На главную страницу На главную страницу Помоги больным детям! Их можно спасти!
 
Справочные материалы ←

Как ввести сервер samba в домен Windows для авторизации пользователей в Active Directory?

В сборку Ульяновск.BSD включён пакет программ samba. С помощью этого пакета, в частности, можно организовать сервер хранения данных. Если такой сервис развертывается в сети Windows с доменной структурой и централизованным управлением пользователями и компьютерами через Active Directory, то можно организовать доступ к нему пользователей с авторизацией в Active Directory. Одновременно с этим возможно раздавать права на доступ к хранимым данным в соответствии с доменными пользователями и группами.

Допустим имеются следующие исходные данные:

  • Имя машины c samba-сервером (hostname): ulbsd
  • IP-адрес машины c samba-сервером: 192.168.0.248
  • Полное имя Windows-домена: EXAMPLE.LOCAL
  • IP-адрес контроллера домена Windows Server 2012 R2 Standard, являющегося и DNS-сервером для домена: 192.168.0.135
  • IP-адрес шлюза в Интернет и резервного DNS-сервера: 192.168.0.1


Итак, в файле /etc/rc.conf на samba-сервере необходимо проверить наличие следующих строк:

samba_server_enable="YES"
winbindd_enable="YES"

А также в файле /etc/rc.conf на samba-сервере необходимо установить постоянный IP-адрес (вместо em0 нужно подставить имя своего интерфейса):

ifconfig_em0="inet 192.168.0.248 netmask 255.255.255.0"
defaultrouter="192.168.0.1"

В файл /etc/hosts на samba-сервере необходимо добавить строку:

192.168.0.248  ulbsd.example.local ulbsd

В файл /etc/resolv.conf на samba-сервере необходимо прописать следующее:

search example.local
nameserver 192.168.0.135
nameserver 192.168.0.1

В файле /etc/nsswitch.conf на samba-сервере необходимо изменить строки group и passwd следующим образом:

group: files winbind
passwd: files winbind

Конфигурационный файл /usr/local/etc/smb4.conf на samba-сервере необходимо привести к следующему виду:

[global]
    server string = ULBSD Samba Server

    workgroup = EXAMPLE
    security = ADS

    realm = EXAMPLE.LOCAL
    idmap config * : backend = tdb
    idmap config * : range = 100000-999999
    idmap config EXAMPLE : backend = rid
    idmap config EXAMPLE : range = 10000-99999
    winbind enum users = Yes
    winbind enum groups = Yes
    winbind use default domain = Yes
    winbind refresh tickets = Yes
    winbind offline logon = Yes

    domain master = No
    preferred master = No
    use sendfile = Yes
    logging = file
    create mask = 0664
    directory mask = 0775
    dos charset = cp866
    guest account = ftp
    map to guest = Bad User
    usershare allow guests = Yes
    usershare max shares = 100
    usershare owner only = No

[incoming]
    comment = Public read/write directory
    path = /var/ftp/incoming
    guest ok = Yes
    force user = ftp
    read only = No

[pub]
    comment = Public read directory
    path = /var/ftp/pub
    guest ok = Yes

[share]
    comment = Files exchange directory
    path = /var/ftp/share
    read only = No
    hide unreadable = Yes
    inherit acls = Yes
    inherit permissions = Yes
    map acl inherit = Yes

После изменения конфигурационных файлов нужно перезагрузить машину с samba-сервером.

После перезагрузки можно вводить samba-сервер в домен:

net ads join -U администратор

В случае успеха после ввода пароля администратора произойдет выход в командную строку без каких либо сообщений.

Для проверки ввода в домен можно воспользоваться следующей командой:

net ads testjoin

Свидетельством успешного ввода в домен должно быть сообщение "Join is OK".

После ввода в домен необходимо перезапустить samba:

service samba_server restart

Теперь можно проверить работоспособность. Команда wbinfo -u должна выдавать список доменных пользователей, команда wbinfo -g должна выдавать список доменных групп, команда getent passwd должна выдавать локальных и доменных пользователей одним списком, команда getent group должна выдавать локальные и доменные группы одним списком.

Создание каталога share и перезапуск samba:

mkdir -p /var/ftp/share
chown -R "администратор":"пользователи домена" /var/ftp/share
chmod 0770 /var/ftp/share
service samba_server restart

Для того, чтобы можно было устанавливать права на каталог для нескольких пользователей и групп и управлять ими непосредственно из Windows, необходимо включить для файловой системы на samba-сервере поддержку расширенных списков доступа (POSIX.1e ACL). Для этого необходимо загрузиться в однопользовательском режиме (выбрать при старте системы 2. Boot Single User) и выполнить команду:

tunefs -a enable /

После этого расширенный список доступа для какого-либо каталога или файла можно просмотреть командой:

getfacl имя_каталога_или_файла

Работа рассмотренных конфигураций проверена в Ульяновск.BSD в стандартной установке с версией samba 4.7 на файловой системе UFS и контроллером домена на базе Windows Server 2012 R2 Standard. Проект samba активно развивается, поэтому необходимо следить за изменениями.

Примечание 1: Чтобы не иметь проблем с доступом, назначение постоянного IP-адреса для samba-сервера крайне желательно. IP-адрес может быть установлен вручную или назначаться DHCP-сервером по MAC-адресу. В случае назначения DHCP-сервером, необходимо также, чтобы DHCP-сервер правильно выдавал адреса DNS-серверов.

Примечание 2: Пример установки и настройки Active Directory на Windows Server 2012 R2 Standard можно посмотреть, например, здесь.

Примечание 3: Время на samba-сервере и контроллере домена обязательно должно быть одинаковым. Допустима разница не более чем в 5 минут. В противном случае авторизация в домене может не работать.

 

Комментарии
Добавляя комментарий, убедитесь, что он соответствует теме. Подумайте, будет ли он интересен другим. Спам, умышленная реклама и личная переписка не допускаются. Соблюдайте правила русского языка. Комментарии публикуются после проверки модератором и могут быть удалены без объяснения причин. Ответы на заданные в комментариях вопросы могут исходить от любого пользователя и являются неофициальными.
Импортозамещение
Объем госзакупок в сфере информационных технологий (компьютеры и периферийное оборудование, программное обеспечение и лицензии) по 44-ФЗ вырос в первом полугодии текущего года почти на 70% по сравнению с аналогичным периодом 2019 года и составил 153,2 миллиарда рублей, сообщило D-Russia.ru АО «ТЭК-Торг» – федеральная электронная торговая площадка для проведения закупок. На закупку софта и лицензий пришлось […] Сообщение Названы топ-10 регионов по госзакупкам в IT за I полугодие 2020 года появились сначала н... 
«Ростелеком-ЦОД» приступил к строительству дата-центра в Москве с максимальным уровнем надежности (Tier IV). Новый дата-центр появится на юго-востоке Москвы по адресу: Остаповский проезд, д. 22, стр. 4. Площадка общей площадью 10 150 м? вместит две тысячи стоек по 5 кВт каждая. Общая мощность дата-центра составит 17 мВт, сообщает «Ростелеком». Проектирование и строительство нового дата-центра ведется […] Сообщение «Ростелеком-ЦОД» начал строительство московского дата-центра максимально надёжного уровня появ... 
На сайте всероссийского конкурса для IT-специалистов «Цифровой прорыв» стартовало народное голосование за задачи, в решении которых заинтересованы представители малого и среднего бизнеса – интернет-пользователи выберут 10 самых актуальных задач, решениями которых займутся участники регионального этапа проекта, сообщили организаторы конкурса. Голосование продлится до 5 августа 2020 года. Организаторы конкурса «Цифровой прорыв» объявили о приёме заданий в […] Сообщение «Цифровой прорыв» запустил голосование с... 
Минпромторг разместил на портале общественных обсуждений проект постановления правительства о проведении в России с 1 января по 1 июля 2021 года пилотного проекта маркировки алкогольной продукции федеральными специальными и акцизными марками с использованием радиочастотных меток (RFID-меток). В пояснительной записке сказано, что применение RFID-технологий для маркировки алкогольной продукции обусловит снижение операционных издержек участников оборота алкогольной продукции […] Сообщение Эксперимент по маркир... 
«РТ Лабс», дочерняя компания «Ростелекома», и «Компьютерные интеллектуальные системы» («КИ системы») зарегистрировали совместное предприятие «РТ Комплексные инновационные системы» («РТ КИС»), цель которого — развитие и внедрение технологических решений для автоматизации процессов работы скорой медицинской помощи, медицины катастроф и санитарной авиации, сообщает «Ростелеком». Координационно-информационная система скорой медицинской помощи (КИС СМП) позволяет создавать единые региональные диспетчерские служб... 
В Государственной Думе в среду состоялся отчёт премьера Михаила Мишустина о работе правительства. Премьера, в частности, спросили о развитии отрасли микроэлектроники в стране. По словам Мишустина, на сегодняшний день в мировом экспорте мы занимаем 1% и обеспечиваем себя изделиями микроэлектроники, которые созданы в России, только на 41%. «Даже для своих нужд. Ситуация сложная», – добавил […] Сообщение Цель «налогового манёвра» в создании условий для дизайн-центров микроэлектроники – глава правительства появ... 
В среду в третьем чтении Госдума приняла законопроект о налоговых льготах для IT-отрасли (о «налоговом манёвре»). Документ подготовлен для реализации мер поддержки, объявленных президентом РФ Владимиром Путиным 23 июня 2020 года, и должен, как предполагается, вступить в силу с 1 января 2021 года. Напомним, инициатива предусматривает бессрочное снижение уже действующего льготного тарифа страховых взносов для […] Сообщение Законопроект о налоговых льготах для IT-отрасли принят в третьем чтении появились снача... 
Региональные хакатоны всероссийского конкурса «Цифровой прорыв» пройдут в Москве, Санкт-Петербурге, Пятигорске, Ростове-на-Дону, Нижнем Новгороде, Новосибирске, Владивостоке и Екатеринбурге с августа по октябрь; регистрация на мероприятия уже открыта. Первым (21-23 августа) состоится хакатон в Ростове-на-Дону. За 48 часов участникам предстоит создать рабочий прототип цифрового продукта по заданиям от крупнейших коммерческих и государственных организаций. Конкурсы будут проходить […] Сообщение Началась регис... 
Приказом Минкомсвязи в соответствии с решением Экспертного совета от 2 июля в Единый реестр российских программ добавлено 66 новых продуктов; один продукт (ISIDA Assessor; класс – системы управления процессами организации) добавлен в Единый реестр программ для электронных вычислительных машин и баз данных государств-членов Евразийского экономического союза. Также, согласно приказу, во включении в реестр отказано 25 […] Сообщение В реестр российского ПО добавлено 66 новых продуктов, в реестр евразийского ПО ... 
«МойОфис», российский производитель программного обеспечения для совместной работы с документами и коммуникации, объявляет об изменениях в составе акционеров компании ООО «Новые облачные технологии». «Лаборатория Касперского» увеличивает долю в капитале «МойОфис» на 17,5%, тем самым нарастив пакет акций до 47%. Сделка стала продолжением стратегии «Лаборатории Касперского» по диверсификации бизнеса и инвестициям в перспективные IT-направления. Сумма сделки […] Сообщение «Лаборатория Касперского» нарастила до... 
    Наверх       На главную страницу       Адрес электропочты   Рейтинг@Mail.ru
Данный интернет-сайт носит исключительно информационный характер, и ни при каких условиях информационные
материалы и цены, размещенные на сайте, не являются публичной офертой, определяемой положениями Статьи 437 ГК РФ.

Сергей Волков – эксперт в области информационных технологий © 2011−2020
Работает система управления сайтом «Публикатор 1.7» © 2004−2020
   
  Ответы где отметить детский день рождения здесь.