BR

Introduzione

Un servizio di directory ha bisogno innanzitutto di una struttura ad albero dei nomi (server DNS) e di una analoga struttura associata basata sul protocollo LDAP (slapd).

Inoltre, per fornire anche il servizio di file server a macchine Windows, è necessario il server SAMBA e, per utilizzare la crittografia basata sul protocollo Kerberos, il server Kerberos.

Questo consente di avere un servizio di directory scalabile da utilizzare come backend per tutti i servizi aziendali, dai servizi di posta agli utenti remoti che si collegano via RADIUS al server FTP.

Installazione

Per instalalre i pacchetti necessari, in un terminale, copiare quanto segue:

apt-get -y install samba smbldap-tools krb5-ftpd krb5-telnetd

Descrizione dell'architettura

Consideriamo una configurazione tipo con:

• LDAP master con DNS master on-board
• LDAP replica con DNS slave per fault tolerance
• un file server SAMBA come PDC
• un altro file server SAMBA come BDC
• un KDC

• i server protetti da Kerberos (tutti i client, le macchine SAMBA e la replica LDAP)

Ogni entry citata è su una macchina separata.

Configurare il master LDAP

Innanzitutto procedere alla configurazione del DNS master creando la zona diretta e l'inversa per il proprio dominio.

Installare il pacchetto bind9, da terminale, digitando:

apt-get -y install bind9

ed effettuare le configurazioni indicate nella guida [:Server/Dns:alla configurazione di un server DNS].

Fatto ciò, installare i pacchetti necessari per il server LDAP. Da terminale, digitare:

apt-get -y install slapd migrationtools ldap-utils

qualora vogliamo amministrare il server LDAP direttamente dal terminale e non da una workstation remota installiamo anche il pacchetto per la gestione grafica del server LDAP :

#apt-get -y install gq

Poi procediamo come segue :

• nel file /usr/share/migrationtools/migrate_common.ph effetuaimo le sostituzioni :

  $DEFAULT_MAIL_DOMAIN = vostrodominio
  
  $DEFAULT_BASE = "dc=miodominio,dc=com" 
  
  $EXTENDED_SCHEMA = 1

• poi eseguire come root i comandi :

  #cd /usr/share/migrationtools
  
  #./migrate_base.pl > /etc/ldap/base.ldif
  
  #./migrate_hosts.pl /etc/hosts > /etc/ldap/hosts.ldif
  
  #./migrate_group.pl /etc/group > /etc/ldap/group.ldif
  
  #./migrate_passwd.pl /etc/passwd > /etc/ldap/passwd.ldif
  
  #slapadd -b "dc=mydomain,dc=com" -f /etc/ldap/base.ldif
  
  #slapadd -b "dc=mydomain,dc=com" -f /etc/ldap/hosts.ldif
  
  #slapadd -b "dc=mydomain,dc=com" -f /etc/ldap/group.ldif
  
  #slapadd -b "dc=mydomain,dc=com" -f /etc/ldap/passwd.ldif

• generiamo poi le password dell'utente admin :

  #slappasswd -h {crypt} -s adminpassword

• a questo punto testiamo la configurazione con il comando :

  #ldapsearch -x -H ldap://IP master LDAP -b "dc=miodominio,dc=com" "(cn=nomeutente)"

• modificare il file /etc/ldap/slapd.conf come segue :

  replica host = replicaFQDN bindmethod=simple \
  binddn="cn=replicator,ou=miaOU,dc=miodominio,dc=com" \
  credentials=replicatorpassword

• installare l'utility smbldap-tools come root :

  #apt-get -y install smbldap-tools

• eseguire il comando :

  #cp /usr/share/doc/smbldap-tools/samba.schema /etc/ldap/schema/samba.schema

ed inserire nel file /etc/ldap/slapd.conf dopo l'ultima direttiva include.... quella che segue :

include /etc/ldap/schema/samba.schema

Ora procediamo alla configurazione del servizio di autenticazione crittografata installando il pacchetto Kerberos come segue :

#apt-get -y install krb5-kdc

#apt-get -y install krb5-admin-server

eseguire come root i seguenti comandi :

#kdb5_util create -s

#kadmin.local

#kadmin: ktadd -k /etc/krb5kdc/kadm5.keytab kadmin/admin

#kadmin: ktadd -k /etc/krb5kdc/kadm5.keytab kadmin/changepw

#kadmin: addprinc -pw secret krbadm@MIODOMINIO.COM

#kadmin: q

#/etc/init.d/krb5-kdc start

#/etc/init.d/krb5-admin-server start

Configurare la replica LDAP

Innanzitutto procedere alla configurazione del DNS slave (ricordiamo che bisogna soltanto modificare il file /etc/bind9/named.conf.local aggiungendovi la zona diretta e l'inversa del vostro dominio e specificando l'IP del DNS master per la sincronizzazione delle zone).

Pertanto installate il pacchetto bind9 con il comando :

apt-get -y install bind9

ed effettuate le configurazioni come indicato nel wiki Configurare un server DNS.

Procedere come segue :

• in /etc/ldap/slapd.conf inserire direttive :

  referral ldap://<FQDN o IP LDAP master>
  
  updatedn "cn=replicator,ou=miaOU,dc=miodominio,dc=com" 
  
  updateref ldap://<FQDN o IP LDAP master>
  
  access to attrs = userPassword,sambaLMPassword,sambaNTPassword
                  by dn = "cn=admin,ou=miaOU,dc=miodominio,dc=com" write
                  by dn = "cn=samba,ou=miaOU,dc=miodominio,dc=com" write
                  by dn = "cn=nssuser,ou=miaOU,dc=miodominio,dc=com" read
                  by anonymous auth
                  by self write
                  by * none
  
  access to *
          by dn = "cn=admin,ou=miaOU,dc=miodominio,dc=com" write
          by anonymous auth
          by * none

N.B. : ricordatevi di creare nel DB LDAP sia l'utente samba che l'utente nssuser.

Se volete usate l'utility gq da installare o sul server LDAP o su una workstation remota da cui amministrare master e replica LDAP.

• installare i pacchetti per il supporto all'autenticazione Kerberos lato client

  #apt-get -y install libpam-krb5
  
  #apt-get -y install krb5-user

• configurare i pacchetti per il supporto all'autenticazione Kerberos lato client

• modificare il file /etc/pam.d/common-account come segue :

  account sufficient pam_krb5.so
  
  account required pam_unix.so

• modificare il file /etc/pam.d/common-auth come segue :

  auth sufficient pam_krb5.so nullok_secure
  
  auth required pam_unix.so nullok_secure

• modificare il file /etc/pam.d/common-session come segue :

  session sufficient pam_krb5.so
  
  session required pam_unix.so

Configurare il PDC SAMBA

• installate il pacchetto samba nel modo seguente :

  #apt-get -y install samba

• modificate il file /etc/samba/smb.conf come segue :

  workgroup = MIODOMINIO.COM
  
  domain master = yes
  
  domain logons = yes
  
  encrypt passwords = yes
  
  security = user
  
  os level = 65 
  
  wins support = yes
  
  name resolver order = wins lmhosts hosts bcast
  
  logon path = \\%N\profiles\%U
  logon drive = H:
  logon home = \\%N\%U\winprofile
  logon script = logon.bat
  log level = 1 
  printcap name = CUPS
  show add printer wizard = No
  shutdown script = /var/lib/samba/scripts/shutdown.sh
  abort shutdown script = /sbin/shutdown -c
  utmp = Yes
  map acl inherit = Yes
  printing = cups
     
    
  passdb backend = ldapsam:ldap://<IP LDAP master>/ ldap://<IP LDAP replica>/
  ldap admin dn = cn=admin,dc=miodominio,dc=com
  ldap suffix = dc=miodominio,dc=com
  ldap group suffix = ou=Groups
  ldap user suffix = ou=People
  ldap machine suffix = ou=Computers
  ldap idmap suffix = ou=People
  add user script = /usr/sbin/smbldap_useradd -m '%u'
  delete user script = /usr/sbin/smbldap-userdel -r "%u"
  add group script = /usr/sbin/smbldap-groupadd -p "%g" 
  delete group script = /usr/sbin/smbldap-groupdel "%g"
  add user to group script = /usr/sbin/smbldap_groupmod -m "%u" "%g"
  delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
  add machine script = /usr/sbin/smbldap_useradd -w '%u'
  set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
  ldap delete dn = Yes
  
  [homes]
     comment = Home Directories
     path = /home/%U
     browseable = yes
     writable = yes
     create mask = 0775
     directory mask = 0775
     valid users = %S
  
  [netlogon]
     comment = Network Logon Service
     path = /usr/local/netlogon
     guest ok = yes
     writable = yes
     share modes = no
     browseable = yes
          
  [profiles]
  path = /var/lib/samba/profiles
  read only = no
  create mask = 0600
  directory mask = 0700
  browseable = yes
  writable = yes
  directory mode = 0755
  
  [printers]
     comment = All Printers
     browseable = no
     path = /tmp
     printable = yes
     public = no
     writable = no
     create mode = 0700
  
  [print$]
     comment = Printer Drivers
     path = /var/lib/samba/printers
     browseable = yes
     read only = yes
     guest ok = no
  
  [whole_linux_server]
  comment = whole_linux_box
  path = /
  valid users = admin root dtrask
  admin users = admin root dtrask
  write list = admin root dtrask
  public = no
  writable = yes

• create la share var/lib/samba/profiles e rendetela leggibile e scrivibile da tutti gli utenti del sistema:

  mkdir /var/lib/samba/profiles && chmod -R 777 /var/lib/samba/profiles

  questo è necessario poichè i client Microsoft accedono in scrittura a tale directory per creare il profilo degli utenti di rete.

• creare l'utente samba e memorizzarne la password nel file /var/lib/samba/secrets.tdb come segue :

  #read -s -p "Digita la password dell'utente samba : " LDAP_BINDPW
  
  #smbpasswd -w $LDAP_BINDPW

• memorizzare il SID del server nel file /var/lib/samba/secrets.tdb come segue :

  #/etc/init.d/samba start
  #net getlocalsid
  #net rpc getsid miodominio.com

• installare e configurare il pacchetto smbldap-tools come segue :

  apt-get -y install smbldap-tools

• controllare la configurazione dei files :

  smbldap.conf
  smbldap-bind.conf

• lanciare i comandi :

  smbldap-populate  
  smbldap-passwd Administrator
  net rpc join miodominio.com -UAdministrator%password

• creare i nuovi utenti utilizzando le utilities smbldap-tools come negli esempi :

  smbldap-useradd -a -g 512 -m -s /bin/sh -d /home/user_admin -F "" -P user-admin

  consultate le man pages per tutte le opzioni (il valore di -F è il roaming profile

dell'utente).

• testate la vostra configurazione tramite i comandi :

  smbclient //SRV/public -Uuser_admin%password
  
  pdbedit -Lv user_admin

• aggiornate le policies SAMBA con i comandi :

  pdbedit -P "password_history" -C 5
  pdbedit -P "maximum_password_age" -C 180
  pdbedit -P "min_password_length" -C 6

• installare i pacchetti per il supporto all'autenticazione Kerberos lato client

  apt-get -y install libpam-krb5
  apt-get -y install krb5-user

• configurare i pacchetti per il supporto all'autenticazione Kerberos lato client

• modificare il file /etc/pam.d/common-account come segue :

  account sufficient pam_krb5.so
  account required pam_unix.so

• modificare il file /etc/pam.d/common-auth come segue :

  auth sufficient pam_krb5.so nullok_secure
  auth required pam_unix.so nullok_secure

• modificare il file /etc/pam.d/common-session come segue :

  session sufficient pam_krb5.so
  session required pam_unix.so

Altre utilità LDAP

Se dovete modificare le passwords agli utenti del DB LDAP creato potete usare il comando:

ldappasswd -x -D "cn=admin,dc=miodominio,dc=com" -W -s nuovapasswordutente 
"cn=utente,ou=miaOU,dc=miodominio,dc=com" 

Configurare BDC SAMBA

• installate il pacchetto samba nel modo seguente :

  apt-get -y install samba

• modificate il file /etc/samba/smb.conf come segue :

  workgroup = MIODOMINIO.COM
  
  domain master = no
  domain logons = yes
  encrypt passwords = yes
  security = user
  os level = 65 
  wins support = yes
  name resolver order = wins lmhosts hosts bcast
  logon path = \\%N\profiles\%U
  logon drive = H:
  logon home = \\%N\%U\winprofile
  logon script = logon.bat
  log level = 1 
  printcap name = CUPS
  show add printer wizard = No
  shutdown script = /var/lib/samba/scripts/shutdown.sh
  abort shutdown script = /sbin/shutdown -c
  utmp = Yes
  map acl inherit = Yes
  printing = cups
     
  passdb backend = ldapsam:ldap://<IP LDAP master>/ ldap://<IP LDAP replica>/
  ldap admin dn = cn=admin,dc=miodominio,dc=com
  ldap suffix = dc=miodominio,dc=com
  ldap group suffix = ou=Groups
  ldap user suffix = ou=People
  ldap machine suffix = ou=Computers
  ldap idmap suffix = ou=People
  add user script = /usr/sbin/smbldap_useradd -m '%u'
  delete user script = /usr/sbin/smbldap-userdel -r "%u"
  add group script = /usr/sbin/smbldap-groupadd -p "%g" 
  delete group script = /usr/sbin/smbldap-groupdel "%g"
  add user to group script = /usr/sbin/smbldap_groupmod -m "%u" "%g"
  delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
  add machine script = /usr/sbin/smbldap_useradd -w '%u'
  set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
  ldap delete dn = Yes
  
  [homes]
     comment = Home Directories
     path = /home/%U
     browseable = yes
     writable = yes
     create mask = 0775
     directory mask = 0775
     valid users = %S
  
  [netlogon]
     comment = Network Logon Service
     path = /usr/local/netlogon
     guest ok = yes
     writable = yes
     share modes = no
     browseable = yes
          
  [profiles]
  path = /var/lib/samba/profiles
  read only = no
  create mask = 0600
  directory mask = 0700
  browseable = yes
  writable = yes
  directory mode = 0755
  
  [printers]
     comment = All Printers
     browseable = no
     path = /tmp
     printable = yes
     public = no
     writable = no
     create mode = 0700
  
  [print$]
     comment = Printer Drivers
     path = /var/lib/samba/printers
     browseable = yes
     read only = yes
     guest ok = no
  
  [whole_linux_server]
  comment = whole_linux_box
  path = /
  valid users = admin root dtrask
  admin users = admin root dtrask
  write list = admin root dtrask
  public = no
  writable = yes

• create la share var/lib/samba/profiles e rendetela leggibile e scrivibile da tutti gli utenti del sistema:

  mkdir /var/lib/samba/profiles && chmod -R 777 /var/lib/samba/profiles

  questo è necessario poichè i clients Microsoft accedono in scrittura a tale directory per creare il profilo degli utenti di rete.

• il comando wins_server = yes unito ad una opportuna (vedi sezione dedicata alla configurazione

dei clients) qualifica il server SAMBA come WINS server e permette pertanto di impedire di inutili broadcasts dei clients per localizzare il loro NETBIOS server.

• acquisire il SID del PDC con il comando:

  net rpc getsid

• installare i pacchetti per il supporto all'autenticazione Kerberos lato client

  apt-get -y install libpam-krb5
  apt-get -y install krb5-user

• configurare i pacchetti per il supporto all'autenticazione Kerberos lato client

• modificare il file /etc/pam.d/common-account come segue:

  account sufficient pam_krb5.so
  account required pam_unix.so

• modificare il file /etc/pam.d/common-auth come segue:

  auth sufficient pam_krb5.so nullok_secure
  auth required pam_unix.so nullok_secure

• modificare il file /etc/pam.d/common-session come segue:

  session sufficient pam_krb5.so
  session required pam_unix.so

Configurare i client

• installare come root la libreria per il supporto LDAP con il comando:

  apt-get -y install libnss-ldap

• modificare il file /etc/ldap/ldap.conf come segue:

  BASE dc=miodominio,dc=com
  URI ldap://<FQDN o IP LDAP master>   ldap://<FQDN o IP LDAP replica>

• modificare il file /etc/pam.d/common-account come segue:

  account sufficient pam_ldap.so
  account required pam_unix.so

• modificare il file /etc/pam.d/common-auth come segue:

  auth sufficient pam_ldap.so nullok_secure
  auth required pam_unix.so nullok_secure

• modificare il file /etc/pam.d/common-session come segue:

  session sufficient pam_ldap.so
  session required pam_unix.so

N.B. : se volete usare soltanto LDAP e non permettere l'accesso ai clients agli utenti locali dovete usare nei 3 files visti le direttive :

account required pam_ldap.so
account required pam_ldap.so nullok_secure
account required pam_ldap.so

• eseguire il join al dominio SAMBA con il comando:

  net rpc join miodominio.com -UAdministrator%password

• per poter accedere al filesystem SAMBA installare l'utility smbfs:

  apt-get -y install smbfs

• per montare un filesystem remoto SAMBA utilizzare il comando:

  smbmount //SRV/public /mnt/smb -o username=user_admin

• se volete abilitare l'automount del filesystem SAMBA utilizzate il programma

autofs installandolo come segue:

apt-get -y install autofs

• ora modificate il file /etc/auto.master come segue:

  /auto   /etc/auto.smb

ed il file /etc/auto.smb come segue:

smb  -fstype=smbfs,rw,guest   ://SRV/public

e riavviate il servizio autofs con il comando :

/etc/init.d/autofs restart

• ora per impedire il broadcast sulla rete per l'individuazione del server WINS modificare il file /etc/samba/smb.conf come segue :

  wins server = <IP o FQDN SAMBA PDC>

• installare i pacchetti per il supporto all'autenticazione Kerberos lato client

  apt-get -y install libpam-krb5
  apt-get -y install krb5-user

• configurare i pacchetti per il supporto all'autenticazione Kerberos lato client

• modificare il file /etc/pam.d/common-account come segue :

  account sufficient pam_krb5.so
  account required pam_unix.so

• modificare il file /etc/pam.d/common-auth come segue :

  auth sufficient pam_krb5.so nullok_secure
  auth required pam_unix.so nullok_secure

• modificare il file /etc/pam.d/common-session come segue :

  session sufficient pam_krb5.so
  
  session required pam_unix.so

CategoryServer CategoryDaRevisionare