Configuration réseau d'ubuntu et enregistrement sur un AD Windows

Transcription

1 Configuration réseau d'ubuntu et enregistrement sur un AD Windows matériel : une machine sous ubuntu un serveur sous Windows Server 2008 R2 avec, comme rôles, un DNS, un AD Problématique : Mettre la machine ubuntu sur le domaine btsprosys.local Nous allons premièrement configurer au niveau réseau notre ubuntu au niveau du terminal Pour les débutant, le terminal est accessible via ici : premièrement vous cliquez sur l'icône en haut à gauche, puis vous recherchez Terminal et cliquez sur Terminal une fois sur cette fenêtre ouverte, on va rentrer la commande ifconfig afin de voir votre configuration IP eth0 signifie que vous êtes connecté en liaison filaire (avec un câble Ethernet) lo représente la boucle locale

2 on va faire la commande nano /etc/network/interfaces afin de pouvoir modifier les paramètres de votre carte réseau vous aurez cette fenêtre (à peu prêt... car mon interface est déjà configuré et par défaut, l'interface est en DHCP) si vous êtes en DHCP alors remplacez le «dhcp» par «static» dans la ligne iface eth0 inet dhcp ensuite vous devrez mettre certains paramètres : address : c'est l'adresse ip de votre machine ubuntu (l'ip que vous voulez qu'elle est) netmask :c'est le masque de sous réseau de votre ip gateway : c'est la passerelle dns-search : c'est votre nom de domaine dns-nameservers : l'adresse de votreserveur AD/DNS les informations encadrés en rouge sont mes informations personnelles et doivent être modifier en fonction de vos besoins. (n'oubliez pas d'enregistrer une fois fini (Ctrl+x, O, Entrée) On peut donc vérifier avec ifconfig si les paramètre de votre carte ont bien changé On va maintenant changer le nom de votre machine, faite nano /etc/hostname Le nom d'hote ne doit pas dépasser 15 caractères

3 redémarrez votre machine Vous allez vous mettre en root en tapant la commande su - ou sudo -i faite nano /etc/hosts Ce fichier permet d'associer une adresse ip à un nom d'hôte sans avoir besoin du DNS cependant il est important de mettre l'adresse de votre serveur suivi de son nom d'hôte et d'un alias si besoin vous pouvez maintenant pinger votre serveur avec la commande ping nomduserveur

4 faites Ctrl+c pour arréter les requêtes. Nous allons nous occuper du fichier Resolvconf donc apt-get install resolvconf Ajout d'un domaine : pour nous connecter à notre AD nous allons avoir besoin de Kerberos et donc une synchronisation du temps est nécessaire apt-get install ntpdate une fois installé : nano /etc/default/ntpdate Vous avez ici 3 paramètres NTPDATE_USE_NTP_CONF = «no» ne pas prendre l'heure système NTPSERVERS = indique le serveur de temps à utiliser (votre serveur) On test les nouveau paramètres en tentant une synchronisation /usr/sbin/ntpdate-debian

5 On va créer une tache planifié à partir de crontab crontab -e On ajoute les ligne encadrées au dessus # SYNCHRO NTP 17 5 * * * /usr/sbin/ntpdate-debian Ici avec ces lignes on active la synchronisation chaque jours à 17h05 et à chaque redémarrage de l'ordinateur Nous allons maintenant télécharger l'agent KERBEROS afin de pouvoir nous connecter à notre Active Directory apt-get install krb5-user On va maintenant le configurer : nano /etc/krb5.conf Pour ma part j'ai tout effacé dans ce fichier pour le remplacer par ces lignes : [libdefault] : paramètre les réglages généraux de krb5 ticket_lifetime : définit la durée de vie d un ticket Kerberos default_realm : le domaine à utiliser par défaut (nom du domaine entier en

6 MAJUSCULES) fowardable et proxiable et dns_fallback : diverses autorisations pour atteindre le domaine *_enctypes : informations de sécurisation de la communication Kerberos [realms] : indique les informations sur les domaines (dans cet exemple il n y en a qu un) MON.DOMAINE : on va définir ce domaine entre les accolades suivant le «=» kdc = lefqdn du serveur de clefs Kerberos du domaine (généralement le contrôleur de domaine) admin_server : le FQDN du contrôleur de domaine principal default_domain = le nom NetBIOS à utiliser lors de la connexion au domaine [domain_realm] : réglage des suffixes DNS.mondomaine = MONDOMAINE mondomaine = MONDOMAINE On va maintenant vérifier l'authentification en demandant un ticket Kerberos kinit -V <utilisateur>@<nomnetbiosdudomaine> L'authentification a réussi Maintenant que l'on a un ticket, nous allons le détruire avec la commande kdestroy L authentification de la connexion à un serveur Windows via Kerberos est maintenant opérationnelle, il ne nous reste plus qu à joindre le domaine Active-Directory. Pour cela, nous allons avoir besoin de deux logiciels : SAMBA et WINBIND apt-get install samba winbind une fois installé, nous allons configurer SAMBA nano /etc/samba/smb.conf On remplace le contenu par par un de ce type :

7 Maintenant on test avec testparm et... ça marche net ads join -S SRV-TEST.btsprosys.local -U administrateur%password on redémarre winbind : service winbind restart on peut tester en affichant tous les utilisateurs du domaine avec wbinfo -u ou tous les groupes avec wbinfo -g Nous allons maintenant configurer l'authentification On va premièrement ajouter la base de données winbind à NNS (Name Service Switch qui autorise le remplacement des fichiers Unix de configuration par une ou plusieurs bases de données centralisées). nano /etc/nsswitch.conf

8 On peut maintenant tester les modifications avec : getent passwd pour les utilisateurs getent group pour les groupes vous devriez voir les utilsateurs de votre domaine ainsi que les utilisateurs on va maintenant éditer le dossier pam donc nano /ect/pam.d/common-account puis nano /etc/pam.d/common-auth puis nano /etc/pam.d/common-session

9 On créé le répertoire pour les données locales (profils/home) des utilisateurs du domaine sur /home puis on donne les droits aux utilisateurs : mkdir /home/<nomdudomaine> chmod 751 /home/<nomdudomaine> Enfin, on autorise la connexion d un utilisateur du domaine s étant déjà connecté à la machine à se connecter même si la machine est hors ligne : -On ajoute la ligne winbind offline logon = yes au fichier /etc/samba/smb.conf : nano /etc/samba/smb.conf On ajoute cached_login = yes au fichier /etc/security/pam_winbind.conf (si le fichier n est pas créé il le sera automatiquement à l enregistrement) : nano /etc/security/pam_winbind.conf on redémarre SAMBA et WINBIND On va maintenant gérer les droits On va ajouter les groupes d utilisateurs auxquels on souhaite permettre l obtention de droits root. Pour cela on édite le fichier des autorisations de sudo (/etc/sudoers) :

10 nano /etc/sudoers Notre machine est maintenant jointe au domaine, on peut donc : se connecter avec un utilisateur du domaine ou local si le domaine n est pas joignable (plus de réseau, etc.), on peut quand même toujours se connecter avec un utilisateur du domaine (si celui-ci s est déjà connecté sur la machine) obtenir les droits administrateurs (root) sur la machine via une session locale ou d un utilisateur du domaine selon les utilisateurs ou groupes autorisés