Grundlagen¶

Ab Samba Version 4.x kann man Samba im Microsoft-kompatiblen Modus "Active-Directory Domain-Controller" (kurz AD DC) laufen lassen. Dieser Artikel beschreibt die Grundinstallation eines Samba-Servers als DC für eine Windows Domäne.

Es werden nur offizielle Pakete aus dem Ubuntu-Repo benutzt, und orientiert sich weitgehend am Artikel im offiziellen Samba-Wiki. Sie berücksichtigt aber die Besonderheiten bei Ubuntu.

Offizielles Samba-HowTo - https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO

Abgrenzung und (noch) offene Punkte¶

1. AD-Replikation (mit weiterem DC) 2. SYSVOL-Replikation (mit weiterem DC) 3. Datensicherung und Recovery

Alternative Linux-Distributionen für Samba4 im AD-Betrieb (und andere Services wie DNS, DHCP, Firewall, Proxy, etc.)¶

http://www.zentyal.org/

Speicherort der Samba-Konfigurationsdateien (Standardpfade)¶

(wichtig für Datensicherung und Wiederherstellung)

1. /var/lib/samba/

siehe auch (veraltet) - https://wiki.samba.org/index.php/TDB_Locations

Hier liegen die Dateien & Verzeichnisse für:

• Samba-Datenbank

• LDAP-Config

• Group-Policies

• DNS-Config

• SPNs

• Kerberos-Config

• Passwörter

• SYSVOL

• Zertifikate

• Druckertreiber

2. etc/samba/

• Samba-Konfigurationsdatei "smb.conf"

Voraussetzungen zur Installation¶

Vorarbeiten¶

sudo apt-get install ntp
sudo service ntp start

netstat -tulpn |grep ":123 "

sudo apt-get remove ntpdate
sudo service ntp restart

ntpq --peers

w32tm /monitor /comupters:<ip-adresse-des-Samba-Servers>

sudo systemctl disable dnsmasq

sudo netstat -tlpn |grep ":53 "

cat /etc/fstab |grep -i noacl
mount |grep -i noacl

Installation von Samba-Paket¶

("winbind" wird nur zur Analysezwecken gebraucht, ist aber dafür wertvoll)

sudo apt-get install samba
sudo apt-get install winbind 

Erstkonfiguration von Samba¶

Beispielkonfigurationsdaten für den Samba-Server:

Hostname des Samba-Servers: DC1
IP-Adresse: 192.168.1.5
getestete Samba-Version: 4.3.11-Ubuntu

Die bestehende Datei smb.conf löschen oder umbenenen:

sudo rm /etc/samba/smb.conf

Dann folgendes als root ausführen zur Ersteinrichtung eines DC:

samba-tool domain provision

Es werden dann Domänennamen, NETBIOS-Name der Domäne, DNS-Server des Providers/DSL-Routers, und User-Passwort für den Samba-Administrator abgefragt, Beispiel:

root@DC1:/etc/samba# samba-tool domain provision
Realm [FRITZ.BOX]: TESTFIRMA.DOM
 Domain [TESTFIRMA]: 
 Server Role (dc, member, standalone) [dc]: 
 DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: 
 DNS forwarder IP address (write 'none' to disable forwarding) [192.168.1.1]: 
Administrator password: 
Retype password: 

Danach kommt folgende Ausgabe, z.B.:

Looking up IPv4 addresses
Looking up IPv6 addresses
More than one IPv6 address found. Using fd88:fdcf:c3ea::135
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
Adding DomainDN: DC=testfirma,DC=dom
Adding configuration container
Setting up sam.ldb schema
Setting up sam.ldb configuration data
Setting up display specifiers
Modifying display specifiers
Adding users container
Modifying users container
Adding computers container
Modifying computers container
Setting up sam.ldb data
Setting up well known security principals
Setting up sam.ldb users and groups
Setting up self join
Adding DNS accounts
Creating CN=MicrosoftDNS,CN=System,DC=testfirma,DC=dom
Creating DomainDnsZones and ForestDnsZones partitions
Populating DomainDnsZones and ForestDnsZones partitions
Setting up sam.ldb rootDSE marking as synchronized
Fixing provision GUIDs
A Kerberos configuration suitable for Samba 4 has been generated at /var/lib/samba/private/krb5.conf
Once the above files are installed, your Samba4 server will be ready to use
Server Role:           active directory domain controller
Hostname:              DC1
NetBIOS Domain:        TESTFIRMA
DNS Domain:            testfirma.dom
DOMAIN SID:            S-1-5-21-1643755149-329575646-4284657705

Danach ist die /etc/samba/smb.conf mit folgender Rolle und Config eingerichtet (mehr nicht!), z.B.:

# Global parameters
[global]
        workgroup = TESTFIRMA
        realm = TESTFIRMA.DOM
        netbios name = DC1
        server role = active directory domain controller
        dns forwarder = 192.168.1.1

[netlogon]
        path = /var/lib/samba/sysvol/testfirma.dom/scripts
        read only = No

[sysvol]
        path = /var/lib/samba/sysvol
        read only = No

Nach dem Reboot sind die üblichen Ports eines Domaincontrollers offen, hier die Ausgabe von "sudo netstat -tlpn":

(der aufgelistete sshd-Service auf Port 22 wurde zuvor manuell hinzu installiert, und gehört nicht zur eigentlichen Samba-Installation. Der cupsd ist ab Werk bei Ubuntu schon installiert.)

Aktive Internetverbindungen (Nur Server)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:464             0.0.0.0:*               LISTEN      1572/samba      
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      1578/samba      
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      792/sshd        
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      655/cupsd       
tcp        0      0 0.0.0.0:88              0.0.0.0:*               LISTEN      1572/samba      
tcp        0      0 0.0.0.0:636             0.0.0.0:*               LISTEN      1570/samba      
tcp        0      0 0.0.0.0:445             0.0.0.0:*               LISTEN      1569/smbd       
tcp        0      0 0.0.0.0:1024            0.0.0.0:*               LISTEN      1566/samba      
tcp        0      0 0.0.0.0:3268            0.0.0.0:*               LISTEN      1570/samba      
tcp        0      0 0.0.0.0:3269            0.0.0.0:*               LISTEN      1570/samba      
tcp        0      0 0.0.0.0:389             0.0.0.0:*               LISTEN      1570/samba      
tcp        0      0 0.0.0.0:135             0.0.0.0:*               LISTEN      1566/samba      
tcp        0      0 0.0.0.0:139             0.0.0.0:*               LISTEN      1569/smbd       
tcp6       0      0 :::464                  :::*                    LISTEN      1572/samba      
tcp6       0      0 :::53                   :::*                    LISTEN      1578/samba      
tcp6       0      0 :::22                   :::*                    LISTEN      792/sshd        
tcp6       0      0 ::1:631                 :::*                    LISTEN      655/cupsd       
tcp6       0      0 :::88                   :::*                    LISTEN      1572/samba      
tcp6       0      0 :::636                  :::*                    LISTEN      1570/samba      
tcp6       0      0 :::445                  :::*                    LISTEN      1569/smbd       
tcp6       0      0 :::1024                 :::*                    LISTEN      1566/samba      
tcp6       0      0 :::3268                 :::*                    LISTEN      1570/samba      
tcp6       0      0 :::3269                 :::*                    LISTEN      1570/samba      
tcp6       0      0 :::389                  :::*                    LISTEN      1570/samba      
tcp6       0      0 :::135                  :::*                    LISTEN      1566/samba      
tcp6       0      0 :::139                  :::*                    LISTEN      1569/smbd   

Damit ist jetzt grundsätzlich der Samba-Server als Domaincontroller mit LDAP, Kerberos, DNS und CIFS-Protokoll erreichbar und einsetzbar.

Benutzer- und Gruppen-Administration¶

Die Domänenverwaltung des Active-Directory des Samba-Servers geschieht per Linux auf der Kommandozeile mit dem Programm "samba-tool". ("samba-tool" ist ein Teil des Samba4-Pakets)

Syntax siehe auch hier - https://www.samba.org/samba/docs/man/manpages-3/samba-tool.8.html

Einfache Informationsausgaben einer Domäne kann man auch mit "wbinfo" (eigenes Paket) erledigen.

Alle Benutzerkonten auflisten:

samba-tool user list

oder

wbinfo -u

Einen neuen Benutzer hinzufügen (soweit noch nicht vorhanden):

HINWEISE dazu:

• Samba 4 benötigt KEINE vorherige Anlage eines Unix Users bevor er in Samba angelegt werden kann.

• Es wird bei Usernamen entgegen den Linuxstandards nicht zwischen Groß- und Kleinschreibung unterschieden.

• Bei der Anlage wird ein Passwort abgefragt, dies unterliegt einer strengen Passwort-Policy.

samba-tool user add "Alice"

Eine neue Gruppe hinzufügen:

samba-tool group add Team-A

Alle Gruppen auflisten (ab Werk sind schon jede Menge Standard-Gruppen vorhanden)

samba-tool group list

oder

wbinfo -g

Einen Benutzer zu einer bestehenden Gruppe hinzufügen:

samba-tool group addmembers Team-A Alice

Alle Mitglieder einer Gruppe anzeigen:

samba-tool group listmembers Team-A

Einrichtung weiterer Freigaben (Shares)¶

Ab Werk sind auf dem Sambaserver jetzt nun die CIFS-Shares "netlogon" und "sysvol" verfügbar.

SYSVOL ist ein Standard-Verzeichnis bei Domaincontrollern und beinhaltet die Windows Group-Policies sowie beinhaltet auch das NETLOGON-Share.

Das NETLOGON-Share ist standardmässig nur für Loginscripte vorgesehen.

EMPFEHLUNG: Beide Shares sollten nicht für andere Zwecke missbraucht werden!

Wenn man diesen Server somit nicht nur als Domaincontroller verwenden möchte, sondern auch als Fileserver, kann man weitere Shares einrichten.

rlimit_max (1024) below minimum Windows limit (16384)

* - nofile 16384

sudo mkdir /mnt/tausch
sudo chmod 777 /mnt/tausch

[tausch]
	comment = Tausch
	path = /mnt/tausch
	read only = No
	inherit permissions = Yes
	inherit acls = Yes
	inherit owner = Yes
	guest ok = Yes

chown -R root:root /mnt/tausch/
chmod -R 777 /mnt/tausch/
setfacl -R -b /mnt/tausch/   # entfernt alle bestehenden Rechte
setfacl -R -d -m:rxw /mnt/tausch/    # setzt rwx als Default-Recht für alle User

[daten]
	comment = Daten
	path = /mnt/daten
	read only = No
	inherit permissions = Yes
	inherit acls = Yes
	inherit owner = Yes
	guest ok = No

wbinfo -i "domain admins"

TESTFIRMA\domain admins:*:3000008:3000008::/home/TESTFIRMA/domain admins:/bin/false

wbinfo -i "team-a"

TESTFIRMA\team-a:*:3000026:3000026::/home/TESTFIRMA/team-a:/bin/false

chown -R root:root /mnt/daten/   # root zum Besitzer aller Dateien machen
chmod -R 700 /mnt/daten/   # alle Rechte auf root einschränken
setfacl -R -b /mnt/daten/   # entfernt alle bestehenden ACLs
setfacl -R -d -m g:3000008:rwx /mnt/daten/   # die Gruppe "Domain Admins" mit Vollrechten ausstatten
setfacl -R -d -m g:3000026:rwx /mnt/daten/   # die Gruppe "team-a" mit Vollrechten ausstatten

root@DC1:/mnt# getfacl  -t /mnt/daten/
# file: mnt/daten
# owner: root
# group: root
user::rwx
group::---
other::---
default:user::rwx
default:group::---
default:group:3000008:rwx
default:group:3000026:rwx
default:mask::rwx
default:other::---