Diskussion:Entwicklungsumgebung/Samba
Installation von Samba
konzeptionelle Überlegungen
wir haben im LDAP einen Baum (Struktur), die nun gefüllt werden soll. Fragt sich:
1. welche Accounts und Gruppen müssen angelegt werden, weil diese eben für einen geordneten Betrieb eines PDCs erwartet werden?
2. welche Berechtigungen sollen vergeben werden können und wie soll das geschehen?
3. welche Gruppen richten wir wie ein
zu 1.
bei den smbldap-Tools gibt es ein Script, welches genau diese Aufgabe erledigen soll: smbldap-populate wir nutzen dieses, um eine "Population" für Samba zu erstellen. das ist aber nur eine Vorlage, d.h. wir verschieben die damit angelegten Entries dahin, wo wir es haben wollten.
Daraus wurde eine LDIF-Datei erstellt. Hinweis: die SID in diesem LDIF-File muss noch durch die aktuelle SID des Samba ersetzt werden!
zu 2.
Es sollte in Anlehnung an Arktur4 folgende Gruppen geben:
hadmins (Hauptadmins), cadmins (Co-Admins), tadmins (Teiladmins)
Gruppe material, Gruppe fachl (Fachlehrer)
Es sollen folgende Rechte damit verbunden sein:
# bei Schülern # bei Lehrern
Gruppe # #
# LDAP | Homeverzeich. # LDAP | Homeverzeich.
------------------------------------------------------------------------
# | #
hadmin # Schreibrecht | Schreibrecht # Schreibrecht | Schreibrecht
# | # |
cadmin # Schreibrecht | Schreibrecht # |
# | # |
tadmin # Schreibrecht | # |
# | # |
material # | Schreibrecht # |
# | # |
fachl # | Leserecht # |
ist aber noch nicht vollständig: es fehlen mir die raumadmins. Oder
formulieren wir es mal anders: das hier sind die Berechtigungen für
User. Es fehlen Berechtigungen für alles was mit Rechnern zu tun hat.
Es müßte die Tabelle noch nach rechts fortgesetzt werden, wobei eben diese Tabelle die linke Spalte für die User darstellt und daneben eben die für die Maschinen. für die Maschinen gibt es nur 2 Gruppen: die Raumadmins. die Rechte für die Raumadmins habe ich so vorgeschlagen:
- Rechnern in die Domäne aufnehmen
- Rechnern feste IPs vergeben
- die (Samba-)Logfiles für die Rechner seines Raumes kontrollieren können
Ein Raumadmin hat (sollte) immer nur die Rechte für seine Rechner haben. Da es durchaus Sinn macht, "einen" Admin zu haben, der über den Raumadmins steht und Zugriff auf alle Rechner hat, würde ich dieses Recht auch noch den hadmin geben. Und den hadmin(s) würde ich noch ein Recht einräumen: Er kann die Berechtigungen für cadmin, tadmin, material und fachl vergeben.
zu 3.
1. Systemgruppen (wegen speziellen Accounts):
'ws-user' ('platznutzer') war 100 => 1000
'teacher' ('lehrer') war 101 => 1001
'students' ('schueler') war 102 => 1002
'exam' ('klausur') war ??? => 1003
'machines' ('arbeitsstationen') war 97 => 1004
2. Delixsgruppen:
'online' war 106 => 1006 'material' war 107 => 1007 'internet' => 1008 'www' war 99 => 1009 'fachl' => 1010 'tadmin' --- => 1011 'cadmin' (war 'admins') war 105 => 1012 'hadmin' --- => 1013
3. Systemgruppen (wegen Groupmapping) siehe bei Population erzeugen (Punkt 8)
Angedacht war, dass die UIDs für die machinen von 1000 bis 1999 gehen. Die UIDs für die 'people' sollten ab 2000 (bis 30000) gehen. Da ich das (derzeit) über die smbldap-Tools noch nicht steuern kann, werden die UIDs für User und Maschinen einfach "automatisch" vergeben - also gemischt.
eigentliche Installation von Samba
(streng nach Wiki)
1. Pakete einspielen
aptitude install samba samba-common smbclient swat aptitude install libpam-smbpass smbldap-tools smbfs smb-nat samba-doc
---|Samba Server|---
Arbeitsgruppe/Domainname
SCHULE
---|Samba Server|---
soll die smb.conf abgeändert werden, dass per DHCP angebotene WINS-Einstellungen
verwendet werden?
nein
2. Sambaschema bereitstellen
cd /usr/share/doc/samba-doc/examples/LDAP
gunzip samba.schema.gz
cp samba.schema /etc/ldap/schema/
und in die smb.conf einfügen (hiner den anderen include-Zeilen
include /etc/ldap/schema/samba.schema
3. LDAP neu starten
/etc/init.d/slapd restart
4. ldap-tools bereitstellen
wurden ja schon bei Samba installiert und werden nach Anleitung im Wiki bereitgestellt:
zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf
5. Konfiguration der smbldap-Tools:
/etc/smbldap-tools/smbldap_bind.conf (Datei im Paket)
slaveDN="cn=admin,dc=delixs-schule,dc=de" slavePw="geheim" masterDN="cn=admin,dc=delixs-schule,dc=de" masterPw="geheim"
/etc/smbldap-tools/smbldap.conf (Datei im Paket)
mit net getlocalsid >> /etc/smbldap-tools/smbldap.conf dann verschieben z.B. mit den MC
SID="S-1-5-21-3733721172-1526293526-4229837797"
sambaDomain="SCHULE"
# muss bei uns gleich sein
slaveLDAP="127.0.0.1"
slavePort="389"
masterLDAP="127.0.0.1"
masterPort="389"
# ich verschluessel nichts
ldapTLS="0"
verify="none"
cafile=""
clientcert=""
clientkey=""
# delixs
suffix="dc=delixs-schule,dc=de"
usersdn="ou=people,ou=accounts,${suffix}"
computersdn="ou=machines,ou=accounts,${suffix}"
groupsdn="ou=groups,${suffix}"
# das ist noch unklar
idmapdn="ou=Idmap,${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
scope="sub"
hash_encrypt="MD5"
# der naechste Eintrag soll nicht stoeren
crypt_salt_format="%s"
userLoginShell="/bin/bash"
userHome="/home/students/%U"
userHomeDirectoryMode="700"
userGecos="System User"
defaultUserGid="1002"
defaultComputerGid="1004"
skeletonDir="/etc/skel"
# ein leerer Wert wird nicht akzeptiert. also habe ich einen großen Wert genommen
defaultMaxPasswordAge="10000"
# die naechsten 4 Werte sollen aus der smb.conf genommen werden
userSmbHome=""
userProfile=""
userHomeDrive=""
userScript=""
mailDomain="delixs-schule.de"
# die naechsten Werte waren Vorgabe
with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"
with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"
6. wir ändern die UID und GID von sysadm
direkt in der shadow und der passwd UID und GID auf 0 setzen (mit dem mcedit)
7. die Hauptgruppen anlegen
diese legen wir in der /etc/groups an
smbldap-groupadd -g 1000 -a ws-user
smbldap-groupadd -g 1001 -a teacher
smbldap-groupadd -g 1002 -a students
smbldap-groupadd -g 1003 -a exam
smbldap-groupadd -g 1004 -a machines
8. Population im LDAP erzeugen
es wurde direkt mit smbldap-populate der LDAP gefüllt. Die Einträge haben gleich die richtige SID (wegen smbldap.conf). Es wurden folgende Einträge im LDAP angelegt. Offensichtlich alles fürs Funktionieren von Samba notwendige Einträge.
ou=Idmap,dc=delixs-schule,dc=de
uid=root,ou=people,ou=accounts,dc=delixs-schule,dc=de
uid=nobody,ou=people,ou=accounts,dc=delixs-schule,dc=de
cn=Domain Admins,ou=groups,dc=delixs-schule,dc=de
cn=Domain Users,ou=groups,dc=delixs-schule,dc=de
cn=Domain Guests,ou=groups,dc=delixs-schule,dc=de
cn=Domain Computers,ou=groups,dc=delixs-schule,dc=de
cn=Administrators,ou=groups,dc=delixs-schule,dc=de
cn=Account Operators,ou=groups,dc=delixs-schule,dc=de
cn=Print Operators,ou=groups,dc=delixs-schule,dc=de
cn=Backup Operators,ou=groups,dc=delixs-schule,dc=de
cn=Replicators,ou=groups,dc=delixs-schule,dc=de
sambaDomainName=SCHULE,dc=delixs-schule,dc=de
9. die Delixs-Gruppen im LDAP anlegen
Dazu verwenden wir das LDIF-File delixsgroups.ldif (Datei im Paket)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!! dieses LDIF-File *muss* erst bearbeitet werden !!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
und zwar muss die SID von Samba hier eingefügt werden (8x !!!), dazu - die SID anhängen mit
'net getlocalsid >> delixsgroups.ldif'
- z.B. mit dem MC dann mit suchen und ersetzen die alte SID durch die neue SID
*überall* eintragen.
dieses bearbeitete LDIF-File in den LDAP einfügen mit
ldapadd -x -D cn=admin,dc=delixs-schule,dc=de -W -f /root/delixsgroups.ldif
10. smb.conf erstellen
die folgende 'smb.conf' habe ich "zusammenkopiert". testparm meckert nicht. die Pfade für die smbldaptools habe ich überprüft, die übernommenen Parameter scheinen mir sinnvoll.
meine 'smb.conf': http://www.arktur.th.schule.de/smb.conf (Datei im Paket)
11. Sambapasswort setzen
als root aufrufen (es muss das LDAP-root-Passwort sein - bei mir 'geheim')
smbpasswd -w geheim
12. Konfiguration neu einlesen
/etc/init.d/samba restart
13. Test
Aufruf von "smbclient -L alix -N" brachte:
Anonymous login successful Domain=[SCHULE] OS=[Unix] Server=[Samba 3.2.5]
Sharename Type Comment
--------- ---- -------
netlogon Disk Anmeldeverzeichnis
tmp Disk Datenaustausch
pub Disk Unterrichtsmaterial
intranet Disk Intranet-Seiten
fachl Disk Fachlehrer-Zugang
admins Disk Admin-Freigabe
IPC$ IPC IPC Service (Schulserver alix)
Anonymous login successful
Domain=[SCHULE] OS=[Unix] Server=[Samba 3.2.5]
Server Comment
--------- -------
ALIX Schulserver alix
Workgroup Master
--------- -------
SCHULE ALIX
14. User anlegen
smbldap-useradd -a -A 1 -g 1002 -n -c 'Manfred Mustermann,5a' -d /home/students/mmustermann -m mmustermann