ubuntu. Pokušaj 4 za ulazak u domen

Dovoljno je ukloniti “[NOTFOUND=return]”. Međutim, i dalje nećemo koristiti zeroconf. Takođe, treba dodati i rešavanje imena putem WINS-a. Stoga ćemo ovu liniju transformisati u nešto slično:

hosts: files dns wins mdns4_minimal mdns4

Postavke za WINS biće dalje, u fajlu /etc/samba/smb.conf.

Konfigurišemo sinhronizaciju vremena sa kontrolerom domena.

Uređujemo /etc/default/ntpdate i postavljamo sledeće vrednosti

NTPSERVERS="dc.mydomain.local" # откуда брать время, на контроллере домена по умолчанию имеестя NTP-сервер
NTPDATE_USE_NTP_CONF=no

Konfigurišemo pristup putem SSH-a.

Biće potrebno instalirati openssh-server. (Pre instalacije paketa, korisno je podesiti Ubuntu na keširanje repozitorijuma, kako je opisano u članku) Standardni konfiguracioni fajl nam trenutno sasvim odgovara. (Kasnije, verovatno, treba ponovo podesiti korišćenje ključa ili sertifikata, ili ga vezati za AD)

Instaliramo samba i winbind.

Nakon instalacije, ova dva servisa se automatski dodaju u autostart.

U fajlu /etc/samba/smb.conf brišemo sve i pišemo ovo

[global]
	log file = /var/log/samba/log.%m
	max log size = 50
	hosts allow = 192.168. # подсети, которые разрешаются к использованию
	socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
	wins server = 192.168.3.200 # тут айпишник вашего сервера WINS (у меня то же, что и dc.mydomain.local, но айпишник предпочтительней)
	unix charset = UTF8
	dos charset = cp866

	workgroup = MYDOMAIN
	security = ADS
	realm = MYDOMAIN.LOCAL
	password server = dc.mydomain.local
	encrypt passwords = yes
	pam password change = yes
	# netbios name = firstubuntu
	auth methods = winbind guest
	lanman auth = no
	client lanman auth = no
	client ntlmv2 auth = yes
	min protocol = NT1
	auth methods = winbind
	server string = %h server (Samba, Ubuntu)
	preferred master = no
	dns proxy = no
	panic action = /usr/share/samba/panic-action %d
	name resolve order = lmhosts host wins bcast

        idmap backend = rid:MYDOMAIN.LOCAL=10000-19999
;	idmap domains = MYDOMAIN.LOCAL
;	idmap config MYDOMAIN.LOCAL:backend = rid
;	idmap config MYDOMAIN.LOCAL:range = 10000-19999
	idmap uid = 10000-19999
	idmap gid = 10000-19999
	winbind use default domain = yes
;	winbind nested groups = yes
	winbind refresh tickets = yes
	winbind enum groups = yes
	winbind enum users = yes
	template shell = /bin/bash
;	template homedir = /home/%D/%U

	usershare path = /var/lib/samba/usershares/
	usershare max shares = 100
	usershare allow guests = yes
	usershare owner only = yes

[printers]
	comment = All Printers
	browseable = no
	path = /var/spool/samba
	printable = yes
;	guest ok = no
;	read only = yes
	create mask = 0700

[print$]
	comment = Printer Drivers
	path = /var/lib/samba/printers
;	browseable = yes
;	read only = yes
;	guest ok = no
;   write list = root, @ntadmin

Uvodimo računar u domen.

net ads join -U Administrator

Nakon unosa komande, biće zatražena lozinka. Biće potrebna nalog sa dozvolom za dodavanje računara u domen, na primer nalog administratora domena MYDOMAIN\Administrator. Restartujemo winbind i samba

/etc/init.d/winbind restart
/etc/init.d/samba restart

Ponovo konfigurišemo /etc/nsswitch.conf

nsswitch.conf, između ostalog, definiše izvore informacija o korisničkim nalozima. Sada će se nalazi nalaziti na kontroleru domena, a izvor informacija o njima biće winbind. Uređujemo

passwd:         files winbind
group:          files winbind
shadow:         files winbind

Ostale linije ostavljamo nepromenjene. Sada, radi provere da li se naš winbind povezao sa kontrolerom domena i da li funkcioniše ispravno, pokrećemo

getent passwd

U rezultatu treba da vidimo naše lokalne naloge i dugi spisak naših domenskih naloga. Ako ih ne vidite, tražite grešku u prethodnim koracima.

Konfiguracija PAM-a.

Budite oprezni prilikom uređivanja PAM konfiguracije - postoji mogućnost da izgubite mogućnost prijavljivanja. Preporučuje se da tokom uređivanja ovih fajlova imate otvorene par terminala sa prijavljenim root korisnikom, za svaki slučaj.

Izmenjujemo /etc/pam.d/common-auth

auth        required      pam_env.so
auth        sufficient    pam_unix.so likeauth nullok try_first_pass
auth        sufficient    pam_winbind.so use_first_pass krb5_auth krb5_ccache_type=FILE
auth        required      pam_deny.so

Izmenjujemo /etc/pam.d/common-account

account     sufficient    pam_winbind.so
account     required      pam_unix.so

Izmenjujemo /etc/pam.d/common-session

session     optional      pam_mkhomedir.so skel=/etc/skel/ umask=0077
session     optional      pam_ck_connector.so nox11
session     required      pam_limits.so
session     required      pam_env.so
session     required      pam_unix.so

Moguće je da će u novijim distribucijama biti potrebno komentarisati pam_ck_connector zbog promena u consolekit-u. Kod mene je na sveže ažuriranoj Gentoo distribuciji zbog njega prestalo automatsko montiranje. Izgleda da se u novijim verzijama Gnome-a sesija u consolekit-u kreira sopstvenim sredstvima.

Izmenjujemo /etc/pam.d/common-password

## password    required      pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3
password    sufficient    pam_unix.so try_first_pass use_authtok nullok sha512 shadow
## password    sufficient    pam_winbind.so use_authtok
password    sufficient    pam_winbind.so
password    required      pam_deny.so

S ovakvom konfiguracijom, prilikom autentifikacije, Ubuntu će prvo pokušati da se obrati kontroleru domena putem winbind-a, a zatim će pokušati da koristi lokalne naloge. Od sada ćemo moći da se autentifikujemo pod domenskim nalogom prilikom ulaska u sistem. Prilikom toga će se kreirati kućni direktorijum, a tokom sesije biće sačuvan Kerberos tiket koji nam daje pristup mrežnim resursima.

U konzoli ćemo proveriti da li smo uspeli, promenom trenutnog korisnika u domenskog

su IvanovSV

Ako ništa nije uspelo, tražite greške u prethodnim koracima. Ako jeste, možete restartovati sistem i prijaviti se u Gnome direktno pod svojim domenskim nalogom.

Da biste dodali domenski nalog u lokalnu grupu (na primer audio), uredite fajl /etc/groups i dodajte na kraj linije ime naloga pored željene grupe.

Redosled pokretanja winbind-a.

Zbog toga što se winbind servis podrazumevano pokreće pre nego što se omogući mrežna konekcija, prve pokušaje winbind-a da se poveže sa kontrolerom domena ne uspevaju, a winbind čeka dugo pre sledećeg pokušaja. Zbog toga korisnik ne može odmah da se prijavi, već tek nakon što sačeka nekoliko minuta. Ispravljamo ovo - premeštamo pokretanje winbind-a na sam kraj procesa bootovanja. Za to ćemo preimenovati simboličke linkove oblika /etc/rcX.d/S20winbind u S99winbind, gde je X broj run-level-a. Na primer ovako

 for i in `seq 2 5`; do mv /etc/rc$i.d/S20winbind /etc/rc$i.d/S99winbind; done;