Es genügt, "[NOTFOUND=return]" zu entfernen. Wir werden zeroconf jedoch trotzdem nicht verwenden. Außerdem sollte die Namensauflösung über WINS hinzugefügt werden. Daher wandeln wir diese Zeile in etwas Ähnliches um:
hosts: files dns wins mdns4_minimal mdns4
Die Einstellungen für WINS finden Sie weiter unten in der Datei /etc/samba/smb.conf.
Zeit-Synchronisation mit dem Domänencontroller einrichten.
Bearbeiten Sie /etc/default/ntpdate und legen Sie die folgenden Werte fest
NTPSERVERS="dc.mydomain.local" # откуда брать время, на контроллере домена по умолчанию имеестя NTP-сервер NTPDATE_USE_NTP_CONF=no
SSH-Zugang einrichten.
Es muss openssh-server installiert werden. (Vor der Installation der Pakete ist es hilfreich, Ubuntu für das Repository-Caching einzurichten, wie in diesem Artikel beschrieben.) Die Standard-Konfigurationsdatei reicht uns vorerst aus. (Später sollte man wahrscheinlich die Nutzung eines Schlüssels oder Zertifikats einrichten oder eine Bindung an AD vornehmen.)
Samba und Winbind installieren.
Nach der Installation werden diese beiden Dienste automatisch zum Autostart hinzugefügt.
In der Datei /etc/samba/smb.conf löschen Sie alles und schreiben Folgendes hinein
[global]
log file = /var/log/samba/log.%m
max log size = 50
hosts allow = 192.168. # подсети, которые разрешаются к использованию
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
wins server = 192.168.3.200 # тут айпишник вашего сервера WINS (у меня то же, что и dc.mydomain.local, но айпишник предпочтительней)
unix charset = UTF8
dos charset = cp866
workgroup = MYDOMAIN
security = ADS
realm = MYDOMAIN.LOCAL
password server = dc.mydomain.local
encrypt passwords = yes
pam password change = yes
# netbios name = firstubuntu
auth methods = winbind guest
lanman auth = no
client lanman auth = no
client ntlmv2 auth = yes
min protocol = NT1
auth methods = winbind
server string = %h server (Samba, Ubuntu)
preferred master = no
dns proxy = no
panic action = /usr/share/samba/panic-action %d
name resolve order = lmhosts host wins bcast
idmap backend = rid:MYDOMAIN.LOCAL=10000-19999
; idmap domains = MYDOMAIN.LOCAL
; idmap config MYDOMAIN.LOCAL:backend = rid
; idmap config MYDOMAIN.LOCAL:range = 10000-19999
idmap uid = 10000-19999
idmap gid = 10000-19999
winbind use default domain = yes
; winbind nested groups = yes
winbind refresh tickets = yes
winbind enum groups = yes
winbind enum users = yes
template shell = /bin/bash
; template homedir = /home/%D/%U
usershare path = /var/lib/samba/usershares/
usershare max shares = 100
usershare allow guests = yes
usershare owner only = yes
[printers]
comment = All Printers
browseable = no
path = /var/spool/samba
printable = yes
; guest ok = no
; read only = yes
create mask = 0700
[print$]
comment = Printer Drivers
path = /var/lib/samba/printers
; browseable = yes
; read only = yes
; guest ok = no
; write list = root, @ntadmin
Computer der Domäne hinzufügen.
net ads join -U Administrator
Nach der Eingabe des Befehls wird ein Passwort abgefragt. Es wird ein Benutzerkonto mit dem Recht zum Hinzufügen von Computern zur Domäne benötigt, beispielsweise das Konto des Domänenadministrators MYDOMAIN\Administrator. Starten Sie winbind und samba neu.
/etc/init.d/winbind restart /etc/init.d/samba restart
/etc/nsswitch.conf erneut konfigurieren
nsswitch.conf legt unter anderem die Quellen für Benutzerkontoinformationen fest. Die Benutzerkonten werden nun auf dem Domänencontroller gespeichert, und als Informationsquelle dient winbind. Wir bearbeiten
passwd: files winbind group: files winbind shadow: files winbind
Die übrigen Zeilen lassen wir unverändert. Um nun zu überprüfen, ob winbind eine Verbindung zum Domänencontroller hergestellt hat und ordnungsgemäß funktioniert, führen wir
getent passwd
aus. Wir sollten dabei unsere lokalen Konten und eine lange Liste unserer Domänenkonten sehen. Falls dies nicht der Fall ist, suchen Sie die Fehler in den vorherigen Schritten.
PAM konfigurieren.
Seien Sie beim Bearbeiten der PAM-Konfiguration vorsichtig, da die Gefahr besteht, sich selbst von der Anmeldung auszuschließen. Es wird empfohlen, während der Bearbeitung dieser Dateien zur Sicherheit ein paar Terminals mit einem angemeldeten Root-Benutzer offen zu halten.
Bearbeiten Sie /etc/pam.d/common-auth
auth required pam_env.so auth sufficient pam_unix.so likeauth nullok try_first_pass auth sufficient pam_winbind.so use_first_pass krb5_auth krb5_ccache_type=FILE auth required pam_deny.so
Bearbeiten Sie /etc/pam.d/common-account
account sufficient pam_winbind.so account required pam_unix.so
Bearbeiten Sie /etc/pam.d/common-session
session optional pam_mkhomedir.so skel=/etc/skel/ umask=0077 session optional pam_ck_connector.so nox11 session required pam_limits.so session required pam_env.so session required pam_unix.so
Bei neueren Distributionen kann es erforderlich sein, pam_ck_connector aufgrund von Änderungen in ConsoleKit auszukommentieren. Bei meinem frisch aktualisierten Gentoo führte dies dazu, dass die automatische Einbindung von Datenträgern nicht mehr funktionierte. Es scheint, dass in neueren GNOME-Versionen die Sitzung in ConsoleKit mit eigenen Mitteln erstellt wird.
Bearbeiten Sie /etc/pam.d/common-password
## password required pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3 password sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadow ## password sufficient pam_winbind.so use_authtok password sufficient pam_winbind.so password required pam_deny.so
Mit dieser Konfiguration versucht Ubuntu bei der Authentifizierung zunächst, sich über winbind beim Domänencontroller anzumelden, und versucht anschließend, lokale Benutzerkonten zu verwenden. Von nun an können wir uns beim Systemstart mit einem Domänenkonto anmelden. Dabei wird das Home-Verzeichnis erstellt und während der Sitzung ein Kerberos-Ticket gespeichert, das uns den Zugriff auf Netzwerkressourcen ermöglicht.
In der Konsole überprüfen wir den Erfolg, indem wir den aktuellen Benutzer auf einen Domänenbenutzer wechseln
su IvanovSV
Falls nichts funktioniert hat, suchen Sie die Fehler in den vorherigen Schritten. Falls es geklappt hat, können Sie neu starten und sich direkt in GNOME mit Ihrem Domänenbenutzerkonto anmelden.
Um ein Domänenkonto einer lokalen Gruppe (z. B. audio) hinzuzufügen, bearbeiten Sie die Datei /etc/groups und fügen Sie am Ende der Zeile der entsprechenden Gruppe den Namen des Kontos hinzu.
Startreihenfolge von winbind.
Da der winbind-Dienst standardmäßig startet, bevor das Netzwerk konfiguriert ist, schlagen die ersten Versuche von winbind fehl, eine Verbindung zum Domänencontroller herzustellen, und winbind wartet eine lange Zeit, bevor es den nächsten Versuch unternimmt. Daher kann sich der Benutzer nicht sofort anmelden, sondern muss mehrere Minuten warten. Wir beheben dies, indem wir den Start von winbind ans Ende des Bootvorgangs verschieben. Dazu benennen wir die symbolischen Links im Format /etc/rcX.d/S20winbind in S99winbind um, wobei X die Runlevel-Nummer ist. Zum Beispiel so
for i in `seq 2 5`; do mv /etc/rc$i.d/S20winbind /etc/rc$i.d/S99winbind; done;