IBM kupuje společnost HashiCorp (Terraform, Packer, Vault, Boundary, Consul, Nomad, Waypoint, Vagrant, …) za 6,4 miliardy dolarů, tj. 35 dolarů za akcii.
Byl vydán TrueNAS SCALE 24.04 “Dragonfish”. Přehled novinek této open source storage platformy postavené na Debianu v poznámkách k vydání.
Oznámeny byly nové Raspberry Pi Compute Module 4S. Vedle původní 1 GB varianty jsou nově k dispozici také varianty s 2 GB, 4 GB a 8 GB paměti. Compute Modules 4S mají na rozdíl od Compute Module 4 tvar a velikost Compute Module 3+ a předchozích. Lze tak provést snadný upgrade.
Po roce vývoje od vydání verze 1.24.0 byla vydána nová stabilní verze 1.26.0 webového serveru a reverzní proxy nginx (Wikipedie). Nová verze přináší řadu novinek. Podrobný přehled v souboru CHANGES-1.26.
Byla vydána nová verze 6.2 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 13.0.14.
Byla vydána nová verze 30.0.0 frameworku pro vývoj multiplatformních desktopových aplikací pomocí JavaScriptu, HTML a CSS Electron (Wikipedie, GitHub). Chromium bylo aktualizováno na verzi 124.0.6367.49, V8 na verzi 12.4 a Node.js na verzi 20.11.1. Electron byl původně vyvíjen pro editor Atom pod názvem Atom Shell. Dnes je na Electronu postavena celá řada dalších aplikací.
Byla vydána nová verze 9.0.0 otevřeného emulátoru procesorů a virtualizačního nástroje QEMU (Wikipedie). Přispělo 220 vývojářů. Provedeno bylo více než 2 700 commitů. Přehled úprav a nových vlastností v seznamu změn.
Evropský parlament dnes přijal směrnici týkající se tzv. práva spotřebitele na opravu. Poslanci ji podpořili 584 hlasy (3 bylo proti a 14 se zdrželo hlasování). Směrnice ujasňuje povinnosti výrobců opravovat zboží a motivovat spotřebitele k tomu, aby si výrobky nechávali opravit a prodloužili tak jejich životnost.
Bylo oznámeno (cs) vydání Fedora Linuxu 40. Přehled novinek ve Fedora Workstation 40 a Fedora KDE 40 na stránkách Fedora Magazinu. Současně byl oznámen notebook Slimbook Fedora 2.
ČTK (Česká tisková kancelář) upozorňuje (X), že na jejím zpravodajském webu České noviny byly dnes dopoledne neznámým útočníkem umístěny dva smyšlené texty, které nepocházejí z její produkce. Jde o text s titulkem „BIS zabránila pokusu o atentát na nově zvoleného slovenského prezidenta Petra Pelligriniho“ a o údajné mimořádné prohlášení ministra Lipavského k témuž. Tyto dezinformace byly útočníky zveřejněny i s příslušnými notifikacemi v mobilní aplikaci Českých novin. ČTK ve svém zpravodajském servisu žádnou informaci v tomto znění nevydala.
[global] workgroup = FIRM netbios name = TEST server string = pokusny passdb backend = ldapsam:ldap://127.0.0.1/ ldap suffix = dc=domena,dc=cz ldap group suffix = ou=group ldap user suffix = ou=people ldap machine suffix = ou=hosts ldap admin dn = cn=admin,dc=domena,dc=cz obey pam restrictions = no ldap passwd sync = no ldap delete dn = no username map =/etc/samba/smbpasswd add user script = /usr/sbin/smbldap-useradd -m "%u" add machine script = /usr/sbin/smbldap-useradd -w "%u" add group script = /usr/sbin/smbldap-groupadd -p "%g" add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g" delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g" set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u" logon script = scripts\logon.bat logon path = \\%N\Profiles\%U logon drive = H: logon home = \\%N\%U security = user idmap uid = 4000-10000 idmap gid = 4000-10000 [homes] path = /export/homes/%U browseable = no valid users = %S read only = no create mask = 0664 directory mask = 0775smbldap_bind.conf mám vyplněnej, smbldap.conf:
SID="S-1-5-21-2884938510-3913314686-102960621" slaveLDAP="127.0.0.1" masterLDAP="127.0.0.1" ldapTLS="0" mailDomain="domena.cz" suffix="dc=domena,dc=cz"
smbpasswd -w
? Případně zkuste zvýšit úroveň logování Samby, aby se v logu něco zajímavého objevilo.
[2007/09/01 17:04:06, 2] smbd/reply.c:reply_special(496) netbios connect: name1=*SMBSERV name2=WIDLAK [2007/09/01 17:04:06, 2] smbd/reply.c:reply_special(503) netbios connect: local=192.168.1.4 remote=widlak, name type = 0 [2007/09/01 17:04:06, 2] smbd/sesssetup.c:setup_new_vc_session(799) setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources. [2007/09/01 17:04:06, 2] smbd/sesssetup.c:setup_new_vc_session(799) setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources. [2007/09/01 17:04:06, 2] lib/smbldap.c:smbldap_open_connection(788) smbldap_open_connection: connection opened [2007/09/01 17:04:06, 2] auth/auth.c:check_ntlm_password(319) check_ntlm_password: Authentication for user [smajl] -> [smajl] FAILED with error NT_STATUS_NO_SUCH_USER
sambaSID
, ostatní údaje jsou volitelné. Ale bez hesel nebude Samba schopná ověřit heslo uživatele a přihlásí tedy asi uživatele s jakýmkoli heslem (nebo jen s prázdným heslem). S hesly bude ostatně asi největší problém, protože pokud je nemáte někde v plaintextu, budete asi muset uživatelům vygenerovat hesla nová, která si pak změní (Windows a tím pádem Samba používá jiný hash hesla, než se používají v Linuxu).
Jaké údaje jsou potřeba snad odvodíte z dokumentace l ldapsam.
net getlocalsid
Dá se ten SambaSID vygenerovat?Dá. Je to SID domény, ke kterému je za pomlčkou přidané unikátní číslo uživatele. Pokud nepoužívá jiné mapování, vytváří myslím Samba tohle číslo jako dvojnásobek UID uživatele + 1. Ale jinak to může být libovolné unikátní číslo, takže je potřeba dát jenom pozor na to, aby později, pokud budete přidávat uživatele přímo přes Sambu, Samba nevygenerovala stejné číslo.
A jak vytvořit hesla když je mám v plaintextu?Já jsem používal např. skript v Pythonu, kde bylo něco jako
import smbpasswd print smbpasswd.lmhash("heslo")Ovšem modul
smbpasswd
není ve standardních pythonovských modulech, a na smbpasswd python vrací Google akorát nejrůznější balíčky, tak buď musíte najít ten pro svou distribuci, nebo z nějakého balíčku vyzkoumat, kde roste originál. Určitě také existuje knihovna pro Javu, která umí ta hesla konvertovat. Nejspíš existují i různé další utility nebo skripty, zkuste hledat třeba „ntlm password“. Nějaké Perlovské skripty jsou snad i v contrib v Sambě…
Ok, něco vymyslím. Snažím se to dělat postupně, můj cíl je rozchodit řadič domény. Pod jakým uživatelem můžu přidat stanice do domény? smb.conf jsem trochu upravil, takže teď vystupuje jako pdc, ale nedovolí mi to se připojit do domény. v logách ale nic špatnýho nevidím a to mám log level 8.Přidání stanice do domény byl u mne vždycky největší problém. Myslím, že to musí být uživatel, který je členem skupiny
Domain Admins
(nad se tak jmenuje, měla by to být jedna z well known skupin). Problém je hlavně v tom, že Samba se pokouší účet pro stanici smazat a pak založit znovu, včetně unixového. Takže buď jí to musíte komplet dovolit a naučit, nebo mít už předem účty vytvořené a Sambě dovolit je změnit. Pak ale musíte myslím účtu nastavit výchozí heslo, které je buď všude stejné, nebo odvozené ze jména počítače (snad to jde najít někde na internetu). Je potřeba tam dávat pozor na velikost písmen, ve jménu účtu pracovní stanice jsou myslím velká, ale pro tvorbu hesla se možná použijí malá… Už si to moc nepamatuju, možná bych to nešel někde ve skriptech, které jsem používal. Pokud bych našel ty skripty… Každopádně ten způsob, že si Samba sama účet počítače založí je myslím dokumentovanější a není třeba tolik vlastního výzkumu. Ale jak už jsem psal, v tom případě musí fungovat i odebrání (asi) a každopádně přidání uživatele do systému (do linuxu). Nějaké ukázkové skripty jsou snad součástí nss_ldap (předpokládám, že používáte to, když máte linuxové uživatele také v LDAPu).
Konkrétně se to myslím snaží vytvořit uživatele s $ na konci. Proč tomu tak je nevím. Dá se tomu zabránit? Nerad bych totiž nechal sambu, aby mi dělala border v ldapu. Jinak smbpasswd -a nefunguje.
Neviem ci tomu spravne rozumiete. Bezne uzivatelske domenove ucty vytvarane sambou
(resp definovanymi skriptami) _nemaju_ pridavany prefix $
za loginom. Tento "prefix" sa pridava vyhradne pre ucty pracovnych stanic pridavanych do domeny, aby sa od beznych uctov uz na prvy pohlad lisili.
A za dalsie, bordel v LDAPe vam urcite nevznikne, lebo ucty stanic sa vytvaraju spravidla v podstrome definovanym direktivou ldap machine suffix
a teda budu od beznych uzivatelov logicky odclenene.
ldap machine suffix
v konfiguráku).
Myslím, že to musí být uživatel, který je členem skupiny Domain Admins
Toto veru nestaci. Pridavat stanice do domeny moze defaultne len user uvedeny direktivou "admin users
" v smb.conf
. Kazdy dalsi uzivatel, ktorym by ste chceli pridavat stanicu do domeny musi mat delegovane pravomoci (konkretne pravomoc SeMachineAccountPrivilege
(..da sa delegovat aj na skupinu (napr. Domain Admins
), nielen na usera)).
Pak ale musíte myslím účtu nastavit výchozí heslo, které je buď všude stejné, nebo odvozené ze jména počítače (snad to jde najít někde na internetu).Pokial viem, tak nastavovanie hesiel pre PC ucty sa stara
samba
sama. Po pripojeni stanice do domeny samba
vytvori pre dane PC klasicky uzivatelsky posix
ucet skriptom smbldap-useradd -w
, a po jeho vytvoreni sama pozadava ostatne atributy ako su sambaSID, atributy na hesla (na hesle sa so stanicou interne dohodne, bez akejkolvek interakcie uzivatela) a pod.
Ja som odpovedal na prispevok pana Jirsaka, ktory pisal o pridavani stanic do domeny. Vy sa ale snazite o pristup na samba server pod uctom, ktory samba
nepozna... lebo (ako vyplynulo z debaty) nema pridane atributy (ako uz spominany sambaSamAccount
objectclass
a kopec dalsich) a teda taky uzivatel pre nu vskutku neexistuje. Ziadne bezne (posix
) uzivatelske ucty samba
do domeny _nepridava_ automaticky. O toto sa musi postarat administrator (a tiez by to mohlo byt neziaduce).
Takze rada zavisi podla toho, kolko mate existujucich uzivatelov v LDAPe. Ak ich je len zopar, tak prikazmi "smbldap-usermod -a loginname
" popridavate kazdemu z LDAP userov samba
atributy a prikazom "smbldap-passwd loginname
" povytvarate hesla. A az po tychto ukonoch mozte uspesne pristupovat k zdielanym prostriedkom samby.
A este dodatok: tie skripty napr na pridanie usera alebo skupiny sa pouzivaju iba vtedy, ak ich "explicitne" zavolate, napriklad vytvaranim uzivatela/skupiny cez usrmgr.exe
.
Sorry, ale smbldap-populate je ZAKLAD !To doplní jenom SID domény a well known účty a skupiny. A jediné opravdu potřebné z toho je SID domény. Možná je to základ, ale potřeba to není
vim
, ldapsearch
, ldapimport
a nějaké ty skripty
Třeba ta synchronizace hesel se nastavuje v konfiguráku samby, na to netřeba žádné utility. A ta Windows domaini struktura je jeden LDIF import, který okopírujete ze Samab Howto, akorát v něm nahradíte domain SID a doménu, což je vyhledej-nahraď.
Tiskni Sdílej: