Samba PDC+LDAP+PAM/NSS Debian Lennyn

A HupWiki-ből...

A kék keretes dobozkákatat nemtudom hogykell beljebb csusztatni, aki tudja help...

Tartalomjegyzék

Cél

  • A cél egy olyan samba server létrehozása Debian Lenny verzión, amely LDAP ból authentikál, a file jogokat pedig Posix ACL segítségével kezeli. A dolog 2009.09 állapotú Lenny verzióval biztosan működik.
  • Az LDAP adatbázisból történik a linux felhasználói beléptetés is. Van az itt megvalósítottnál biztonságosabb megoldás is (pl. amikor az LDAP serverrel titkosított csatornán kommunikál mindenki) de nekem megfelelő volt ez a biztonsági szint is.

Források

A howto alapja az alábbi howto volt, de sajnos volt benne pár hiba (szerintem) : http://edin.no-ip.com/content/ldap-samba-pdc-pamnss-debian-lenny-howto
A fenti linken lévő howtoval azonos sorrendben írom a dolgokat, de tudom hogy ebbe bele lehet kötni, csak a könyebb összehasonlítás miatt hagytam meg annak sorrendjét. ( Én a sask domain nevet használtam mindenhol. (.com nélkül))
Egyéb hasznos írások lehetnek:
http://topolya.uw.hu/pdc-etch_webre_20080123.doc
http://us6.samba.org/samba/docs/man/Samba-Guide/
http://www.linuxvilag.hu/content/files/cikk/69/cikk_69_54_61.pdf
http://www.sambaxp.org/index.php?id=150 -- Itt a legutóbbi samba eXPerience előadásokon leadott előadások diáit lehet megnéni, néhány érdekes lehet azoknak akik pl. a samba jogok kiterjesztésén gondolkodnak : "Native Windows ACLs in Samba 3" - http://www.sambaxp.org/files/SambaXP2009-DATA/Jeremy_Allison.odp vagy http://www.sambaxp.org/files/SambaXP2009-DATA/Nils_Goroll.pdf de érdemes átböngészni többi diát is...
http://forums.freebsd.org/showthread.php?t=770 - Ugyan BSD alatt készített HOWTO, de azért hasznos lehet

Előkészületek

  • A samba megosztásokat tartalmazó köteten engedélyezve kell lenni az ACL opciónak, ehhez az /etc/fstab fájlban a megfelelő kötet csatolási opcióját módosítjuk : (samba verziótol függően a user_xattr opciót is tudja használni - de lenny ben ami most van az tudtommal nem tudja)
/dev/sda3       /               ext3   defaults,user_xattr,acl,errors=remount-ro 0 1
  • A fenti változtatás csak újrainduláskor lép életbe, de a következő paranccsal újracsatolhatjuk újraindítás nélkül is az adott kötetet :
# mount -o remount,acl,user_xattr /dev/sda3
  • Biztosítjuk, hogy a meglévő csomagok frissek legyen (biztos ami biztos)
# aptitude update
# aptitude safe-upgrade
  • Ebben a Howto-ban az LDAP rootpw helyett mindenhol VALTOZTASS_MEG van írva, ezt értelemszerűen mindenki változtassa meg tetszés szerint, természetesen a *.secret fájlokban is ennek kell majd lenni.

Telepítés

Új csomagok telepítése

  • Feltesszük az összes szükséges csomagot egyszerre, ezek közül néhány csomagnak van beépített configuráló scriptje, amelyek már itt elindulnak azonnal, de igazán itt nem állítjuk be élesre őket, később majd újraindítjuk a megfelelő konfiguráló scriptet.
Fontos még, hogy a resolvconf csomag telepítése miatt, lehet hogy ezek után nem fog működni a névfeloldásunk. (szerintem resolvconf nélkül is működik a fenti elvárásoknak megfelelő rendszer - de ezt nem próbáltam, inkább beállítottam a resolvconfot az előírások szerint) Nekem ehhez az /etc/network/interfaces fájlba kellett egy "dns-nameservers 192.168.1.99" sort beszúrni, természetesen ez hálózati topológiától függően más beállítást igényelhet. Itt : http://wiki.debian.org/NetworkConfiguration#Theresolvconfprogram írnak róla kicsit bővebben.
# aptitude update
# aptitude install apache2-suexec libapache2-mod-php5 php5 php5-cli php5-curl php5-gd php5-imap php5-ldap php5-mcrypt php5-mhash php5-sqlite php5-tidy php5-xmlrpc php-pear slapd mcrypt ldap-utils libgd-tools apache2-doc libpam-ldap libnss-ldap resolvconf samba swat smbclient smbfs smbldap-tools

Csomagok beállítása

OpenLdap server beállítása

# dpkg-reconfigure slapd
  • Omit OpenLDAP server configuration? No
  • DNS domain name: sask
  • Organization name: sask
  • Administrator password: VALTOZTASS_MEG
  • Database backend to use: HDB
  • Do you want the database to be removed when slapd is purged? No
  • Allow LDAPv2 protocol? No
  • Ezzel készítünk egy LDAP mentést :
# slapcat > ~/slapd.ldif
  • Majd a samba sémát bemásoljuk az LDAP sémákhoz :
# zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema
  • Generálunk egy MD5 jelszó hasht amelyet majd be kell írnunk az openldap configba :
# slappasswd -h {MD5}
  • Szerkesszük az OpenLdap configot, /etc/ldap/slapd.conf (elvileg a samba sema include, az MD5 rootpwd, admin, domain, valamint par index amit modositani kell a default lenny configban) :
include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.schema
include         /etc/ldap/schema/nis.schema
include         /etc/ldap/schema/inetorgperson.schema
include         /etc/ldap/schema/samba.schema

pidfile         /var/run/slapd/slapd.pid

argsfile        /var/run/slapd/slapd.args

loglevel        256

modulepath      /usr/lib/ldap
moduleload      back_hdb

sizelimit 500

tool-threads 1

backend         hdb

database        hdb

suffix          "dc=sask"

rootdn          "cn=admin,dc=sask"
rootpw          {MD5}kQlVqQfnObgeyIVXYxCKKQ==

directory       "/var/lib/ldap"

dbconfig set_cachesize 0 2097152 0

dbconfig set_lk_max_objects 1500

dbconfig set_lk_max_locks 1500

dbconfig set_lk_max_lockers 1500

index           objectClass eq,pres
index ou,cn,sn,mail,givenname           eq,pres,sub
index uidNumber,gidNumber,memberUid     eq,pres
index loginShell                        eq,pres

index uid                               pres,sub,eq

index displayName                       pres,sub,eq
index nisMapName,nisMapEntry            eq,pres,sub
index sambaSID                          eq
index sambaPrimaryGroupSID              eq
index sambaDomainName                   eq
index default                           sub
index uniqueMember                      eq
index sambaGroupType                    eq
index sambaSIDList                      eq


lastmod         on

checkpoint      512 30

access to attrs=userPassword,shadowLastChange
        by dn="cn=admin,dc=sask" write
        by anonymous auth
        by self write
        by * none

access to dn.base="" by * read

access to *
        by dn="cn=admin,dc=sask" write
        by * read
  • A loglevel ezen állapotban nagyon sok "szemetet" dobál a logba, de amíg nincs kész a rendszer addig hasznos információkat nyerhetünk ki ezen információkból.

Ha minden működik nyugodtan állítsuk kisebbre.

  • Allitsuk le az NSCD démont (Name Service Cache) amig az Ldap server adatbazisat modositgatjuk :
# /etc/init.d/nscd stop
  • Frissitsuk az LDAP adadatbázist :
# /etc/init.d/slapd stop
# rm -rf /var/lib/ldap/*
# slapadd -l ~/slapd.ldif
# slapindex
# chown -Rf openldap:openldap /var/lib/ldap
# /etc/init.d/slapd start
  • slapcat al ezekutan ellenőrizhetjük, hogy van-e valami benne :)
# slapcat
  • Valamint egy proba Ldap keresest is indithatunk :
# ldapsearch -x -b -s base '(objectclass=*)' namingContexts

PhpLdapadmin beállítása

  • Telepítünk egy grafikus php alapú Ldap klienst, de ehhez nehány php beállítás is szükséges :
  • Megkell növelni pár értéket : /etc/php5/apache2/php.ini
memory_limit = 128M;
post_max_size = 32M;
upload_max_filesize = 32M;


  • Apache configban : /etc/apache2/sites-enabled/000-default (az "AllowOverride all"-t kell módosítani) :
<Directory /var/www/>
  Options Indexes FollowSymLinks MultiViews
  AllowOverride all
  Order allow,deny
  allow from all
</Directory>
  • Majd indítsuk újra az apache2-t :
#/etc/init.d/apache2 restart
  • Már csak a PhpLdapAdmin van hátra:
# aptitude install phpldapadmin
  • Ezekután http://SERVER_IP_CIM/phpldapadmin oldalon, be kell jönnie a PhpLdapAdmin felületnek, ahol a rootdn felhasználónévvel, sask domainnel es a megadott jelszoval be tudunk lépni (bejelentkezési DN : cn=admin,dc=sask) jelszó aminek az Md5 hashet megadtuk slapd.conf ban.

Samba beállítása

  • Állítsuk be végre a samba servert az alábbi konfiggal : /etc/samba/smb.conf
[global]
dos charset = UTF-8
display charset = UTF-8
workgroup = SASK
realm = SASK
server string = %h server
map to guest = Bad User
passdb backend = ldapsam:ldap://127.0.0.1/
pam password change = Yes
passwd program = /usr/sbin/smbldap-passwd -u %u
passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authentication*tokens*updated*
unix password sync = Yes
syslog = 0
log file = /var/log/samba/log.%m
max log size = 1000
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
add user script = /usr/sbin/smbldap-useradd -m %u
delete user script = /usr/sbin/smbldap-userdel %u
add group script = /usr/sbin/smbldap-groupadd -p %g
delete group script = /usr/sbin/smbldap-groupdel %g
add user to group script = /usr/sbin/smbldap-groupmod -m %u %g
delete user from group script = /usr/sbin/smbldap-groupmod -x %u %g
set primary group script = /usr/sbin/smbldap-usermod -g %g %u
add machine script = /usr/sbin/smbldap-useradd -w %u
logon script = logon.bat
logon path = \\%N\profiles\%U
logon drive = U:
domain logons = Yes
os level = 65
preferred master = Yes
domain master = Yes
dns proxy = No
wins support = Yes
ldap admin dn = cn=admin,dc=sask
ldap delete dn = Yes
ldap group suffix = ou=group
ldap idmap suffix = ou=idmap
ldap machine suffix = ou=computer
ldap suffix = dc=sask
ldap ssl = no
ldap user suffix = ou=people
panic action = /usr/share/samba/panic-action %d
map acl inherit = Yes
case sensitive = No
hide unreadable = Yes
map hidden = Yes
map system = Yes

[homes]
comment = Home Directories
valid users = %S
read only = No
create mask = 0711
directory mask = 0700
browseable = No

[printers]
comment = All Printers
path = /var/spool/samba
create mask = 0711
printable = Yes
browseable = No

[print$]
comment = Printer Drivers
create mask = 0711
path = /var/lib/samba/printers

[netlogon]
path = /var/lib/samba/netlogon
create mask = 0711
browseable = No

[profiles]
path = /var/lib/samba/profiles
force user = %U
read only = No
create mask = 0711
directory mask = 0700
guest ok = Yes
profile acls = Yes
browseable = No
csc policy = disable

[public]
path = /tmp
read only = No
create mask = 0711
guest ok = Yes

[adat1]
path = /adat1
create mask = 0711

[adat2]
path = /adat2
create mask = 0711

[adat3]
path = /adat3
create mask = 0711

[adat4]
path = /adat4
create mask = 0711
  • Adat1..4 ig egyedi teszt megosztások, nyugodtan elhagyhatjuk őket.
  • A http://SERVER_IP_CIM:901 cimen érjük el a SWAT felületet ahol a samba beállításait tudjuk módosítani. Ha a swat csomag telepítése után nem tettük még meg indítsuk újra az Inetd démont (ha nem jön be SWAT felület):
#/etc/init.d/openbsd-inetd restart
  • Tudatnunk kell a sambaval hogy milyen rootpwd vel tud belépni az LDAP serverre (jelszo nincs samba configban) :
# smbpasswd -w VALTOZTASS_MEG
  • A samba roaming profile működéshez néhány könyvtárat létre kell hozni a megfelelő jogosultságokkal :
# mkdir -p /var/lib/samba/netlogon /var/lib/samba/profiles
# chown -Rf root:root /var/lib/samba/netlogon /var/lib/samba/profiles
# chmod 1777 /var/lib/samba/profiles
  • A netlogon könyvtárba a felhasználók neveivel létrehozott könyvtárakba tehetjük az adott felhasználó belépésekor végrehajtandó login scriptet. Fontos hogy ezen scriptek windows-os sorvége karaktereket tartalmazzon, nem pedig LINUX oskat, mert ezeket a windows fogja végrehajtani. Vagy windowson irjuk meg a scripteket és másoljuk a megosztásokon keresztül a helyükre, vagy linuxon írjuk meg és azután a todos parancssal konvertáljuk a sorvége karaktereket windowzosra.
  • A logon.bat valami ilyesmi lehet például :
net time \\saskPDC /set /yes^
net use w: /home^
net use i: \\saskPDC\adat1^
net use j: \\saskPDC\adat2^
net use k: \\saskPDC\adat3^
Az első parancs a kliens idejét szinkronizálja a server idővel. A továbbiak pedig egy-egy megosztást csatolnak fel a kliensre. Itt csatolhatunk fel nyomtatókat is.Ide tetszés szerinti batch fájlban futtatható paracsonat írhatunk.
  • Samba configurációnk helyességét a következő paranccsal tudjuk ellenőrizni :
# testparm
  • Indítsuk újra a samba-t
# /etc/init.d/samba restart

SmbLdap Tools beállítása

  • Az smbldap-tools-t fogjuk használni a felhasználók és csoportok Ldap adatbázishoz adásához. Mivel ezzel a sambanak megfelelő formában/sémában jönnek létre az Ldap objektumok.
  • Először másoljunk egy default konfigot :
# zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf
# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf
  • Szükségünk lesz a SAMBA SID-jére, kérjük le az alábbi paranccsal :
# net getlocalsid
  • Majd a szükséges módosításokat végezzük el a saját beállításainknak megfelelően az /etc/smbldap-tools/smbldap.conf fájlban :

( módosítanunk kell a SID, sambaDomain,suffix,computersdn,groupsdn,idmapdn,userSmbHome,userProfile - utóbbi 2 miatt a smb.conf ból fogja venni ezen értékeket a samba.)

SID="S-1-5-21-3845877744-1762469679-394366858"

sambaDomain="SASK"

slaveLDAP="127.0.0.1"

slavePort="389"

masterLDAP="127.0.0.1"

masterPort="389"

ldapTLS="0"

verify="require"

cafile="/etc/smbldap-tools/ca.pem"
clientcert="/etc/smbldap-tools/smbldap-tools.pem"

clientkey="/etc/smbldap-tools/smbldap-tools.key"

suffix="dc=sask"

usersdn="ou=people,${suffix}"
computersdn="ou=computer,${suffix}"

groupsdn="ou=group,${suffix}"

idmapdn="ou=idmap,${suffix}"

sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"

scope="sub"
hash_encrypt="MD5"

crypt_salt_format="%s"

userLoginShell="/bin/bash"

userHome="/home/%U"

userHomeDirectoryMode="700"

userGecos="System User"

defaultUserGid="513"

defaultComputerGid="515"

skeletonDir="/etc/skel"

defaultMaxPasswordAge="365"

userSmbHome=""

userProfile=""

userHomeDrive="H:"

userScript="logon.bat"

mailDomain="sask.hu"

with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"

with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"
  • Bekell állítanunk még a /etc/smbldap-tools/smbldap_bind.conf fájlban a jelszavakat :
slaveDN="cn=admin,dc=sask"
slavePw="VALTOZTASS_MEG"
masterDN="cn=admin,dc=sask"
masterPw="VALTOZTASS_MEG"
  • Adjunk megfelelő jogokat a fenti fájloknak :
# chmod 0644 /etc/smbldap-tools/smbldap.conf
# chmod 0600 /etc/smbldap-tools/smbldap_bind.conf
  • Majd készítsük el a tool segítségével a megfelelő Ldap struktúrát :
# smbldap-populate
  • Készítsünk egy mentést :
# slapcat > ~/smbldap.ldif

LDAP és PAM/NSS beállítása

  • Itt meg kell jegyeznem, hogy szerintem az NSS azon része amely a hostneveket LDAP ből oldaná fel nem működik a dolognak teljesen, ugyanis az nsswitch.conf-t nem a fent emlitet howto szerint allitottam be - mert enélkül sehogysem működött a névfeloldás, nem tudom mi volt a hiba...
  • Először az libnss-ldap ot kell konfigurálni :
    • LDAP server Uniform Resource Identifier: ldap://127.0.0.1
    • Distinguished name of the search base: dc=sask
    • LDAP version to use: 3
    • Does the LDAP database require login? No
    • Special LDAP privileges for root? Yes
    • Make the configuration file readable/writeable by its owner only? Yes
    • LDAP account for root: cn=admin,dc=sask
    • LDAP root account password: VALTOZTASS_MEG
  • Frissítsük az /etc/nsswitch.conf fájlt :
passwd: compat ldap
group:  compat ldap
shadow: compat ldap
hosts: files dns ldap


  • A legutolsó sorban van az amit említettem, ide én nem azt irtam amit a fent emlitett howto javasol, mert úgy nem működött a névfeloldás, FIXME. Viszont más howto szerint jó az amit en írtam : http://wiki.debian.org/LDAP/NSS
  • Az /etc/ldap/ldap.conf fájlba módosítsuk a következőket :
host localhost
base dc=sask
binddn cn=admin,dc=sask
bindpw be
bind_policy soft
pam_password exop
timelimit 15


  • Az /etc/libnss-ldap.conf fájlba módosítsuk a következőket :
bind_policy soft
pam_password md5


  • Ellenőrizzük a /etc/libnss-ldap.secret fájlt (Ebben az ldap rootpwd nek kell lennie)
# cat /etc/libnss-ldap.secret


  • A libpam-ldap ot a dpkg-reconfigure libpam-ldap al konfiguráljuk :
    • LDAP server Uniform Resource Identifier: ldap://127.0.0.1
    • Distinguished name of the search base: dc=sask
    • LDAP version to use: 3
    • Make local root Database admin. Yes
    • Does the LDAP database require login? No
    • LDAP account for root: cn=admin,dc=sask
    • LDAP root account password: VALTOZTASS_MEG
    • Local crypt to use when changing passwords. MD5
  • Módosítsuk az /etc/pam_ldap.conf fájlt :
host 127.0.0.1
bind_policy soft
pam_password md5
  • Ellenőrizzük a /etc/pam_ldap.secret fájt (Ebben az ldap rootpwd nek kell lennie)
# cat /etc/pam_ldap.secret


  • A ket secret fájlnak természetesen 700 root:root jogosultságúnak kell lennie.

PAM beállítása

  • Ezekután a PAM configurációt kell kicsit módosítani, itt is eltértem picit a fenti howto ban megadottól, jóval egyszerűbb beállítást alkalmaztam.
Az említett howto írja, hogy PAM-1.0.1-6 verziótól nem kell külön-külön szerkeszteni a PAM config fájlokat, hanem /usr/share/pam-configs/ldap fájlban egyhelyen megtehető minden. Akinek ilyen verziójú PAM ja van az olvassa el a megfelelő részt a hivatkozott Howto ban.
Viszont jelenleg lenny ben ennél kisebb verziójú PAM van, tehát a következőket kell tenni :
  • /etc/pam.d/common-account
account sufficient pam_ldap.so
account required pam_unix.so try_first_pass


  • /etc/pam.d/common-auth
auth sufficient pam_ldap.so
auth required pam_unix.so nullok_secure try_first_pass</nowiki>


  • /etc/pam.d/common-password
password sufficient pam_ldap.so
password required pam_unix.so nullok obscure min=4 max=8 md5 try_first_pass
  • /etc/pam.d/common-session
session required pam_unix.so
session optional pam_mkhomedir.so skel=/etc/skel/ umask=0077

Rendszer adminisztrációja

Felhasználók/csoportok kezelése

  • Induláskor az udev keresni fog pár csoportot/usert, amelyeket nemfog találni, és panaszkodik erősen ezert ezeket vegyük fel (de NE az LDAP ba)
# addgroup --system nvram
# addgroup --system rdma
# addgroup --system fuse
# addgroup --system kvm
# addgroup --system scanner
# adduser --system --group --shell /usr/sbin/nologin --home /var/lib/tpm tss
  • Viszont fontos hogy a többi csoportot/felhasználót NE a korábban megszokott adduser/useradd/addgroup/groupadd parancsokkal vigyük fel, hanem az smbldap-tools megfelelő parancsaival (mivel ezek a megfelelő séma szerinti LDAP bejegyzésekkel rögzítik azokat.
  • Tehát az smbldap-tools parancsaival tudunk felvinni a felhasználókat, amelyekkel nem csak a sambaba, de a linux serverre is be tudunk lépni (ha minden klappol)
  • Új samba felhasználó felvitele :
# smbldap-useradd -a felhasznalonev
  • Új samba felhasználó jelszavának beállítása :
# smbldap-passwd felhasznalonev
  • Új samba csoport felvitele :
# smbldap-groupadd -a csoportnev
  • Felhasználó csoporthoz adása:
# smbldap-groupmod -m felhasznlonev csoportnev
  • Ezek után a felvitt felhasználókkal be tudunk lépni a rendszerbe. Az alábbi paranccsal tudjuk ellenőrizni, hogy a rendszer az LDAP adatbázisból is authentikál :
# getent passwd
# getent group

Kliensek csatlakoztatása

  • A windows kliensen domainbe léptetését nem nagyon részletezném, alap esetben nagyon egyszerű pl. XP prof esetén :
    • Sajátgép Tulajdonságok, Számítógépnév fül, Módosítás, Munkacsoport -> samba confban megadott domain név.
    • Ezek után egy az LDAP Domain Admins csoportban lévő felhasználót kell megadnunk (alapból pl. root)
  • Xp Home-t nincs lehetőség sajnos Domainbe léptetni, viszont attól még hogy van a hálózaton ilyen windows csinálhatunk Samba domain controllert, csak az XP HOME gépen a hálózati meghajtók csatlakoztatását kliensre másolt loggin scriptekkel kell végezni.

Megosztott könyvtárak jogosultság szabályozása

  • Lenny ben lévő samba verzióval tudomásom szerint csak a Posix ACL jogosultságok szintjéig lehet a kiajánlott felhasználói jogokat szabályozni, ezeket a setfacl és getfacl parancsokkal tudjuk a kiajánlott könyvtárakon beállítani linux alatt :
(Természetesen ha nincs szükségünk ACL szintű jogosultság kezelésre, akkor használhatjuk az alap linux jogosultság kezelő parancsokat : chown, chmod )
  • pl.:
  • adat1 könyvtárra adunk rwx jogot bela felhasználónak.
# setfacl -m u:rwx:bela /adat1
  • adat1 könyvtárra adunk rwx default jogot bela felhasználónak. (azaz ha valamilyen fájlt készítenek adat1 könyvtárban akkor ahhoz automatikusan kap jogot bela)
# setfacl -d -m u:rwx:bela /adat1
  • adat1 könyvtarra (és minden alkönyvtárára/fájlra rekurzívan) adunk r jogot okos csoportnak.
# setfacl -m g:r--:okos -R /adat1
  • adat1 könyvtárra (és minden alkönyvtárára/fájlra rekurzívan) adunk r default jogot okos csoportnak. (azaz ha valamilyen fájlt készítenek adat1 könyvtárban akkor ahhoz automatikusan kap jogot okos csoport minden tagja)
# setfacl -d -m g:r--:okos -R /adat1

Egyéb adminisztrációt segítő eszközök

  • Windows kliensen szabvány windows beépített programokkal van lehetőségünk a kiajánlott meghajtókon jogosultságokat állítani, de csak olyan gépen amely be van léptetve a domainbe (XP HOME on NEM) Listázhatjuk a sambaban lévő csoportokat és felhasználókat egyaránt, hozzáadhatunk és törölhetünk jogosultságokat a könyvtárakról.
Pl.:
  • Intézőben adott könyvtáron jobb egérombos, tulajdonságok menüpont, biztonság fül, Hozzáadás, Speciális, Keresés most, ott válasszuk ki a kívánt csoportot felhasználót és adjuk meg a kívánt jogosultságot.
  • DE sajnos linuxon csak a tulajdonos és root user tudja egy könyvtár/fájl jogosultságát szerkeszteni, ezt samban keresztül sem tudjuk kikerülni (a jelenlegi lenny ben lévő samba verzióval - frisebb samba verziókban vannak erre különféle megoldások állítólag)
  • Tehát ha windowson keresztül akarunk jogosultságokat osztani könyvtárakon, akkor root al lépjünk be a domainbe a win kliensen, akkor minden jogot tudunk szerkeszteni.
  • A csoportok és felhasználók kezelésére én a linux oldali smbldap-tools ajánlom, van ugyan egy SRVMGR (Server Manager),USRMGR (User Manager) menedszment program amely az SRVTOOLS csomagban elérhető
http://support.microsoft.com/kb/173673
De ezzel nekem voltak olyan rossz tapasztalataim, hogy ha egy felhasználó több csoport tagja volt, es a USRMGR programmal próbáltam módosítani a csoport tagságokat akkor egy csoport kivételével minden más csoportot törölt a felhasználótól, szóval nem az igazi...
  • Valamint adott a PhpLdapAdmin felület, de ott meg egyik sablon segítségével sem tudtam olyan sémájú felhasználót felvinni amelyet az smbldap-useradd készített, így nemtudom hogy az megfelelő-e. Valamint a lenny ben lévő phpLdapAdmin ban pl. Firefox 3.5 alatt az új felhasználó felvitele egyáltalán nem működött nekem (IE vel simán ment...)

Egyéb megjegyzések

Local admin

  • A windows kliensen ha Domain Admins csoportban lévő felhasználóval lépünk be, akkor elvileg a local gépen is admin csoportba kell kerülnünk (így tudunk felhasználókat módosítani/felvenni stb) de ha ez mégsem így lenne (nekem egyszer sikerült) akkor manuálisan is hozzáadhatjuk a falhasználót a local admins (Rendszergazdák) csoporthoz. Fontos hogy ezt csak local admin jogokkal redelkező felhasználóval tudjuk, tehát ha az aktuálisan felhasználónk nem az (valamiért) akkor lépjünk be olyan felhasználóval a windows kliensre amelyik az (pl. lépjünk ki domainből és régi felhasználónév)
  • Win kliensen (parancssorba) legalább local admin jogú felhasználóval !
# net localgroup Rendszergazdák /add domain_nev\root
# net localgroup - ezzel listázza a létező csoportokat (KLIENSEN !)
# net localgroup Rendszergazdák - ezzel listázza a csoportban lévő usereket (KLIENSEN !)

CTRL-ALT-DEL login előtt

Win kliens amikor beléptetjük domainbe, automatikusan bekapcsolja azt, hogy bejelentkezés előtt a CTRL-ALT-DEL billentyűt meg kell nyomnunk, ezt ki tudjuk kapcsolni (parancssorba)

# control userpasswords2 , Speciális fül : "Ctrl-Alt-Del billentyűk kötelező megnyomása bejelentkezéskor" pipa
Személyes eszközök