abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 17:25 | IT novinky

Do prodeje (Farnell) se dostal jednodeskový počítač Tinker Board (unboxing). Jedná se o konkurenci Raspberry Pi 3 od společnosti Asus. Porovnání (jpg) těchto počítačů například na CNXSoft. Cena Tinker Boardu je 55 £.

Ladislav Hagara | Komentářů: 0
dnes 14:44 | Zajímavý projekt

Byla zveřejněna pravidla hackerské soutěže Pwn2Own 2017, jež proběhne od 15. do 17. března v rámci bezpečnostní konference CanSecWes ve Vancouveru. Soutěžit se bude o více než milion dolarů v pěti kategoriích. Letos se bude útočit i na Ubuntu. Jedná se již o 10. ročník této soutěže.

Ladislav Hagara | Komentářů: 1
dnes 13:33 | Nová verze

Po sedmi měsících vývoje od vydání verze 5.7 byla vydána verze 5.8 (YouTube) toolkitu Qt. Z novinek lze zmínit například Qt Lite pro vestavěná zařízení. Nově jsou plně podporovány moduly Qt Wayland Compositor (YouTube) a Qt SCXML (YouTube). Současně byla vydána verze 4.2.1 integrovaného vývojového prostředí (IDE) Qt Creator.

Ladislav Hagara | Komentářů: 0
dnes 11:52 | Pozvánky

Lednový Prague Containers Meetup se koná ve čtvrtek 26. ledna 2017 od 18:00 v Apiary, Pernerova 49, Praha 8. Přijďte se podívat na přednášky o Enterprise Kubernetes a Jenkins as a code.

little-drunk-jesus | Komentářů: 0
dnes 11:40 | Pozvánky

Program letošního ročníku konference Prague PostgreSQL Developer Days, která se koná již 15. a 16. února 2017 na ČVUT FIT, Thákurova 9, Praha 6, byl dnes zveřejněn. Najdete ho na stránkách konference včetně anotací přednášek a školení. Registrace na konferenci bude otevřena zítra (24. ledna) v brzkých odpoledních hodinách.

TomasVondra | Komentářů: 0
včera 02:20 | Zajímavý článek

David Revoy, autor open source webového komiksu Pepper&Carrot nebo portrétu GNU/Linuxu, upozorňuje na svém blogu, že nový Inkscape 0.92 rozbíjí dokumenty vytvořené v předchozích verzích Inkscape. Problém by měl být vyřešen v Inkscape 0.92.2 [reddit].

Ladislav Hagara | Komentářů: 0
včera 02:02 | Komunita

Øyvind Kolås, hlavní vývojář grafických knihoven GEGL a babl, které využívá grafický program GIMP, žádá o podporu na Patreonu. Díky ní bude moci pracovat na vývoji na plný úvazek. Milník 1000 $, který by stačil na holé přežití, se již téměř podařilo vybrat, dalším cílem je dosažení 2500 $, které mu umožní běžně fungovat ve společnosti.

xkomczax | Komentářů: 12
21.1. 23:54 | Pozvánky

DevConf.cz 2017, již devátý ročník jedné z největších akcí zaměřených na Linux a open source ve střední Evropě, proběhne od pátku 27. ledna do neděle 29. ledna v prostorách Fakulty informačních technologií Vysokého učení technického v Brně. Na programu je celá řada zajímavých přednášek a workshopů. Letos je povinná registrace.

Ladislav Hagara | Komentářů: 0
21.1. 22:11 | Nová verze

Byla vydána verze 1.0.0 emulátoru terminálu Terminology postaveného nad EFL (Enlightenment Foundation Libraries). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
20.1. 17:00 | Nová verze

Byl vydán Docker 1.13. Přehled novinek na YouTube a v poznámkách k vydání na GitHubu. Docker umožňuje běh aplikací v softwarových kontejnerech (Wikipedia).

Ladislav Hagara | Komentářů: 7
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (11%)
 (2%)
 (73%)
 (3%)
 (10%)
Celkem 377 hlasů
 Komentářů: 31, poslední dnes 19:19
Rozcestník
Reklama

Dotaz: Propojení Samba - Active Directory

21.11.2012 11:29 radek hulak
Propojení Samba - Active Directory
Přečteno: 1369×
Ahoj, toto zkousim poprve, takze zacnu tim, ze mam AD Win 2008 R2(local.mojedomena) a Sambu ubuntu 12.04 server, jedu podle navodu https://wiki.samba.org/index.php/Samba_&_Active_Directory, a zaseknu se u nastaveni kerberosu. Ten jedu podle https://help.ubuntu.com/community/Kerberos.
kdc.conf
[kdcdefaults]
    kdc_ports = 750,88
    default_realm = local.mojedomena
[realms]
    local.mojedomena = {
        database_name = /var/lib/krb5kdc/principal
        admin_keytab = FILE:/etc/krb5kdc/kadm5.keytab
        acl_file = /etc/krb5kdc/kadm5.acl
        key_stash_file = /etc/krb5kdc/stash
        kdc_ports = 750,88
        max_life = 10h 0m 0s
        max_renewable_life = 7d 0h 0m 0s
        master_key_type = des3-hmac-sha1
        supported_enctypes = aes256-cts:normal arcfour-hmac:normal des3-hmac-sh$
        default_principal_flags = +preauth
    }
a podle clanku na wiki.samba :
krb5.conf
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
dns_lookup_realm = true
dns_lookup_kdc = true
ticket_lifetime = 24h
forwardable = yes
default_realm = local.mojedomea ============== to jsem pridal

[appdefaults]
pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}
vytvorim db krb5_newrealm, upravim kadm5.acl, kde vlozim */admin@local.mojedomena *, a ted kdyz chci spustit kadmin -p admin/admin, tak to zahlasi: kadmin: Missing parameters in krb5.conf required for kadmin client while initializing kadmin interface. Ano, rozuim tomu, ze mi tam neco chybi,ale co?

1.) Az po jaky bod se musim dostat tak, abych mohl pokracovat v integrovani samby v druhem navodu? Tam pisou, ze kerberos musi byt nakonfigurovan, tak kdy poznam, ze je nakonfigurovan? Az pridam uzivatele?

2.) Nejdrive musim vytvorit uzivatele na linux pc, potom v AD, a heslo uz si bude overovat pres AD?

3.) Kdyz chci propojit infrastrukturu linux-windows, udelal bych LDAP synchronizaci s AD, a u ldapu by musel bezet jeste kerberos?

4.) Nikdy nedocilim toho, ze AD mi bude ridit i vytvaret ucty i na linuxech?

Cetl jsem toho dost, a ted se to snazim vstrebat, diky za pomoc

Odpovědi

21.11.2012 14:23 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
co ma byt tedy v kdc.conf a co v krb5.conf ? Díky
22.11.2012 09:31 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Takže jestli to chápu dobře, tak pouze stačí nastavit /etc/krb5.conf,

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log


[libdefaults]
dns_lookup_realm = true
dns_lookup_kdc = true
ticket_lifetime = 24h
forwardable = yes
default_realm = 10.0.0.5

[realms]
10.0.0.5 = {
   default_domain = LOCAL.MOJEDOMENA
   kdc = 10.0.0.5:
   admin_server = :
}

[domain_realm]
LOCAL.MOJEDOMENA = 10.0.0.5

[appdefaults]
pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}
Kde LOCAL.MOJEDOMENA je název domény v AD a 10.0.0.5 IP adresa AD serveru, ano?Díky
22.11.2012 09:36 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Teď bych měl vyzkoušet: kinit Administrator@LOCAL.MOJEDOMENA, ale vypíše to chybu: kinit: Cannot resolve servers for KDC in realm "LOCAL.MOJEDOMENA" while getting initial credentials.

Ještě jsem si přidal do hosts, 10.0.0.5 dc.domena.cz dc a do /etc/krb5.conf, kdc = dc.domena.cz: a admin_server = dc.domena.cz: ,ale nefunguje... Poradíte prosím někdoo?
22.11.2012 10:02 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Další pokus DNS záznam: _kerberos._tcp.kerberos.local.mojedomena. IN SRV 1 1 88 10.0.0.5

krb5.conf
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
dns_lookup_realm = true
dns_lookup_kdc = true
ticket_lifetime = 24h
forwardable = yes

[appdefaults]
pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}
root@kerberos:/home/lofas# host -t srv _kerberos._tcp.kerberos.local.mojedomena

_kerberos._tcp.kerberos.local.mojedomena has SRV record 1 1 88 10.0.0.5.local.mojedomena.
root@kerberos:/home/lofas# kinit
kinit: Configuration file does not specify default realm when parsing name root
22.11.2012 15:02 majales | skóre: 20 | blog: Majales
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Zdravím Dle mého soudu Ti chybí definice realmu. Já tam mám ještě toto:
..
[libdefaults]
 default_realm = MOJEDOMENA.CZ

[realms]
 MOJEDOMENA.CZ = {
  kdc = adc.domena.cz
  kdc = bdc.domena.cz
  master_kdc = adc.domena.cz
  admin_server = adc.domena.cz
  default_domain = MOJEDOMENA.CZ
 }

[domain_realm]
 .pfcr.cz = MOJEDOMENA.CZ
 pfcr.cz = MOJEDOMENA.CZ
A ještě bacha na synchronizaci času.

S.
23.11.2012 12:07 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Takže jestli to chápu dobře, tak se mám vykašlat na instalaci krb5-kdc krb5-admin-server, protože tímto bych zakládal realm. V mém případě realm bude doména na AD, a mě bude stačit pouze krb5-user, plus nastavit konfigurák a zkusit ověřit přes kinit. Ok?
26.11.2012 09:50 majales | skóre: 20 | blog: Majales
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Přesně tak. Ono by to šlo taky, ale to už by si musel řešit mezidoménový trust, což jsem ještě nikdy neřešil. Takhle to je nejjednodušší. U Samby se dej bacha na různé pojetí výměny auth informací v různých verzích windows při přístupu samba share. Musel jsme do keytab umístit všechny myslitelné formy jména stroje s velkými i malými písmeny kde běží samba. Tj. nestačilo mít tam pouze "host/stroj.domena.cz" muselo tam být i "HOST/stroj.DOMENA.CZ" a taky "host/stroj" či "HOST/STROJ" nebo "host/Stroj".
27.11.2012 15:03 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Díky mnohokrát, už jsem se připojil.

Tady tohle znamená prosím co? Asociace internetové domény s doménou AD? :D
[domain_realm]
 .pfcr.cz = MOJEDOMENA.CZ
 pfcr.cz = MOJEDOMENA.CZ
nakonec teda kdy by to někoho zajímalo, tak ten cfg vypadá takto:
[libdefaults]
 default_realm = LOCAL.MOJEDOMENA
 dns_lookup_realm = true
 dns_lookup_kdc = true
 ticket_lifetime = 24h
 forwardable = yes

[realms]
 LOCAL.MOJEDOMENA = {
  kdc = 10.0.0.5
  master_kdc = 10.0.0.5
  admin_server = 10.0.0.5
  default_domain = LOCAL.MOJEDOMENA
 }

[domain_realm]
 .web.cz = LOCAL.MOJEDOMENA
 web.cz = LOCAL.MOJEDOMENA

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[appdefaults]
pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}


28.11.2012 12:58 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
smb.conf
#GLOBAL PARAMETERS
[global]
   workgroup = WORKGROUP
   realm = LOCAL.MOJEDOMENA
   preferred master = no
   server string = Linux Test Machine
   security = ADS
   encrypt passwords = yes
   log level = 3
   log file = /var/log/samba/%m
   max log size = 50
   printcap name = cups
   printing = cups
   winbind enum users = Yes
   winbind enum groups = Yes
   winbind use default domain = Yes
   winbind nested groups = Yes
   winbind separator = +
   idmap uid = 600-20000
   idmap gid = 600-20000
   ;template primary group = "Domain Users"
   template shell = /bin/bash

[homes]
   comment = Home Direcotries
   valid users = %S
   read only = No
   browseable = No

[printers]
   comment = All Printers
   path = /var/spool/cups
   browseable = no
   printable = yes
   guest ok = yes
Teď zkouším
net ads testjoin -U Administrator
Enter KERBEROS2$@LOCAL.MOJEDOMENA's password:
ads_connect: No logon servers
Join to domain is not valid: No logon servers
Já už nevím, co stím? Díval jsem se na Centrify Express, pomůže mi alespoň to? Díky

28.11.2012 13:34 Zdenek 'Mst. Spider' Sedlak | skóre: 37 | blog: xMstSpider
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
password server = ad_server_1.local.mojedomena _ad_server_2.local.mojedomena
nebo
password server = *
pokud mas SRV zaznamy
28.11.2012 13:48 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
asi vím, kde byla chyba, špatně nastavené DNS. Akorát nevím, proč jsem se nemohl připojit s configem samby, kde byla natavena workgroup = SKUPINA. Chtělo to, ať to změním na workgroup = LOCAL, přitom realm mám LOCAL.MOJEDOMENA

v krb5.conf jsem nakonec nechal
[domain_realm]
 local.mojedomena = LOCAL.MOJEDOMENA
To jsem pochopil asi že je to jen asociace.
30.11.2012 07:56 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Chtěl jsem se ještě zeptat na 2 věci, v postupu se píše, že mají být správně uvedené simlinky
libnss_winbind.so
libnss_winbind.so.2 -> libnss_winbind.so
libnss_wins.so
libnss_wins.so.2 -> libnss_wins.so
Ale co když jsem nekompiloval, ale instalovat z balíčku?

a další věc je PAM, kam stím?

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth required /lib/security/$ISA/pam_env.so
auth sufficient /lib/security/$ISA/pam_unix.so likeauth nullok
auth sufficient /lib/security/$ISA/pam_winbind.so use_first_pass
auth required /lib/security/$ISA/pam_deny.so

account required /lib/security/$ISA/pam_unix.so
account sufficient /lib/security/$ISA/pam_succeed_if.so uid < 100 quiet
account sufficient /lib/security/$ISA/pam_winbind.so use_first_pass
account required /lib/security/$ISA/pam_permit.so

password requisite /lib/security/$ISA/pam_cracklib.so retry=3 type=
password sufficient /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow
password sufficient /lib/security/$ISA/pam_winbind.so use_first_pass
password required /lib/security/$ISA/pam_deny.so

session required /lib/security/$ISA/pam_limits.so
session required /lib/security/$ISA/pam_unix.so
session required /lib/security/$ISA/pam_winbind.so use_first_pass
Co jsem udělal, tak jsem dal sudo pam-auth-update, ale to asi nefungovalo, protože mi to rozdrbalo přihlašování. Takže jsem vrátil z5 zálohu a nevím co stím...
3.12.2012 13:13 radek hulak
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Nikdo nic? :(
2.3.2013 20:10 jakub
Rozbalit Rozbalit vše Re: Propojení Samba - Active Directory
Ahoj prosím tě mám stejný problém, napsal by jsi mi email? mám prolém vazby samba-active Dir. a nevím jak s tím.. kdyžtak mi napiš na jakub.krystof1@gmail.com je to nutné díky moc

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.