LDAP系列（三）LDAP + Samba 安裝配置

君無顏發表於2021-02-26

LDAP + Samba 安裝配置

基礎環境：Ubuntu18.04

安裝samba

root@cky:~# apt install samba smbldap-tools -y

檢視版本

root@cky:~# dpkg -l samba smbldap-tools
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name                                            Version                      Architecture                 Description
+++-===============================================-============================-============================-===================================================================================================
ii  samba                                           2:4.7.6+dfsg~ubuntu-0ubuntu2 amd64                        SMB/CIFS file, print, and login server for Unix
ii  smbldap-tools                                   0.9.9-1ubuntu3               all                          Scripts to manage Unix and Samba accounts stored on LDAP

新增 LDAP 的 Samba 配置

為了將OpenLDAP用作Samba的後端，DIT將需要使用可以正確描述Samba資料的屬性。可以通過引入Samba LDAP模式獲得此類屬性。

該模式位於現在安裝的samba軟體包中，並且已經採用ldif格式。

拷貝samba.schema 和 samba.ldif

找不到samba.schema,從原始碼搞了一份(git clone https://github.com/samba-team/samba.git)

cp /usr/share/doc/samba/examples/LDAP/samba.ldif.gz /etc/ldap/schema
cp /root/cky/samba/samba-4.7.6+dfsg~ubuntu/examples/LDAP/samba.schema /etc/ldap/schema/

root@cky:/etc/ldap/schema# pwd
/etc/ldap/schema
root@cky:/etc/ldap/schema# gzip -d samba.ldif.gz

匯入：

root@cky:/etc/ldap/schema# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f samba.ldif 
adding new entry "cn=samba,cn=schema,cn=config"

要查詢和檢視此新架構：

ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=schema,cn=config 'cn=*samba*'

既然slapd知道了Samba屬性，我們就可以基於它們建立一些索引。索引條目是客戶端對DIT執行篩選搜尋時提高效能的一種方法。

建立samba_indices.ldif具有以下內容的檔案：

root@cky:~/ldap# pwd
/root/ldap

root@cky:~/ldap# cat samba_indices.ldif 
dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcDbIndex
olcDbIndex: objectClass eq
olcDbIndex: uidNumber,gidNumber eq
olcDbIndex: loginShell eq
olcDbIndex: uid,cn eq,sub
olcDbIndex: memberUid eq,sub
olcDbIndex: member,uniqueMember eq
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub,eq

使用ldapmodify實用程式載入新索引：

root@cky:~/ldap# ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f samba_indices.ldif
modifying entry "olcDatabase={1}mdb,cn=config"

如果正常到現在，可以使用ldapsearch檢視到新索引：

root@cky:~/ldap# ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=config olcDatabase={1}mdb olcDbIndex
dn: olcDatabase={1}mdb,cn=config
olcDbIndex: objectClass eq
olcDbIndex: uidNumber,gidNumber eq
olcDbIndex: loginShell eq
olcDbIndex: uid,cn eq,sub
olcDbIndex: memberUid eq,sub
olcDbIndex: member,uniqueMember eq
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaGroupType eq
olcDbIndex: sambaSIDList eq
olcDbIndex: sambaDomainName eq
olcDbIndex: default sub,eq

新增Samba LDAP物件

接下來，配置smbldap-tools軟體包以匹配您的環境。該軟體包帶有一個名為smbldap-config的配置幫助程式指令碼。但是，在執行它之前，您應該確定以下兩個重要的配置設定/etc/samba/smb.conf：

netbios名稱：該伺服器的名稱。預設值從伺服器的主機名派生，但被截斷為15個字元。
workgroup：此伺服器的工作組名稱，或者，如果以後決定將其設定為域控制器，則為該域。

配置samba

# file : /etc/samba/smb.conf
[global]
    workgroup = Company 
    server string = Samba Server Version %v
    log file = /var/log/samba/log.%m  
    security = user 

    passdb backend = ldapsam:ldap://company02.com
    ldap suffix = dc=company,dc=com
    ldap user suffix = ou=Dev
    ldap group suffix = ou=Group
    ldap machine suffix = ou=Computers
    ldap idmap suffix = ou=Idmap
    ldap admin dn = cn=admin,dc=company,dc=com
    ldap ssl = start tls
    ldap passwd sync = yes

Note: ubuntu官方文件的 ldap ssl = start tls

但是設定該項後重啟服務報ERROR：Failed to issue the StartTLS instruction: Protocol error

測試一下samba配置檔案

root@cky:~/ldap# testparm -s

通過執行配置指令碼來繼續生成smbldap-tools配置

root@cky:~/ldap# smbldap-config

# 只有這三項進行了輸入操作，別的都是直接回車
netbios name [] > Company
ldap master bind password [] > 654321
ldap slave bind password [] > 654321

使用smbldap-populate新增Samba所需的LDAP物件。它將詢問您“域根”使用者的密碼，該使用者也是LDAP中儲存的“根”使用者：

root@cky:~# smbldap-populate -g 10003 -u 10003 -r 10003
Populating LDAP directory for domain Company (S-1-5-21-385293779-2563394074-3374145406)
(using builtin directory structure)

entry dc=company,dc=com already exist. 
entry ou=Dev,dc=company,dc=com already exist. 
entry ou=Groups,dc=company,dc=com already exist. 
adding new entry: ou=Computers,dc=company,dc=com
adding new entry: ou=Idmap,dc=company,dc=com
adding new entry: sambaDomainName=Company,dc=company,dc=com
adding new entry: uid=root,ou=Dev,dc=company,dc=com
adding new entry: uid=nobody,ou=Dev,dc=company,dc=com
adding new entry: cn=Domain Admins,ou=Groups,dc=company,dc=com
adding new entry: cn=Domain Users,ou=Groups,dc=company,dc=com
adding new entry: cn=Domain Guests,ou=Groups,dc=company,dc=com
adding new entry: cn=Domain Computers,ou=Groups,dc=company,dc=com
adding new entry: cn=Administrators,ou=Groups,dc=company,dc=com
adding new entry: cn=Account Operators,ou=Groups,dc=company,dc=com
adding new entry: cn=Print Operators,ou=Groups,dc=company,dc=com
adding new entry: cn=Backup Operators,ou=Groups,dc=company,dc=com
adding new entry: cn=Replicators,ou=Groups,dc=company,dc=com

Please provide a password for the domain root: 
Changing UNIX and samba passwords for root
New password: 654321
Retype new password: 654321
New passwords don't match!

將rootDN使用者的密碼（在slapd軟體包的安裝過程中設定的密碼）告知Samba：

root@cky:~# smbpasswd -W
Setting stored password for "cn=admin,dc=company,dc=com" in secrets.tdb
New SMB password: 654321
Retype new SMB password: 654321

SSSD配置

為了讓LDAP使用者能夠連線到samba並進行身份驗證的最後一步，現在需要這些使用者也以“ unix”使用者身份出現在系統中。

安裝sssd-ldap

root@cky:~# apt -y install sssd-ldap

配置/etc/sssd/sssd.conf

[sssd]
config_file_version = 2
domains = Company

[domain/Company]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldap://192.168.3.188
cache_credentials = True
ldap_search_base = dc=company,dc=com

調整許可權並啟動服務

root@cky:~# chmod 0600 /etc/sssd/sssd.conf
root@cky:~# chown root:root /etc/sssd/sssd.conf
root@cky:~# systemctl restart sssd

重新啟動Samba服務：

root@cky:~# systemctl restart smbd.service nmbd.service

要快速測試設定，檢視getent是否可以列出Samba組：

root@cky:~# getent group Replicators
root@cky:~#

有問題，查詢不到使用者組？？？一個大坑

還是認證有問題，系統中ldap的使用者查不到

google+百度良久，外帶犧牲了8根秀髮，經過N多嘗試之後，我發現以下方法即可解決：

修改配置檔案/etc/nsswitch.conf

passwd:         compat systemd sss ldap db
group:          compat systemd sss ldap db
shadow:         compat sss ldap db

主要就是這三項後面加了 ldap和 db

安裝nslcd

root@cky:~# apt install nslcd -y

修改配置檔案/etc/nslcd.conf

root@cky:~# grep -Ev '^$|^[#;]' /etc/nslcd.conf
uid nslcd
gid nslcd
uri ldapi:///192.168.3.188
base dc=company,dc=com
ldap_version 3
binddn cn=admin,dc=company,dc=com
bindpw 654321
ssl off
tls_cacertfile /etc/ssl/certs/ca-certificates.crt

重啟nslcd服務

root@cky:~# systemctl restart nslcd
root@cky:~# systemctl enable nslcd
nslcd.service is not a native service, redirecting to systemd-sysv-install.
Executing: /lib/systemd/systemd-sysv-install enable nslcd

重啟slapd服務

root@cky:~# systemctl restart slapd

再次查詢

root@cky:~# getent group Replicators
Replicators:*:552:

所以我也不知道是我看的不夠全，還是官方文件的缺失，此處再次diss一下Ubuntu官方文件

使用`smbldap-tools`管理使用者、組和計算機賬戶

啟用自動主目錄建立：

root@cky:~# pam-auth-update --enable mkhomedir

要新增具有主目錄的新使用者：

root@cky:~# smbldap-useradd -a -P -m ldap_user01
Changing UNIX and samba passwords for ldap_user01
New password: 111111
Retype new password: 111111

查一下ldap中的使用者

root@cky:~# ldapsearch -x -b "uid=ldap_user01,ou=Dev,dc=company,dc=com"

看一下home目錄

root@cky:~# ls /home
cky  ldap_user01

使用getent查詢一下使用者

root@cky:~# getent passwd ldap_user01
ldap_user01:x:10003:513:System User:/home/ldap_user01:/bin/bash

ldap安裝
2016-08-24
LDA
Qmail+LDAP安裝配置例項(一)(轉)
2007-08-10
AILDA
Windows 環境安裝Ldap
2021-01-04
WindowsLDA
LDAP：如何在windows系統下安裝LDAP及連線測試
2023-08-22
LDAWindows
php_ldap域整合模組安裝-159
2021-09-09
PHPLDA
ldap搭建
2016-11-10
LDA
Console LDAP 配置解密
2023-11-12
LDA解密
dbms_ldap實現ldap資料修改
2009-03-10
LDA
在CentOS 6.5上安裝OpenLDAP並配置LDAP方式使用者登入
2016-03-13
CentOSLDA
ldap+qmail+postaci安裝和使用者管理(轉)
2007-08-15
LDAAI
極狐GitLab 如何配置多個 LDAP？
2024-02-19
GitlabLDA
LDAP Server Installation
2018-02-11
LDAServer
ldap基本知識
2017-10-16
LDA
用DBMS_LDAP實現LDAP與ORACLE的資料同步
2011-04-29
LDAOracle
如何使用Choerodon LDAP以及配置定時任務
2019-05-14
LDA
完整的 LDAP + phpLDAPadmin安裝部署流程 (ubuntu18.04)
2021-02-25
LDAPHPUbuntu
LDAP網路賬戶
2017-05-03
LDA
CentOS7 原始碼安裝svn1.9.5及httpd配置(ldap驗證/ad域驗證)
2017-02-07
CentOS原始碼httpdLDA
LDAP落地實戰（三）：GitLab整合OpenLDAP認證
2019-03-04
LDAGitlab
zabbix使用LDAP認證,並定時匯入ldap使用者到zabbix
2016-11-15
LDA
k8s接入ldap
2018-09-06
K8SLDA
LDAP啟動TLS 完整操作流程
2021-02-26
LDATLS
域滲透之ldap協議
2020-11-21
LDA協議
LDAP學習筆記總結
2016-08-15
LDA筆記
使用java完成ldap身份驗證
2014-10-23
JavaLDA
Django 使用LDAP驗證登入
2013-09-17
DjangoLDA
nss_ldap 平臺相關
2012-12-07
LDA
PHP中的LDAP功能函(轉)
2007-08-10
PHPLDA
SQL稽核平臺 Archery v1.8.0 LDAP功能配置步驟
2022-05-13
SQLLDA
samba安裝
2012-10-13
Samba
Samba伺服器的安裝與配置
2017-05-17
Samba伺服器
linux下安裝、配置samba服務
2010-01-24
LinuxSamba
falcon適配ldap密碼同步
2018-11-16
LDA密碼
利用Docker部署管理LDAP及其初次使用
2023-01-12
DockerLDA
centos7下ldap服務搭建
2017-08-07
CentOSLDA
ubuntu系統samba服務的安裝配置
2018-08-31
UbuntuSamba
linux下Samba服務配置與安裝
2008-10-27
LinuxSamba
Samba 安裝與配置 (zt from paipai-oss)
2009-05-18
SambaAI