Interconnexion de Serveurs - Active Directory avec Samba 4

Thèmes abordés

Interconnexion de serveurs, Active Directory, Samba 4, serveur Ubuntu, Bind 9, RNDC Remote Name Daemon Control, Test de Kerberos, gestion de stuff

Résumé du document

Ce guide explique pas à pas comment installer et configurer un environnement Active Directory sous Samba 4.

Extraits

[...] NTLM as a compatibility fallback) Server role: ROLE_ACTIVE_DIRECTORY_DC Press enter to see a dump of your service definitions # Global parameters [global] bind interfaces only = Yes interfaces = lo ens18 passdb backend = samba_dsdb realm = PROF.420147AT.CEGEP server role = active directory domain controller server services = s3fs, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate workgroup = PROF rpc_server:tcpip = no rpc_daemon:spoolssd = embedded rpc_server:spoolss = embedded rpc_server:winreg = embedded rpc_server:ntsvcs = embedded rpc_server:eventlog = embedded rpc_server:srvsvc = embedded rpc_server:svcctl = embedded rpc_server:default = external winbindd:use external pipes = true idmap_ldb:use rfc2307 = yes idmap config * : backend = tdb map archive = No vfs objects = dfs_samba4 acl_xattr [sysvol] path = /usr/local/samba4/var/locks/sysvol read only = No [netlogon] path = /usr/local/samba4/var/locks/sysvol/prof.420147at.cegep/scripts read only = No Si votre affichage ressemble exactement à l'extrait ci-dessus, mis à part vos paramètres personnalisés, nous allons pouvoir démarrer Samba en mode « debug » interactif pour la première fois, question de voir si quelque chose foire. Dans votre console, démarrez un « tail » déroulant (tail sur le fichier « /var/log/syslog » et laissez-le aller tranquillement. Ouvrez une deuxième console via ssh puis lancez Samba comme suit, avec un extra verbosité (niveau -d3). Encore une fois, validez que le fichier de configuration « smb.conf » est le bon # samba -d3 . [...]

[...] Par exemple ici, je modifie les droits sur « mashit » : Cela crée une liste de permissions étendues sur le partage. Avant de terminer le labo, assurez-vous que Samba est en fonction : # ps -aux grep samba PROF\ad+ pts/2 14:26 0:00 samba: root process PROF\ad+ pts/2 14:26 0:00 samba: tfork waiter process(61443) PROF\ad+ pts/2 14:26 0:00 samba: task[s3fs] pre-fork master PROF\ad+ pts/2 14:26 0:00 samba: tfork waiter process(61446) PROF\ad+ pts/2 14:26 0:00 samba: tfork waiter process(61447) . [...]

[...] Il ne doit pas y avoir d'erreurs # tail -40 /var/log/syslog . Jan 10 21:31:48 addc001 named[51691]: command channel listening on 127.0.0.1#953 Jan 10 21:31:48 addc001 named[51691]: managed-keys-zone: loaded serial 0 Jan 10 21:31:48 addc001 named[51691]: zone 0.0.127.in-addr.arpa/IN: loaded serial 2023021301 Jan 10 21:31:48 addc001 named[51691]: zone localhost/IN: loaded serial 2023021301 Jan 10 21:31:48 addc001 named[51691]: all zones loaded Jan 10 21:31:48 addc001 named[51691]: running Si « named » semble avoir bien démarré, effectuez quelques tests de résolution de noms. [...]

[...] 10.124.10.100 addc001.prof.420147at.cegep addc001 127.0.0.1 localhost On configure le fuseau horaire : # timedatectl set-timezone America/Toronto Modifiez la « machine-id » (seulement si vous avez osé cloner la machine virtuelle) : # rm /etc/machine-id # systemd-machine-id-setup On désactive le service de « resolver » local : # systemctl disable systemd-resolved # rm /etc/resolv.conf # echo "nameserver 127.0.0.1" > /etc/resolv.conf # echo "nameserver 1.1.1.1" » /etc/resolv.conf Puis on modifie le « path » afin qu'il pointe vers notre nouvelle installation de Samba : # export PATH=$PATH:/usr/local/samba4/bin:/usr/local/samba4/sbin Note : cela est valide seulement pour la session en cours. Vous devez modifier le script de login « .bashrc » pour y changer le « path », apportez le changement à cet endroit aussi. Vous devrez lancer « sudo bash » à partir de maintenant pour que cette configuration soit lue lorsque vous devenez superutilisateur. Redémarrez ensuite votre serveur : # reboot Constatez le changement du nom d'hôte après le redémarrage. Surveillez également le fichier « /etc/resolv.conf » pour qu'il pointe vers le bon serveur DNS. [...]

[...] Ce test validera à la fois la configuration DNS et la configuration de votre client Kerberos. Le mot de passe est celui que vous avez utilisé lors du « dcpromo ». ICI, ATTENTION À LA CASSE ATTENTION À LA CASSE # kinit Password for Warning: Your password will expire in 41 days on Tue 21 Feb 2023 02:30:35 PM EST Ici, si vous avez la main levée parce que la commande précédente n'a pas fonctionné en raison d'une erreur de minuscules/majuscules, ou que vous avez omis de remplacer le mot « PROF », voici une solution ci-contre : Puis on affiche le « ticket » Kerberos obtenu : # klist Ticket cache: FILE:/tmp/krb5cc_0 Default principal: Valid starting Expires Service principal 01/10/2023 21:55:54 01/11/2023 07:55:54 renew until 01/11/2023 21:55:50 Ajout du support pour les ACLs Note : ces tâches doivent être faites sur le serveur seulement Installons le package « attr » si ce n'est pas déjà fait. [...]