server samba come PDC e client linux

[xalex]

ciao a tutti

ho creato o meglio sto creando un PDC usando samba per una rete mista windows e Linux, tutto pare funzionare perfettamente sul lato windows, mentre sul lato Linux ho un po di problemi in particolare non capisco come fare il login degli utenti, mi spiego meglio, preparo il client con tutte le configurazioni di samba poi lancio il comando

sudo net join NOME_DOMINIO -U root

dopo le varie password
esce
joined domain NOME_DOMINIO
ok doveri aver messo il client nel domnio e adesso ???? come faccio il login con gli utenti che sono sul server ???

[jventure]

http://www.jventure.netsons.org/tesi/cap8/index.htm

ti linko la mia tesi, guarda al paragrafo 5 "Integrazione di Samba e Kerberos per il login degli utenti"

la tesi verte sull'integrazione AD windows - client linux ma l'ultimo passo va bene anche nel tuo caso.

semplicemnte devi "unire" i gruppi e gli utenti del dominio con gli utenti locali e configurare pam e nsswitch per usare winbind

[xalex]

ho seguito la tua guida ma ce ancora qualcosa che non va....
questo è l'smb.conf del client

[global]
workgroup = FRECCIA
netbios name = FRCPDCSRV
security = domain
username map = /etc/samba/smbusers
pam password change = yes
encrypt passwords = yes
password server = 192.168.0.45

prefered master = no
domain master = no

winbind separator = +
idmap uid = 10000-20000
idmap gid = 10000-20000
winbind use default domain = yes
winbind enum users = yes
winbind enum groups = yes

template shell = /bin/bash
template homedir = /home/%U

poi faccio il join nel dominio con

alessandro@freccia04:~$ sudo net join FRECCIA -U root
Password:
Joined domain FRECCIA.
alessandro@freccia04:~$


adesso dovrei dare wbinfo -u e wbinfo -g ma entrabi mi ripotano il seguente errore

alessandro@freccia04:~$ sudo wbinfo -u
Error looking up domain users


dové che sbaglio ???? nel smb del clietn ???

[jventure]

ad occhio nel file smb.conf ti manca il realm

curiosità il tuo dominio è del tipo "solonome" oppure "nome.cognome" ??

poi quando fai il join devi dire a cosa lo fai net ads join e net rpc join

se il tuo problema è l'autenticazione linux-linux puoi sempre optare per i servizi nis+nfs

[xalex]

aggiornamento

allora sono riuscito a prelevare la lista utenti e gruppi dal server con wbinfo -u e sudo wbinfo -g
poi lancio getent passwd e getent group tutto ok pare !!
poi modifico il file nssswitch , login e gdm ma ancora non riesco a fare il login mi dice sempre che l'utente o la password sono sbagliati.

a questo punto penso che sbaglio a modificare questi ultimi files

[jventure]

prova a postare il file /etc/nsswitch.conf e il file /etc/pam/login

non vorrei che ti servisse anche kerberos ... ma in teoria no

[xalex]

questo e login

#
# The PAM configuration file for the Shadow `login' service
#
auth sufficient pam_winbind.so
# Outputs an issue file prior to each login prompt (Replaces the
# ISSUE_FILE option from login.defs). Uncomment for use
# auth required pam_issue.so issue=/etc/issue

# Disallows root logins except on tty's listed in /etc/securetty
# (Replaces the `CONSOLE' setting from login.defs)
auth requisite pam_securetty.so

# Disallows other than root logins when /etc/nologin exists
# (Replaces the `NOLOGINS_FILE' option from login.defs)
auth requisite pam_nologin.so

# This module parses environment configuration file(s)
# and also allows you to use an extended config
# file /etc/security/pam_env.conf.
#
# parsing /etc/environment needs "readenv=1"
session required pam_env.so readenv=1
# locale variables are also kept into /etc/default/locale in etch
# reading this file *in addition to /etc/environment* does not hurt
session required pam_env.so readenv=1 envfile=/etc/default/locale

# Standard Un*x authentication.
@include common-auth

# This allows certain extra groups to be granted to a user
# based on things like time of day, tty, service, and user.
# Please edit /etc/security/group.conf to fit your needs
# (Replaces the `CONSOLE_GROUPS' option in login.defs)
auth optional pam_group.so

# Uncomment and edit /etc/security/time.conf if you need to set
# time restrainst on logins.
# (Replaces the `PORTTIME_CHECKS_ENAB' option from login.defs
# as well as /etc/porttime)
# account requisite pam_time.so

account sufficient pam_winbind.so
account required pam_unix.so

# Uncomment and edit /etc/security/access.conf if you need to
# set access limits.
# (Replaces /etc/login.access file)
# account required pam_access.so
password sufficient pam_smbpsw.so nullok
password sufficient pam_winbind.so nullok
password required pam_pwcheck.so nullok
password required pam_unix.so nullok use_first_pass
# Sets up user limits according to /etc/security/limits.conf
# (Replaces the use of /etc/limits in old login)
session required pam_limits.so

# Prints the last login info upon succesful login
# (Replaces the `LASTLOG_ENAB' option from login.defs)
session optional pam_lastlog.so

# Prints the motd upon succesful login
# (Replaces the `MOTD_FILE' option in login.defs)
session optional pam_motd.so

# Prints the status of the user's mailbox upon succesful login
# (Replaces the `MAIL_CHECK_ENAB' option from login.defs).
#
# This also defines the MAIL environment variable
# However, userdel also needs MAIL_DIR and MAIL_FILE variables
# in /etc/login.defs to make sure that removing a user
# also removes the user's mail spool file.
# See comments in /etc/login.defs
session optional pam_mail.so standard

session required pam_mkhomedir.so skel=/etc/skel/ umask=0022

# SELinux needs to intervene at login time to ensure that the process
# starts in the proper default security context.
# Uncomment the following line to enable SELinux
# session required pam_selinux.so multiple


# Standard Un*x account and session
@include common-account
@include common-session
@include common-password

sicuramente è sbagliato perchè con questo non posso entrare con qualsiasi utente nemmeno quelli locali, mi chiede due volta la password poi dice che è sbagliata

poi nsswitch
# /etc/nsswitch.conf
#
# Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc-reference' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.

passwd: files winbind
group: files winbind
shadow: compat

hosts: files mdns4_minimal [NOTFOUND=return] dns mdns4
networks: files

protocols: db files
services: db files
ethers: db files
rpc: db files

netgroup: nis

ci metto anche il gdm

#%PAM-1.0
auth sufficient pam_winbind.so
auth required pam_securetty.so
auth required pam_nologin.so

account sufficient pam_winbind.so
account required pam_unix.so



auth requisite pam_nologin.so
auth required pam_env.so
@include common-auth
@include common-account


password sufficient pam_smbpsw.so nullok
password sufficient pam_winbind.so nullok
password required pam_pwcheck.so nullok
password required pam_unix.so nullok use_first_pass
session required pam_unix2.so none

session required /lib/security/pam_mkhomedir.so skel=/etc/skel/ umask=0022

session required pam_limits.so


@include common-session
@include common-password

ho fatto caso mentre cercavo i files che mi ha creato la home di un utente del dominio con cui ho provato al loggarmi penso di essere sulla buona strada forse è solo da sistemare i questi file

[jventure]

ci do' un'occhiata domani mattina .... così di colpo d'occhio direi che ti manca un:

auth sufficient unix.so in /etc/pam/login

hai provato a copiare i file che c'erano nella tesi?? ovviamente backuppando questi

[xalex]

hai provato a copiare i file che c'erano nella tesi?? ovviamente backuppando questi


si ho provato ma come loggo col mio utente e lancio qualsiasi comando amministrativo mi dice che non trova il gruppo admin e poi ovviamente non mi entrare con gli utenti samba

[xalex]

finalmente mi sono loggato il problema è che per ogni distro che da modificare altri file altre ai soliti, ho trovato un bel wiki per ubuntu che spiega come fare.

ci sono ancora delle questioni da risolvere come:

* possibilità di cambiare la password utente dal client
* caricare il profilo nel server come per i client windows
* corrispondenza dei gruppi server/client, anche se mi loggo con l'utente admin il client linux lo trova sempre users

[jventure]

* possibilità di cambiare la password utente dal client


smbpasswd


* caricare il profilo nel server come per i client windows


qui mi ero fermato anche io nel 2005 -- devi provare con samba + recente a vedere se va ... praticamente usando smbclient al login dell'utente devi montare una condivisione remota al posto della home locale e smontarla al logout.
a me non funzionava perchè smbclient non riusciva ad autenticare l'utente


* corrispondenza dei gruppi server/client, anche se mi loggo con l'utente admin il client linux lo trova sempre users

non mi son mai interessato di questo ... intitivamente tu hai importato i gruppi del server e uniti a quelli locali, ora devi dare i permessi ai gruppi localmente sui client ... un pdc samba non ha le policy come un dominio AD ...

[xalex]

sto facendo un pò di prove con smbpasswd ma non funziona di dice sempre ..

luca@freccia04:~$ smbpasswd -U luca
Old SMB password:
New SMB password:
Retype new SMB password:
machine 127.0.0.1 rejected the password change: Error was : No such user.
Failed to change password for luca
luca@freccia04:~$ smbpasswd -U FRECIA+luca
Old SMB password:
New SMB password:
Retype new SMB password:
cli_pipe_validate_current_pdu: RPC fault code DCERPC_FAULT_OP_RNG_ERROR received from remote machine 127.0.0.1 pipe \samr fnum 0x7349!
machine 127.0.0.1 rejected the password change: Error was : NT code 0x1c010002.
Failed to change password for FRECIA+luca
luca@freccia04:~$


poi per i gruppi non posso farlo localmente per il semplice fatto che gli utenti non ci sono, localmente ho solo il mio utente amministratore e basta gli altri non ci sono. Dovrei trovare un modo di mapparli come come ho fatto per i gruppi di windows

la home per adesso può aspetttare poi vedro cmq non penso sia difficile fargli montare la home remota al posto di quella locale bhhooo!! ce da capire se è possibile farlo attraverso samba o con qualche script

per adesso mi interessano le prime due che sono davvero importanti per il suo corretto funzionamento

[jventure]

per smbpassword controlla che non vada inserita qualche riga in smb.conf

per assurdo ... hai provato a cambiare la password solo con passwd gli utenti sono mappati magari funziona

il problema è che il tuo utente admin è admin per il server (fa parte del gruppo root supponiamo) nel client è mappato come nomeserver+admin
che fa parte del gruppo nomeserver+root che ovviamente non è il gruppo root del client ... ora puoi prendere l'utente nomeserver+admin
e aggiungerlo al gruppo root del client oppure prendere il gruppo nomeserver+root e dargli i privilegi che ti servono

In windows su dominio AD (quindi anche questo con samba) il gruppo amministratore di dominio è anche gruppo amministratore locale

[xalex]

paino paino mi avvicino alla soluzione di tutto per ora penso di aver risolto il problema dei gruppi ma dovrei fare delle altre prove per esserne sicuro in sostarnza ha aggiunto al passwd lo stesso utene che ho sul server poi con "usermod -G gruppo utente" l'ho messo nel gruppo admin. Al login effettivamente sono un admin adesso deve vedere se mi riconosce i diversi gruppi per la gestione delle risorse condivise.

la password ancora non che la faccia a fagliela cambiare bo

per la cartella home dopo varie ricerche ho scoperto che "bisogna" usare nfs però devi capire come fargli montare la home relativa a l'utente che si logga