Введение

Данная статья основывается на материалах из wiki.samba.org

Samba, начиная с версии 4.0, может работать как контроллер домена (domain controller, DC) Active Directory (AD).

Далее рассказывается как настроить Samba как первый DC в домене, чтобы построить новый лес AD. Также статью можно использовать для миграции из домена Samba NT4 в домен Samba AD.

Samba при использовании в роли AD DC поддерживает:

• Интегрированный сервер LDAP как база данных AD. Подробности см. Поддерживают ли Samba AD DC работу с OpenLDAP или другими службами LDAP.
• Авторизацию через службу Kerberos Key Distribution Center (KDC). Поддерживаются варианты MIT KDC и Heimdal KDC. Samba в составе Astra Linux использует MIT

Введение

Данная статья основывается на материалах из wiki.samba.org

Samba, начиная с версии 4.0, может работать как контроллер домена (domain controller, DC) Active Directory (AD).

Эта статья рассказывает, как настроить Samba как первый DC в домене, чтобы построить новый лес AD.
Дополнительно, эту статью можно использовать для миграции из домена Samba NT4 в домен Samba AD.

Samba при использовании в роли AD DC поддерживает:

• Интегрированый сервер LDAP как база данных AD. Подробности см. Поддерживают ли Samba AD DC работу с OpenLDAP или другими службами LDAP;
• Авторизацию через службу Kerberos Key Distribution Center (KDC). Поддерживаются варианты MIT KDC и Heimdal KDC;
  Поставляемая в составе ОС ОН Орёл 2.21 и ОС СН Смоленск 1.6 Samba использует MIT KDC, также поставляемый в составе этих ОС;.
• Работу с встроенным сервером DNS;.
• Работу с внешним сервером DNS (в примерах ниже рассматривается работа с сервером DNS BIND9).

Установка и настройка контроллера и клиента домена

Подготовка к

установке

1. Выбрать имя

1. контроллера домена для создаваемого контроллера домена. Не рекомендуется использовать в качестве имен

1. хостов такие идентификаторы, как PDC или BDC, унаследованные от NT4 . Эти сущности отсутствуют в AD, и такие названия вызывают путаницу

1. . Далее в примерах используется имя dc2.

2. Выбрать имя домена для

1. доменного леса AD. Это имя также будет использовано как имя области (realm) Kerberos AD

1. .

   Предупреждение

1. Имя домена в дальнейшем не может быть изменено. Samba не поддерживает переименование зон DNS AD и областей Kerberos.

   Далее в примерах используется имя домена samdom.example.com.

1. 
   

2. Назначить контроллеру домена полное доменное имя (FQDN),

1. состоящее из имени контроллера и имени домена:

   Command
   sudo hostnamectl set-hostname dc2.samdom.example.com

1. Дополнительную информацию по именованию доменов см.

1. в стате Часто задаваемые вопросы по именованию доменов AD

1. .
   
2. Назначить контроллеру домена постоянный (статический) IP-адрес и настроить разрешение полного доменного имени контроллера.  Подробности см. в статье Настройка разрешения имен и статических IP-адресов. В том числе:

   1. Отключить инструменты (например, resolvconf), которые автоматически обновляют файл настроек DNS /etc/resolv.conf.

1. 1. Контроллер домена и члены домена обязаны использовать сервер DNS, способный

1. 1. разрешать зоны DNS

1. 1. AD. Если в сети нет других серверов DNS, то файл /etc/resolv.conf должен указывать IP-адрес самого

1. 1. контроллера домена:

      Информация
      Title search samdom.example.com
      search samdom.example.com nameserver 10.0.2.254

Убедитесь, что файл /etc/hosts на DC корректно разрешает полное доменное имя (fully-qualified domain name, FQDN) и короткое имя хоста DC во внешний сетевой IP-адрес DC. Например: 

1. 1. Имя хоста не должно разрешаться в IP-адрес 127.0.0.1

1. 1. или в любой другой IP-адрес, кроме используемого на внешнем сетевом интерфейсе DC.

1. 1. Для проверки правильности настроек можно использовать команду:

      Command
      host `hostname`

Если Samba уже была установлена (настроена)

Если Samba уже была установлена (настроена):

1. Проверить, что

1. остановлены процессы samba, smbd, nmbd, winbindd, krb5-kdc:

   Command
   ps ax |

1. grep -E "samba|smbd|nmbd|winbindd|rkb5-kdc"

• • Если вывод команды показывает наличие любого из процессов samba, smbd, nmbd, или winbindd, то остановите эти процессы и запретите их автоматический запуск:

1. 
   

   Command
   Обратите внимание:

1. пакет (apt install winbind) называется winbind с одним 'd';

1. процесс (ps fax | grep winbindd) называется winbindd с двумя 'dd';

1. служба (sytemsctl status winbind) называется winbind с одним 'd';

1. Если вывод команды показывает наличие любого из процессов samba, smbd, nmbd, или winbindd, то остановить эти процессы и запретите их автоматический запуск:
   

   Command
   sudo systemctl stop smbd nmbd winbind krb5-kdc sudo systemctl mask smbd nmbd winbind krb5-kdc

2. Удалить все существующие файлы конфигурации Samba smb.conf file. Чтобы получить список путей к этим файлам выполнить команду:info

   Command
   Title sudo smbd -b | grep "CONFIGFILE"
   CONFIGFILE: /usr/local/samba/etc/samba/smb.conf

1. Удалить все файлы баз данных Samba (*.tdb и *.ldb).

1. Чтобы получить список путей к этим файлам выполить команду:

   Command
   Title sudo smbd -b | egrep "LOCKDIR|STATEDIR|CACHEDIR|PRIVATE_DIR"
   LOCKDIR: /usr/local/samba/var/lock/ STATEDIR: /usr/local/samba/var/locks/ CACHEDIR: /usr/local/samba/var/cache/ PRIVATE_DIR: /usr/local/samba/private/

1. Если существует файл настроек Kerberos /etc/krb5.conf file, также

1. удалить его: 

   Command
   sudo rm /etc/krb5.conf

Установка Samba

Пакет samba входит в дистрибутивы ОС ОН Орёл и ОС СН СмоленскAstra Linux, и может быть установлен с помощью графического менеджера Графический менеджер пакетов synaptic,
или из командной строки командой

После установки пакета samba сервис smbd будет запущен автоматически с настройками "по умолчанию".

Отдельно установленный пакет samba может быть использован как файловый сервер или сервер печати. Для использования samba в качестве домена AD нужно установить пакет samba и дополнительные пакеты:

Назначение Samba на роль AD DC

Назначение выполняется с помощью команды samba-tool domain provision. Эта команда поддерживает возможность выполнения настроек в интерактивном или автоматическом режимах. Подробности см.:

Подготовительные команды

Перед Назначением остановить ненужные службы, запретить их запуск, и удалить установленный по умолчанию конфигурационный файл Samba:

Назначение

Назначение выполняется с помощью команды samba-tool domain provision. Эта команда поддерживает возможность выполнения настроек в интерактивном или автоматическом режимах. Справку по использованию команды можно получить с помощью опции --help:

При создании нового домена AD рекомендуется сразу включить так называемые расширения NIS (NIS extensions), передав инструменту samba-tool domain provision параметр  --use-rfc2307. Это позволит При создании нового домена AD рекомендуется сразу включить так называемые расширения NIS (NIS extensions), передав инструменту samba-tool domain provision параметр  --use-rfc2307.
Это позволит хранить в AD специфические атрибуты Unix:

• Числовые числовые идентификаторы пользователей (UID);
• Пути пути у домашним каталогам пользователей;
• Идентификаторы идентификаторы групп пользователей.

Включение расширений NIS при установке не влечёт влечет за собой никаких отрицательных побочных эффектов, а их включение в существующем домене требует ручного расширения схемы AD.

Подробности см. в:

• Настройка RFC2307 в AD;
• idmap config = ad

Описание возможных параметров Назначения

При Назначении будут могут применяться следующие параметры:

Назначение Samba в интерактивном режиме

Ниже приведён набор команд, выполняющих все дейтвия по установке и запуску контроллера домена Samba. Значения команд описаны в комментариях.
Для выполнения Назначения в интерактивном режиме выполните командывыполнить команду:

В процессе Назначения должен произойти примерно такой диалог:

Интерактивный режим настройки поддерживает различные параметры  команды samba-tool domain provision, что позволяет задавать настройки, не содержащиеся в интерактивном диалоге.

Назначение Samba в автоматическом режиме

Для примера назначения Samba в автоматическом режиме используем следующие параметры:

• Роль сервера: dc
• Расширения NIS: включены
• Служба DNS: внутренний DNS BIND9_DLZ
• Область Kerberos и зона DNS AD: samdom.example.com
• Имя домена для NetBIOS: SAMDOM
• Пароль администратора: Passw0rd
• Используется сеть 10.0.2.0/24
• Адрес хоста Samba 10.0.2.254

Для указанных параметров команда назначения будет выглядеть так:

В процессе Назначения должен произойти примерно такой диалог:

Интерактивный режим настройки поддерживает различные параметры  команды samba-tool domain provision, что позволяет задавать настройки, не содержащиеся в интерактивном диалоге.

Назначение Samba в автоматическом режиме

Для примера назначения Samba в автоматическом режиме используем следующие параметры:

• Роль сервера: dc
• Расширения NIS: включены
• Служба DNS: внутренний DNS BIND9_DLZ
• Область Kerberos и зона DNS AD: samdom.example.com
• Имя домена для NetBIOS: SAMDOM
• Пароль администратора: Passw0rd
• Используется сеть 10.0.2.0/24
• Адрес хоста Samba 10.0.2.254

Для указанных параметров команда назначения будет выглядеть так:

Завершающие команды

После успешного выполнения команды Назначения перед запуском доменной службы samba:

1. Разрешить автоматический запуск службы контроллера домена:
   

   Command
   sudo systemctl unmask samba-ad-dc sudo systemctl enable samba-ad-dc

2. Настроить службу DNS

   Command
   echo 'include "/var/lib/samba/bind-dns/named.conf";' | sudo tee -a /etc/bind/named.conf sudo chown -R root:bind /var/lib/samba/bind-dns sudo systemctl restart bind9

3. Скопировать автоматически созданную конфигурацию службы Kerberos в файл /etc/krb5.conf

   Command
   sudo cp -b /var/lib/samba/private/krb5.conf /etc/krb5.conf

4. Запустить доменную службу Samba:

   Command
   sudo systemctl start samba-ad-dc

Проверка результатов Назначения

Подробно команды для проверки результатов настройки контроллера домена описаны в статье Присоединение Samba к существующему домену AD. Разница только в том, что домена AD сейчас нет, сервер только один, соответственно, опрашивать нужно только один сервер, и в ответах будет только один сервер.

Создание реверсивных зон

С помощью команды samba-tool dns zonecreate можно добавить необязательную зону реверсивного поиска:

Если требуется использовать несколько реверсивных зон , просто выполните команду следует выполнить несколько раз с указанием параметров соответствующих подсетей. 
Изменение реверсивных зон не требует перезапуска сервисов Samba или BIND.

Настройка участников домена

Настройка синхронизации времени

Настройка DNS

Участники домена AD используют DNS для поиска сервисовдоменных служб, например, таких, как LDAP и Kerberos. Для этого они должны использовать необходим сервер DNS, способный разрешать способный разрешать зоны DNS AD.

Если в системе используется сервер DHCP, то в его настройках можно указать имя домена, которое будет передаваться всем хостам при запросе адреса Подробнее см. DHCP: служба isc-dhcp-server и DHCP: служба kea.

Помимо использования DHCP, настройку на нужный сервер можно выполнить непосредствнно непосредственно на хостах - участниках домена в файле  файле /etc/resolv.conf.  
Для этого укажите указать в файле:

• имя домена DNS AD  как имя домена для поиска (search),
• IP-адрес вашего DC как значение параметра nameserverenameserver.

Например:

Настройка разрешения имен для клиентских машин

После выполнения указанных выше настроек DNS сервер не может получать и, соответственно, выдавать информацию об именах и IP-адресах клиентских машин.Для того, чтобы служба DNS могла выполнять разрешение имен клиентских машин должно быть настроено предоставление информации об IP-адресах этих машин. Это может быть сделано следующими способами:

• Если в домене используются клиентские машины, получающие динамические IP-адреса

• от сервера DHCP, то сервер DNS может быть настроен на автоматическое получение информации о выданных адресах. Примерный порядок настройки см. в

• статье Динамическое обновление DNS клиентских машин FreeIPA

• .
• Если в домене используются клиентские машины, которым присваиваются статические адреса, то:
  • Можно использовать для присвоения этих статических

• • адресов сервер DHCP с динамическим обновлением адресов

• • .
  • Можно вручную задавать соответствие имени и адреса для каждого такого клиента. См.

• • Администрирование DNS.

Kerberos

При работе в домене AD , Kerberos используется для аутентификации пользователей, хостов, и сервисовдоменных служб. Процедуры установки и настройки клиентов Kerberos см. в статье Kerberos.

Во время процедуры назначения Samba автоматическм автоматически создает конфигурационный файл /var/lib/samba/private/krb5.conf для клиентов Kerberos, настроенный на создаваемый DCконтроллер домена.
Это файл должен быть скопирован в рабочую конфигурацию Kerberos на всех хостах, входящих в домен. На контроллере домена это можно сделать командой:

В автоматически создаваемом файле конфигурации Kerberos для поиска доменного контроллера Kerberos (KDC) используются  сервисные записи (SRV). Для того, чтобы такая конфигурация работала корректно, в домене должна быть правильно настроена и работать служба DNSDNS, в том числе должны быть созданы файлы с описанием зон, в которых размещены соответствующие сервисные записи  (см. статью DNS-сервер BIND9).

Тестирование файлового сервера

Во время назначения автоматически создаются разделяемые ресурсы netlogon и sysvol, и они обязательно должны существовать в DC. Чтобы увидеть все  разделяемые файловые ресурсы, предоставляемые DC:

Пример вывода команды:

Для проверки работы аутентификации , подключитесь можно подключиться к ресурсу netlogon с использованием учётной записи администратора домена:

Если тесты не выполняются, проверки завершаются ошибками см.   Поиск и устранение проблем

Инструменты командной строки

Для управления Samba AD DC в состав пакета Samba входит инструмент командной строки samba-tool. Основные команды иструментаинструмента:

Подробная информация об инструменте доступна в справочнике man:

Краткую справку по работе инструмента можно получить командой

Инструмент wbinfo

При установке пакета samba автоматически устанавливается служба winbindd. Для работы с этой службой используется инструмент командной строки wbinfo,
позволяющий получать информацию о пользователях и группах AD. Примеры команд:

Настройка хостов - участников домена для входа доменных пользователей

По умолчанию, пользователи домена AD не могут выполнять вход в Linux-системы.
Для обеспечения входа в Linux-системы с учетными записями  Active Directory необходимо внести следующие изменения в настройки Samba AD DC в настройки пользовательских компьютеров.

Настройка Samba AD DC

В конфигурационном файле Samba  /etc/samba/smb.conf необходимо добавить настройки службы winbind и разрешение авторизоваться через эту службу (добавленные строки выделены жирным шрифтом):

После внесения изменений проверить правильность конфигурации командой 

И перезапустить службы samba.

Настройка пользовательских компьютеров

На пользовательском компьютере использовать команду:

И и убедиться, что включены все профили PAM.
включена аутентификация winbind. При необходимости - включить аутентификацию winbind, используя клавишу "пробел". 
По окончании нажать клавишу "Tab", перейти на "ОК", и записать изменения.

В файле  /etc/nsswitch.conf добавить слово winbind параметры password и group:

Чтобы пользователи AD после аутентификации могли менять свой пароль из командной строки
в файле /etc/pam.d/common-password из строки:

password [success=1 default=ignore] 

  pam_winbind.so use_authtok try_first_passfile

убрать слово  use_authtok statement:

Предупреждение: Использование контроллера домена как файлового сервера

Несмотря на то, что Samba в режиме AD DC может предоставлять услуги разделения файлов так же, как и в любом другом режиме применения,  разработчкики разработчики Samba не рекомендуют использовать DC как файловый север по следующим причинам:

• Для всех организаций, за исключением самых маленьких, наличие более, чем одного DC, является реально хорошим способом резервирования, повышающим безопасность обновлений;
• Отсутствие сложных данных и влияния на другие сервисы позволяет обновлять DC совместно с ОС хоста каждые год или два;
• Обновления могут выполняться путем установки новых версий, или внесения изменений, которые лучше проверены в Samba, что позволяет получить новые возможности, избежав множества рисков, связанных с повреждением данных;
• Необходимость модернизации DC и файлового сервера наступает в разные моменты. Потребность в новых возможностях DC и файлового сервера возникает в разные моментв моменты времени. В то время, как AD DC стремительно развивается, приобретая новые возможности, файловый сервер, после более 20 лет, гораздо более консервативен;
• mandatory smb signing is enforced on the DC.

Если вы изучаете возможность использовать Samba DC как файловый сервер, рассмотрите вместо этого возможность использовать на DC виртуальную машину VM, содержащую отдельного участника домена.

Если вы вынуждены использовать Samba DC как файловый сервер, помните, что виртуальная файловая система (virtual file system, VFS) позволяет настраивать разделяемые ресурсы только со списками управления доступом access (control lists, ACL) Windows.
Разделяемые ресурсы с ACL POSIX на Samba DC не поддерживаются, и не работают.

Для предоставления сетевх сетевых разделяемых ресурсов с полными возможностями Samba, используйте  отдельного участника домена Samba.

Подробности см.:

• Настройка Samba как участника домена
• Файловый сервис Samba

Если у вас маленький домен (маленький офис, домашняя сеть), нет желания следовать рекомендациям разработчиков Samba, и  DC используется как файловый серверrсервер, настройте Winbindd до начала настройки раздеяемых разделяемых ресурсов.
Подробности см.: Configuring Winbindd on a Samba AD DC.

Поиск и устранение проблем

Продробности Подробности см.: Поиск и устранение проблем в Samba AD DC

Материалы для дальнейшего изучения

См.  Пользовательская документация