Wiki GUTL

Bueno e aquí como logre configurar el samba+ldap en le Centos 5.8

Lo primero que haremos es configurar el openldap para la autentificación ahí agregaremos todo lo necesario para vincularlo con el samba téngase en cuenta que no entrare en detalles de cada parámetro de lo que es ldap de sus bases de datos y tampoco explicar cada apartado solamente me enfocare en lo necesario para que pueda trabajar el samba+ldap, cualquier duda si lo desean escríbanme…
*Toda configuración mostrada en este manual funciona a la perfección de echo mis servicio estan trabajando de esta manera.*

Equipamiento lógico requerido.

openldap-2.3.27
openldap-clients-2.3.27
openldap-servers-2.3.
authconfig-5.3.12
samba-common
samba-client
samba-3.0.
smbldap-tools-0.9.1-1

Antes que nada aclaro, soy partidiario de instalar un server en consola puramente sin ningun paquete solamente para instalar luego lo unico que necesitare para no tener paquetes instalado que no usaremos. Bien dicho lo anterior empezamos.
*Advierto que estamos trabajando sobre la distro y versión de Centos5.4-5.8 ya la versión del Centos6 cambia radicalmente la configuración del ldap pues los pasos son diferentes por completo en otro apartado explicare como configurar un openldap en Centos6.*

yum -y install openldap openldap-clients openldap-servers  authconfig  samba samba-client samba-common

Bien ya tenemos instalados los servicio que utilizaremos téngase en cuenta que no e instalado de momento el smbldap-tools este lo dejaremos para último. Ok ahora explicare lo más interesante que se debe saber.
Se requiere copiar el archivo DB_CONFIG.example dentro del directorio /var/lib/ldap/, como el archivo DB_CONFIG este fichero se encuentra alojado dentro del mismo openldap. Es decir, ejecute lo siguiente:

cp /etc/openldap/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

Creación de claves de acceso para LDAP.

Para crear la clave de acceso que se asignará en LDAP para el usuario administrador del directorio, ejecute lo siguiente:

slappasswd   (Aqui ponemos la clave que deseamos)
{SSHA}dJ0Rz3yyb7wsfan1Bt8FzumdCkPVVvV5u  (Y esto es una muestra de como seria la salida de la clave)

Guardamos esta llave generada pues la utilizaremos mas adelante.

Luego de esto editaremos el archivo /etc/openldap/slapd.conf y agregar o reemplaza el contenido del fichero para que openLDAP soporte el samba. El archivo quedaría como lo siguiente:

############################################################################ # # See slapd.conf(5) for details on configuration options. # This file should NOT be world readable. #

  include		/etc/openldap/schema/core.schema
  include		/etc/openldap/schema/cosine.schema
  include		/etc/openldap/schema/inetorgperson.schema
  include		/etc/openldap/schema/nis.schema
  include		/etc/openldap/schema/samba.schema  (Este include es donde le decimos a ldap que soporte el schema de samba.)

  schemacheck	on

# Allow LDAPv2 client connections. This is NOT the default.

  allow bind_v2\\

  pidfile		/var/run/openldap/slapd.pid
  argsfile	/var/run/openldap/slapd.args

####################################################################### # ldbm and/or bdb database definitions #######################################################################

 database	bdb
 suffix		"dc=domain,dc=test,dc=cu"
 rootdn		"cn=administrador,dc=domain,dc=test,dc=cu"
 rootpw		{SSHA}dJ0Rz3yyb7wsfan1Bt8FzumdCkPVVvV5u ( Aqui es donde pegamos la clave generada que se guardo)
 directory	/var/lib/ldap
 lastmod		on

# Indices to maintain for this database

 index objectClass                     eq,pres
 index ou,cn,sn,mail,givenname   	eq,pres,sub
 index uidNumber,gidNumber,memberUid     eq,pres
 index loginShell			eq,pres

## required to support pdb_getsampwnam

 index uid                     		pres,sub,eq

## required to support pdb_getsambapwrid()

 index displayName             		pres,sub,eq
 index nisMapName,nisMapEntry            eq,pres,sub
 index sambaSID              		eq
 index sambaPrimaryGroupSID 		eq
 index sambaDomainName       		eq
 index default              		sub

# users can authenticate and change their password

 access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet
    by dn="cn=administrador,dc=domain,dc=test,dc=cu" write
    by self write
    by anonymous auth
    by * none

# those 2 parameters must be world readable for password aging to work correctly # (or use a priviledge account in /etc/ldap.conf to bind to the directory)

access to attrs=shadowLastChange,shadowMax
    by dn="cn=administrador,dc=domain,dc=test,dc=cu" write
    by self write
    by * read

# all others attributes are readable to everybody

access to *
    by * read

Procedemos a iniciar el servicio ldap y agregandolo al inicio automatico.

service ldap start
chkconfig ldap on

Llegado aqui ya el ldap trabaja perfectamente siempre y cuando se hayan seguido los pasos ahora si quisieramos comprobar lo realizado no mas ejecutamos este comando que verifica que directorios disponibles existen en el servidor 127.0.0.1.

ldapsearch -h 127.0.0.1 -x -b '' -s base '(objectclass=*)' namingContexts

Con una salida similar a la mostrada aqui:

# extended LDIF
#
# LDAPv3
# base <> with scope base
# filter: (objectclass=*)
# requesting: namingContexts
#
#
dn:
namingContexts: dc=domain,dc=test,dc=cu
# search result
search: 2
result: 0 Success
# numResponses: 2
# numEntries: 1

El siguiente mandato debe devolver toda la información de todo el directorio solicitado (dc=domain,dc=test,dc=cu).

ldapsearch -x -b 'dc=domain,dc=test,dc=cu' '(objectclass=*)'

Tenemos que configurar los parametros globales como cliente(NSS), el mismo servidor localhost en /etc/ldap.conf

host 127.0.0.1\\
base dc=domain,dc=test,dc=cu\\
uri ldap://127.0.0.1/\\
pam_password md5**\\

# The search scope.

scope sub\\

nss_base_passwd		ou=People,dc=domain,dc=test,dc=cu?sub\\
nss_base_shadow		ou=People,dc=domain,dc=test,dc=cu?sub\\
nss_base_group		ou=Group,dc=domain,dc=test,dc=cu?sub**\\

Editamos el fichero /etc/nsswitch.conf donde modificamos las siguientes lineas

   passwd:     files ldap
   shadow:     files ldap
   group:      files ldap
   netgroup:   files ldap
   automount:  files ldap
   sudoers:    files ldap

Tambien tenemos que configurar el cliente LDAP en /etc/openldap/ldap.conf editando las siguientes lineas

host 127.0.0.1
base dc=domain,dc=test,dc=cu

Ahora solo nos queda configurar el samba mas instalar el smbldap-tools. Entonces modificamos el fichero de samba ubicado /etc/samba/smb.conf, quedando de la siguiente manera

# Samba PDC openLDAP para CentOS 5.8
# x Richard Soriano Sanchez
[global]

# Nombre del dominio : podria ser nombre de la empresa.

workgroup = DOMAIN
netbios name = TEST
security = user
enable privileges = yes
#interfaces = 192.168.5.11
#username map = /etc/samba/smbusers
server string = Linux Centos5 Direccion Municipal de la Vivienda
#security = ads
encrypt passwords = Yes
#min passwd length = 3
#pam password change = no
#obey pam restrictions = No

# method 2:
unix password sync = yes
ldap passwd sync = no
passwd program = /usr/sbin/smbldap-passwd -u "%u"
passwd chat = "Changing *\nNew password*" %n\n "*Retype new password*" %n\n"

log level = 0
syslog = 0
log file = /var/log/samba/log.%U
max log size = 100000
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
mangling method = hash2

logon script = logon.bat
logon drive = Z:
      logon home = \\TEST\%U
      logon path =

domain logons = Yes
domain master = Yes
os level = 65
preferred master = Yes
wins support = yes

  # ----- Parametros LDAP ---------------------------------

passdb backend = ldapsam:ldap://127.0.0.1/

La cuenta administrador openLDAP

ldap admin dn = cn=administrador,dc=domain,dc=test,dc=cu

Sufijo ldap para todas las entradas siguientes

ldap suffix = dc=domain,dc=test,dc=cu

OU de Grupos netbios

      ldap group suffix = ou=Group

OU de usuarios netbios

      ldap user suffix = ou=People

Cuentas maquinas netbios

      ldap machine suffix = ou=Computers
ldap idmap suffix = ou=Idmap
      add user script = /usr/sbin/smbldap-useradd -m "%u"
      ldap delete dn = Yes
      delete user script = /usr/sbin/smbldap-userdel "%u"

Agregado de cuentas maquina automáticamente

      add machine script = /usr/sbin/smbldap-useradd -t 0 -w "%u"
      add group script = /usr/sbin/smbldap-groupadd -p "%g" 
      delete group script = /usr/sbin/smbldap-groupdel "%g"
      add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
      delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g '%g' '%u'
      
      # ----- FIN DE PARAMETROS LDAP

[homes]

#valid users = %U
	read only = No
	create mask = 0664
	directory mask = 0775
	browseable = No	
veto files = /*.mp3/*.mp4/*.avi/*.mpg/*.dat/*.vob/*.exe/*.mkv/ (Toda extencion declarada aqui no podran copiarce en el home)

[netlogon]

path = /home/netlogon/
browseable = No
read only = yes

[profiles]

path = /home/profiles
read only = no
create mask = 0600
directory mask = 0700
browseable = No
guest ok = Yes
profile acls = yes
csc policy = disable
# next line is a great way to secure the profiles 
#force user = %U 
# next line allows administrator to access all profiles 
#valid users = %U "Domain Admins"

Ahora necesitamos hacer saber a samba cual es el password del usuario Administrador de openLDAP para que pueda conectarse al directorio

smbpasswd -w password

Nos aparecererá el siguiente mensaje y confirmará que samba ya pueda autenticarse en openLDAP

Setting stored password for "cn=Administrador, dc=domain,dc=test,dc=cu " in secrets.tdb

Testeamos y reiniciamos samba:

testparm
service smb restart

Ya en este punto instalamos el smbldap-tools para poder definir los grupos de maquinas y usuarios como claves etc.

yum -y install smbldap-tools

Ahora averigüemos el SID de nuestro servidor Samba:

net getlocalsid

Nos mostrará un mensaje similar al siguiente y debemos de anotarlo o copiarlo:

SID for domain TEST is: S-1-5-21-9901842461-2600320704-4177078223

Procedemos a configurar el acceso smbldap-tools a la BD de openLDAP en /etc/smbldap-tools/smbldap_bind.conf:

slaveDN="cn=Administrador,dc=domain,dc=test,dc=cu "
slavePw="password"
masterDN="cn=Administrador,dc=domain,dc=test,dc=cu "
masterPw="password"

El password aqui es la clave sin sifrar introducida al usar el comando slappasswd.
Y la configuración principal en /etc/smbldap-tools/smbldap.conf:

# Aquí el SID que copiamos

SID= "S-1-5-21-9901842461-2600320704-4177078223"

# El nombre del DOMINIO SAMBA workgroup = DOMAIN

sambaDomain="DOMAIN"

############################################################################## # # LDAP Configuration # ############################################################################## # Slave LDAP server # Ex: slaveLDAP=127.0.0.1 # If not defined, parameter is set to “127.0.0.1”

slaveLDAP="127.0.0.1"

# Slave LDAP port # If not defined, parameter is set to “389”

slavePort="389"

# Master LDAP server: needed for write operations # Ex: masterLDAP=127.0.0.1 # If not defined, parameter is set to “127.0.0.1”

masterLDAP="127.0.0.1"

# Master LDAP port # If not defined, parameter is set to “389”

masterPort="389"

# Sufijo por defecto a todas las entradas posteriores

suffix="dc=domain,dc=test,dc=cu"

# Usuarios del dominio

usersdn="ou=People,${suffix}"

# Cuentas Computadoras del dominio

computersdn="ou=Computers,${suffix}"

# Cuentas Grupo

groupsdn="ou=Group,${suffix}"

# Si somos un Samba Domain Member Server

idmapdn="ou=Idmap,${suffix}"

# Importante: el nextUID para calcular el codigo siguiente usuario o grupo

sambaUnixIdPooldn="sambaDomainName=DOMAIN,${suffix}"

# Default scope Used

scope="sub"

# Unix password encryption (CRYPT, MD5, SMD5, SSHA, SHA, CLEARTEXT)

hash_encrypt="MD5"

# if hash_encrypt is set to CRYPT, you may set a salt format. # default is “%s”, but many systems will generate MD5 hashed # passwords if you use “$1$%.8s”. This parameter is optional!

crypt_salt_format="%s"

############################################################################## # # Unix Accounts Configuration # ##############################################################################

# Login defs # Default Login Shell # Ex: userLoginShell=“/bin/bash”

userLoginShell="/bin/nologin"

# Home directory # Ex: userHome=“/home/%U”

userHome="/home/%U"

# Default mode used for user homeDirectory

userHomeDirectoryMode="700"

# Gecos

userGecos="System User"

# Default User (POSIX and Samba) GID

defaultUserGid="513"

# Default Computer (Samba) GID

defaultComputerGid="515"

# Skel dir

skeletonDir="/etc/skel"

#Comantar esta linea si no deseamos que la contraseña caduque cada 45 dias.

defaultMaxPasswordAge="45"

############################################################################## # # SAMBA Configuration # ##############################################################################

# LINUX es el nombre NETBIOS DEL SERVER netbios name = TEST

userSmbHome="\\TEST\%U"

# Perfiles

userProfile="\\TEST\profiles\%U"

# Letra de la unidad para su carpeta personal

userHomeDrive="Z:"

# The default user netlogon script name (%U username substitution) # if not used, will be automatically username.cmd # make sure script file is edited under dos # Ex: userScript=“startup.cmd” # make sure script file is edited under dos

userScript="logon.bat"

# Para el atributo de dominio para el correo por defecto

mailDomain="domain.test.cu"

############################################################################## # # SMBLDAP-TOOLS Configuration (default are ok for a RedHat) # ##############################################################################

# Allows not to use smbpasswd (if with_smbpasswd=“0” in smbldap.conf) but # prefer Crypt::SmbHash library

with_smbpasswd="0"
smbpasswd="/usr/bin/smbpasswd"

# Allows not to use slappasswd (if with_slappasswd=“0” in smbldap.conf) # but prefer Crypt:: libraries

with_slappasswd="0"
slappasswd="/usr/sbin/slappasswd"

Ahora debemos crear la estructura de dominio en openldap con el comando y digitar el password de Administrator que es el administrador del dominio:

smbldap-populate -a Administrator

Con un resultado similar al siguiente:

Populating LDAP directory for domain DOMAIN (S-1-5-21-9901842461-2600320704-4177078223)
(using builtin directory structure)
adding new entry: dc=domain,dc=test,dc=cu
adding new entry: ou=People,dc=domain,dc=test,dc=cu
adding new entry: ou=Group,dc=domain,dc=test,dc=cu
adding new entry: ou=Computers,dc=domain,dc=test,dc=cu
adding new entry: ou=Idmap,dc=domain,dc=test,dc=cu
adding new entry: uid=Administrator,ou=People,dc=domain,dc=test,dc=cu
adding new entry: uid=nobody,ou=People,dc=domain,dc=test,dc=cu
adding new entry: cn=Domain Admins,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Domain Users,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Domain Guests,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Domain Computers,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Administrators,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Account Operators,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Print Operators,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Backup Operators,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: cn=Replicators,ou=Group,dc=domain,dc=test,dc=cu
adding new entry: sambaDomainName=DOMAIN,dc=domain,dc=test,dc=cu
Please provide a password for the domain Administrator:
Changing password for Administrator
New password :

En este caso no quiero que se llame root por defecto, por ello le cambié con el parámetro -a Administrator.
Ahora veremos la asociación de los builtin groups del dominio SAMBA con los grupos openLDAP creados:

net groupmap list

Con un resultado similar al siguiente:

Domain Admins (S-1-5-21-9901842461-2600320704-4177078223-512) -> Domain Admins
Domain Users (S-1-5-21-9901842461-2600320704-4177078223-513) -> Domain Users
Domain Guests (S-1-5-21-9901842461-2600320704-4177078223-514) -> Domain Guests
Domain Computers (S-1-5-21-9901842461-2600320704-4177078223-515) -> Domain Computers
Administrators (S-1-5-32-544) -> Administrators
Account Operators (S-1-5-32-548) -> Account Operators
Print Operators (S-1-5-32-550) -> Print Operators
Backup Operators (S-1-5-32-551) -> Backup Operators
Replicators (S-1-5-32-552) -> Replicators

Ahora podemos crear una cuenta de usuario Windows ( -a), se le crear su carpeta personal ( -m), especificando que no tenga una ruta Profile (opción -F) y le asignamos un password:

smbldap-useradd -a -m -F "prueba" prueba
smbldap-passwd prueba

Mas detalle del comando smbldap-useradd en el Final de esta pagina: smbldap-useradd Reiniciamos samba y openLdap:

service ldap restart
service smb restart

COMPROBACIONES

Si ejecutamos el comando id seguido de un usuario existenten en la bd de ldap nos deberia aparecer lo siguiente.

id prueba

Con una salida similar a esta:

uid=1006(prueba) gid=513(Domain Users) grupos=513(Domain Users)

Una comprobacion mas completa que incluso nos da ya de esta manera los grupo en el samba+ldap seria buscando de esta manera

ldapsearch -x -b 'uid=prueba,ou=People,dc=domain,dc=test,dc=cu'

Con una salida similar a la siguiente:

# extended LDIF
#
# LDAPv3
# base <uid=tamara,ou=People,dc=domain,dc=test,dc=cu> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# prueba, People, domain.test.cu
dn: uid=tamara,ou=People,dc=domain,dc=test,dc=cu
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
objectClass: sambaSamAccount
cn: prueba
sn: prueba
givenName: prueba
uid: prueba
uidNumber: 1006
gidNumber: 513
homeDirectory: /home/prueba
loginShell: /bin/nologin
gecos: System User
sambaLogonTime: 0
sambaLogoffTime: 2147483647
sambaKickoffTime: 2147483647
sambaPwdCanChange: 0
displayName: prueba
sambaSID: S-1-5-21-9901842461-2600320704-4177078223-3012
sambaAcctFlags: [U]
shadowLastChange: 15986
shadowMax: 45

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

Bueno si hasta aquí si todo lo has realizado tal cual como se a mostrado aquí las salidas después de cada código tendrán que ser similar a las mostradas aquí y todo deberá marchar sin problemas, cualquier duda o error encontrado ya que me puedo haber confundido perfecto no soy por favor hacérmelo saber. Aqui al final les muestro las funciones del smbldap-tools

Anexo 1: smbldap-useradd

/usr/sbin/smbldap-useradd [-awmugdsckABCDEFGHMNPST?] username

o add the user in the organizational unit (relative to the user suffix)
a is a Windows User (otherwise, Posix stuff only)
w is a Windows Workstation (otherwise, Posix stuff only)
i is a trust account (Windows Workstation)
u uid
g gid
G supplementary comma-separated groups
n do not create a group
d home
s shell
c gecos
m creates home directory and copies /etc/skel
k skeleton dir (with -m)
t time. Wait 'time' seconds before exiting (when adding Windows Workstation)
P ends by invoking smbldap-passwd
A can change password ? 0 if no, 1 if yes
B must change password ? 0 if no, 1 if yes
C sambaHomePath (SMB home share, like 'PDC-SRVhomes')
D sambaHomeDrive (letter associated with home share, like 'H:')
E sambaLogonScript (DOS script to execute on login)
F sambaProfilePath (profile directory, like 'PDC-SRVprofilesfoo')
H sambaAcctFlags (samba account control bits like '[NDHTUMWSLKI]')
N canonical name
S surname
M local mailAddress (comma seperated)
T mailToAddress (forward address) (comma seperated)
? show this help message

Wiki GUTL

Herramientas de usuario

Herramientas del sitio

Herramientas de la página