Debian (squeez) SAMBA PDC avec annuaire OpenLDAP

Transcription

1 - { Prog en vrac } Accueil Linux Rechercher 24 sep par senti Linux 37 commentaires Suite à l arrivée récente de Windows 7 pro dans mon entreprise, j ai voulu ajouté mes machines sur mon contrôleur de domaine SAMBA (3.2.5) et malheureusement j ai eux la surprise de découvrir que mon windows 7 n arrivait pas à dialoguer avec mon contrôleur de domaine. J ai donc attaqué les recherches pour savoir si d autres personnes avait le même soucis... Et apparemment oui... La version n est pas compatible avec windows 7... J ai donc décidé de tester avec la distribution testing de debian, pour savoir si cela fonctionnerai avec la nouvelle version de samba. Voici donc le tutoriel issue de cette installation, en ésperant qu il puisse servir à nombre d entre vous. 1. Prérequis Tout d abord nous allons changer le niveau de debconf par défaut celui-ci est sur dialogue et élevé. Nous allons le 1 sur 38 07/05/12 10:31

2 - { Prog en vrac } reconfigurer en dialogue et intermédiaire. Pour cela faire un : dpkg-reconfigure debconf 2. Installation de openldap (2.4.23) 2.1 Installation des paquets apt-get install slapd ldap-utils ldapvi Lors de cette installation un certain nombre de questions seront posées : Faut il omettre la configuration d OpenLDAP? Non Nom de domaine : dev.net Nom de votre organisation : dev Mot de passe administrateur : ******** Faut-il autoriser le protocole LDAPv2 : Non Attention : Dans la nouvelle version d openldap le fichier slapd.conf n existe plus il est remplacé par le répertoire /slapd.d, Nous verrons comment faire par la suite pour ajouter le nouveau schéma samba. 2.2 Installation de phpldapadmin ( ) Afin de visualiser notre nouveau LDAP, je vous propose l installation de phpldapadmin qui nous permettra de visualiser plus simplement notre annuaire ldap qui pour l instant ne contient pas grand chose. Il est important aussi de noter que l installation de celui-ci à un peu changé aussi. apt-get install phpldapadmin 2 sur 38 07/05/12 10:31

3 - { Prog en vrac } Lors de l installation un certain nombre de question seront posées : Adresse du serveur LDAP : (si votre annuaire est sur un autre serveur donnez lui son adresse biensûr) Faut-il gérer le protocole LDAPS : non Nom distinctif de la base de recherche : dc=dev, dc=net Type d authentification : session (vous avez le choix entre session, cookie, config) Identifiant dn de connexion au serveur LDAP : cn=admin,dc=dev, dc=net Serveur web à reconfigurer automatiquement : apache2 (vous avez le choix entre apache, apache-ssl, apache-perl et apache2). Faut-il redémarrer le serveur web : oui Une fois l installation terminée allez sur un poste qui dispose d un navigateur internet et testez si phpldapadmin est bien installé. Une fois sur l interface vous pouvez vous connecter à votre annuaire en tant qu admin avec votre mot de passe administrateur LDAP. 2.3 Installation du schéma samba L installation de ce schéma est essentiel car il contient les attributs nécessaire au LDAP pour la bon dialogue avec samba en PDC. apt-get install samba-doc Puis ensuite 3 sur 38 07/05/12 10:31

4 - { Prog en vrac } gunzip -c /usr/share/doc/samba-doc/examples/ldap/samba.schema.gz > /etc/ldap/schema/samba.schema Une fois cette étape finie dans l ancienne version il suffisait d ajouter le schema dans slapd.conf. Mais avec la nouvelle version de samba quand on fait un ls -l /etc/ldap/slapd.d/cn=config/cn=schema on obtient : -rw openldap openldap sept. 13:39 cn={0}core.ldif -rw openldap openldap sept. 13:39 cn={1}cosine.ldif -rw openldap openldap sept. 13:39 cn={2}nis.ldif -rw openldap openldap sept. 13:39 cn={3}inetorgperson.ldif et on constate que notre schéma n est pas présent. La solution (qui n est peut etre pas la bonne, car j avoue avoir cherché longtemps sans en trouvé de meilleur et la doc d openldap est très très chiante à comprendre) est de creer un fichier /etc/ldap/slapd.conf manuellement et d y inclure les schémas nécessaires. Attention il faut remettre les anciens schéma sous peine d avoir un message d erreur. vim /etc/ldap/slapd.conf puis include include include /etc/ldap/schema/core.schema /etc/ldap/schema/cosine.schema /etc/ldap/schema/nis.schema 4 sur 38 07/05/12 10:31

5 - { Prog en vrac } include include /etc/ldap/schema/inetorgperson.schema /etc/ldap/schema/samba.schema Et on sauvegarde en sortant. Une fois ce fichier créer on lance la commande suivante qui convertira au nouveau format : slaptest -f /etc/ldap/slapd.conf -F /etc/ldap/slapd.d/ la commande doit vous retourner config testing succeeded. Si on refait un petit ls -l /etc/ldap/slapd.d/cn=config/cn=schema on constate que le schéma est bien ajouté, mais que le propriétaire est root et non openldap comme ci-dessous. -rw openldap openldap sept. 13:39 cn={0}core.ldif -rw openldap openldap sept. 13:39 cn={1}cosine.ldif -rw openldap openldap sept. 13:39 cn={2}nis.ldif -rw openldap openldap sept. 13:39 cn={3}inetorgperson.ldif -rw root root sept. 14:13 cn={4}samba.ldif on va donc lancer les commandes suivantes pour lui donner les droits chown openldap:openldap /etc/ldap/schema/ -R chown openldap:openldap /etc/ldap/slapd.d/ -R Un fois ces commandes exécuté on peut enfin faire un redémarrage du serveur ldap. /etc/init.d/slapd restart 5 sur 38 07/05/12 10:31

6 - { Prog en vrac } 3. Installation de SAMBA Nous allons maintenant attaquer la partie PDC avec samba. Pour cela nous allons installer un certain nombre d éléments (samba, smbclient, smbfs,smbldap-tools). apt-get install samba smbclient smbfs smbldap-tools Lors de l installation de samba un certain nombre de questions seront posées : Nom du domaine ou groupe de travail : DEV Voulez vous chiffrer les mots de passe : Oui Modifier smb.conf pour utiliser les paramètres WINS fournis par DHCP : Non Comment voulez-vous lancer Samba : Demon Faut-il créer une base de données /var/lib/samba/passdb.tdb : Non Une fois l installation du serveur SAMBA effectuée, arretez le service samba en faisant : /etc/init.d/samba stop 3.1 Configuration du fichier smb.conf Avant toute chose faire une copie de sauvegarde du fichier d origine (on est jamais assez prudent hein :p) cp /etc/samba/smb.conf /etc/samba/smb.conf.save Une fois la copie effectuée, éditez le fichier smb.conf avec votre éditeur préférer et changer les paramètres à l intérieur. Voici ci-dessous mon fichier smb.conf pour plus de simplicité. 6 sur 38 07/05/12 10:31

7 - { Prog en vrac } [global] workgroup = DEV server string = Controleur de domaine netbios name = developpement domain master = yes local master = yes domain logons = yes client lanman auth = yes client ntlmv2 auth = yes lanman auth = yes ntlm auth = yes security = user os level = 40 ldap ssl = off ldap passwd sync = yes passdb backend = ldapsam:ldap:// ldap admin dn = cn=admin,dc=dev,dc=net ldap suffix = dc=dev,dc=net ldap group suffix = ou=groups ldap user suffix = ou=users ldap machine suffix = ou=machines add user script = /usr/sbin/smbldap-useradd -m "%u" ldap delete dn = yes delete user script = /usr/sbin/smbldap-userdel "%u" add machine script = /usr/sbin/smbldap-useradd -w "%u" add group script = /usr/sbin/smbldap-groupadd -p "%g" #delete group script = /usr/sbin/smbldap-groupdel "%g" add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g" delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g" 7 sur 38 07/05/12 10:31

8 - { Prog en vrac } set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u" logon path = \\%L\profiles\%U logon drive = P: logon home = \\%L\%U socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192 case sensitive = No default case = lower preserve case = yes short preserve case = Yes #character set = iso #domain admin group dns proxy = No wins support = Yes winbind use default domain = Yes nt acl support = Yes msdfs root = Yes hide files = /desktop.ini/ntuser.ini/ntuser.*/ # autre possibilité "veto files = " # # Reglage de l'encodage des caracteres : unix charset = iso display charset = iso dos charset = 850 # [netlogon] path = /home/dev/netlogon writable = No browseable = No write list = Administrateur 8 sur 38 07/05/12 10:31

9 - { Prog en vrac } # [profiles] path = /home/dev/profiles browseable = No writeable = Yes profile acls = yes create mask = 0700 directory mask = 0700 # [homes] comment = Repertoire Personnel browseable = No writeable = Yes # [partage] comment = Repertoire commun browseable = Yes writeable = Yes public = No path = /home/partage # [printers] comment = All Printers path = /var/spool/samba create mask = 0700 printable = Yes browseable = No # [print$] 9 sur 38 07/05/12 10:31

10 - { Prog en vrac } comment = Printer Drivers path = /var/lib/samba/printers Une fois le fichier smb.conf sauvegardé il va falloir créer les répertoires pour les scripts de connexion, les profiles itinérants ainsi que le partage sur le serveur. mkdir /home/dev/netlogon mkdir /home/dev/profiles && chmod 777 /home/dev/profiles mkdir /home/dev/partage Après la création des répertoires ne pas oublier de verifier la configuration du fichier smb.conf de samba en faisant : testparm cette commande doit vous renvoyer : Loaded services file OK. Server role : ROLE_DOMAIN_PDC N oubliez pas de faire un petit /etc/init.d/samba start 3.2 Mot passe LDAP vers SAMBA Afin d administrer correctement le serveur LDAP samba aura besoin du mot de passe administrateur de celui-ci... Pour cela tapez la commande suivante et donné le mot de passe administrateur du ldap. 10 sur 38 07/05/12 10:31

11 - { Prog en vrac } smbpasswd -w ***** samba doit vous répondre : Setting stored password for "cn=admin,dc=dev,dc=net" in secrets.tdb 3.3 configuration des outils smbldap-tools smbldap-tools est un ensemble de script permettant de créer les utilisateurs POSIX de manière automatique. La configuration de celui-ci se fait par l intermédiaire de deux fichiers qui ne sont pas encore présent sur notre système : /etc/smbldap-tools/smbldap_bind.conf /etc/smbldap-tools/smbldap.conf Il faudra donc les créer manuellement Fichier smbldap_bind.conf voici le détail du fichier smbldap_bind ci-dessous : masterdn="cn=admin,dc=dev,dc=net" masterpw="toto" slavedn="cn=admin,dc=dev,dc=net" slavepw="toto" Comme vous pouvez le constater le mot de passe administrateur du LDAP est en clair, il est donc important de lui changer les droits d accès... chmod 600 /etc/smbldap-tools/smbldap_bind.conf 11 sur 38 07/05/12 10:31

12 - { Prog en vrac } Fichier smbldap.conf Le fichier smbldap.conf, contient un peu plus de parametre et a aussi besoin du SID du domaine. Pour cela faire un : net getlocalsid vous devez obtenir : SID for domain DEV is: S Attention si vous avez des erreurs TLS... cela veut dire que vous avez oublié un paramètre dans votre fichier smb.conf (ldap ssl = off)!!!! une fois le SID en poche il ne reste plus qu a faire le fichier de configuration comme ci-dessous : SID="S " masterldap=" " masterport="389" slaveldap=" " slaveport="389" ldaptls="0" verify="require" suffix="dc=dev,dc=net" usersdn="ou=users,${suffix}" computersdn="ou=machines,${suffix}" groupsdn="ou=groups,${suffix}" idmapdn="ou=idmap,${suffix}" 12 sur 38 07/05/12 10:31

13 - { Prog en vrac } # La ligne ci-dessous est commentee pour eviter une erreur lors de # l'execution de la commande smbldap-populate. # sambaunixidpooldn="cn=nextfreeunixid,${suffix}" #sambaunixidpooldn="sambadomainname=dev,${suffix}" scope="sub" hash_encrypt="ssha" crypt_salt_format="%s" userloginshell="/bin/bash" userhome="/home/%u" userhomedirectorymode="700" #Nom d'affichage - utiliser smbldap-useradd -c usergecos="user" defaultusergid="513" defaultcomputergid="515" skeletondir="/etc/skel" #Les mots de passe expirent dans 10ans defaultmaxpasswordage="3650" with_smbpasswd="0" smbpasswd="/usr/bin/smbpasswd" with_slappasswd="0" slappasswd="/usr/sbin/slappasswd" # mk_ntpasswd="/usr/local/sbin/mkntpwd" smbldap-populate La commande smbldap-populate va créer notre arbre de base au sein du LDAP. Pour cela il suffit de faire : smbldap-populate 13 sur 38 07/05/12 10:31

14 - { Prog en vrac } le résultat doit etre : Populating LDAP directory for domain dev (S ) (using builtin directory structure) entry dc=dev,dc=net already exist. adding new entry: ou=users,dc=dev,dc=net adding new entry: ou=groups,dc=dev,dc=net adding new entry: ou=machines,dc=dev,dc=net adding new entry: ou=idmap,dc=dev,dc=net adding new entry: uid=root,ou=users,dc=dev,dc=net adding new entry: uid=nobody,ou=users,dc=dev,dc=net adding new entry: cn=domain Admins,ou=Groups,dc=dev,dc=net adding new entry: cn=domain Users,ou=Groups,dc=dev,dc=net adding new entry: cn=domain Guests,ou=Groups,dc=dev,dc=net adding new entry: cn=domain Computers,ou=Groups,dc=dev,dc=net adding new entry: cn=administrators,ou=groups,dc=dev,dc=net adding new entry: cn=account Operators,ou=Groups,dc=dev,dc=net adding new entry: cn=print Operators,ou=Groups,dc=dev,dc=net adding new entry: cn=backup Operators,ou=Groups,dc=dev,dc=net adding new entry: cn=replicators,ou=groups,dc=dev,dc=net entry sambadomainname=dev,dc=dev,dc=net already exist. Updating it... Please provide a password for the domain root: Changing UNIX and samba passwords for root New password: Retype new password: 14 sur 38 07/05/12 10:31

15 - { Prog en vrac } Si vous avez des messages d erreurs assurez vous que votre schéma samba est bien présent dans les schémas de votre serveur openldap... Vous pouvez aussi visualiser que sur votre interface phpldapadmin l architecture a été mis à jour. 4. Installation de libnss-ldap et libpam-ldap Nous allons maintenant installer et configurer la librairie qui permet d utiliser l annuaire (libnss-ldap) et la librairie qui permet de s authentifier sous unix (libpam-ldap) apt-get install libnss-ldap libpam-ldap 15 sur 38 07/05/12 10:31

16 - { Prog en vrac } Lors de l installation un certain nombre de question seront posées : Identifiant uniforme de ressource («URI») du serveur LDAP : ldap :// Nom distinctif (DN) de la base de recherche : dc=dev,dc=net Version de LDAP utiliser : 3 La base LDAP demande-t-elle une identification : non Privilèges LDAP spécifiques pour le superutilisateur : oui Rendre le fichier de configuration lisible et modifiable uniquement par son propriétaire : non Compte LDAP pour le superutilisateur («root») : cn=admin,dc=dev,dc=net Mot de passe du compte du superutilisateur LDAP : **** Donner les priviéges de superutilisateur local au compte administrateur LDAP? oui La base LDAP demande-t-elle une identification : non Compte LDAP pour le superutilisateur («root») : cn=admin,dc=dev,dc=net Mot de passe du compte du superutilisateur LDAP : **** Algorithme de chiffrement a utiliser localement pour les mots de passe : chiffré Maintenant que les librairies sont configurées, on doit activer la recherche LDAP en modifiant le fichier de configuration /etc/nsswitch.conf. Pour cela il faut simplement ajouter ldap à passwd,group et shadow passwd: compat ldap group: compat ldap shadow: compat ldap 5. Ajout utilisateur Samba LDAP Pour ajouter un utilisateur sur l annuaire il suffit de faire un : smbldap-useradd -a -c "senti" -m -P senti 16 sur 38 07/05/12 10:31

17 - { Prog en vrac } si vous faite un ls -la sur repertoire /home vous devait avoir Domain Users drwxr-xr-x 5 dev dev sept. 14:55 dev drwx senti Domain Users sept. 16:33 senti 6 Suppression d un utilisateur sur le LDAP Pour supprimer un utilisateur sur l annuaire il suffit de faire un : smbldap-userdel senti 7. changer le mot de passe d un utilisateur Pour changer le mot de passe utilisateur sur l annuaire il suffit de faire un : smbldap-passwd senti Voilà pour les principales commandes, il en existe beaucoup d autre et je n ai pas le temps de les détailler ici. En ce qui concerne la liaison avec vos session windows xp, vista, seven, il ne reste plus qu a faire la liaison avec votre PDC. N oubliez pas que l utilisateur autorisé à joindre les utilisateurs au domaine est "root" si vous souhaitez que ce soit administrateur il est possible d ajouter un user administrateur en faisant : smbldap-populate -a Administrateur Bon courage :D 17 sur 38 07/05/12 10:31

18 - { Prog en vrac } J aime 19 «J aime». Inscription pour voir ce qu aiment vos amis. 47 Messages de forum Debian Testing (squeez) SAMBA PDC avec annuaire OpenLDAP 19 novembre :00, par randharn super tuto...merci comment synchroniser DC samba avec annuaire ldap avec acctive directory et si le controleur de domaine est un windows serveur 2003 ou 2008 et le serveur samba une debian, comment on fait pour que le serveur ldap utilise l annuaire active directory. merci d avance... encore bravo pour ce tuto... Votre blog 2 décembre :22, par Romain Je suis en train de parcourir les différentes news de votre blog, je le trouve très intéréssant! Allez op je l ajoute à mes favoris ;) Debian Testing (squeez) SAMBA PDC avec annuaire OpenLDAP 27 décembre :45 un grand merci pour le tuto! 18 sur 38 07/05/12 10:31

19 - { Prog en vrac } Debian Testing (squeez) SAMBA PDC avec annuaire OpenLDAP 25 janvier :25, par duke-nukem je vais essayer et de le faire tourner BRAVO!!! BRAVO!!!!! merci pour le tuto Debian Testing (squeez) SAMBA PDC avec annuaire OpenLDAP 26 janvier :12 Génial tuto qui a le mérite d être un sinon le premier en français concernant samba ldap avec squeeze. Après 3 jours de recherche continue c est du bonheur. 19 avril :24, par jeresous une petite faute : dans le prérequis c est dpkg-reconfigure debconf au lieu de dpkg-reconfigure deconf sinon je ne suis pas encore arive au bout mais ca a l air de marcher. trois question avec ca 1) quand j ajouterai une machine dans le domaine elle devrait se retrouver dans l anuaire automatiquement? 2) avec la conf ici les utilisateur peuvent-il changer leur mot de passe windows a partir de leur machine? 3) quand j ajoute des utilisateur windows au domaine est ce que je dois crée manuellement des dossiers sur le PDC? 19 avril :01, par senti Bonjour, pour la question 1 : oui pour la question 2 : oui en faisant ctrl+alt+suppr > changer de mot de passe Pour la question 3 : non le dossier sera créé au moment de la création du compte utilisateur avec son profil itinérant, ainsi que son lecteur perso 19 sur 38 07/05/12 10:31

20 - { Prog en vrac } Bonne fin de journée et merci pour la "petit faute" :p 29 avril :01 Excellent, Félicitations!!, Bravo!!!... Je viens de mettre ne place SAMBA+ LDAP grâce a ce tuto. C est de la bombe!!! Merci!!!!!!!!!!!!! 4 mai :35, par JF Bonjour super le tuto petite question, pour un win7 faut il changer qque chose dans le registre, car je n arrive pas a le joindre sur le domaine de mon pdc? Merci 4 mai :55, par senti oui c est exact, il faut modifier la base de registre, il y a la doc sur le site de samba [ ou le.reg à télécharger directement [ bonjour, 4 juillet :17, par hicham 20 sur 38 07/05/12 10:31

21 - { Prog en vrac } j ai swivi ce tutorile sur la ubuntu 11.4 tout ca marche bient mais l hosrque je veux ajouter une machine clent sous xp il connait mon domaine dev mais l orsque je veux entrer un non utilisateur et mot de passe pour ajouter l utilisateur au domaine il me sort " acces refusé"? merci pour votre aide 4 juillet :27, par senti Bonjour, J ai un utilisateur qui a eut un peu le même problème que toi, je lui ai répondu sur le forum débian il faut faire certainement un smbpasswd -w voici le lien [ 19 juillet :05, par Ijaz Bonjour, je rencontre deux soucis après avoir suivis la procédure à la lettre sur une debian squeeze. 1) Au reboot, impossible de ce logger, ca bloque après l authentification en console. Par exemple, sous ssh, je peux aller jusqu a tapper mon identifiant et plus rien, jamais le password ne me sera demandé et la console reste en l état... 2) A la création d un utilisateur, j ai ce message : "Cannot confirm uidnumber 1000 is free : checking for the next one". Re bonjour, 19 juillet :59, par Ijaz En complément à mon ancien message, j ai pu continuer à faire quelques tests. L ensemble de la procédure me semble correct jusqu à l ajout des "ldap" dans nsswitch.conf. En effet, c est à partir de cette modification qu au reboot, le système est figé. Je ne pense pas avoir fait d erreur ayant refait l installation plusieurs fois en créant des snapshots régulièrement. 21 sur 38 07/05/12 10:31

22 - { Prog en vrac } Si vous avez une idée pour terminé l installation sur un debian squeeze, je suis preneur. 19 juillet :25, par randharn bonjour, apres la commande testparm j ai ceci : Load smb config files from /etc/samba/smb.conf rlimit_max : rlimit_max (1024) below minimum Windows limit (16384) sur la version testing j ai pa eu ce msg d erreur mais sur la première version (6.0) oui. que doi-je fair pour l éliminer? merci Bonjour, 31 août :08, par Olivier Tout d abord, merci pour ce tuto. Ensuite, je rencontre un problème mineur. J ai bien compris que le premier utilisateur Administrateur que l on crée a le UID 0. Ce qui fait que lorsque l on se connecte en ssh sur le serveur tout ce qui devrais être afficher root est en administrateur. Cela ne me pose pas de problèmes. Le problème qui m embête un peut plus est a contrario, lorsque l on affiche l onglet sécurité d un répertoire réseau, on a bien trois choses, "Tout le monde", "Adminiostrators" pour un répertoire qui appartiens à administrateur, mais, a la place d avoir "Administrateur" j ai "root"... Comme Peut-on dire a samba d aller piocher dans le ldap avant le fichier /etc/group? Enfin est-il conseillé de garder les noms donné en anglais pour les groupes par défaut ou peut-on les renommer en français? 22 sur 38 07/05/12 10:31

23 - { Prog en vrac } Bonjour, 14 septembre :18, par will7991 J ai réussi à installer le pdc avec ldap. Le serveur fonctionne à merveille. Mais je n arrive pas à joindre un client XP sp2 au domaine. Lorsque je mets root + mdpderoot, il n arrive pas à authentifier l utilisateur. Via phpldamadmin, je vois bien root, je vois bien la machine "pcinfo1" à partir de laquelle j essaie de me logguer. Il n y a que des lettres en minuscules dans le mdpderoot J ai bien fait le smbpasswd -w mdpderoot Auriez vous une piste? 14 septembre :36, par senti essaie de créer un compte utilisateur sur ton contrôleur de domaine, en toute logique il ne devrait pas y avoir de problème, de plus la machine à bien été ajouté par le contrôleur de domaine dans ton annuaire ldap. Tu peux aussi faire un tail -f /var/log/samba/log.smbd Pour visualiser l erreur qui se produit lors de la jonction au domaine. Ça ne doit pas être grand chose je pense. Cordialement Senti 14 septembre :32, par will7991 Bonjour Senti Merci pour la réponse. J ai entre temps repris ton tuto depuis le départ. Ce coup ci, ça passe. J ai du louper une étape... Je confirme qu il 23 sur 38 07/05/12 10:31

24 - { Prog en vrac } fonctionne à merveille :) J ai une nouvelle question. Sur mon actuel PDC samba sans LDAP, je fais exécuter lors du login un script différent en fonction du groupe auquel appartient l utilisateur. J ai donc 1 script par groupe, nommé "NomDuGroupe.bat" Dans smb.conf, j ai "logon script = %G.bat" Or, en associant LDAP, aucun script n est lancé. C est comme s il n arrivait pas à identifier le groupe de l utilisateur LDAP. Pourtant, c est OK de ce coté... Tout ce que j ai trouvé, c est l option -E de smbldap-useradd permettant de préciser le script à lancer. Ca fonctionne, mais ça ne me plait pas trop car on n est pas à l abri d un oubli. De plus, si je déplace un user vers un autre groupe, je suis obligé de modifier ce paramètre. Je préfère la solution automatisée que j avais mis en place. Mais est-ce possible? Merci :) 14 septembre :58, par senti Pour ma part dans phpldap admin, j utilise l atribut sambalogonscript et j inscrit le logon script associé. tu peux aussi allez voir cette échange sur le forum debian, j avais développé un peu la config de samba et partage utilisateur [ 24 sur 38 07/05/12 10:31

25 - { Prog en vrac } 21 septembre :05, par teflonpo Bonjour à tous, J ai suivi le tuto (très bien fait au passage) mais lorsque je tape la commande getent passwd ou group je ne vois pas mes groupes LDAP ni mes utilisateurs créés. C est normal? Kévin 22 septembre :05, par senti Hello, Pour répondre à ta question, j utiliserai personnellement plutôt les commandes smbldap-. En effet c est samba le pdc, voilà voilà Je sais n avoir pas répondu vraiment à la question, mais j ai pas la réponse :p 23 septembre :27, par blackfist bonjour tout d abord merci pour le tuto qui est épuré, mais a le mérite d aller droit au but, néanmoins, j ai un soucis, tout ce passe bien lors de l installation et de la configuration jusqu à "smbldap-populate". à ce moment là il m indique que "root" n existe pas et j ai bien fait (smbpasswd -w "mdproot") root@testdebian :/home/pascal# smbpasswd -w test Setting stored password for "cn=admin,dc=testserveur,dc=be" in secrets.tdb je suis loin d etre spécialiste en la matière, mais je pense que certains fichiers de smbldap-tools seraient corrompu voici ce qu il se passe au moment de la commande : root@testdebian :/home/pascal# smbldap-populate 25 sur 38 07/05/12 10:31

26 - { Prog en vrac } Populating LDAP directory for domain sambaldap (S ) (using builtin directory structure) entry dc=testserveur,dc=be already exist. adding new entry : ou=users,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 12. adding new entry : ou=groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 17. adding new entry : ou=machines,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 22. adding new entry : ou=idmap,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin GEN 1 /smbldap-populate line 498, line 27. adding new entry : GEN 1 uid=root,ou=users,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 55. adding new entry : uid=nobody,ou=users,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 83. adding new entry : cn=domain Admins,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 95. adding new entry : cn=domain Users,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin GEN 1 /smbldap-populate line 498, line 106. adding new entry : cn=domain GEN 1 Guests,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 117. adding new entry : cn=domain Computers,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 128. adding new entry : cn=administrators,ou=groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 173. adding new entry : cn=account Operators,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 195. adding new entry : cn=print Operators,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 206. adding new entry : cn=backup Operators,ou=Groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 217. adding new entry : cn=replicators,ou=groups,dc=testserveur,dc=be failed to add entry : modifications require authentication at /usr/sbin/smbldap-populate line 498, line 228. GEN 1 GEN 1 GEN 1 GEN 1 GEN 1 GEN 1 26 sur 38 07/05/12 10:31

27 - { Prog en vrac } entry sambadomainname=sambaldap,dc=testserveur,dc=be already exist. Updating it... failed to modify entry : modifications require authentication at /usr/sbin/smbldap-populate line 491, line 236. Please provide a password for the domain root : /usr/sbin/smbldap-passwd : user root doesn t exist 23 septembre :58, par senti Bonjour, J ai déjà rencontré ce soucis avec la même erreur dans mes premiers essais. Je pense que le schéma samba n est pas ajouté à openldap. Vérifie si ton schéma est présent en faisant un ls -l /etc/ldap/slapd.d/cn=config/cn=schema et que le propriétaire est bien openldap et non root. Senti 8 octobre :58 Merci pour cet article très intéréssant 22 octobre :04, par Valéry FAYOLLE Merci pour se super tuto!!!. Clair, précis et plutôt exhaustif.. Je l ai appliqué sans erreur côté serveur. Cependant, quand je veux joindre une machine win7 pro x64 au domaine, j ai un message d erreur :. " Le domaine spécifié n existe pas ou n a pas pu être contacté. ". 27 sur 38 07/05/12 10:31

28 - { Prog en vrac } sur d autres forum j avais trouvé qu il falait modifier le registre windows comme ceci :. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\LanmanWorkstation\Parameters] "DomainCompatibilityMode"=dword: "DNSNameResolutionRequired"=dword: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Netlogon\Parameters] "RequireStrongKey"=dword: "RequireSignOnSeal"=dword: Mais malheureusement cela ne change rien.. Si l un d entre vous a une piste pour un début de solution, je suis preneur. Bonsoir, 21 novembre :05, par comete64 Votre tuto est clait et intéressant Je tente de le faire évoluer vers l esprit de la debian6 SQUEEZE : c est à dire ne pas créer le slapd.conf ; je vous donnerai des nouvelles. Mais pour l instant, au moment de la jonction au domaine NETBIOS "dev" (client XP PRO), l authentification de l administrateur "root" est refusé : erreur : le nom d utilisateur est introuvable J ai bien redémarré les démons slapd et smbd, j ai bien déclaré root en exécutant smbpaswd -w lemotdepasse j ai même tenté smbpasswd -a root puis attribution du mot de passe... toujours la même erreur. Avez-vous une idée? Merci, 8 décembre :40, par Tibo Bonjour, Merci pour ce tutoriel très complet. 28 sur 38 07/05/12 10:31

29 - { Prog en vrac } Après plusieurs essais infructueux sur une machine virtuelle, j ai décidé d utiliser une machine physique. Et là, surprise, cela fonctionne! Petite information : J ai du redémarrer samba et sldap après avoir suivis le tutoriel (à la lettre) pour pouvoir intégrer ma machine XP au domaine. Bonne continuation à tous! 7 février 19:16, par lamhinn Bonjour, je remercie tout d abord les créateurs de ce site et le superbe travail qui y est fait. j ai un problème avec mon sambaldap sous debian squeeze. A chaque fois q un compte est crée en ligne de commande " root@pdc1 :/home# smbldap-useradd -a -c "Alain NKENGNE" -m -P alain.nkengne" toute donnée transféré dans le compte est répliqué dans son profile du PDC. cela crée une saturation du dossier partage du PDC. Peut-on créer un compte et y copier des données sans que ces données aient une réplique dans le PDC? 8 février 07:46, par senti Bonjour merci, Oui il suffit de ne pas activer le profil itinérant windows. les propriétées dans samba (smb.conf sont : logon path = \\%L\profiles\%U logon drive = P : logon home = \\%L\%U ) 29 sur 38 07/05/12 10:31

30 - { Prog en vrac } Bonjour, 8 février 17:33, par Shadow J ai utilisé ce tuto pour installer un samba + ldap sur une Debian 6. Le samba et le ldap sont sur deux VM différentes se ping bien la création d un compte avec la commande smbldap-useradd se passe bien. Globalement tout ce passe bien jusqu au moment ou je veux intégrer un XP pro SP3 au domaine la j ai deux erreur qui remonte dans le syslog Feb 8 17:06:42 Srv_SMB smbd[3514] : [2012/02/08 17:06: , 0] rpc_server/srv_netlog_nt.c:669(_netr_serverauthenticate3) Feb 8 17:06:42 Beryllium smbd[3514] : _netr_serverauthenticate : no challenge sent to client Client_XP Feb 8 17:06:42 Srv_SMB smbd[3515] : [2012/02/08 17:06: , 0] lib/util_sock.c:1441(get_peer_addr_internal) Feb 8 17:06:42 Srv_SMB smbd[3515] : getpeername failed. Error was Noeud final de transport n est pas connectã Feb 8 17:06:42 Srv_SMB smbd[3515] : [2012/02/08 17:06: , 0] lib/util_sock.c:680(write_data) Feb 8 17:06:42 Srv_SMB smbd[3515] : [2012/02/08 17:06: , 0] lib/util_sock.c:1441(get_peer_addr_internal) Feb 8 17:06:42 Srv_SMB smbd[3515] : getpeername failed. Error was Noeud final de transport n est pas connectã Feb 8 17:06:42 Srv_SMB smbd[3515] : write_data : write failure in writing to client Error Connexion rã -initialisã e par le correspondant Feb 8 17:06:42 Srv_SMB smbd[3515] : [2012/02/08 17:06: , 0] smbd/process.c:79(srv_send_smb) Feb 8 17:06:42 Srv_SMB smbd[3515] : Error writing 4 bytes to client. -1. (Noeud final de transport n est pas connectã ) Suite a ca j ai quand meme le client xp qui est enregistré dans le ldap (Client_XP visible dans le phpldapadmin) Je refais un test d intégration du client a la j ai Feb 8 17:13:45 Srv_SMB smbd[3658] : [2012/02/08 17:13: , 0] rpc_server/srv_netlog_nt.c:669(_netr_serverauthenticate3) Feb 8 17:13:45 Srv_SMB smbd[3658] : _netr_serverauthenticate : no challenge sent to client Client_XP Feb 8 17:13:51 Srv_SMB smbd[3659] : [2012/02/08 17:13: , 0] passdb/pdb_interface.c:348(pdb_default_create_user) Feb 8 17:13:51 Srv_SMB smbd[3659] : _samr_create_user : Running the command `/usr/sbin/smbldap-useradd -w "Client_XP$" gave 9 j ai refais deux fois le tuto j arrive au meme probleme. j ai fais un smbpaswd -w lemotdepasse, j ai relance les services meme probleme j ai regarde sur le net apres plusieur bidouille du fichier smb.conf j ai toujours le meme probleme... et la je seche ^^ Si quelqu un a une idee.. Merci 30 sur 38 07/05/12 10:31

31 - { Prog en vrac } 9 février 09:01, par senti Bonjour, Étrange... quand tu fais un testparm tu n as pas d erreurs? 9 février 16:06, par Shadow Alors quand je fais un testparm j ai juste un retour rlimit root@srv_smb : # testparm Load smb config files from /etc/samba/smb.conf rlimit_max : rlimit_max (1024) below minimum Windows limit (16384) Processing section "[netlogon]" Processing section "[profiles]" Processing section "[homes]" Processing section "[partage]" Processing section "[printers]" Processing section "[print$]" Loaded services file OK. Server role : ROLE_DOMAIN_PDC Press enter to see a dump of your service definitions Bonsoir, 8 mars 21:22, par Azriek Merci pour le tuto, je l utilise en complément d un autre trouvé sur pegasus45.free.fr pour monter un nouveau PDC j ai exactement le même problème que Shadow avec la même config : 1 vm debian 6 pour samba 1 vm debian 6 pour openldap 31 sur 38 07/05/12 10:31

32 - { Prog en vrac } En insistant, le client windows XP finit par rentrer dans le domaine... Demain, je vais essayer avec le samba de squeeze-backports (3.6.3). Az 8 mars 22:07, par Azriek pour compléter, XP affiche un message "Le nom d utilisateur est introuvable" alors que le même compte m a permis d intégrer le PDC dans son domaine sans erreur. Les logs samba de la vm : more /var/log/samba/log.vmxp3 [2012/03/08 22:01: , 0] rpc_server/srv_netlog_nt.c:669(_netr_serverauthenticate3) _netr_serverauthenticate : no challenge sent to client VMXP3 [2012/03/08 22:01: , 0] lib/util_sock.c:680(write_data) [2012/03/08 22:01: , 0] lib/util_sock.c:1441(get_peer_addr_internal) getpeername failed. Error was Transport endpoint is not connected write_data : write failure in writing to client Error Connection reset by peer [2012/03/08 22:01: , 0] smbd/process.c:79(srv_send_smb) Error writing 4 bytes to client. -1. (Transport endpoint is not connected) enfin le compte est bien créé dans le ldap smbldap-usershow vmxp3$ dn : uid=vmxp3$,ou=computers,dc=lcontact,dc=local objectclass : top,account,posixaccount cn : vmxp3$ uid : vmxp3$ uidnumber : 1010 gidnumber : 515 homedirectory : /dev/null loginshell : /bin/false description : Computer gecos : Computer 32 sur 38 07/05/12 10:31

33 - { Prog en vrac } mais est incomplet (pas d objet sambasamaccount et propriétés correspondante) Si je retente plusieurs secondes plus tard, cela fonctionne et l entrée ldap est complète : smbldap-usershow vmxp3$ dn : uid=vmxp3$,ou=computers,dc=lcontact,dc=local objectclass : top,account,posixaccount,sambasamaccount cn : vmxp3$ uid : vmxp3$ uidnumber : 1010 gidnumber : 515 homedirectory : /dev/null loginshell : /bin/false description : Computer gecos : Computer sambasid : S displayname : VMXP3$ sambantpassword : AC91AF80EF21F963C1531AA08D4153D7 sambapwdlastset : sambaacctflags : [W ] Az 9 mars 10:52, par Dylday Bonjour, Tout d abord merci pour ce tuto qui marche à merveille, mais j ai un petit problème quand je souhaite me connecté avec une Centos 5.5 qui me demande de changer le MDP (périmé) de l utilisateur à chaque nouvelle connexion J ai vu que cela pouvait venir des attributs ShadowMax ou sambapwdmustchange, mais j ai toujours le même problème. Auriez-vous une solution à ce problème?? Merci de votre réponse 10 mars 09:36, par senti 33 sur 38 07/05/12 10:31

34 - { Prog en vrac } as-tu vérifié ton fichier smbldap.conf? Sinon oui cela doit provenir des attributs. Mais pourquoi? bonne question. senti Bonjour, 11 mars 11:47, par : je pense avoir résolu mon souci après plusieurs jours de recherche. De ce que j ai compris : lorsqu on enregistre la machine la première fois : samba vérifie si elle existe (équivalent shell d un id machine$ ) si elle n existe pas, il appelle le script add machine qui crée un simple compte posix il recherche à nouveau la machine pour récupéré son uid notamment s il ne la trouve pas, on a l erreur utilisateur introuvable sur le client. C est ce qui se passe à la première tentative s il la trouve, il ajoute les attributs samba (équivalent d un smbpasswd -a -m) et la machine est correctement intégrée dans le domaine. C est ce qui se passe à la seconde tentative, plusieurs instants après. Le problème vient chez moi du démon nscd, qui met en cache les interrogations des ids, aussi bien les réponses positives en cas d existence (1h par défaut), que négative en cas d inexistence (20s pas défaut). C est ce qui se passe dès le début de la jonction au domaine (mise en cache négative) et qui fait échouer au mileu de la jonction. 20 secondes après, l information n étant plus en cache négatif, la jonction peut se terminer correctement. Pour résoudre le problème, il y a plusieurs façon : désactiver le démon nscd (et donc plus de cache, suivre l impact sur le ldap) mettre un délai d attente supérieur au cache négatif avec l option -t : add machine script = /usr/sbin/smbldap-useradd -t 30 -w "%u" modifier le durée de mise en cache négatif (/etc/nscd.conf negative-time-to-live) pour mettre une valeur inférieure à celle du -t dans add machine script Une alternative à smbldap-tools est d utiliser winbind avec les directives editposix : ldapsam:trusted=yes ldapsam:editposix=yes désactiver tous les scripts openldap [ 34 sur 38 07/05/12 10:31

35 - { Prog en vrac } Az 21 mars 17:24, par KLYS1200 Bonjour, Merci pour ce tuto dont l enchaînement permet de comprendre les interactions entre les programmes. Arrivé à la fin de l install lorsque je crée un utilisateur (smbldap-useradd -a -c "senti" -m -P senti) par exemple, le user est crée dans LDAP Users et le répertoire senti dans /home/senti. Mais le répertoire senti est en root:root. J ai du rater quelque chose mais je ne voie pas. pour info j ai décommenté les 2 lignes de smbldap.conf sambaunixidpooldn="cn=nextxxxx sambaunixidpooldn="sambadomainname=xxxx Merci pour votre éclairage KLYS mars 07:36, par senti Hello, As-tu essayé de créer un second user pour vérifier? normalement il ne doit pas avoir les droits root, il doit avoir ces propres droits. Il doit avoir une erreur quelque part. Fait un smbldap-userdel senti puis retest Cordialement Senti 35 sur 38 07/05/12 10:31

36 - { Prog en vrac } 22 mars 16:25, par KLYS1200 Bonjour, Pour info je suis sur une VM xen-citrix v avec une install Squeeze classique x64. J ai vu qu un autre utilisateur avait eu des pb sur une machine virtualisé!!! Précédemment j avais tester l install sur une machine simple sans soucis!!! J ai donc 2 pb : 1- La création de l utilisateur smbldap-useradd dont le répertoire est en root:root (pas de création synchro de passwd shadow group posix)??? 2- La machine XP voie le domaine crée la variable machine$ mais le user root à un passwd invalide. Cordialement. 9 avril 01:10, par Sysecure Bonjour senti, je vous remercie énormément pour la clarté de ton tuto, j ai une question, en fait après la création des comptes j ai essayer de me logger avec un client xp, ça marche mais lors du prochaine connexion les changements (par exemple je crée un fichier dans le bureau) n ont pas été enregistré. Malgrés que j ai crée le dossie home et netlogon etc comme il est expliqué dans le tuto. SVP, j ai besoin d une solution urgent!!!!!! merci d avance 9 avril 10:08, par senti Bonjour, Merci, vérifie peux-etre les droits dans les répertoires peut être que c est root le propriétaire et non utilisateur. C est une piste 36 sur 38 07/05/12 10:31

37 - { Prog en vrac } 11 avril 15:46, par farid Bonjour senti, je te remercie aussi pour ce tuto comme tous ceux qui passe par ici. J ai une ou deux question qui me travaille, la première c est le DNS, j en voie pas l installation et je pensais que pour joindre un domaine il en fallait un absolument. J ai pas encore testé de joindre le domaine, j attends de voir les réponses à ce message avant de me prendre la tête sur des problèmes si ce n est pas faisable sans DNS lol La second question qui me taraude c est ce que me renvoi la commande net getlocalsid je devrais obtenir : SID for domain testdev is : S testdev qui est mon domaine mais la il me renvoi SID for domain testse3 is : S testse3 qui est le nom netbios de la machine Je pense que c est un problème de config mais avant de tester quoi que ce soit je voudrais voir avec toi ce que tu en pense. Merci beaucoup en tous cas pour toutes les infos de ce tuto 17 avril 00:01, par wea Bonsoir merci pour ce tuto j ai suivi juska la fin et tous marche bien maintenant mon pb g n arrive pas a me connecté les machine clientes wind xp g ai une erreur "Le systeme n a pas pu ouvrir de session car le domaine (mondomain) n existe pas" merci pr votre encore j vs atend. 18 avril 11:48, par Cin Merci ton tuto ma bien aidé, j aimerais lier mes autre serveur samba à se DC principale mais je n y arrive pas,je suis renté dans le domain avec mon samba mais lorsque je veux ouvrir le partage sur windows il me met utilisateur inconnu, tu as une idée? Merci. 37 sur 38 07/05/12 10:31

38 - { Prog en vrac } 4 mai 19:06 Bonjour, merci pour ce tuto. Jusqu à la création des utilisateurs pas de probleme, mais je ne peux pas me connecter avec, le mot de passe de marche pas. Une idée? Merci. Referencement Team Actimonde Hannuaire referencement sites 38 sur 38 07/05/12 10:31