Mini Roteiro - Samba integrado ao LDAP

Transcrição

1 Mini Roteiro - Samba integrado ao LDAP Procedimento de Instalação e configuração Procedimento baseado em DEBIAN, pode ser adaptado facilmente para outras distribuições. autor: André Alexandre Gaio aagaio@linwork.com.br ==== Baixando, Compilando e instalando o BerkeleyDB ==== wget ftp://sleepycat1.inetu.net/releases/db tar.gz tar xzvf db tar.gz cd db cd build_unix../dist/configure --prefix=/usr/local install Colocar o diretorio "/usr/local/lib" no arquivo "/etc/ld.so.conf" ldconfig ==== Baixando, Compilando e instalando o Cyrus-SASL ==== wget ftp://ftp.andrew.cmu.edu/pub/cyrus-mail/cyrus-sasl tar.gz tar xzvf cyrus-sasl tar.gz cd cyrus-sasl /configure install Criar um link do diretorio "/usr/local/lib/sasl2" para o diretorio "/usr/lib" ln -s /usr/local/lib/sasl2 /usr/lib/ ldconfig ==== Baixando, Compilando e instalando o OpenLDAP ==== wget ftp://ftp.openldap.org/pub/openldap/openldap-stable/openldap-stable tgz tar xzvf openldap-stable tgz cd openldap /configure \ --enable-debug \ --enable-syslog \ --enable-fetch \ --with-readline \ --with-threads \ --with-cyrus-sasl \ --with-tls \ --enable-slapd \ --enable-crypt \ --enable-lmpasswd \ --enable-spasswd depend test install Pág. 1/10

2 ==== Baixando, Compilando e instalando o SAMBA ==== wget tar -xvzf samba tar.gz cd samba /configure \ --sbindir=/usr/local/sbin \ --with-configdir=/etc/samba \ --libexecdir=/usr/local/libexec/ \ --with-mandir=/usr/local/man \ --with-logfilebase=/var/log/samba \ --with-ldap \ --with-ldapsam \ --with-winbind \ --with-smbmount \ --with-profiling-data \ --with-quotas \ --with-sys-quotas \ --enable-cups \ --with-quotas \ --with-static-modules= vfs_recycle,vfs_extd_audit,\ vfs_default_quota,vfs_audit,vfs_cap,getdate,vfs_fake_perms \ --with-smbmount \ --with-automount \ --with-tdbsam \ --with-acl-support install ==== Migrar as contas do sistema para o LDAP ==== Baixe o MigrationTools em: wget tar -xvzf MigrationTools.tgz cd MigrationTools-45 Editar o arquivo migrate_common.ph e configurar as linhas: $NAMINGCONTEXT{'passwd'} = "ou=ti"; $NAMINGCONTEXT{'group'} = "ou=ti"; $DEFAULT_MAIL_DOMAIN = "seudominio.com.br"; $DEFAULT_BASE = "o=sua_organização,c=br"; $DEFAULT_MAIL_HOST = "mail.seudominio.com.br"; Exportar os grupos do sistema para um ldif:./migrate_group.pl /etc/group /tmp/grupos.ldif ldapadd -x -v -D cn=manager,c=br -W -f /tmp/grupos.ldif Exportando os usuários no LDAP:./migrate_passwd.pl /etc/passwd /tmp/usuarios.ldif ldapadd -x -v -D cn=manager,c=br -W -f /root/usuarios.ldif Pág. 2/10

3 ==== Fazendo o sistema autenticar no LDAP ==== Instalar a libnss-ldap: apt-get install libnss-ldap Serão pedidos os dados do servidor LDAP, os quais são: IP: PORTA: 389 BASE DN: c=br ADMINISTRADOR: cn=manager,c=br SENHA: senha Modifique o arquivo /etc/nsswitch.conf e altere as seguinte linhas: passwd: compat ldap group: compat ldap Edite o arquivo /etc/openldap/slapd.conf e acresente a linha abaixo no final dos includes: include /etc/openldap/schema/samba.schema Restarte o openldap a fim de que o novo esquema seja reconhecido pelo mesmo. Crie um link simbólico de /etc/samba apontando para /usr/local/samba/lib. ln -s /usr/local/samba/lib /etc/samba Crie um arquivo smb.conf conforme conteúdo abaixo e coloque-o em /etc/samba ==== Criar o arquivo /etc/samba/smb.conf ==== [global] workgroup = SEU_WORKGROUP netbios name = sambasrv hosts allow = printcap name = cups load printers = yes printing = cups print command = lpr -r -P%p -J'%J' %s log file = /var/log/samba/%m.log max log size = 1500 security = user passdb backend = ldapsam:ldap:// / ldap suffix = c=br ldap admin dn = "cn=manager,c=br" ldap filter = "(&(uid=%u)(objectclass=sambasamaccount))" ldap port = 389 ldap ssl = no ldap user suffix = "ou=ti,o=seu_dominio,c=br" ldap group suffix = "ou=ti,o=seu_dominio,c=br" ldap machine suffix = "ou=ti,o=seu_dominio,c=br" ldap passwd sync = Yes idmap uid = idmap gid = nt acl support = yes create mask = 600 directory mask = 700 force directory mode = 700 encrypt passwords = yes smb passwd file = /etc/samba/smbpasswd ldap passwd sync = yes ldap delete dn = yes passwd program = /usr/local/sbin/smbldap-passwd.pl -o %u Pág. 3/10

4 passwd chat = *new*password* %n\n *new*password* %n\n *successfully* unix password sync = Yes hide dot files = yes add machine script = /usr/local/sbin/smbldap-useradd -w "%u" add user script = /usr/local/sbin/smbldap-useradd -m "%u" delete user script = /usr/local/sbin/smbldap-userdel "%u" add group script = /usr/local/sbin/smbldap-groupadd -p "%g" delete group script = /usr/local/sbin/smbldap-groupdel "%g" add user to group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g" dos charset = UTF-8 unix charset = UTF-8 cups server = admin users username map = /etc/samba/smbusers socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192 local master = no os level = 64 domain master = yes preferred master = no domain logons = yes logon script = script.bat logon path = \\%L\%U\profile wins support = yes dns proxy = no [netlogon] comment = Network Logon Service path = /home/netlogon guest ok = yes writable = no share modes = no [sysvol] comment = Network Logon Service path = /home/netlogon guest ok = yes writable = no share modes = no [printers] comment = All Printers path = /var/spool/samba browseable = no guest ok = no writable = no printable = yes [teste] comment = Teste path = /home/teste valid users public = no writable = yes printable = no create mask = 0770 Pág. 4/10

5 ==== Configurando o smbldap-tools ==== wget tar zxvf smbldap-tools tgz cd smbldap-tools cp -a smbldap-* /usr/local/sbin/ mkdir /etc/smbldap-tools/ cp -a smbldap.conf smbldap_bind.conf /etc/smbldap-tools/ chmod 644 /etc/smbldap-tools/smbldap.conf chmod 600 /etc/smbldap-tools/smbldap_bind.conf Editar o /etc/smbldap-tools/smbldap.conf: SID="S " slaveldap=" " slaveport="389" masterldap=" " masterport="389" ldaptls="0" verify="" cafile="" clientcert="" clientkey="" suffix="o=sua_organização,c=br" usersdn="ou=ti,${suffix}" computersdn="ou=ti,${suffix}" groupsdn="ou=ti,${suffix}" idmapdn="ou=ti,${suffix}" sambaunixidpooldn="cn=nextfreeunixid,${suffix}" scope="sub" hash_encrypt="ssha" crypt_salt_format="%s" userloginshell="/bin/false" userhome="/home/%u" usergecos="ldap System User" defaultusergid="1000" defaultcomputergid="1000" skeletondir="/etc/skel" defaultmaxpasswordage="60" usersmbhome="\\seu_workgroup\homes\%u" userprofile="\\seu_workgroup\profiles\%u" userhomedrive="h:" userscript="%u.bat" maildomain="seu_domínio.com.br" with_smbpasswd="0" smbpasswd="/usr/bin/smbpasswd" Pág. 5/10

6 Execute o comando abaixo para obter o SID: net getlocalsid SEU_WORKGROUP Note que ele cria uma entrada automaticamente no ldap, semelhante a esta: dn: sambadomainname=seu_workgroup,o=sua_organização,c=br sambadomainname: SEU_WORKGROUP sambasid: S sambaalgorithmicridbase: 1000 objectclass: sambadomain sambanextuserrid: sambanextgrouprid: É também necessário armazenar o password do ldap no secrets, utilize o comando: smbpasswd -w <SENHA> Edite o arquivo /etc/smbldap-tools/smbldap_bind.conf e configure-o da seguinte forma: slavedn="cn=manager,c=br" slavepw="senha" masterdn="cn=manager,c=br" masterpw="senha" Instalar os pacotes: apt-get install perl perl-modules perl-5.6 Copie o arquivo smbldap_tools.pm para o diretório /usr/local/sbin cp -a smbldap_tools.pm /usr/local/sbin/ ==== Instalando os módulos do perl ==== wget tar zxvf Convert-ASN tar.gz test install wget tar zxvf Authen-SASL-2.08.tar.gz test install wget tar zxvf URI-1.35.tar.gz test install Pág. 6/10

7 wget tar zxvf Net_SSLeay.pm-1.25.tar.gz test install tar zxvf IO-Socket-SSL-0.96.tar.gz test install wget tar.gz tar zxvf XML-SAX-Base-1.04.tar.gz test install tar zxvf Crypt-SmbHash-0.12.tar.gz test install wget tar zxvf perl-ldap tar.gz test install ou apt-get install perl-ldap Precisamos informar qual será o próximo uid disponível para ele criar os usuários. Salve as seguintes informações em um arquivo chamado nextuid.ldif dn: cn=nextfreeunixid,ou=ti,o=sua_organização,c=br objectclass: inetorgperson objectclass: sambaunixidpool uidnumber: 1000 gidnumber: 1000 cn: NextFreeUnixId sn: NextFreeUnixId Inclua na base: ldapadd -x -v -D cn=manager,c=br -W -f nextuid.ldif Pág. 7/10

8 ------==== Populando a base com os objetos necessários ao Windows ==== Execute: smbldap-populate Se der algum erro é porquê tais entradas já se encontram na base. ----== Instalando a ferramenta de Administração do LDAP PhpLDAPAdmin ==---- wget b.tar.gz tar zxvf phpldapadmin-0.9.4b.tar.gz mv phpldapadmin-0.9.4b /var/www/htdocs/restrito/adm_ldap cd /var/www/htdocs/restrito/adm_ldap cp config.php.example config.php Instale o pacote do apache: apt-get install apache Edite o arquivo /etc/apache/httpd.conf: Procure pela linha: AllowOverride NONE E substitua por: AllowOverride AuthConfig Reinicie o apache. Edite o config.php: $servers[$i]['host'] = 'localhost'; $servers[$i]['base'] = 'c=br'; $servers[$i]['login_dn'] = 'cn=manager,c=br' Crie no diretório /var/www/htdocs/restrito/adm_ldap o arquivo.htaccess com o conteúdo abaixo: AuthName Área administrativa! Identifique-se: AuthType Basic AuthUserFile /etc/apache/admin_secrets.txt AuthGroupFile /dev/null require valid-user Crie um usuário para administrar o aplicativo: htpasswd -c /etc/apache/admin_secrets.txt admin Faça o teste em: Pág. 8/10

9 == Crie o script de controle do samba /etc/init.d/samba == #!/bin/sh # # Script de Parada e início do Samba. # samba_start() { if [ -x /usr/local/sbin/smbd -a -x /usr/local/sbin/nmbd -a -r / etc/samba/smb.conf ]; then echo "Iniciando o Samba..." /usr/local/sbin/smbd -D -s /etc/samba/smb.conf -l /var/log/samba /usr/local/sbin/nmbd -D -s /etc/samba/smb.conf -l /var/log/samba fi } samba_stop() { # killall smbd nmbd killall smbd nmbd } samba_restart() { samba_stop sleep 2 samba_start } case "$1" in 'start') samba_start ;; 'stop') samba_stop ;; 'restart') samba_restart ;; *) samba_start ;; esac == Coloque o script a fim de ser iniciado automaticamente == chmod 700 /etc/init.d/samba update-rc.d samba defaults Pág. 9/10

10 == Modelo de arquivo ldif com as propriedades dos usuários == dn: uid=user,ou=ti,o=sua_organização,c=br objectclass: inetorgperson objectclass: posixaccount objectclass: sambasamaccount sn: user uid: user mail: telephonenumber: uidnumber: 1000 gidnumber: 100 homedirectory: /home/user loginshell: /bin/false cn: user userpassword: {SSHA}e1NTSEF9U2p5Sm9xM0tDN2p3L09YSE1HcEwrR0JBRldzQW80c2o= sambalogontime: 0 sambalogofftime: sambakickofftime: sambapwdcanchange: 0 sambahomepath: \\sambasrv\user sambahomedrive: H: sambaprofilepath: \\sambasrv\user\profile sambaprimarygroupsid: S sambasid: S sambalmpassword: 8CBA24680BC914C1AAD3B435B51404EE sambaacctflags: [U] sambantpassword: 7EC465C29A86BE7394CFE2C3D612B688 sambapwdlastset: sambapwdmustchange: == Crie o índice para a pesquisa do Domain Name do Samba no LDAP ==--- Acrescente a linha abaixo no final de seu arquivo slapd.conf: index sambadomainname eq Derrube o serviço do OpenLDAP e execute: slapindex -v Este procedimento recriará os índices do LDAP e acrescentará o novo índice. OBSERVAÇÃO IMPORTANTE: Este artigo pode ser reproduzido, desde que seja mencionado o autor e o site de orígem do mesmo. Quaisquer observações e/ou sugestões mande-me um . Espero que seja útil. Boa Sorte! São Paulo, 12 de dezembro de Pág. 10/10