Dotaz: Samba PDC - přenos nastavení na jiný systém

[otula]

Ahoj, narazil jsem dnes na problém, se kterým jsem naprosto nepočítal. Mám v práci síť, kde mi na serveru běží stará Fedora 3. Mimo jiné slouží jako doménový řadič pro stanice s Windows. Trošku jsem ten servřík zinovoval, hodil tam Arch, rozjel všechny potřebné služby, a dnes jsem překopíroval uživatele, skupiny, jejich /home adresáře a cestovní profily.

Plánoval jsem, že vše poběží, jako by se nic nestalo. Překopíroval jsem uživatele v /etc/passwd, shadow, group, smbpasswd, zkopíroval jsem i nastavení v smb.conf a předpokládal jsem, že by se tím pádem mohly přenést jak účty počítačů v doméně, tak uživatelé. Zkušebně jsem připojil přes křížený kabel jen svůj počítač, a ouha. Počítač se k doméně neznal. Musel jsem ho tam znovu přihlásit.

Poté jsem se normálně přihlásil, server mne ověřil, vypadalo to OK, jenže další problém - nově přihlášený uživatel "ota" už nebyl ten samý, jako ten předchozí :-/

A aby toho nebylo málo, tak mi nefungují samba skupiny. Na té staré Fedoře jsem měl už jako výchozí několik buildin skupin, jako třeba Users, System Operators... a vytvořil jsem si skupinu Domain Admins, kterou jsem namapoval na unix skupinu wheel, a fungovala jako doménoví admini, plus několik dalších skupin. Zde teď nebyla výchozí skupina žádná, vytvořil jsem tedy skupinu Domain Admins, ale nefunguje, jak by měla

Dotazy jsou teda vlastně 2:

• Jak správně přenést nastavení Samby tak, aby vše fungovalo bez zásahu na Windows klientech?
• Kde hledat problém se skupinami v Sambě?

Odpovědi

[Rozik]

Pred pul rokem jsem resil ten samy problem a nakonec jsem to otrocky vse nadatloval (veskere uzivatele, skupiny, jejich mapovani pro sambu) znova + za pomoci scriptu premigroval data ze stareho serveru. I presto se jeste potykam s problemy typu "necestuji mi profily (to me boli nejvice), nevhodne kodovani, selinux...". Prekopirovani smbpasswd, passwd, group... neni dobry napad, protoze Vas system mohl mit jine ID pro mnohe demony. Preji hodne stesti a pevne nervy, budou zapotrebi.

R.

[otula]

Prekopirovani smbpasswd, passwd, group... neni dobry napad, protoze Vas system mohl mit jine ID pro mnohe demony

Samozřejmě jsem překopíroval jen řádky, týkající se uživatelských účtů. Tohle funguje dobře - uživatelům zůstaly jejich hesla, v rámci linuxového stroje se dostanou ke svým datům. Problém je v oné komunikaci s Windows. Ještě mne teď večer napadlo, že bych mohl zkusit ten nový server nastavit jako BDC a pak ho převést na PDC, tak hledám, jak se to dělá. Nicméně ten problém se skupinami mi naprosto uniká, a netuším, co s ním. Přitom je docela kritický.

[otula]

Tak jsem se dopracoval k tomu, že je to otázka SID. Zítra zkusím využít příkazy net getlocalsid a net setlocalsid - uvidím, zdali budu úspěšný. Co s těmi skupinami, to ovšem netuším.

[svaca]

Ano, to je ta chyba ..

Problem je ovsem v tom, ze doslo proste k poruseni a je mozne, ze i kdyz vratis SID domeny na ten zpravny, stanice se nechytnou .. a to proto, ze WinXP stanice maji VLASNI hesla k uctu pocitace, bacha na to ... dale by bylo dobre prekopirovat VSECHNY databazove soubory samby a celou cache samby, dale jestli to bezi pres ldap, tak CELOU databazi ldap ...

Jinak jsi to udelal spatne, bezpecnejsi by byl postup udelat novy server na arch a pak ho zaclenit do stavanici domeny, udelat z neh BDC a pak PDC a pak zrusit tu fedoru a mel jsi to bez problemu ...

[otula]

bezpecnejsi by byl postup udelat novy server na arch a pak ho zaclenit do stavanici domeny, udelat z neh BDC a pak PDC a pak zrusit tu fedoru a mel jsi to bez problemu ...

To ještě není ztraceno. Zatím ta doména stále běží na té Fedoře; jediné, co jsem rozhodil, je můj počítač - doufám, že když ho přihlásím zpět do původní domény, obnoví si nastavení

[VSi]

Jaká byla verze Samby na to starém serveru? Nevím z jakého období je Fedora 3, ale absolvoval jsem podobnou proceduru při přechodu na novou verzi Debianu (snad Woody > Sarge).

Základní problém byl v přechodu Samby z řady 2.x na 3.x - hodně věcí v konfiguraci se změnilo, hlavně ohledně mapování skupin, kódování češtiny (záleží i na systému, později jsem přecházel na UTF8) a další věci.

Součástí Samba HOWTO je návod na migraci mezi verzemi i mezi servery stejných verzí, nebylo třeba se ho držet nějak dogmaticky. Ve zkratce:

- záloha SID - musí být stejný, jinak Windows doménu nepoznají

- přenesení všech účtů ze smbpasswd (předpokládám na starém serveru databázi uživatelů v plaintext souboru /etc/smbpasswd) nebo celého souboru na nový server. Pozor na to, že v nové verzi Samby se změnilo výchozí úložiště z passwd na tdb (indexované db soubory) - nutné změnit v smb.conf. Hlavně je třeba zachovat účty počítačů (s $ na konci), jinak se nepřihlásí do domény. Později jsem skriptem účty s /etc/passwd převedl do LDAPu.

- změna v parametrech smb.conf ohledně kódování (nově dos charset = 852 a unix charset = UTF8 nebo ISO8859-2)

- skupiny se řeší přes příkaz net groupmap, který zajišťuje vygenerování SID pro skupinu (musí už bý založena unix skupina) a její zapsání do nějakého spec. souboru (někde ve /var, tady přesně nevím, používám LDAP a svoje skripty). Správnou konfiguraci skupin lze ověřit pomocí net groupmap list, který musí u všech skupin, které chcete používat v Sambě vypsat SID. Domain Admins má speciální hodnotu SID (512 na konci), viz Samba Howto, jinak ve Windows nemá admin práva.

- přenesení UNIX účtů - řešil jsem zkopírováním příslušných řádků /etc/passwd, /etc/shadow, /etc/group (pak jsem je importoval do LDAPu)

Snad to pomůže, případně mě někdo doplní.

Nevím, kolik tam máte uživatelů, ale doporučuji se podívat na LDAP. Dost mi to zjednodušilo správu, hlavně sdílení UNIX a Samba účtů, synchronizace hesel, použití pro další služby...

[otula]

Díky za podněty.

Samba na Fedoře byla 3.0.8 a už jsem v ní používal správu skupin přes net groupmap.

Nakonec jsem to vyřešil, i když 100% bezbolestné to nebude. Pomocí příkazů net [get|set][local|domain]sid jsem přenesl SID, pro jistotu jsem nový server přejmenoval na jméno toho původního (pak jsem asi čtvrt hodiny hledal, proč mi nestartuje apache - upravil jsem BIND, ale zapomněl jsem upravit hostname). Také jsem zjistil, že mi v systému chybí některé programy, jako třeba tdbtool, tak jsem se naštval, vykašlal se na repozitář i PKGBUILD a zkompiloval si vlastní Sambu. A zkusil jsem se přihlásit do domény. Nešlo to. Tak jsem zkusil, co se stane, když znovu přihlásím do domény klientský počítač. Po jeho přihlášení jsem se přihlásil i jako uživatel a světe div se - jako uživatel se správným SID (nebo RID? no to je jedno - prostě jsem ve Windows ten původní "ota") A funguje i skupina Domain Admins. Takže doufám, že se prokoušu ke zdárnému konci. Akorát je mrzuté, že budu muset obejít všechny stanice a přihlásit je znovu do domény (ale je to nesrovnatelně méně práce, než řešit všechny uživatelské účty)

[chytracek]

musim rict ze s presunem samby na jiny server jsem nemel jediny problem. Kopiroval jsem /etc/samba ( kde mam i samba passwd file), /etc/passwd + group + shadow ... a pak uz jenom /var/cache/samba kde jsou ulozene veskere informace jako SID, groupmaps apod.

otazka 10 min a vse slapalo jak hodinky ... krom tusim konverze tdbsam na novejsi verzi - vyhodilo mi to asi pet stroju z 200, z duvodu jakehosi spatneho jmena stroje - ale tohle byly asi tak vsechny stroje ktery sem musel po zasahu preregistrovavat v domene

[roman]

tohle jsem úspěšně zkusil a pohořel. povedlo se mi přenést unix uživatele i skupiny, ale ze samby jen definice sdílení. nicméně jsem si z passwd vysosnul seznam uživatelů a skriptem je založil v sambě (smbpasswd -aen username) s tím, že mají týden na to, aby si změnili heslo na neprázdné. No a po týdnu jsem v smb.conf změnil null passwords z yes na no. Sice oklika, ale funkční a celkem rychlá.