El COMO de SAMBA LDAP en Linux

El schema de Samba debe de ser soportado por el servidor OpenLDAP. Para hacerlo, y usando el paquete de smbldap-tools, solo verifica que tu archivo /etc/openldap/slapd.conf incluya las lineas como el ejemplo de aqui abajo:

include         /etc/openldap/schema/core.schema
include         /etc/openldap/schema/cosine.schema
include         /etc/openldap/schema/inetorgperson.schema
include         /etc/openldap/schema/nis.schema
include         /etc/openldap/schema/samba.schema

NOTA: el orden de los schemas son importantes.

NOTA: Si el schema para samba no existe en /etc/openldap/schema/ entonces hay que copiar /usr/share/doc/samba-3.0.14a-r2/examples/LDAP/samba.schema a /etc/openldap/schemas

# cp -v /usr/share/doc/samba-3.0.14a-r2/examples/LDAP/samba.schema /etc/openldap/schema/

Como puedes ver, usamos el objectclass inetOrgPerson porque queremos mezclar datos organizacionales y tecnicos. Haciendolo asi facilitaremos la administracion ya que una cuenta de usuario sera usada para definir:

Hacerlo asi no es obligatorio: sientete libre de usar un contexto que se ajuste mejor a tus necesidades si esta no es la manera que tu quires seguir. Note que usamos el samba.schema incluido con las fuentes de samba 3.0.11rc1.

Configurar el servidor slapd para ser e servidor maestro para el siguiente sufijo: dc=tuxjm,dc=net. Esto resultara en las lsiguientes lineas en el archivo de configuracion slapd.conf:

database        ldbm
directory       "/var/lib/openldap-ldbm"

suffix          "dc=tuxjm,dc=net"
rootdn          "cn=root,dc=tuxjm,dc=net"

index           objectClass,uidNumber,gidNumber                 eq
index           cn,sn,uid,displayName                           pres,sub,eq
index           memberUid,mail,givenname                        eq,subinitial
index           sambaSID,sambaPrimaryGroupSID,sambaDomainName   eq

Entonces, crea la Lista de Control de Acceso (ACL) para proteger los datos. Esto resultara en las siguientes liena de el archivo de configuracion:

access to attrs=userPassword,sambaLMPassword,sambaNTPassword
        by self write
        by anonymous auth
        by * none
access to *
        by * read

Finalmente, define la contraseña para el Root DN de el servidor, esto resultara en la siguiente linea:

rootpw    mysecretpwd

No olvides poner el modo 600 a el archivo /etc/openldap/slapd.conf para proteger tu contraseña de el Root DN, si es que no estan puestos ya. Tambien puedes poner un password hash en el archivo, usa el comando slappasswd. Por ejemplo, para tener la palabra "secreto" hashed con el algoritmo MD5, usa el comando:

# slappasswd -h {Md5} -s secreto
{MD5}4gGZTcqTIPyUM2YDsc/JcA==

Los algoritmos disponibles son CRYPT, MD5, SMD5, SSHA, y SHA. El predeterminado es SSHA. las lineas resultantes en el archivo /etc/openldap/slapd.conf seran:

rootpw    {MD5}4gGZTcqTIPyUM2YDsc/JcA==

Configura las opciones predeterminadas para clientes LDAP editando /etc/openldap/ldap.conf como en el siguiente ejemplo:

HOST 127.0.0.1
BASE dc=tuxjm,dc=net
###URI ldap://127.0.0.

Ejecutar el comando slaptest para hacer una revision de la sintaxis en el archivo de configuracion /etc/openldap/slapd.conf

# slaptest -v
config file testing succeeded

Si regresa algun error revisar la configuracion. Ahora es tiempo de ejecutar el servidor LDAP asi:

# /etc/init.d/slapd start
 * Caching service dependencies ...                                                                                  [ ok ]
 * Starting ldap-server ...                                                                                          [ ok ]

Confirmar que el servicio esta corriendo:

# netstat -plutn | grep slapd
tcp   0   0 0.0.0.0:389   0.0.0.0:*   LISTEN   25058/slapd

Y ahora hay que hacer una consulta al servidor LDAP:

# ldapsearch -x -b '' -s base '(objectclass=*)' namingContexts
# extended LDIF
#
# LDAPv3
# base <> with scope base
# filter: (objectclass=*)
# requesting: namingContexts
#

#
dn:
namingContexts: dc=tuxjm,dc=net

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

Si sale algo asi significa que el servidor esta corriendo. Si quieres que el servidor slapd arranque al inicio del sistema ejecutar el siguiente comando:

# rc-update add slapd default
 * slapd added to runlevel default
 * rc-update complete.

Todo deberia de trabajar bien. Si no:

Primero tenemos que instalar los programas pam_ldap y nss_ldap:

# emerge pam_ldap

# emerge nss_ldap

Usar authconfig para configurar pam_ldap (WACALA):

Editar /etc/pam.d/system-auth para que quede asi:

#%PAM-1.0

auth       required     pam_env.so
auth       sufficient   pam_unix.so likeauth nullok
auth       sufficient   pam_ldap.so use_first_pass
auth       required     pam_deny.so

account    required     pam_unix.so
account    sufficient   pam_localuser.so
account    required     pam_ldap.so

password   required     pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3
password   sufficient   pam_unix.so nullok md5 shadow use_authtok
password   sufficient   pam_ldap.so use_authtok
password   required     pam_deny.so

session    required     pam_limits.so
session    required     pam_unix.so
session    optional     pam_ldap.so

Edita tu archivo de configuracion /etc/ldap.conf para configurar los parametros LDAP:

El cual deberia de verse como sigue:

uri ldap://127.0.0.1/
ldap_version 3
scope one
pam_filter objectclass=posixAccount
pam_login_attribute uid
pam_member_attribute memberuid
pam_password exop
nss_base_passwd         ou=Users,dc=tuxjm,dc=net
nss_base_passwd         ou=Computers,dc=tuxjm,dc=net
nss_base_shadow         ou=Users,dc=tuxjm,dc=net
nss_base_group          ou=Groups,dc=tuxjm,dc=net

Debes de colocar en este archivo, protegido por el modo 600, el bind password asociado con el nombre distinguido usado por nss_ldap para amarrarse a el directorio OpenLDAP cuando el usuario local es root. En nuestro ejemplo, este archivo debe de contener la siguiente contraseña:

nssldapsecretpwd

Edita tu archivo /etc/nsswitch.conf para configurar tu Name Service Switch para usar LDAP para usuarios y grupos:

passwd:      files ldap
shadow:      files ldap
group:       files ldap

Necesitamos configurar /etc/samba/smb.conf como en el jemplo de 17.1.3 en la pagina 56, asumiendo que:

Edita tu archivo /etc/samba.smb.conf como en el ejemplo 17.1.3 en la pagina 56 para configurar tu servidor Samba. Remarquemos algunas cosas acerca de este archivo:

La seccion global Esta seccion te permite configurar los parametros globales para el servidor. Es aqui donde toman logar todos los parametros que definiremos en el parrafo anterior. Tambien hemos definido el programa que un usuario usa para cambiar su contraseña (programa passwd) y el dialogo usado entre el servidor y el usuario durante dicho cambio.

La opcion "add machine script" permite a smbd agregar, como root, una nueva cuenta de maquina a el dominio. Cuando una maquina contacta el dominio, este script es llamado y la nueva cuenta de maquina es creada en el dominio. Esto hace facil la administracion de cuentas de maquina. Por razones de seguridad, la unica cuenta permitida para agregar cuentas de computadora en el dominio es "Administrator" la cual es una cuenta priviligiada.

Para usuarios franceses, agregamos una linea que permite a smbd mapear nombres de archivos entrantes de un codigo de pagina DOS. Esta opcion es muy util si quieres que los archivos y los directorios en los profiles sean guardados con todos los acentos que ellos tienen. No olvides leer la pagina de el manual para mas detalles: esta opcion es un un conjunto de caracteres Unix Western European.

El parametro client code page DEBE de ser ser configurado al codigo de pagina 850 para que la conversion a caracters UNIX sea correctamente hecha.

[global]
  workgroup = IDEALX-NT
  netbios name = PDC-SRV
  enable privileges = yes
  server string = SAMBA-LDAP PDC Server

  ...
  #unix password sync = Yes
  #passwd program = /usr/local/sbin/smbldap-passwd -u %u
  #passwd chat = "Changing password for*\nNew password*" %n\n "*Retype new password*" %n\n"
  ldap passwd sync = Yes
  ...
  ; SAMBA-LDAP declarations
  passdb backend = ldapsam:ldap://127.0.0.1/
  # ldap filter = (&(objectclass=sambaSamAccount)(uid=%u))
  ldap admin dn = cn=Manager,dc=IDEALX,dc=ORG
  ldap suffix = dc=IDEALX,dc=ORG
  ldap group suffix = ou=Groups
  ldap user suffix = ou=Users
  ldap machine suffix = ou=Computers
  ldap ssl = start_tls

  add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
  add user script = /usr/local/sbin/smbldap-useradd -m "%u"
  ldap delete dn = Yes
  #delete user script = /usr/local/sbin/smbldap-userdel "%u"
  add group script = /usr/local/sbin/smbldap-groupadd -p "%g"
  #delete group script = /usr/local/sbin/smbldap-groupdel "%g"
  add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g"
  delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g"
  set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u"

  ... 
  Dos charset = 850
  Unix charset = ISO8859-1

La secciion shares Aqui toma lugar toda la seccion de recursos compartidos. En particular, podemos definir los directorios para el home de los usuarios el cual es definido en la seccion [homes]:

[homes]
  comment = Home Directories
  valid users = %U
  read only = No
  create mask = 0664
  directory mask = 0775
  browseable = No

Los profiles de los usuarios seran almacenados en el recurso compartido llamado [profiles]. Este es el directorio raiz para los profiles la variable ldap sambaProfilePath especifica la ruta exacta para cada usuario. Por ejemplo si sambaProfilePath es puesta a \\PDC-SRV\profiles\testuser, entonces el directorio de el profile para el usuario testuser es /home/samba/profiles/testuser/. Asegurate de tener los correctos permisos para este directorio. El bit pegajoso (sticky bit) debe de ser puesto. Haz un simple chmod 1777 /home/samba/profiles y estar bien. No olvides que el sistema no toma estos cambios inmediatamente. Debes de esperar varios minutos antes de que cualquier profile tome lugar.

[profiles]
  path = /home/samba/profiles
  read only = No
  create mask = 0600
  directory mask = 0700
  browseable = No
  guest ok = Yes
  profile acls = Yes
  csc policy = disable
  # next line is a great way to secure the profiles
  force user = %U
  # next line allows administrator to access all profiles
  valid users = %U @"Domain Admins"

Si quieres que un archivo de comandos sea bajado y ejecutado cuando un usuario inicia sesion satisfactoriamente en una estacion de trabajo windows, debes de definir una seccion netlogon y un script netlogon. El script netlogon debe de tomar lugar en la seccion global y el script debe de estar en una ruta relativa a el servicio [netlogon]. Por ejemplo, si el servicio [netlogon] especifica la ruta /home/samba/netlogon (como en nuestro ejemplo, entonces si el script es definido como logon script = STARTUP.BAT, el archivo que sera bajado es /home/samba/netlogon/STARTUP.BAT. Finalmente, definidmos una seccion doc que autoriza a todos ver el directorio de documentos /usr/share/doc.

[global]
  ...
  logon script = STARTUP.BAT
  ...

[netlogon]
  path = /home/samba/netlogon/
  browseable = No
  read only = yes

[doc]
  path=/usr/share/doc
  public=yes
  writable=no
  read only=no
  create mask = 0750
  guest ok = Yes

Por ejemplo, podemos tener el script STARTUP.BAT que monta el directorio de documentacion en en el volumen "J" en los clientes windows. Otro comando util configura los windows para sincronizar el tiempo a el de el servidor:

NET USE J: \\PDC-SRV\doc
NET TIME \\PDC-SRV /SET /YES

Debes de crear algunos directorios, de acuerdo a /etc/samba/smb.conf:

mkdir /home/samba
mkdir /home/samba/netlogon
mkdir /home/samba/profiles
chmod 1777 /home/samba/profiles

Samba debe de conocer la conraseña de el usuario ldap admin dn (cn=root,dc=TUXJM,dc=net) que haz especificado en smb.conf. Este usuario es usado por samba para amarrarse a el directorio DLAP y debe de tener los suficientes permisos para agregar/modificar cuentas almacenadas en el directorio LDAP. Para hacer eso. usa el siguiente comando ( asumiendo 'mysecretpwd' es la contraseña de ldap admin dn, ver tu archivo de configuracion /etc/openldap/slapd.conf para estar seguro):

[root@pdc-srv samba]# smbpasswd -w mysecretpwd
Setting stored password for "cn=Manager,dc=TUXJM,dc=ORG" in secrets.tdb

Samba almacenara estos datos en /var/lib/samba/private/secrets.tdb. Note que este "ldap admin dn" puede ser otra cuenta aparte de el Root DN: podrias usar otra cuenta ldap que tenga permisos para escribir cualquier atributo sambaSAMAaccount y posixAccounts (ver seccion 5 en la pagina 19 para consideraciones de seguridad).

Para validar tu configuracion Samba, usa testparm el cual debe de regresar "Loaded services file OK." sin ninguna advertencia o algun parametro desconocido. Ver man testparm para mas informacion.

net getlocalsid

Nota que necesitas iniciar samba por algunos segundos para que este comando termine satisfactoriamente.

Necesitamos agregar algunas entradas iniciales a el nuevo servidor OpenLDAP recien configurado:

La manera mas facil de configurar tu directorio LDAP y agregar las entradas base predeterminadas puede ser usando el script smbldap-populate:

[root@etoile root]# smbldap-populate
Populating LDAP directory for domain TUXJM (S-1-5-21-4205727931-4131263253-1851132061)
(using builtin directory structure)
adding new entry: dc=tuxjm,dc=net
adding new entry: ou=Users,dc=tuxjm,dc=net
adding new entry: ou=Groups,dc=tuxjm,dc=net
adding new entry: ou=Computers,dc=tuxjm,dc=net
adding new entry: uid=root,ou=Users,dc=tuxjm,dc=net
adding new entry: uid=nobody,ou=Users,dc=tuxjm,dc=net
adding new entry: cn=Domain Admins,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Domain Users,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Domain Guests,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Domain Computers,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Administrators,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Account Operators,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Print Operators,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Backup Operators,ou=Groups,dc=tuxjm,dc=net
adding new entry: cn=Replicators,ou=Groups,dc=tuxjm,dc=net
adding new entry: sambaDomainName=IDEALX-NT,dc=tuxjm,dc=net
Please provide a password for the domain root:
Changing password for root
New password :
Retype new password :

12* si deseas hacer esto manualmente, un archivo LDIF de ejmplo presentado en la seccion 17.2 en la pagina 60 te da mas detalles en que objectos vas a agregar a la base de datos OpenLDAP. Copialo y pegalo en el archivo llamado smbldap-base.ldif y agregalo usando el comando (teclea la contraseña de tu admin DN, 'mysecretpw' para completar el comando cuando sea preguntado):

ldapadd -x -h localhost -D "cn=Manager,dc=TUXJM,dc=ORG" -f smbldap-base.ldif -W

La entrada sambaDomainName=TUXJM,dc=tuxjm,dc=net define el dominio samba y especificamente su SID de dominio. Tambien lo usamos para definir el siguiente uidNumber y el gidNumber disponible al crear usaurios y grupos. Los valores predeterminados para esos numersos son 1000. Puedes cambiarlo con la opcion -u y -g. Por ejemplo, si quieres que el que el primer valor disponible para uidNumbetr y gidNumber sea el 1500, puedes usar el siguiente comando:

smbldap-populate -u 1550 -g 1500

La contraseña de el usuario Administrator, por ejemplo la dcontraseña de root es definida inmediatamente. De hecho, cualquier usuario colocado en el grupo "Domain Admins" sera autorizado con permisos de Administrador de el Dominio Windows, pero solo la cuenta Administrator es permitida para unir computadoras a el dominio. Una vez agregado, Deberas de agregar las cuentas de seguridad para Samba y Linux. Para que sean procesadas Copia y pega las cuentas definidas en la seccion 17.3 y agregalas al directorio con el sigueinte comando:

# ldapadd -x -h localhost -D "cn=root,dc=tuxjm,dc=net" -f smbldap-dsa.ldif -W

Finalmente, establece la contraseña predeterminada para estas cuentas:

ldappaswd -x -h localhost -D "cn=root,dc=TUXJN,dc=NET" -s sambasecretpwd \
-W cn=samba,ou=DSA,dc=TUXJM,dc=NET

ldappaswd -x -h localhost -D "cn=root,dc=TUXJN,dc=NET" -s nssldapsecretpwd \
-W cn=nssldap,ou=DSA,dc=TUXJM,dc=NET