= Configurazione di Samba 4 come Domain Controller Active Directory = Configurazione di Samba 4 su Debian 12 (Devuan Daedalus) '''Attenzione: i vari comandi esatti vanno verificati, specie se usate debian e systemd''' Il punto di partenza e` l'howto dal sito di Samba, qui: https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO Questa versione di Samba (4.17.12) è necessaria per funzionare correttamente con windows 11 22H2. == Prerequisiti == * Samba richiede l'uso delle ACL Posix e degli attributi estesi sul file system. Occorre quindi usare ext4 (che li supporta di default) oppure abilitarli sul file system che volete usare. * Non ci deve essere un DNS server sulla macchina che fa da AD, perche` lo fa Samba e non si puo` fare diversamente. Per impostare correttamente il DNS in modo da non avere problemi, se necessario, verificare prima come gestire dnsmasq con samba per non farli cozzare. E` importante avere il DNS di Samba funzionante senza che cozzi con altri programmi per l'uso della porta 53 perche` altrimenti poi anche il provisioning sembra funzionare ma fallisce, e i test non passeranno, a partire dal primo. Fare riferimento anche a: [[../IntegrazioneSambaDnsmasq]] * I client che saranno joinati al dominio dovranno usare come DNS server quello contenuto in Samba (oppure un DNS che sappia appoggiarsi a quello contenuto in Samba). Fare riferimento anche a: [[../IntegrazioneSambaDnsmasq]] * Usare NTP (o Chrony in particolare in Debian 12) perche` la sincronizzazione dell'ora e` importante (anche nei member server. Sui client windows si arrangia a chiedere NTP al DC) == Installazione di Samba == * Installare normalmente i pacchetti di Samba "ufficiali" più alcuni pacchetti di contorno: {{{ apt install acl attr samba samba-dsdb-modules samba-vfs-modules winbind libpam-winbind libnss-winbind libpam-krb5 krb5-config krb5-user dnsutils smbclient }}} * ignorare le domande relative alla config di Kerberos, che tanto dovremo rifarla dopo. * '''ATTENZIONE:''' installando libpam-winbind si autorizzano di default gli utenti di Samba ad accedere in ssh. Questo potrebbe essere molto pericoloso. Se non volete che succeda, usate il comando {{{pam-auth-update}}} (dopo aver installato i pacchetti) e disattivate l'opzione di usare Samba come fonte di autenticazione per PAM == Provisioning del dominio == Prima di partire, occorre ricordare che il dominio AD funziona con il DNS, ergo e` esigente e invadente al riguardo. Occorre controllare che l'hostname fully qualified (con anche il dominio) del server dove stiamo installando Samba sia congruente con quello che sara` il nome del dominio AD (per esempio, "server01.dominio.internal"), e sia risolvibile correttamente sia dal server stesso che dai client che poi aggiungeremo, sia a dritto che a rovescio. Qui le best practice sono tante e non tutte concordano, ma la cosa importante e` che il nome del dominio AD '''NON SI CAMBIA MAI PIU`''' dopo averlo impostato. Molti suggeriscono di usare un subdomain di un nome di dominio ufficiale e registrato (tipo ad esempio dominiosamba.example.com) ma io preferisco usare un dominio non registrato pubblicamente, tipo "nomeazienda.internal". Badate bene di NON usare ".local" che e` stato "rubato" da Avahi (Bonjour) e quindi ci sarebbero problemi nella risoluzione dei nomi. Se si prevede di avere una "foresta" (come la chiama MS) di domini correlati, allora occorre considerare bene la scelta dei nomi, ma questo va oltre lo scopo attuale del sottoscritto, che e` di avere un dominio AD e basta. Essendo una nuova installazione, partiamo da zero con il provisioning di un dominio "vergine". Prima di farlo, mi assicuro di non avere configurazioni pregresse o di default che non mi siano gradite. * Fermare samba {{{ /etc/init.d/smbd stop /etc/init.d/nmbd stop /etc/init.d/winbind stop }}} * Assicurarsi che sia fermo. Se ci sono processi smbd, nmbd, o winbindd, killarli senza pietà. * Cancellare o rinominare il file {{{/etc/samba/smb.conf}}} * Se ci sono, cancellare tutti i files tdb e ldb. Un metodo per trovarli è questo: {{{ smbd -b | egrep "LOCKDIR|STATEDIR|CACHEDIR|PRIVATE_DIR" }}} * Cancellare o rinominare, se c'è, il file {{{/etc/krb5.conf}}} * Verificare in {{{/etc/hosts}}} che ci sia una riga che contiene il nome del nostro server che punta al suo IP e non a localhost, tipo {{{ 192.168.1.100 server01.dominio.internal server01 }}} * Effettuare il provisioning del dominio con il comando samba-tool (Se il server ha piu` di una NIC, scegliere quella giusta per Samba a mezzo delle due option relative alle interfacce. Se ne ha una sola non e` necessario) {{{ samba-tool domain provision --use-rfc2307 --interactive --option="interfaces=lo eth0" --option="bind interfaces only=yes" }}} * Rispondere alle domande (e ricordarsi la password impostata per administrator). Attenzione alla policy di default per la password: almeno 8 caratteri con almeno un simbolo o un numero e una maiuscola e una minuscola se ricordo bene. Il tool di provisioning avra` creato una serie di cose: * un file /etc/samba/smb.conf (guardateci dentro) * due share di sistema necessari (indicati in smb.conf), che come potete vedere hanno gia` impostati attributi estesi, ACL posix, e appartengono a un gruppo che non esiste nel sistema. Questo e` normale per Samba 4 in modo AD che a differenza di samba 3 non usa utenti e gruppi locali. * un database LDAP dentro al suo personale server LDAP (io odio fortissimamente LDAP, ma qui e` necessario) * Tre utenti in Samba: administrator, krbtgt e nobody. * Un server DNS locale (integrato in Samba) che risolve i nomi buffi necessari per il funzionamento del dominio AD. Vedremo poi come usarlo. == Reimpostare il resolver DNS == Samba vuole risolvere i suoi nomi interni per funzionare, ergo se il server dove e` installato samba usa come DNS un altro DNS che non sia se` stesso, o che non sia in qualche modo configurato per richiedere a Samba i nomi giusti, allora Samba quando si avvia dara` errori nel log (e non so poi se possa funzionare bene). Il bello di Samba in versione AD e` che e` semplice (attenzione: questo è sarcasmo). Quindi, la cosa piu` facile da fare e` impostare sul nostro domain controller in {{{/etc/resolv.conf}}} il dns per essere localhost (127.0.0.1) oppure l'ip della nostra interfaccia alla quale abbiamo bindato Samba {{{ # file /etc/resolv.conf search .locale nameserver (oppure 127.0.0.1) }}} Di default il DNS interno di Samba non conterrà una zona reverse per gli ip della mia lan. Questo non è necessariamente un problema, se ne può fare a meno e comunque se si usa una integrazione con Dnsmasq la zona reverse può essere gestita da Dnsmasq stesso, sia staticamente che tramite le assegnazioni del DHCP. Attenzione, però : la reverse zone per la nostra LAN, se locale su Samba, non risolverà nulla che non sia dentro di essa stessa. In altri termini, non credo proprio che Samba, se un lookup locale fallisce, passi la palla a Dnsmasq. Del comportamento opposto non sono sicuro, invece. Devo indagare. == Configurazione di Kerberos == Samba usa kerberos internamente per autenticare utenti, macchine, ecc. (Sono ignorante per cui non so esattamente come, quando, e perché. Tuttavia, è opportuno che kerberos funzioni localmente, quindi provvediamo a copiare (non symlinkare, ma copiare!) la configurazione autogenerata da Samba durante il provisioning dentro a /etc, come segue) {{{ cp /var/lib/samba/private/krb5.conf /etc/krb5.conf }}} == Configurazione di NTP == '''Attenzione: il pacchetto sntp in Debian 12 non funziona con Samba. Per debian 12 usate Chrony (vedi subito dopo)''' Ntp deve essere installato sul DC (e l'abbiamo gia` detto). Pero` deve anche essere configurato. Occorre che NTPD legga un socket messo a disposizione da Samba (per la quale cosa faremo apposita configurazione), che supporti ntptd_signd, e ovviamente che sia accessibile dai client del dominio sulla LAN. Per ottenre questo risultato, dobbiamo: * Installare NTP dal pacchetto Debian * Creare la directory {{{/var/lib/samba/ntp_signd}}}, la quale deve poter essere letta dal server NTP, che gira con user e gruppo "ntp". * Se questa directory esiste già, vuole dire che abbiamo già lanciato Samba almeno una volta. Non è un problema, basta mettere a posto i permessi. {{{ mkdir /var/lib/samba/ntp_signd chgrp ntp /var/lib/samba/ntp_signd chmod 750 /var/lib/samba/ntp_signd }}} * Modificare {{{/etc/ntp.conf}}} per leggere questo socket: {{{ # aggungere queste righe: ntpsigndsocket /var/lib/samba/ntp_signd tinker panic 0 # modificare queste righe (mssntp aggiunto in fondo a tutte e due) restrict -4 default kod notrap nomodify nopeer noquery mssntp restrict -6 default kod notrap nomodify nopeer noquery mssntp }}} * Riavviare ntp * Verificare nel syslog che NTP riporti questo messaggio: {{{ntpd[xxxxx]: MS-SNTP signd operations currently block ntpd degrading service to all clients.}}} * Nel dubbio riavviare Samba * Per verificare se un client joinato al dominio legge correttamente NTP, eseguire un CMD come amministratore e usare il comando {{{ w32tm /resync }}} == Configurare Chrony == In Debian 12 sntp non funziona con Samba. Possiamo usare Chrony al posto di sntp, in questo modo: * Installare il pacchetto "chrony" (che disinstalla, nel caso, sntp) * Creare la directory {{{/var/lib/samba/ntp_signd}}}, la quale deve poter essere letta dal server Chrony, che gira con user e group "_chrony" (notare l'underscore all'inizio) * Se questa directory esiste già, vuole dire che abbiamo già lanciato Samba almeno una volta. Non è un problema, basta mettere a posto i permessi. {{{ mkdir /var/lib/samba/ntp_signd chgrp _chrony /var/lib/samba/ntp_signd chmod 750 /var/lib/samba/ntp_signd }}} * Modificarela config di chrony per leggere questo socket. Per farlo possiamo creare un nostro file di conf dentro {{{/etc/chrony/conf.d/}}}. Per esempio possiamo fare {{{/etc/chrony/conf.d/samba.conf}}} contenente queste righe: {{{ ntpsigndsocket /var/lib/samba/ntp_signd }}} * Riavviare Chrony * Verificare nel syslog che Chrony riporti questo messaggio: {{{chronyd[xxxx]: MS-SNTP authentication enabled}}} * Nel dubbio riavviare Samba * Per verificare se un client joinato al dominio legge correttamente NTP, eseguire un CMD come amministratore e usare il comando {{{ w32tm /resync }}} == Configurare nsswitch == Per poter vedere correttamente gli utenti di Samba dal sistema (sulla macchina stessa del DC AD), usando samba 4.2 o superiore, e` sufficiente verificare che winbindd stia girando (ps ax) e poi modificare il file {{{/etc/nsswitch.conf}}} come segue: (potrebbe essere che troviate "compat" al posto di "files", in quel caso mettete "compat winbind") {{{ passwd: files winbind group: files winbind }}} (occorre che le librerie libnss-winbind libpam-winbind siano installate) == Avviare Samba == * Assicuratevi che non ci siano smbd in esecuzione da prima. (killateli nel caso) * Eseguite {{{/etc/init.d/samba-ad-dc start}}} == Test == I test minimali li ho presi direttamente dall' HOWTO. Prima di tutto il test con smbclient, che si fa cosi`: {{{ smbclient -L localhost -U% }}} L'output e` tipo questo: {{{ Domain=[SAMDOM] OS=[Unix] Server=[Samba 4.x.y] Sharename Type Comment --------- ---- ------- netlogon Disk sysvol Disk IPC$ IPC IPC Service (Samba 4.x.y) Domain=[SAMDOM] OS=[Unix] Server=[Samba 4.x.y] Server Comment --------- ------- Workgroup Master --------- ------- }}} Poi l'accesso a uno share: {{{ smbclient //localhost/netlogon -UAdministrator -c 'ls' }}} L'output e` tipo questo: {{{ Enter Administrator's password: passw0rd Domain=[SAMDOM] OS=[Unix] Server=[Samba 4.x.y] . D 0 Sat Jul 5 08:40:00 2014 .. D 0 Sat Jul 5 08:40:00 2014 49386 blocks of size 524288. 42093 blocks available }}} Passo successivo il test del DNS. Queste query devono dare tutte risposte sensate e mai un not found. {{{ host -t SRV _ldap._tcp.. host -t SRV _kerberos._udp.. host -t A }}} Test di Kerberos: La procedura di test per Kerberos richiede due comandi, kinit e klist: {{{ kinit administrator@DOMAIN.LOCALE }}} Notare che il dominio deve essere in maiuscolo (e credo possa essere omesso, dovrebbe risolverlo da solo) Viene chiesta la password di administrator. {{{ klist }}} Viene mostrato un output tipo questo: {{{ Ticket cache: FILE:/tmp/krb5cc_0 Default principal: administrator@SAMDOM.EXAMPLE.COM Valid starting Expires Service principal 07/05/14 23:20:17 07/06/14 09:20:17 krbtgt/SAMDOM.EXAMPLE.COM@SAMDOM.EXAMPLE.COM renew until 07/06/14 23:20:15 }}} == Test dell'integrazione con il sistema == * Verificare se Winbind vede il domain controller: {{{ wbinfo --ping-dc }}} * Verificare se Winbind legge correttamente i dati da Samba (devi vedere i gruppi e gli utenti di Samba come output). Nelle versioni più recenti di Samba si possono trovare ulteriori gruppi oltre quelli elencati qui. {{{ wbinfo -u administrator krbtgt guest wbinfo -g enterprise read-only domain controllers domain admins domain users domain guests domain computers domain controllers schema admins enterprise admins group policy creator owners read-only domain controllers dnsupdateproxy }}} * Verificare se NSS vede utenti e gruppi di Samba {{{ id administrator uid=0(root) gid=0(root) groups=0(root) id guest uid=3000011(guest) gid=3000012(domain guests) groups=3000012(domain guests),3000011(guest),3000015(BUILTIN\guests) getfacl /var/lib/samba/sysvol getfacl: Removing leading '/' from absolute path names # file: var/lib/samba/sysvol # owner: root # group: BUILTIN\134administrators user::rwx user:root:rwx user:BUILTIN\134administrators:rwx group::rwx group:BUILTIN\134administrators:rwx group:BUILTIN\134server\040operators:r-x group:3000002:rwx group:3000003:r-x mask::rwx other::--- default:user::rwx default:user:root:rwx default:user:BUILTIN\134administrators:rwx default:group::--- default:group:BUILTIN\134administrators:rwx default:group:BUILTIN\134server\040operators:r-x default:group:3000002:rwx default:group:3000003:r-x default:mask::rwx default:other::--- }}}