Idézet: 1soproni - Dátum: 2006. ápr. 5., szerda - 9:13
AD-ből authentikál a samba-d? Jóljönne a config
Samba3 kell hozzá, és kerberos. az nsswitch.conf-ot át kell állítani, hogy ne csak unix forrásból legyen auth, hanem a winbind is szolgáltassa ezeket. Ezután a filerendszerbe is adhatsz direkt jogokat AD usereknek. Még ez is tesztüzem alatt van, de eddig nincs panasz. A samba konfig pedig egyszerű (DOMAIN a tartomány netbios neve, domain.hu a dns neve, a dc neve meg dc.domain.hu):
smb.conf releváns része:
[global]
unix charset = CP1250
display charset = CP1250
workgroup = DOMAIN
realm = domain.hu
security = ADS
allow trusted domains = no
preferred master = no
local master = no
domain master = no
dns proxy = no
password server = dc.domain.hu
auth methods = winbind
encrypt passwords = yes
client ntlmv2 auth = yes
client use spnego = yes
winbind cache time = 3600
winbind enum users = yes
winbind enum groups = yes
winbind use default domain = yes
client signing = mandatory
client schannel = yes
server signing = mandatory
server schannel = yes
# nincs netbios
disable netbios = yes
smb ports = 445
restrict anonymous = 2
idmap backend = rid:DOMAIN=10000-20000
idmap uid = 10000-20000
idmap gid = 10000-20000
krb5.conf:
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
default_realm = DOMAIN.HU
[realms]
DOMAIN.HU = {
kdc = dc.domain.hu
default_domain = domain.hu
admin_server = dc.domain.hu
}
[domain_realm]
.domain.hu = DOMAIN.HU
domain.hu = DOMAIN.HU
.DOMAIN.HU = DOMAIN.HU
[appdefaults]
pam = {
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwardable = true
krb4_convert = false
}
nsswitch.conf
passwd: files winbind
passwd_compat: nis
group: files winbind
group_compat: nis
hosts: files dns
networks: files dns
...
Ahhoz, hogy ez működjön, A kerberos tesztelése:
kinit admin <- domain admin neve
password for admin@WHO.COM:
****
kinit: NOTICE: ticket renewable lifetime is 1 week
a
klist paranncsal meg tudod nézni a kapott ticketet.
a gépet a tartományhoz adni a
net ads join paranccsal lehet. Siker után a klist-tel megnézheted a kapott ticketeket, ha a
wbinfo -u kilistázza a domain usereket, akkor működik is.
Bocs, ha kicsit szedett-vedett, fejből írtam most mindent. Ja, és persze FreeBSD alatt megy a dolog, de gondolom linux alatt is ugyanez.
Súgó
A téma zárva.
