Doc :: Samba 3 + LDAP sur Woody

Cette documentation traite de l’installation de Samba PDC avec un backend d’authentification OpenLDAP sur un serveur Debian/Woody [testpdc], et de la migration des comptes depuis le PDC Windows NT d’origine. La distribution utilisée est la Debian Woody. Cette documentation est largement inspirée de la documentation The Linux Samba-OpenLDAP Howto, de Idealx. N'hésitez pas à me faire part de vos commentaires ou de vos questions!

Les logiciels suivants on été utilisés pour cette documentation:

• Samba 3.0.4 (de backports.org)
• OpenLDAP 2.1.29 (de backports.org)
• pam_ldap
• nss_ldap
• smbldap-tools 0.8.4
• nscd
• wget

Pour cette documentation, nous partons du principe que :

• Tous les postes de travail et les serveurs sont dans le même réseau local : 192.168.1.0/24,
• Le nom du domaine est TESTDOM,
• Le nom du PDC initial sous Windows NT4 est NT4SERVER (nom netbios), et a pour addresse 192.168.1.4
• On souhaite rendre le serveur testpdc le nouveau PDC et Master Browser du domaine TESTDOM,
• Tous les objets d’authentification (utilisateurs et groupes) seront stockés sur un serveur OpenLDAP, sous la base DN : dc=testing,dc=6admin,dc=net,
• Les comptes utilisateurs et machines seront stocké dans ou=Users,dc=testing,dc=6admin,dc=net,
• Les comptes de groupes seront stockés dans ou=Groups,dc=testing,dc=6admin,dc=net

Après avoir vérifié que openldap2 était présent dans la liste des packages de la source apt backports.org (voir www.backports.org), suivi éventuellement d’un apt-get update, on installe slapd :

Si le choix du type de base de données n’est pas proposé, il faut éditer le fichier /etc/ldap/slapd.conf et changer :

• moduleload back_bdb par moduleload back_ldbm
• backend bdb par backend ldbm
• database bdb par database ldbm

On vérifie également que le package samba est présent dans la liste des packages associés à la source apt de backports.org. On installe ensuite samba :

On arrête ensuite immédiatement Samba (lancé automatiquement suite à son installation), pour éviter des conflits lors de l’intégration, et en particulier si le serveur [testpdc] est connecté au même réseau lors de l’installation :

smbldap-tools est un paquetage contenant des scripts développés par idealx, très utiles pour manager les utilisateurs et les groupes dans un contexte samba+ldap.

Télécharger et décompresser l’archive depuis le site http://samba.idealx.org/dist/smbldap-tools-0.8.4.tgz :

testpdc:~# wget http://samba.idealx.org/dist/smbldap-tools-0.8.4.tgz
testpdc:~# tar xzf smbldap-tools-0.8.4.tgz

Dans le répertoire ainsi créé, on trouvera le README et INSTALL à lire attentivement. La procédure d’installation pour le package 0.8.4 est :

Il y a aussi dans ce répertoire un fichier nommé mkntpwd.tar.gz. Ce programme remplacera smbpasswd pour générer les passwords NT. Nous allons donc le compiler et l’installer.

A préalable, on a besoin des outils make et gcc :

Puis on extrait les fichiers de l’archive et on compile l’exécutable:

Ignorer un éventuel warning concernant le type de retour de main qui est différent de int. La construction entraine la création d’un binaire : mkntpwd. On copie ce dernier :

Les scripts smbldap-tools nécessitent perl, ainsi que le module Perl Net::LDAP que l’on va récupérer via CPAN :

(la configuration de perl sort du cadre de cette documentation)

On peut alors tester si les outils smbldap-tools s’exécutent sans erreur :

On reviendra sur la configuration de ce package plus tard.

Nous allons configurer notre serveur OpenLDAP de façon à ce qu’il se comporte comme une base de données SAM (Security Account Manager). En prenant appui sur notre contexte d’installation, nous allons donc le configurer pour :

• accepter le schéma LDAP Samba 3,
• travailler sur une base de nom distinctif  DN : dc=testing,dc=6admin,dc=net
• contenir un nombre minimal d’entrées pour pouvoir commencer à l’utiliser.

Le serveur LDAP doit reconnaître le schéma Samba. Ce dernier est inclus dans le package samba-doc, que nous installons :

On copie ensuite le schéma samba avec les autres schémas LDAP :

On modifie alors le fichier de configuration de OpenLDAP /etc/ldap/slapd.conf pour qu’il incluse ce nouveau schéma :

On configure le serveur slapd afin qu’il soit un serveur maître sur le suffixe dn : dc=testing,dc=6admin,dc=net. La plupart des modifications ont été apportées lors de l’installation du package slapd, on vérifiera que le fichier /etc/ldap/slapd.conf contient, entre autres, les directives suivantes :

suffix "dc=testing,dc=6admin,dc=net"

On en profite pour spécifier quelques index qui accéléreront les recherches par la suite :

Nous ajoutons aussi quelques ACL pour protéger les données sensibles :

On génère un mot de passe crypté pour le compte d’administration de slapd :

Copier le mot de passe ainsi généré dans le fichier slapd.conf :

Par défaut, le serveur prend en charge les interfaces Ipv6, ce qui générera un warning dans le syslog. Pour éviter cela, il faut spécifier l’option –4 dans le fichier /etc/default/slapd :

Configurer les clients LDAP : /etc/ldap/ldap.conf

Lancer le serveur (ou relancer avec restart si il était déjà lancé) :

Si aucun message d’erreur n’apparaît, le serveur doit fonctionner correctement. On vérifiera dans la liste des processus (ps ax) que le serveur apparaît bien.

On peut également vérifier qu’aucun message d’erreur n’apparaît dans le fichier syslog.

Nous allons configurer le système afin qu’il utilise le serveur LDAP pour authentifier les utilisateurs. PAM (Pluggable Authentication Modules) permet un mode d'authentification modulaire facilement paramétrable. Il existe donc un module PAM pour LDAP.

Pour cela, nous avons besoin des packages pam_ldap et nss_ldap, ainsi que du package nscd pour bénéficier d’un mécanisme de cache. Nous utiliserons la version de backports.org pour libnss-ldap, ainsi que db4.1 dont libnss-ldap est dépendant (à ajouter dans /etc/apt/sources.list).

Pour chaque module situé dans /etc/pam.d/, nous allons modifier les entrées pour la prise en charge de l’authentification via LDAP.

Pour cela, il suffit d’ajouter une ligne pour chaque type d’authentification (auth, account, password, session) :

Et modifier les entrées :

de la façon suivante :

Ces lignes seront ajoutées notamment dans les fichiers /etc/pam.d/samba, /etc/pam.d/login, /etc/pam.d/su

Nous devons également modifier le fichier /etc/pam_ldap.conf afin qu’il reflète notre configuration, en particulier en ce qui concerne les lignes suivantes :

Le fichier de configuration est /etc/libnss-ldap.conf, et doit contenir ces paramètres :

nss-ldap et pam-ldap utilisent le fichier /etc/ldap.secret pour stocker le mot de passe à utiliser pour accéder au serveur LDAP. Il faut donc l’éditer afin qu’il contienne le mot de passe admin LDAP. Vérifier que ce fichier a bien des droits restreints (600) et qu’il appartient à root.

Editer le fichier /etc/nsswitch.conf afin de configurer le service de nommage pour utiliser LDAP :

Nous allons tout d’abord configurer Samba comme contrôleur du domaine de sauvegarde (BDC) TESTDOM, puis enregistrer notre nouveau BDC sur le domaine afin d’avoir accès à la liste des comptes utilisateurs, groupes et machines. Sur notre BDC Samba, la base de données SAM sera stockée sur notre serveur OpenLDAP. Ensuite, on lancera le processus appelé " vampire " qui consiste à récupérer tous les comptes depuis le PDC NT. On pourra alors basculer notre BDC en PDC et arrêter le PDC NT.

Nous allons configurer le fichier /etc/samba/smb.conf en considérant que :

• Notre domaine est TESTDOM
• Le nom netbios de notre serveur est testpdc
• Tous les partages samba seront situés dans /home/samba, excepté pour les répertoires utilisateurs qui seront dans /home
• Les partages de groupes seront indiqués chacun par une section dans smb.conf, et les répertoires seront placés dans /home/samba/groups/

Voir le fichier smb.conf en annexe pour apporter les modifications nécessaires. Il est rappelé que pour le moment, le serveur Samba ne doit pas être démarré (ou bien démarré si il n’est pas sur le même réseau que le PDC NT). Voici en particulier quelques directives nécessaires pour la section [global] :

En ce qui concerne la section [homes], on aura les directives suivantes :

Afin de pouvoir faire exécuter un script sur chaque machine qui se connecte au domaine avec succès, on a besoin d’une section [netlogon], qui contient notamment les directives suivantes :

Dans ce répertoire, on placera le script de démarrage (dans cet exemple, STARTUP.BAT), et on l’indiquera dans la section [global] :

Attention, le répertoire dans lequel le logon script sera recherché est celui indiqué dans la section [netlogon].

On crée également toutes les sections relatives aux répertoires de groupe, par exemple :

On indique dans valid users la liste des utilisateurs et des groupes autorisés à accéder au répertoire (on pourra la mettre à jour par la suite, après la migration des comptes et des groupes).

On teste enfin si la configuration de samba ne contient pas de fautes de syntaxe :

Nous allons d’abord créer les répertoires nécessaires, selon la configuration de notre smb.conf :

Samba doit connaître le mot de passe (dans l’exemple c’est motdepasseadmin, à remplacer par le vrai mot de passe admin LDAP) pour l’administration LDAP (du DN cn=admin,dc=testing,dc=6admin,dc=net). Il faut en effet que Samba ait la permission de créer, supprimer, modifier des entrées pour les comptes utilisateurs, groupes et machines.

Samba va stocker ce mot de passe dans le fichier /var/lib/samba/secrets.tdb.

On a également besoin de connaître le SID du domaine et de configurer samba et smbldap-tools avec ce SID :

Le système enregistre le SID dans le fichier secrets.tdb afin que Samba l’utilise, et on copie ce SID (dans cet exemple, S-1-5-21-3016841243-3009801693-48680558) dans /etc/smbldap-tools/smbldap.conf afin que les outils smbldap-tools puissent également se baser sur ce SID :

On force également notre Samba pour que son SID soit le même :

On en profite pour éditer le fichier /etc/smbldap-tools/smbldap.conf pour qu’il corresponde à notre configuration, en particulier pour les lignes suivantes :

Régler les autres directives selon le besoin.

Les outils smbldap-tools vont utiliser le contenu du fichier /etc/smbldap-tools/smbldap_bind.conf pour s’authentifier auprès du serveur LDAP. On doit donc le mettre à jour (en remplaçant bien entendu par le vrai mot de passe admin ldap) :

On va pouvoir alors créer les fondements de notre base LDAP :

Cette commande va créer la structure des utilisateurs et groupes. Ignorer le Warning concernant la deuxième ligne " adding new entry : ou=Users,dc=testing,dc=6admin,dc=net ", car nous utilisons la même unité organisationnelle pour stocker les machines et les users.

On définit pour finir le mot de passe de l’utilisateur Administrator :

On peut vérifier avec slapcat que toutes les entrées ont bien comme SID de domaine le même que notre domaine existant TESTDOM, récupéré avec net rpc getsid.

On peut maintenant tester l’ajout d’utilisateurs et de groupes en utilisant les scripts de smbldap-tools. Voici quelques exemple :

• smbldap-useradd –a –m –c "Jean Pince" jpince : ajouter un utilisateur (on vérifiera que ce nouvel utilisateur est reconnu par les modules PAM que l’on a configurés).
• smbldap-passwd jpince : modifier/créer le mot de passe de l’utilisateur jpince.

Ces commandes génèrent à la fois des informations pour les comptes posix (Unix) et pour les comptes Samba.

• smbldap-userdel –r jpince : supprimer l’utilisateur jpince deLDAP ainsi que son répertoire personnel.

On vérifie que les utilisateurs Administrator et nobody ont été ajoutés et apparaissent au niveau des utilisateurs Posix du système :

De même, nous vérifions les nouveaux groupes Posix ajoutés :

Tester également les autres scripts smbldap-*, en lisant au préalable la documentation des différentes commandes.

Pour visualiser les comptes Samba :

Attention, notre service Samba doit être arrêté. Nous allons enregistrer notre BDC temporaire Samba auprès du PDC NT du domaine TESTDOM. Pour cela, on a besoin d’un compte d’administrateur du domaine existant sur le PDC (ici administrator) ainsi que son mot de passe (ici toto) :

Cette commande crée un compte de serveur BDC pour notre serveur Samba sur le PDC NT. Si cette étape échoue, il s’agit très probablement d’un problème de résolution de nom netbios. Le plus simple est alors d’éditer le fichier /etc/samba/lmhosts afin qu’il contienne les lignes :

Nous pouvons maintenant importer les comptes utilisateur groupes et machines sur notre BDC temporaire Samba :

Nous allons maintenant tester le fonctionnement de notre serveur Samba en tant que PDC, mais déconnecté du réseau principal afin de ne pas gêner les utilisateurs. On a donc besoin d’un mini réseau local constitué de notre serveur Samba [testpdc], et d’au moins un poste de travail de test sous Windows.

Une fois qu’on est isolé du réseau principal, on bascule le Samba BDC en PDC, tout d’abord en changeant la directive du fichier /etc/samba/smb.conf :

et en démarrant Samba :

Le serveur [testpdc] est alors PDC du domaine TESTDOM, et on va :

• enregistrer la machine de test sur le domaine,
• créer un nouvel utilisateur sur la machine.

Et toutes les autres manipulations qui permettront de bien se familiariser avec l’environnement samba pdc + ldap.

Nous allons créer les partages de groupes dans le fichier /etc/samba/smb.conf pour ensuite copier les fichiers des groupes du PDC NT vers notre nouveau PDC.

Chaque partage est de la forme (on prend comme exemple un groupe Comptabilité, ayant pour partage compta) :

Le contenu de valid users est le nom d’un ou plusieurs groupes d’utilisateurs (tel qu’existant dans notre base LDAP) ayant les droits d’accès en lecture et écriture au répertoire.

On crée également le répertoire du groupe sur le serveur, et on règle les droits d’accès :

Nous devons nous assurer que tous les partages sont utilisés en lecture seule, le temps du transfert. On peut également effectuer ce transfert durant les heures de la journée où personne ne travaille.

On va copier les fichiers et répertoires de chaque groupe en utilisant par exemple la technique suivante : monter un volume SMB correspondant au partage de groupe sur le PDC NT, et copier les fichiers sur le serveur Samba.

Pour cela, il est nécessaire d’avoir le package smbfs installé pour gérer les sytèmes de fichier de type SMB. Si ce n’est pas le cas, on l’installe :

LAM est une interface d’administration qui permet de gérer les comptes utilisateurs groupes et machines simplement.

On se rendra sur le site Web de LAM http://lam.sourceforge.net/ pour télécharger la dernière version au format .deb. Au moment de l’écriture de cette documentation, la version courante était la 4.6. Après avoir téléchargé le package, on l’installe :

[Retour]

[Ecrivez-moi]