smbldap.conf.- я получаю следующую ошибку:
failed to add entry: referral missing at /usr/local/sbin/smbldap-useradd line 279 |
вы должны исправить конфигурационный файл, в котором определяются
dn пользователей, групп и компьютеров. Эти параметры не должны соответствовать параметру suffix. Типичная конфигурация показана ниже:usersdn="ou=Users,${suffix}"
computersdn="ou=Computers,${suffix}"
groupsdn="ou=Groups,${suffix}"
|
erreur LDAP: Can’t contact master ldap server (IO::Socket::INET: Bad protocol ’tcp’) at /usr/local/sbin//smbldap_tools.pm line 153. |
удалите запись
ldap из файла /etc/nsswitch.conf, то есть у вас должна быть записьservices files |
services: ldap [NOTFOUND=return] files |
(к началу страницы)
7. Благодарности
Люди, работавшие над этим документом:J.erome Tournier (jerome.tournier@IDEALX.com)
David Barth (david.barth@IDEALX.com)
Nat Makarevitch (nat@IDEALX.com)
Авторы благодарят следующих людей за предоставление помощи в некоторых более запутанных вопросах, за прояснение некоторых внутренних аспектов работы пакетов Samba и OpenLDAP, за указание на ошибки или заблуждения в первичной версии этого документа, за советы и предложения:
Команда IDEALX team:
Romeo Adekambi (romeo.adekambi@IDEALX.com)
Aurelien Degremont (adegremont@IDEALX.com)
Renaud Renard (rrenard@IDEALX.com)
John H Terpstra (jht@samba.org)
(к началу страницы)
8. Приложения
8.1 Примеры конфигурационных файлов
8.1.1 Файл /etc/smbldap-tools/smbldap.conf
# $Source: $
# $Id: smbldap.conf,v 1.18 2005/05/27 14:28:47 jtournier Exp $
#
# smbldap-tools.conf : Q & D configuration file for smbldap-tools
#
# This code was developped by IDEALX (http://IDEALX.org/) and
# contributors (their names can be found in the CONTRIBUTORS file).
#
# Copyright (C) 2001-2002 IDEALX
#
# This program is free software; you can redistribute it and/or
# modify it under the terms of the GNU General Public License
# as published by the Free Software Foundation; either version 2
# of the License, or (at your option) any later version.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307,
# USA.
# Purpose :
# . be the configuration file for all smbldap-tools scripts
##################################################
#
# General Configuration
#
##################################################
# Put your own SID. To obtain this number do: "net getlocalsid".
# If not defined, parameter is taking from "net getlocalsid" return
SID="S-1-5-21-2252255531-4061614174-2474224977"
# Domain name the Samba server is in charged.
# If not defined, parameter is taking from smb.conf configuration file
# Ex: sambaDomain="IDEALX-NT"
sambaDomain="DOMSMB"
###################################################
#
# LDAP Configuration
#
###################################################
# Notes: to use to dual ldap servers backend for Samba, you must patch
# Samba with the dual-head patch from IDEALX. If not using this patch
# just use the same server for slaveLDAP and masterLDAP.
# Those two servers declarations can also be used when you have
# . one master LDAP server where all writing operations must be done
# . one slave LDAP server where all reading operations must be done
# (typically a replication directory)
# Slave LDAP server
# Ex: slaveLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
slaveLDAP="ldap.iallanis.info"
# Slave LDAP port
# If not defined, parameter is set to "389"
slavePort="389"
# Master LDAP server: needed for write operations
# Ex: masterLDAP=127.0.0.1
# If not defined, parameter is set to "127.0.0.1"
masterLDAP="ldap.iallanis.info"
# Master LDAP port
# If not defined, parameter is set to "389"
#masterPort="389"
masterPort="389"
# Use TLS for LDAP
# If set to 1, this option will use start_tls for connection
# (you should also used the port 389)
# If not defined, parameter is set to "0"
ldapTLS="1"
# Use SSL for LDAP
# If set to 1, this option will use SSL for connection
# (standard port for ldaps is 636)
# If not defined, parameter is set to "0"
ldapSSL="0"
# How to verify the server’s certificate (none, optional or require)
# see "man Net::LDAP" in start_tls section for more details
verify="require"
# CA certificate
# see "man Net::LDAP" in start_tls section for more details
cafile="/etc/smbldap-tools/ca.pem"
# certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientcert="/etc/smbldap-tools/smbldap-tools.iallanis.info.pem"
# key certificate to use to connect to the ldap server
# see "man Net::LDAP" in start_tls section for more details
clientkey="/etc/smbldap-tools/smbldap-tools.iallanis.info.key"
# LDAP Suffix
# Ex: suffix=dc=IDEALX,dc=ORG
suffix="dc=iallanis,dc=info"
# Where are stored Users
# Ex: usersdn="ou=Users,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for usersdn
usersdn="ou=Users,${suffix}"
# Where are stored Computers
# Ex: computersdn="ou=Computers,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for computersdn
computersdn="ou=Computers,${suffix}"
# Where are stored Groups
# Ex: groupsdn="ou=Groups,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for groupsdn
groupsdn="ou=Groups,${suffix}"
# Where are stored Idmap entries (used if samba is a domain member server)
# Ex: groupsdn="ou=Idmap,dc=IDEALX,dc=ORG"
# Warning: if ’suffix’ is not set here, you must set the full dn for idmapdn
idmapdn="ou=Idmap,${suffix}"
# Where to store next uidNumber and gidNumber available for new users and groups
# If not defined, entries are stored in sambaDomainName object.
# Ex: sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Ex: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Default scope Used
scope="sub"
# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)
hash_encrypt="SSHA"
# if hash_encrypt is set to CRYPT, you may set a salt format.
# default is "%s", but many systems will generate MD5 hashed
# passwords if you use "$1$%.8s". This parameter is optional!
crypt_salt_format="%s"
#####################################################
#
# Unix Accounts Configuration
#
#####################################################
# Login defs
# Default Login Shell
# Ex: userLoginShell="/bin/bash"
userLoginShell="/bin/bash"
# Home directory
# Ex: userHome="/home/%U"
userHome="/home/%U"
# Default mode used for user homeDirectory
userHomeDirectoryMode="700"
# Gecos
userGecos="System User"
# Default User (POSIX and Samba) GID
defaultUserGid="513"
# Default Computer (Samba) GID
defaultComputerGid="515"
# Skel dir
skeletonDir="/etc/skel"
# Default password validation time (time in days) Comment the next line if
# you don’t want password to be enable for defaultMaxPasswordAge days (be
# careful to the sambaPwdMustChange attribute’s value)
defaultMaxPasswordAge="45"
#####################################################
#
# SAMBA Configuration
#
#####################################################
# The UNC path to home drives location (%U username substitution)
# Just set it to a null string if you want to use the smb.conf ’logon home’
# directive and/or disable roaming profiles
# Ex: userSmbHome="\\PDC-SMB3\%U"
userSmbHome="\\PDC-SRV\%U"
# The UNC path to profiles locations (%U username substitution)
# Just set it to a null string if you want to use the smb.conf ’logon path’
# directive and/or disable roaming profiles
# Ex: userProfile="\\PDC-SMB3\profiles\%U"
userProfile="\\PDC-SRV\profiles\%U"
# The default Home Drive Letter mapping
# (will be automatically mapped at logon time if home directory exist)
# Ex: userHomeDrive="H:"
userHomeDrive="H:"
# The default user netlogon script name (%U username substitution)
# if not used, will be automatically username.cmd
# make sure script file is edited under dos
# Ex: userScript="startup.cmd" # make sure script file is edited under dos
userScript="logon.bat"
# Domain appended to the users "mail"-attribute
# when smbldap-useradd -M is used
# Ex: mailDomain="idealx.com"
mailDomain="iallanis.info"
######################################################
#
# SMBLDAP-TOOLS Configuration (default are ok for a RedHat)
#
######################################################
# Allows not to use smbpasswd (if with_smbpasswd == 0 in smbldap_conf.pm) but
# prefer Crypt::SmbHash library
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"
# Allows not to use slappasswd (if with_slappasswd == 0 in smbldap_conf.pm)
# but prefer Crypt:: libraries
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"
# comment out the following line to get rid of the default banner
# no_banner="1"
|
(к началу страницы)
8.1.2 Файл /etc/smbldap-tools/smbldap_bind.conf
############################ # Credential Configuration # ############################ # Notes: you can specify two differents configuration if you use a # master ldap for writing access and a slave ldap server for reading access # By default, we will use the same DN (so it will work for standard Samba # release) slaveDN="cn=Manager,dc=iallanis,dc=info" slavePw="secret" masterDN="cn=Manager,dc=iallanis,dc=info" masterPw="secret" |
(к началу страницы)
8.1.3 Файл /etc/samba/smb.conf
# Global parameters [global] workgroup = DOMSMB netbios name = PDC-SRV security = user enable privileges = yes #interfaces = 192.168.5.11 #username map = /etc/samba/smbusers server string = Samba Server %v #security = ads encrypt passwords = Yes min passwd length = 3 #pam password change = no #obey pam restrictions = No # method 1: #unix password sync = no #ldap passwd sync = yes # method 2: unix password sync = yes ldap passwd sync = no passwd program = /usr/sbin/smbldap-passwd -u "%u" passwd chat = "Changing *\nNew password*" %n\n "*Retype new password*" %n\n" log level = 0 syslog = 0 log file = /var/log/samba/log.%U max log size = 100000 time server = Yes socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192 mangling method = hash2 Dos charset = 850 Unix charset = ISO8859-1 logon script = logon.bat logon drive = H: logon home = logon path = domain logons = Yes domain master = Yes os level = 65 preferred master = Yes wins support = yes # passdb backend = ldapsam:"ldap://ldap1.company.com ldap://ldap2.company.com" passdb backend = ldapsam:ldap://127.0.0.1/ ldap admin dn = cn=Manager,dc=company,dc=com #ldap admin dn = cn=samba,ou=DSA,dc=company,dc=com ldap suffix = dc=company,dc=com ldap group suffix = ou=Groups ldap user suffix = ou=Users ldap machine suffix = ou=Computers #ldap idmap suffix = ou=Idmap add user script = /usr/sbin/smbldap-useradd -m "%u" #ldap delete dn = Yes delete user script = /usr/sbin/smbldap-userdel "%u" add machine script = /usr/sbin/smbldap-useradd -t 0 -w "%u" add group script = /usr/sbin/smbldap-groupadd -p "%g" #delete group script = /usr/sbin/smbldap-groupdel "%g" add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g" delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g" set primary group script = /usr/sbin/smbldap-usermod -g ’%g’ ’%u’ # printers configuration #printer admin = @"Print Operators" load printers = Yes create mask = 0640 directory mask = 0750 #force create mode = 0640 #force directory mode = 0750 nt acl support = No printing = cups printcap name = cups deadtime = 10 guest account = nobody map to guest = Bad User dont descend = /proc,/dev,/etc,/lib,/lost+found,/initrd show add printer wizard = yes ; to maintain capital letters in shortcuts in any of the profile folders: preserve case = yes short preserve case = yes case sensitive = no [netlogon] path = /home/netlogon/ browseable = No read only = yes [profiles] path = /home/profiles read only = no create mask = 0600 directory mask = 0700 browseable = No guest ok = Yes profile acls = yes csc policy = disable # next line is a great way to secure the profiles #force user = %U # next line allows administrator to access all profiles #valid users = %U "Domain Admins" [printers] comment = Network Printers #printer admin = @"Print Operators" guest ok = yes printable = yes path = /home/spool/ browseable = No read only = Yes printable = Yes print command = /usr/bin/lpr -P%p -r %s lpq command = /usr/bin/lpq -P%p lprm command = /usr/bin/lprm -P%p %j # print command = /usr/bin/lpr -U%U@%M -P%p -r %s # lpq command = /usr/bin/lpq -U%U@%M -P%p # lprm command = /usr/bin/lprm -U%U@%M -P%p %j # lppause command = /usr/sbin/lpc -U%U@%M hold %p %j # lpresume command = /usr/sbin/lpc -U%U@%M release %p %j # queuepause command = /usr/sbin/lpc -U%U@%M stop %p # queueresume command = /usr/sbin/lpc -U%U@%M start %p [print$] path = /home/printers guest ok = No browseable = Yes read only = Yes valid users = @"Print Operators" write list = @"Print Operators" create mask = 0664 directory mask = 0775 [public] path = /tmp guest ok = yes browseable = Yes writable = yes |
(к началу страницы)
8.1.4 Файл /etc/openldap/slapd.conf
#
# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/samba.schema
schemacheck on
# Allow LDAPv2 client connections. This is NOT the default.
allow bind_v2
# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral ldap://root.openldap.org
pidfile /var/run/slapd.pid
argsfile /var/run/slapd.args
# Load dynamic backend modules:
# modulepath /usr/sbin/openldap
# moduleload back_bdb.la
# moduleload back_ldap.la
# moduleload back_ldbm.la
# moduleload back_passwd.la
# moduleload back_shell.la
# The next three lines allow use of TLS for encrypting connections using a
# dummy test certificate which you can generate by changing to
# /usr/share/ssl/certs, running "make slapd.pem", and fixing permissions on
# slapd.pem so that the ldap user or group can read it. Your client software
# may balk at self-signed certificates, however.
#TLSCertificateFile /etc/openldap/ldap.company.com.pem
#TLSCertificateKeyFile /etc/openldap/ldap.company.com.key
#TLSCACertificateFile /etc/openldap/ca.pem
#TLSCipherSuite :SSLv3
# Sample security restrictions
# Require integrity protection (prevent hijacking)
# Require 112-bit (3DES or better) encryption for updates
# Require 63-bit encryption for simple bind
# security ssf=1 update_ssf=112 simple_bind=64
# Sample access control policy:
# Root DSE: allow anyone to read it
# Subschema (sub)entry DSE: allow anyone to read it
# Other DSEs:
# Allow self write access
# Allow authenticated users read access
# Allow anonymous users to authenticate
# Directives needed to implement policy:
# access to dn.base="" by * read
# access to dn.base="cn=Subschema" by * read
# access to *
# by self write
# by users read
# by anonymous auth
#
# if no access controls are present, the default policy
# allows anyone and everyone to read anything but restricts
# updates to rootdn. (e.g., "access to * by * read")
#
# rootdn can always read and write EVERYTHING!
#######################################################################
# ldbm and/or bdb database definitions
#######################################################################
database bdb
suffix "dc=company,dc=com"
rootdn "cn=Manager,dc=company,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided. See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw secret
# rootpw {crypt}ijFYNcSNctBYg
# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory /var/lib/ldap
lastmod on
# Indices to maintain for this database
index objectClass eq,pres
index ou,cn,sn,mail,givenname eq,pres,sub
index uidNumber,gidNumber,memberUid eq,pres
index loginShell eq,pres
## required to support pdb_getsampwnam
index uid pres,sub,eq
## required to support pdb_getsambapwrid()
index displayName pres,sub,eq
index nisMapName,nisMapEntry eq,pres,sub
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq
index default sub
# users can authenticate and change their password
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet
by dn="cn=Manager,dc=company,dc=com" write
by self write
by anonymous auth
by * none
# those 2 parameters must be world readable for password aging to work correctly
# (or use a priviledge account in /etc/ldap.conf to bind to the directory)
access to attrs=shadowLastChange,shadowMax
by dn="cn=Manager,dc=company,dc=com" write
by self write
by * read
# all others attributes are readable to everybody
access to *
by * read
# Replicas of this database
#replogfile /var/lib/ldap/openldap-master-replog
#replica host=ldap-1.example.com:389 starttls=critical
# bindmethod=sasl saslmech=GSSAPI
# authcId=host/ldap-master.example.com@EXAMPLE.COM
|
(к началу страницы)
8.2 Изменение административной учетной записи (ldap admin dn в файле smb.conf)
Если вы больше не хотите использовать учетную запись, описанную атрибутами cn=Manager,dc=idealx,dc=com, вы можете создать специальную учетную запись для сервера Samba и набора скриптов smbldap-tools. Чтобы сделать это, заведем пользователя с именем, например samba при помощи следующей команды (для подробностей в синтаксисе данной команды обратитесь к п. 4.2.1):# smbldap-useradd -s /bin/false -d /dev/null -P samba |
samba.После этого измените соответствующим образом файл
/etc/smbldap-tools/smbldap_bind.conf:slaveDN="uid=samba,ou=Users,dc=idealx,dc=com" slavePw="samba" masterDN="uid=samba,ou=Users,dc=idealx,dc=com" masterPw="samba" |
/etc/samba/smb.conf:#ldap admin dn = uid=samba,ou=Users,dc=idealx,dc=com |
secrets.tdb:#smbpasswd -w samba |
/etc/openldap/slapd.conf вам стоит добавить полномочий пользователю samba:# users can authenticate and change their password |
8.3 Известные ошибки
Ключ-B (пользователь должен изменить свой пароль) команды smbldap-useradd не работает: когда вызывается команда smbldap-passwd, атрибут sambaPwdMustChange перезаписывается. (к началу страницы)
