abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
dnes 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 0
včera 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
včera 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 3
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
7.12. 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 9
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
5.12. 22:00 | Komunita

Přibližně před měsícem bylo oznámeno, že linuxová distribuce SUSE Linux Enterprise Server (SLES) běží nově také Raspberry Pi 3 (dokumentace). Obraz verze 12 SP2 pro Raspberry Pi 3 je ke stažení zdarma. Pro registrované jsou po dobu jednoho roku zdarma také aktualizace. Dnes bylo oznámeno, že pro Raspberry Pi 3 je k dispozici také nové openSUSE Leap 42.2 (zprávička). K dispozici je hned několik obrazů.

Ladislav Hagara | Komentářů: 6
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (8%)
 (5%)
 (3%)
Celkem 799 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: LDAP a nastavení ve Windows

10.2.2009 09:36 power | skóre: 15
LDAP a nastavení ve Windows
Přečteno: 4394×

Zdravím vás. Chtěl bych se zeptat jak nastavit připojení k LDAP ve Windows a jestli to vůbec jde a nebo jestli je LDAP určen pouze pro PC s linuxem. Když ve Windows nastavím že je počítač soušástí domény a tam dám firma.cz tak mi to doménu nenajde a když zadám dc=firma.cz tak  mi zas nadává že tam mám nepovolené znaky. Chtěl jsem přejít z pracovní skupiny na doménu aby měli uživatelé své profily a dokumenty na serveru

Lamos Linuxos

Odpovědi

10.2.2009 10:00 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Z toho popisu není úplně jasné o co ti jde. Doménové účty (tedy i účty počítačů, které jsou součástí domény) jsou uloženy v LDAPu. V případě, že PDC je Windows stroj, pak jsou uloženy v Active Directory, pokud je PDC Linux se Sambou, pak je nejčastější LDAP server. Jaká je tvoje konfigurace? Chceš stroj s Windows připojit do domény? Pokud ano, pak která z těch dvou mnou nabízených možností to je?
10.2.2009 10:21 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No LDAP mi běží na serveru s Mandrivou a spuštěnou sambou jako workgroup. A já bych chtěl připojit klientská PC která běží na Windows XP k tomuto LDAP s názvem dc=firma.cz, LDAP browser mi doménu najde právě přes tvar dc=firma.cz ale Wokna se tímhle způsobem nějak nechtějí připojit. asi se to zadává v jiném tvaru

Lamos Linuxos
10.2.2009 10:37 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
LDAP browser ti nenajde doménu, ten ti najde jen schéma LDAP serveru. Musíš Sambu nakonfigurovat jako PDC, které má doménové účty v tom tvém LDAPu. To máš?
10.2.2009 10:42 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No to asi nemám. Já tak nějak s LDAP začínám a učím se. Tak já se na to mrknu přes phpldapadmin tam to vypadá přehledně.

Lamos Linuxos
10.2.2009 21:29 Jirka | skóre: 36
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Ale PDC souvisí se Sambou.
11.2.2009 06:31 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Dobře ale jak tedy nastavím sambu jako PDC?

Lamos Linuxos
11.2.2009 13:14 Jirka | skóre: 36
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Například http://www.unav.es/cti/ldap-smb-howto.html. Je toho plný internet.
10.2.2009 10:40 Arno3t | skóre: 23 | Uherské Hradiště
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Active directory by to nasekalo takto dc=firma,dc=cz. Třeba to tak windows čekají, ale nevím to, je to jen domněnka.

10.2.2009 10:43 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Právě že se jim tam nelíbí to "="

Lamos Linuxos
10.2.2009 10:48 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Pokud připojuješ počítač do domény, pak musíš uvést buď NetBIOS název (třeba FIRMA), nebo DNS název (třeba firma.cz). Pokud jseš na LAN (ve stejném broadcast segmentu jako PDC), pak by to mělo vyjít nastejno.
10.2.2009 10:54 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

ještě poprosím o vysvětivku co je PDC PC Domain Controler?

Lamos Linuxos
10.2.2009 11:20 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
PDC je Primary Domain Controller, česky primární řadič domény.
tomas789 avatar 10.2.2009 11:18 tomas789 | skóre: 15 | blog: big_blog | Litomyšl
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

dc=firma,dc=cz je něco jiného než dc=firma.cz. Funguje to jako adresáře. V prvním případě by byl adresář cz a v něm firma. Ve druhém by byl adresář firma.cz. V podstatě na tom nezáleží, ale není to jedno jak to bude. Nejsou to ekvivalentní zápisy.

Začínal jsem z ničeho a většinu z toho pořád mám.
10.2.2009 13:21 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Windows k samotnému LDAP nepřipojíte, LDAP je adresářová služba, a Windows adresářovou službu tohoto druhu nepotřebují. Windows můžete připojit buď k souborovému serveru (např. Samba), a ten server může interně používat pro ověřování uživatelů LDAP. Nebo můžete připojit Windows k Active Directory, což je rozšíření LDAPu, pak budou v AD Windows autentizovat uživatele, hledat jejich oprávnění a nastavení atd. Ale AD server pro Linux pokud vím neexistuje, bude to umět až připravovaná Samba 4.

Pokud chcete používat cestovní profily a Windows doménu, použijte Sambu, to je ten server, který tohle umí pro Windows zajistit. Samba pak může interně používat LDAP. Jak zprovoznit Sambu s LDAPem a připojit k ní Windows do domény Windows je dobře popsáno třeba přímo v dokumentaci Samby (na webu).

"Windows doména" a "DNS doména" jsou dva různé pojmy, asi vás zmátlo, že se obojímu zkráceně říká "doména".
10.2.2009 13:44 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Příloha:

Ano zmátlo ale hlavně mě zmátlo že LDAP má v názvu Active Directory což jsem myslel že bude fungivat stejně dobře jako wokenní server 2003 ale zadarmo. Takže Windows do domény nepřipojím pokud mi samba běží na linuxu? A níže uvedený obrázek je mi už asi taky k prdu co? Ale říkáte že přes sambu můžu mít cestovní profily a ověřování? Ale mám Sambu 3 jde to nějak teda udělat? Nejlépe přes Webmin nebo tak podobně :-)

Lamos Linuxos
10.2.2009 13:48 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Zase špatně... Windows připojíš do domény přes doménový kontrolér. Samba může jako takový doménový kontroler vystupovat. LDAP je jen backend sloužící k úschově informací.
10.2.2009 13:48 MMichal | skóre: 22
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

LDAP ale nemá v názvu Active Directory. LDAP je zkratka Lightweight Directory Access Protocol. Navíc LDAP je pouze protokol, kdežto Active Directory je konkrétní implementace sady protokolů a mezi nimi též LDAP.

10.2.2009 14:01 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
LDAP nemá v názvu Active Directory, ale naopak Active Directory je LDAP server + rozšíření.

Windows k Sambě na Linuxu připojíte, k tomu právě Samba slouží (na Windows by neměla smysl). Přes Sambu můžete mít cestovní profily a ověřování, Samba pak sama potřebuje nějakou databázi uživatelů, přičemž doporučený je právě LDAP. Se Sambou 3 to udělat jde, na Sambu 4 ani nemyslete :-) Spojení pak tedy vypadá takhle:
stanice s Windows <-----> Samba server (na Linuxu/*BSD) <------> LDAP
Zda to jde naklikat přes Webmin nevím, dokumentace přímo pro Sambu je v The Official Samba 3.2.x HOWTO and Reference Guide.
10.2.2009 14:09 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No abych to uvedl na pravou míru tak samba mi tam běží i s ověřováním uživatelů ale na sdílené adresáře. Já měl tu vizi že by ověřovala přihlášení jako takové a tak by se neznámý uživatel na daném PC nepřihlásil

Lamos Linuxos
10.2.2009 14:18 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Ale ověření na sdílený adresář je to samé ověření, jako pro přihlášení do systému Windows. Přístup ke sdílenému adresáři je nějaká služba. Stejně tak přihlášení do systému je nějaká služba. Obě tyto služby používají k ověření uživatele protokol Kerberos poskytovaný právě doménovým kontrolerem.
10.2.2009 14:25 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
V tom případě stačí v konfiguraci Samby změnit security = share nebo security = user na security = domain. Plus možná ještě doplnit nějaké další konfigurační volby, ale tohle je začátek.
10.2.2009 14:44 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Dobrá to nebyl problém. Při pokusu o přihlášení do domény se jménem stejným jako název pracovní skupiny už mi to nenapsalo že doména neexistuje ale není dostupná a už to po mě chtělo uživatele a heslo pro přístup to už je pokrok

Lamos Linuxos
10.2.2009 14:56 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Musíte pracovní stanici do té domény přidat, což musíte udělat pod nějakým uživatelským účtem, který má práva počítače do domény přidávat. Člen skupiny Domain Admins typicky tahle práva má.
10.2.2009 15:05 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

V linuxu ale skupinu Domain Admins nemám :-(

Takže zadávám jako uživatele Admin který je v unixové skupině adm, ldap

Lamos Linuxos
10.2.2009 15:26 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Předpokládám, že do domény přidáváte počítač s Windows, takže uživatel přidávající počítač do domény bude uživatel Windows.
11.2.2009 14:58 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Podle toho obrázku se vám doména windows jmenuje ABC. Přidejte pc teda do domény ABC. Co je součástí domény ABC definuje samba, která to má uložené v LDAPu. Windows s LDAPem přímo nekomunikují, ale se sambou.

Cestovní profily a ověřování Vám zaručí pouze to členství v doméně. Active Directory je služba navíc, která pokud vím není v sambě implementována.
In Ada the typical infinite loop would normally be terminated by detonation.
10.2.2009 16:44 pax
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

skus pGina, je to nahrada NTLM vo windowse,je to plugovatelne, takze sa da autorizovat winshit voci hocicomu, ale hlavne aj proti LDAP serveru

10.2.2009 20:06 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Velmi návodně je problém rozebraný v kapitole Windows jako člen Kerberos realmu v článku Kerberos a SSO: Samba a následujicích.
11.2.2009 06:33 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Wow to vypadá složitěji než jsem myslel ale snad by to mohlo být ono. Jiný způsob jak mít cestovní profily a ověřování přes server neexistuje teda než přes kerberos?

Lamos Linuxos
11.2.2009 09:25 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Existuje, stačí ze Samby udělat doménový řadič (ono security = domain popsané výše). Kerberos popipsovaný v tom článku je něco navíc, s čím si můžete hrát, až vám bude fungovat základ – připojení počítače do domény a přihlášení uživatele.
11.2.2009 15:23 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No našel jsem si tuto Bakalářskou práci ale nikde tam nevidím jak přidat PC do Domény. Mám přidané uživatele už z dřívějška ale počítače ne. Proto se asi na doménu nemůžu připojit.

Lamos Linuxos
11.2.2009 17:44 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Ve Windows pravým tlačítkem na Tento počítač – Vlastnosti – Název počítače – tlačítko Změnit – zvolíte, že má být členem domény a zadáte její jméno. Pokud nebudete přihlášen, jako síťový administrátor, zeptají se vás snad Windows na jméno a heslo uživatele, který může počítač do domény přidat. Předpokládá to, že máte Samu a LDAP nakonfigurované tak, že jde tímto způsobem vzdáleně počítač přidat. Pokud ne, je potřeba to nastavit podle dokumentace Samby, ale rozhodně to není procházka růžovým sadem.
11.2.2009 23:22 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Přílohy:

Tak já nevím když nastavím security = domain hodí to hlášku při přihlašování do domény že zadaná doména neexistuje a když změním na security = user tak po přihlášení dostanu hlášení buďto o neexistujícím jméně nebo o špatném jméně či hesle. Viz. obrázky. Vzhledem k tomu že v druhém případě kdy dám security = user to reaguje na každé už. jméno jinak (Administrator a pak ty ostatní) tak vím že už jsem určitě blízko k vytoužené hlášce "vítejte v doméně" Ale co tomu chybí? Jak říkám hodně jsem čerpal z té bakalářky na kterou jsem házel odkaz

Lamos Linuxos
12.2.2009 00:09 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Skutečně musí být security=user, domain je pro server, který je člem už existující domény, ne pro řadič domény (PDC).

Klíčový je ten uživatel, na kterého se Windows při zařazení do domény ptají. Tento uživatel musí v Sambě existovat, a právě ten provádí vytvoření účtu pro počítač v databázi Samby. Musí být splněno:

 - je to root (s nastaveným samba heslem - funguje, ale nedoporučuje se to)

 - nebo má nástaveno v Sambě právo SeMachineAccountPrivilege
(viz http://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/rights.html)
ještě pozor, že pokud toto chcete použít, musíte mít v smb.conf enable privileges = yes
pozn.: možná stačí, aby byl ten uživatel členem Domain Admins, to teď přesně nevím

- zároveň musí mít samba možnost vytvořit ten účet pro PC, tj. správně nastavený add machine script
   - záleží jestli máte pro UNIX uživatele LDAP nebo používáte /etc/passwd - já mám všude vlastní skripty na LDAP, jinak by to mělo být asi takhle:

/usr/sbin/useradd -c Machine -d /dev/null  -g machines -s /bin/false %u

Takhle nastavené mi to funguje bez problémů. Ještě pozor na to, když má Samab PDC server víc síťových rozhraní nebo jsou někteří klienti za routerem. Pak někdy i dost náhodně Windows hlásí, že doména není dostupná ap. V takovém případě dopuručuji vykašlat se na WINS, který se někdy doporučuje, a na PC s Windows napevno nastavit IP adresu Samba PDC v lmhosts souboru.
 

12.2.2009 06:52 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No vzhledem k tomu, že mi nefunguje přihlášení ani pod rootem (hláška "nebylo nalezeno uživatelské jméno") tak asi nemá smysl pokračovat dál s pokusama s ostatními uživateli. BTW ano roota jsem do samby přidával pomocí smbpasswd -a root a výše uvedenou hlášku napíše pouze v případě že zadám k rootovi správné heslo. Pokud zadám špatně zobrazí se hláška druhého případu špatného jména nebo hesla

Lamos Linuxos
12.2.2009 08:05 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Skutečně musí být security=user, domain je pro server, který je člem už existující domény, ne pro řadič domény (PDC).
Máte pravdu, omlouvám se za mystifikaci. Už je to dlouho, co jsem Sambu jako PDC používal...
možná stačí, aby byl ten uživatel členem Domain Admins, to teď přesně nevím
Obecně to stačí, ale nevím, zda to volba enable privileges = yes nepřebije.
záleží jestli máte pro UNIX uživatele LDAP
Tuhle variantu (uživatelé v LDAPu jsou zároveň unix uživateli bych doporučil, zvláště v případě, kdy počítač slouží jen jako Samba server.
12.2.2009 08:15 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No jo ale nevím proč mi klient s WinXP nebere přihlášení Administratora ani roota. Pro jistotu sem hodím smb.conf

[global]
    log file = /var/log/samba/%m.log
    username map = /etc/samba/user.map
    map to guest = Bad User
    null passwords = yes
    encrypt passwords = yes
    dns proxy = No
    printcap cache time = 60
    netbios name = dataserver
    server string = Datovy Server
    unix password sync = yes
    workgroup = APB
    os level = 116
    printcap name = cups
    create mode = 0777
    security = user
    max log size = 50
    directory mode = 0777
    domain logons = Yes


[netlogon]
    comment = Network Logon Service
    path = /home/samba/netlogon
    admin users = Administrator
    valid users = %u
    read only = no
    guest ok = yes
    writable = no
    share modes = no

[profile]
    comment = User profiles
    path = /home/samba/profiles
    valid users = %U
    create mode = 0600
    directory mode = 0700
    writable = yes
    browsable = no
    guest ok = no

.........

Lamos Linuxos
12.2.2009 08:19 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Já bych se držel toho seriálu, který tady na ABC vyšel, protože byl hodně dobrý a dobře napsaný. Ve výsledku bych používal Sambu jako PDC a databazí v LDAPu, security = ad a ověřováním přes Kerberos.
12.2.2009 09:59 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

A to já bych se právě raději držel toho že napřed rozchodím základní připojení do domény a potom na to budu nabalovat další věci abych aspoň pochopil co dělám. Pro začátek by fakt bodl nějakej totálně jednoduchej návod na sambu jako PDC s cestovními profily protože se zdá že toto všechno už mám vytvořené jenom se mi nějak nejde přihlásit PC do domény na klientských PC

Lamos Linuxos
12.2.2009 10:13 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Tak to bohužel takhle nejde, security = ADS lze použít, jen pokud máte Active Directory infrastrukturu, tj. Microsoft servery, kde je ověřování postavené na Kerberu.

Rád bych se pletl, ale Samba neumí být PDC a používat při tom Kerberos. Právě ten seriál, co tu nedávno vycházel, to popisoval dost pěkně. Ale Samba tam byla jen jako fileserver, ne jako PDC... V tomhle případě bych se podle toho seriálu u Samby moc neřídill. Řešilo se to i v diskusi tady: www.abclinuxu.cz/blog/FUD/2009/2/proc-jsem-si-dal-tu-praci-s-migraci-na-linuxovy-server#12

12.2.2009 11:23 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Aha, ona to umí až Samba 4, myslel jsem, že i Samba 3. Moje chyba.
12.2.2009 10:07 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Chybí tam ten add machine script. Bez něj přidání PC do domény nemůže fungovat, jedině ty účty PC vytvářet ručně. Do smb.conf kdyžtak ještě zkuste doplnit:

  domain master = yes
  local master = yes


(předpokládám, že [homes] share tam máte, připojí se po přihlášení do domény vždy jako disk Z:\ - jde taky nastavit v smb.conf)

Nevím, jak moc se v tom vyznáte, ale ze strany Samby operace "přidání PC do domény" spočívá ve vytvoření tzv. "účtu PC" se jménem "název_PC$" - a to musí být normální systémový uživatel, proto tohle nastavení.

Jestli jste nějak měnil nastavení ohledně hesel, tak pokud to nevadí, bude nejlepší smazat soubor se Samba hesly (adresář záleží na distribuci, měl by se jmenovat passdb.tdb) a přidat uživatele znovu pomocí smbpasswd -a. Asi začněte s tím rootem, to by měl být nejmenší problém.

12.2.2009 13:26 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Přidal jsem

domain master = yes
  local master = yes

[homes] share mám. Co se týče samby a znalostí. umím si nakonfigurovat přístupová práva
pomocí uživatelských jmén a hesel jako tomu bylo doteď. Každopádně teď bych to chtěl zachovat
a udělat z toho doménu s "cesťáky". Co se týče názvu PC tak tedy vytvořím jako uživatele ale
toho uživatele pojmenuju třeba stanice-128 stejně jako se jmenuje konkrétní klient? Jinak hesla bych nerad mazal je jich asi tak 170 a nějak si je všechny nepamatuji:-)

Lamos Linuxos
12.2.2009 13:46 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Ten uživatel se jmenuje stejně jako jméno PC + znak dolar na konci. Ale pokud nastavíte ten add machine script, tak vás to vůbec nemusí zajímat, protože se tyhle účty vytvoří automaticky, když spustíte zařazení do domény z Windows...

Takže když ještě příidáte ten add machine script, jak jsem napsal v jednom předchozím komentáři, mělo by zařazení do domény fungovat přímo z Windows.

13.2.2009 13:20 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Super tak po přidání názvu_PC$ to funguje zatím přes roota. Skript jsem přidal do smb.conf viz. dole Ale přesto se mi PC po přihlášení Rootem nepřidává

 

add user script = /usr/sbin/useradd &#8208;m '%u' &#8208;g users &#8208;G users
   delete user script = /usr/sbin/userdel &#8208;r %u
   add group script = /usr/sbin/groupadd %g
   delete group script = /usr/sbin/groupdel %g
   add user to group script = /usr/sbin/usernod &#8208;G %g %u
   add machine script = /usr/sbin/useradd &#8208;s /bin/false/ &#8208;d /var/lib/nobody %u
   idmap uid = 15000&#8208;20000
   idmap gid = 15000&#8208;20000
   template shell = /bin/bash
   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\sUNIX\spassword:* %n\n
# *Retype\snew\sUNIX\spassword:* %n\n *password\supdated\ssuccessfully* .
   passwd chat debug = yes
   unix password sync = yes
Lamos Linuxos
13.2.2009 16:49 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Teď jsem nějak nepochopil co jste chtěl říct.

- přidával jste účet PC ručně na serveru? fungovalo pak zařazení do domény?

- pokud je PC v doméně, lze se přihlásit do Windows jako nějaký obyčejný uživatel definovaný na serveru?

- máte vytvořeno [netlogon] sdílení?

16.2.2009 12:35 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Ano jak jsem psal přidal jsem ručně názevPC$ a daný PC šel přidat a to pouze pod rootem a po restartu jsem se mohl přihlásit jako jakýkoliv uživatel definovaný na serveru

Netlogon mám jestli tím myslíte toto:

 [netlogon]
    comment = Network Logon Service
    path = /home/samba/netlogon
    admin users = Administrator
    valid users = %u
    read only = no
    guest ok = yes
    writable = no
    share modes = no
Lamos Linuxos
12.2.2009 08:33 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Tak jsem se posunul dál. V původním znění uživatelů jsem totiž nepoužil šifrovaná hesla tak jsem v smb.conf změnil encrypt passwords = yes na no a chybová hláška na stanici se změnila a to tak že by asi už přihlášení povolil jenže prý účet nemá povoleno přihlásit se s této stanice. Přiznám se že jsem přidávání stanic ještě neřešil protože nevím kam bych ten název měl napsat, přiřadit. Jde to tak že by toto nebylo omezeno a uživatel se mohl přihláset na kterékoliv stanici?

Lamos Linuxos
12.2.2009 08:49 pasmen | skóre: 45 | blog: glob | Praha
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
To proto, že encrypted passwords = yes je platné pouze pro serucity = server, domain nebo ads.
12.2.2009 09:31 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Jde to tak že by toto nebylo omezeno a uživatel se mohl přihláset na kterékoliv stanici?
To je výchozí nastavení, a dříve to ani nešlo změnit -- možná, že už Samba pokročila a umí nastavit i tohle.

Ale spíš bych řekl, že je problém v něčem jiném a počítač se nepodařilo správně připojit do domény.
13.2.2009 13:41 power | skóre: 15
Rozbalit Rozbalit vše samba jako PDC pro Windows klienty

A ještě takovej dotaz existuje něco jako All users v Sambě? Protože když chci aby měli všichni například nějakou ikonu na ploše nebo v nabídce start po spuštění. Tak abych to nemusel rozkopírovávat do každýho adresáře s už. profilem  zvášť. Zkoušel jsem to do home/samba/profiles ale to nebylo ono.

Lamos Linuxos
13.2.2009 15:14 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: samba jako PDC pro Windows klienty
Neexistuje, pouze můžete vytvořit výchozí profil, který se použije pro vytvoření nového profilu. Mimochodem, není to záležitost Samby, ale Windows a jejich sítě. Samba dělá pouze to, že implementuje příslušné protokoly, které používá Microsoft.
13.2.2009 16:44 VSi | skóre: 28
Rozbalit Rozbalit vše Re: samba jako PDC pro Windows klienty

Jak už bylo řečeno, lze jen definovat výchozí profil - při prvním přihlášení se uživateli zkopíruje profil z \\pdc\netlogon\Default User. Návod, jak to udělat konktrétně nejlépe najdete v Samba-HOWTO-Collection - doporučuji prostudovat.

Jinak na tyhle věci se dá použít i logon script. V smb.conf nastavíte:

  logon script = logon.vbs %G

(%G předá skriptu jako první argument název skupiny uživatele - hodí se pokud chcete některé věci dělat je pro některé skupiny)

Máte vůbec vytvořeno sdílení [netlogon]? Pokud ne, to to je možná jeden z důvodů proč vám nefungují správně Windows s doménou.

Do adresáře zprístupněného jako [netlogon] umístíte soubor logon.vbs (nebo třeba logon.bat). Je to skript ve Visual Basicu (nebo třeba .bat skript) a spouští se při každém příhlášení uživatele. Můžete v něm třeba kontrolovat, jestli je na ploše nějaký zástupce a přidat ho tam. Nejčastěji se logon skript používá na mapování síťových disků, ale lze s tím dělat mnohem víc. Já takhle třeba uživateli vytvořím konfiguraci Thunderbirdu při prvním přihlášení a on pak už musí jen vyplnit heslo - má nastaveny servery, LDAP adresář, jméno...

16.2.2009 12:52 power | skóre: 15
Rozbalit Rozbalit vše Re: samba jako PDC pro Windows klienty

Dobrá takže jestli tomu dobře rozumím Přidám jenom výše uvedenou řádku logon script do sekce global nebo netlogon?A pak samotnej script musím taky vytvořit jak píšete ideálně .bat, (tenhle formát dávky mi není cizí :-) ) a pak umístit do v mém případě /home/samba/netlogon/Default User/Nabídka start/Programy/po spuštění ?

Jinak pro pořádek aktualizovanej smb.conf:

[global]
    log file = /var/log/samba/%m.log
    domain master = yes
    username map = /etc/samba/user.map
    map to guest = Bad User
    null passwords = yes
    dns proxy = No
    printcap cache time = 60
    netbios name = dataserver
    server string = Datovy Server
    unix password sync = yes
    local master = yes
    workgroup = ABC
    os level = 116
    printcap name = cups
    security = user
    create mode = 0777
    preferred master = yes
    max log size = 50
    domain logons = Yes
    directory mode = 0777
   
   
    # Useradd scripts
    # add user script = /usr/sbin/adduser &#8208;&#8208;quiet #&#8208;&#8208;disabled&#8208;password &#8208;&#8208;gecos "" %u
    add user script = /usr/sbin/useradd &#8208;m '%u' &#8208;g users &#8208;G users
    delete user script = /usr/sbin/userdel &#8208;r %u
    add group script = /usr/sbin/groupadd %g
    delete group script = /usr/sbin/groupdel %g
    add user to group script = /usr/sbin/usernod &#8208;G %g %u
    add machine script = /usr/sbin/useradd &#8208;s /bin/false/ &#8208;d /var/lib/nobody %u
    idmap uid = 15000&#8208;20000
    idmap gid = 15000&#8208;20000
    template shell = /bin/bash
    passwd program = /usr/bin/passwd %u
    passwd chat = *Enter\snew\sUNIX\spassword:* %n\n
    # *Retype\snew\sUNIX\spassword:* %n\n *password\supdated\ssuccessfully* .
    passwd chat debug = yes
    unix password sync = yes
   
    # set the loglevel
    log level = 3



[netlogon]
    comment = Network Logon Service
    path = /home/samba/netlogon
    admin users = Administrator
    valid users = %u
    read only = no
    guest ok = yes
    writable = no
    share modes = no

[profile]
    comment = User profiles
    path = /home/samba/profiles
    valid users = %U
    create mode = 0600
    directory mode = 0700
    writable = yes
    browsable = no
    guest ok = no

Každopádně jestli ten netlogon nestačí jako sdílení pak tedy v samotném sdílení adresářů netlogon nasdílen nemám.

Lamos Linuxos
17.2.2009 08:21 VSi | skóre: 28
Rozbalit Rozbalit vše Re: samba jako PDC pro Windows klienty

Parametr logon script patří do global sekce. Nejlepší je uvést jen název skriptu bez cesty, Windows ten skript hledají právě ve sdíleném adresáři netlogon. Takže te skript budete mít třeba: /home/samba/netlogon/logon.bat a do parametru uvedete jen logon.bat. Windows ho spustí automaticky při přihlášení bez dalšího nastavení. S Default User to nemá nic společného, ten se použije jen při přihlášení "nového" uživatele.

[netlogon] máte v pořádku - je to obyčejné sdílení, jen se speciálním názvem, který je "zadrátován" ve Windows - nastavte si u něj ješte:

   create mask = 0775
   directory mask = 2775
   map hidden = yes
   map system = yes

jinak vám bude zlobit ten Default User (musí být zachovány DOS atributy souborů), A vyhoďte valid users, to není třeba.

17.2.2009 07:17 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Fajn netlogon je fční. Ten Default User bohužel nějak nefunguje. Teď už jenom vyřešit ten add machine. Furt nechce fachat nevím co tam mám blbě.

Lamos Linuxos
17.2.2009 08:05 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Zkuste si ten add machine spustit s příslušnými parametry ručně z příkazového řádku, uvidíte, zda funguje správně nebo zda neohlásí nějakou chybu.
17.2.2009 08:42 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

No spustil jsem jen např.: useradd stanice-161$

a to mi samozřejmně přidalo tu stanici ale asi mám nějak špatně nadefinovanou tu návaznost na přidávaný PC. Protože mě není jasný jak při přidávání na klientským PC s WinXP Linuxový server pozná nebo přijme název stanice. Bohužel mi nejsou jasné parametry co jsou v tom scriptu &#8208;s /bin/false/ &#8208;d /var/lib/nobody %u

Lamos Linuxos
17.2.2009 09:14 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Budete se muset podívat, co říkají logy - ve /var/log/samba/nazev_stroje.log

Ale jinak se nic definovat / nastavovat nemusí. Při registraci do domény Windows naleznou PDC (broadcastem, přes WINS nebo LMHOSTS), připojí se na něj, server požaduje ověření, aby si do domény nemohl každý přidávat co chce - a v té době má server už dávno k dispozici název PC. Myslím, že název stanice klient předá serveru hned při připojení - už proto, že jsou podle něj pojmenované i logy k počítačům, které vůbec nejsou v doméně...

17.2.2009 10:40 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Dík za radu. Kokl jsem se tedy do logu a vyčetl jsem co to hází za parametry a usodil jsem že ten script může krásně vypadat takhle jednoduše a funguje bez sebemenších problémů :-)

add machine script = /usr/sbin/useradd %u

Předpokládám že mi teda ty ostatní scripty díky těm podivním parametrům jako je např. &#8208 fungovat nebudou

Lamos Linuxos
17.2.2009 12:30 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Náhodou nejde udělat to abych mohl propojit nějak práva na serveru s právy na stanicích. Abych některým uživatelům mohl dát administrátorská práva která jsou potřeba k nainstalování programů nebo nastavení PC?

Ještě teda budu muset vymyslet jak udělat Wokňáckej skript pro nově přidané no domény na to aby se zkopírovaly dokumenty z původního místního profilu do nového cestovního ale to tady asi nevyřeším :-/

Lamos Linuxos
17.2.2009 13:44 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Třeba členové skupiny Domain Admins jsou automaticky členy lokální skupiny Administrators. Ale to je také záležitost Windows -- vy na Sambě akorát můžete některé uživatele přidat do síťových skupin, jak se k těmto skupinám budou chovat Windows, to už je na nastavení lokálních tsanic, případně na nějakých výchozích pravidlech, která mají Windows zabudovaná. Podívejte se na User Rights and Privileges a Group Mapping: MS Windows and UNIX.
18.2.2009 06:18 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

To je super. Takže pro ty kteří budou taky hledat stačí:

   net groupmap add ntgroup="název skupiny ve windows" unixgroup="název skupiny v unix" rid=512 type=d 

v mém případě:
   net groupmap add ntgroup="Administrators" unixgroup="Domain Admins" rid=512 type=d

 

A potom se všichni uživatelé přidaní do příslušné skupiny v linuxu (Domain Admins) budou chovat na Windows stanicích jako
namapovaná skupina(Administrators) Tedy dostanou automaticky administrátorská práva.

 

Lamos Linuxos
18.2.2009 07:41 VSi | skóre: 28
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Je to přesně tak. Jen tu unixgroup můžete pojmenoval libovolně - Windows se stejně orientují podle toho RID. "Domain Admins" je obvyklý název pro ntgroup, ale tu můžete taky pojmenovat celkem libovolně.

Není dobrý nápad mít v Linuxu skupinu s mezerou v názvu. Samozřejmě tu skupinu nejdřív musíte vytvořit pomocí groupadd a pak přidat mapování do Samby pomocí net groupmap.

18.2.2009 08:17 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Aha takže je štěstí že jsem se trefil zrovna do rid=512 který jsem tak tupě opsal z těch stránek?:-) Jo a ještě taková otázka v jaké skupině musí uživatel být nebo co mám udělat proto, aby si mohl měnit heslo. Protože přihlášený uživatel nereaguje na výzvu změny hesla. Pokud např ve Webminu nastavím u uživatele výzvu ke změně hesla jemu se nic neobjeví a hlavně prý ani nemá oprávnění heslo měnit.

Lamos Linuxos
18.2.2009 09:21 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Je potřeba mít správně nastavená práva pro LDAP, aby bylo možné změnit oba hashe pro Windows (NT a LM) a případně i unixové heslo (pokud je Samba nastavená, aby heslo měnila). Ta práva musí mít uživatel (identita), pod kterou se k LDAPu hlásí Samba – tj. účet uvedený u ldap admin dn v smb.conf.
18.2.2009 09:44 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

hmm jenže já nemám zatím nastaveno ověřování přes LDAP takže to budu muset zprovoznit?

Lamos Linuxos
18.2.2009 10:43 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
V tom případě máte buď špatně konfiguraci programu pro změnu hesla, nebo máte u příslušného účtu nastaveno do budoucnosti datum, od kdy uživatel může měnit heslo. Příznaky uživatelského účtu by mělo jít prohlížet a měnit nástrojem pdbedit.
19.2.2009 10:44 power | skóre: 15
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows

Myslíte tím konkrétně tuto část v smb.conf?

 

    passwd program = /usr/bin/passwd %u
    passwd chat = *Enter\snew\sUNIX\spassword:* %n\n
    # *Retype\snew\sUNIX\spassword:* %n\n *password\supdated\ssuccessfully* .
    passwd chat debug = yes
    unix password sync = yes
Lamos Linuxos
19.2.2009 11:01 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: LDAP a nastavení ve Windows
Ano. Ale spíš bych tipoval ty příznaky účtů, protože pokud by byla špatně konfigurace, Windows by umožnily heslo změnit, a teprve při pokusu o změnu by došlo k chybě.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.