Dotaz: samba + ldap

[gooster]

ahoj snažím se nakonfigurovat server se sambou a ldap a příkaz smbldap-populate mi stále hlásí tuto chybu

Populating LDAP directory for domain DOMA.CZ (S-1-5-21-960292573-1401139834-1827941194)
(using builtin directory structure)

adding new entry: dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 2.
adding new entry: ou=Users,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 3.
adding new entry: ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 4.
adding new entry: ou=Computers,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 5.
adding new entry: ou=Idmap,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 6.
adding new entry: uid=root,ou=Users,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 7.
adding new entry: uid=nobody,ou=Users,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, %> line 8.
adding new entry: cn=Domain Admins,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 9.
adding new entry: cn=Domain Users,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 10.
adding new entry: cn=Domain Guests,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 11.
adding new entry: cn=Domain Computers,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 12.
adding new entry: cn=Administrators,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 16.
adding new entry: cn=Account Operators,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 18.
adding new entry: cn=Print Operators,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 19.
adding new entry: cn=Backup Operators,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 20.
adding new entry: cn=Replicators,ou=Groups,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 21.
adding new entry: sambaDomainName=DOMA.CZ,dc=DOMA,dc=CZ
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 471, % line 21.

Please provide a password for the domain root:
No such object at /usr/sbin//smbldap_tools.pm line 341.

bohužel už si nevím vůbec rady moc zkušeností se sambou nemám. pokud by mi byl někdo ochoten poradit tak bych byl vděčen v případě nutnosti vložím i konfigurační soubory. děkuji

PS: místo % má být GEN1 v hranatých závorkách nešlo mi to sem vložit protože to hlásilo že jde o neplatou značku :/

Odpovědi

[diverman]

Pise ti to "require authentication", tzn. se k ldap serveru musis prihlasit. Napr. pomoci DN "cn=admin,dc=DOMA,dc=CZ" a hesla. Moznosti je vic... Anonymni pristup je defaultne read-only. Usera vytvoris napr. programem ldappasswd.

[gooster]

bohužel ldappasswd mi taky nejde protože to chce autorizaci také. nemohl bys mi říct více k tomu jak se přihlásit k tomu serveru???

[greenroot]

Heslo ldap serveru nastavis dle distribuce bud v /etc/ldap/slapd.conf (proste konfigurak serveru) nebo v distribucich zalozenych na Debianu (Ubuntu) je heslo ulozeno primo v databazi : dpkg-reconfigure slapd

Snad jsem to trefil, pouzivam Debian

Zbynek

[greenroot]

Jo abych nezapomel pro pripojeni smbldaptools je nutne toto heslo pridat do konfiguraku generujici databazi v Debianu a Ubuntu (/etc/smbldap-tools/smbldap.conf)

[gooster]

používám gentoo

[gooster]

mě hlavně ldapwhoami pořád píše že jsem anonymous a já nevím jak to mám změnit..

[diverman]

Zkus jeste u toho ldappasswd pouzit volbu -x

[svaca]

take je potreba zadat heslo do samby ... PREDEM:

smbpasswd -w heslo_ktere_je_heslem_i_v_ldapu

a LAVNE zkontrolovat logy, zda VUBEC samba komunikuje spravne s LDAP serverem ... nezapomen, ze musi byt zpravne nakonfigurovan i ldap.conf, ne jen slapd.conf ...

Jinak ti doporucuju se ne to vyprdnout je ta ztrata casu, LDAP je v linuxu v plenkach a jestli od toho ocekavas neco jako AD, tak na to zapomen ... A o snadne sprave uzivatelu ani nemluve ... Chtel jsem na to udelat poradny a podrobny clanek, hral jsem si s tim tydny, prekompiloval jsem i kvuli nss_ldap a pamu pulku Slacka, jen abych zjistil, ze LDAP je na prd.

[gooster]

strašně rád bych se na to vyprdnul ale mám to jako zadání do dlouhodobý maturitní práce.. samba mi fungovala v pohodě dokud jsem se to ldap nesnažil zakomponovat.. nikdy jsem neměl s ničim na linuxu takový problémy jako s timhle.. bohužel.

[gooster]

v ldap.conf mám toto

# LDAP Defaults
#

# See ldap.conf(5) for details
# This file should be world readable but not world writable.

HOST    127.0.0.1
BASE    dc=DOMA, dc=CZ
#URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

#SIZELIMIT      12
#TIMELIMIT      15
#DEREF          never

[greenroot]

To je ldap klient ktery se nepouziva pro skripty v smbldaptools (alespon co vim v Debianu a Ubuntu)

[greenroot]

No nesouhlasim, celou skolu jsem povesil na LDAP pred rokem: 100 klientu windows, 40 klientu linux 700 uzivatelu. Spravu uzivatelu jsem resil pomoci jednoduchych vlastnich skriptu v bashi.Mimochodem jsem na to delal neni davno workshop: http://www.oafm.cz/ucitele/pospech/workshop/linux2.pdf

Nez to nakonfigurujes chvili to trva ale pak to chodi spolehlive a bezproblemove. Cela databaze se da trivialne odzalohovat pomoci slapcat a obnovit pomoci slapadd

[greenroot]

Jeste jednou Heslo ldap serveru nastavis dle distribuce bud v /etc/ldap/slapd.conf ( nebo kde mas konfig. LDAP serveru ) nebo v distribucich zalozenych na Debianu (Ubuntu) je heslo ulozeno primo v databazi : dpkg-reconfigure slapd, pak si najdi kde mas dle sve distribuce smbldap.conf ja jej mam v /etc/smbldap-tools/smbldap.conf no a pak vygeneruj databazi prikazem smbldap-populate . S tou sambou a heslem pro ldap je to pravda ale tam jeste nejsi damozrejme chced li v LDAPu overit i Linuxove uzivatele nutno upravit PAM a NSSWITCH popripade NSCD

[greenroot]

....omlouvam se za preklepy

[gooster]

já když už pouštim ldap server tak se mi do logu zapíšou tyto chyby

WARNING: No dynamic config support for database ldbm.
ldbm_back_db_open: alock package is unstable; database may be inconsistent!

to smbldap-populate se mi prostě nedaří provést. smbldap.conf i slapd.conf i ldap.conf jsem konfuguroval.. bohužel nevím které položky jsou ty kritické pro to populate..

[greenroot]

Pokud mas nakonfigurovane dane konfiguraky spravne tak by to mnelo stacit, vypada to ze bud uz neco vygeneroval a je tam chyba nebo nemas nahrany balicek pro praci s databazi ldbm popripade je vadny. Jinak ja pouzivam databazi BDB. Jeste jedna vec: mas v ldapu schema pro sambu a v konfiguraku ldap serveru zapsane neco takoveho:
include /etc/ldap/schema/samba.schema

[gooster]

jj mám tyto schémata

include         /etc/openldap/schema/core.schema
include         /etc/openldap/schema/cosine.schema
include         /etc/openldap/schema/inetorgperson.schema
include         /etc/openldap/schema/nis.schema
include         /etc/openldap/schema/samba.schem

a

pokud dám bdb tak se mi ldap server ani nespustí hlásí to

bdb_db_open: alock package is unstable
backend_startup_one: bi_db_open failed! (-1)
slapd stopped.
connections_destroy: nothing to destroy.

[svaca]

napsals: smbpasswd -w heslo ???

[svaca]

Jo ! Mas zkompilovany ldap s flagem DBD databaze ??

[svaca]

BDB

[gooster]

ano napsal jsem smbpasswd -w heslo a taky mám zkompilovaný openldap s berkleydb.. fakt už nevim kde je chyba

[svaca]

S jakyma flagama mas zkompilovany slapd a samba server. Vypis je ...

[gooster]

samba - ups ldap mysql pam python readline xml
openldap - berkdb crypt gdbm ipv6 perl readline ssl tcpd samba

[svaca]

to vapada dobre, muzes jeste postnout slapd.conf ???

[gooster]

# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
include         /etc/openldap/schema/core.schema
include         /etc/openldap/schema/cosine.schema
include         /etc/openldap/schema/inetorgperson.schema
include         /etc/openldap/schema/nis.schema
include         /etc/openldap/schema/samba.schema

# Define global ACLs to disable default read access.

# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral       ldap://root.openldap.org

pidfile         /var/run/openldap/slapd.pid
argsfile        /var/run/openldap/slapd.args

# Load dynamic backend modules:
# modulepath    /usr/lib/openldap/openldap
# moduleload    back_bdb.la
# moduleload    back_ldap.la
# moduleload    back_ldbm.la
# moduleload    back_passwd.la
# moduleload    back_shell.la

# Sample security restrictions
#       Require integrity protection (prevent hijacking)
#       Require 112-bit (3DES or better) encryption for updates
#       Require 63-bit encryption for simple bind
# security ssf=1 update_ssf=112 simple_bind=64

# Sample access control policy:
#       Root DSE: allow anyone to read it
#       Subschema (sub)entry DSE: allow anyone to read it
#       Other DSEs:
#               Allow self write access
#               Allow authenticated users read access
#               Allow anonymous users to authenticate
#       Directives needed to implement policy:
# access to dn.base="" by * read
# access to dn.base="cn=Subschema" by * read
# access to *
#       by self write
#       by users read
#       by anonymous auth
#
# if no access controls are present, the default policy
# allows anyone and everyone to read anything but restricts
# updates to rootdn.  (e.g., "access to * by * read")
#
# rootdn can always read and write EVERYTHING!

#######################################################################
# BDB database definitions
#######################################################################

loglevel        256
database        bdb
suffix          "dc=DOMA,dc=CZ"
rootdn          "cn=root,dc=DOMA,dc=CZ"
# Cleartext passwords, especially for the rootdn, should
# be avoid.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw          {SSHA}Qyk+JFpJoju7pSU34GoC9w/milDuwEOg


# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory       /var/lib/openldap-data
# Indices to maintain
index    sambaSID    eq
index    sambaPrimaryGroupSID    eq
index    sambaDomainName    eq
index objectClass,uid,uidNumber,gidNumber,memberUid eq
index cn,mail,surname,givenname   eq,subinitial

s tou databází bdb to ani nespustim to ldap..

[svaca]

takze zarazi me to loadovani modulu, u Slacku to neni (slapd to ma v sobe) v Debianu to MUSI byt.
V debianu MUSI byt:

modulepath /usr/lib/openldap/openldap
moduleload back_bdb.la
to heslo je spravne ??

rootpw {SSHA}Qyk+JFpJoju7pSU34GoC9w/milDuwEOg

Nelibi se mi tam to lomitko Vsechny cesty jsou 100 pro spravne ? Vis jak to byva, rano moudrejsiho vecera ... Nemam ted ty sve konfigurace po ruce. Paklize mas tady overovani SSHA, mas to taky v smbldap.conf ??

[gooster]

modulepath /usr/lib/openldap/openldap
moduleload back_bdb.la

toto mám zakomentované takže jedinné co můžu zkusit je to odkomentovat

helso jsem kopíroval po zadání příkazu slappasswd který vygeneruje tu SSHA šifru

a v smbldap.conf ssha je nakonfigurováno.. ale vložím to sem až zítra jak říkáš ráno moudřejší večera takže jdu spát.. když mi použeš i zítra budu zavázán.

[svaca]

napis jeste pak jak jsi ho presne generoval, zitra na to mrknem, to bude blbost ... Zitra mrknu i na ty svoje konfigy ..

[gooster]

teˇd nevím co myslíš jak jsem generoval.. jestli mysliš to heslo tak je to příkazem slappasswd ten mi vygeneroval ten ssha k´od.

[svaca]

tak ale tam se jeste udava, zda chces generovat to a to kryptovani (MD5, SSHA), atd.

[Aleshus]

jj dával jsem slappasswd -h {SSHA} i slappasswd -h {MD5} a měnil jsem to v konfigurácích.. poslal jsem ti email na adresu ktrerou máš uvedenou na webovejsch stránkách o atari tak si to kdyžtak přečti jsou tam kontakty na mě aby jsme mohli komunikovat rychleji..

[greenroot]

Pro BDB jsem musel dohrat v Debianu baliky : db4.2-util a libdb4.2, jinak zkus nekam zkopirovat a pak smazat obsah /var/lib/ldap/ (obsahuje databazi, je-li vadna z predchozich pokusu nemusi jit znova vygenerovat) a pak znovu smbldap-populate, Poznamka: smbpasswd -w heslo je nutne pro pripojeni samby k ldapu ale tam jeste nejsi, potrebujes prvni vygenerovat tu databazi

[svaca]

No co tak matne zpominam, tak to HESLO musi dat, jinak se VUBEC samba nebavi s LDAPem, nic tim nezkazi ... V debianu sarge a etch je to jeste tak, ze ty databaze jsou kompilovany jako moduly, takze ve slapd.conf musi byt neco takoveho:

modules /usr/lib/ldap

takhle to presne neni .... Nevim jak ten retezec je, ale kdyz da:

dpkg-reconfigure slapd tak se mu vygeneruje konfig se spravnym retezcem (zkouseno na etch a sarge)

Ja to naposled konfiguroval na Slackware, tam je to uplne jinak.

[greenroot]

Jiste prikazem smbpasswd -w heslo se nastavi heslo pro SAMBU na pristu do LDAP databaze jinak se samba nespoji, ale to neresi problem pokud databaze neexistuje. Nejprve ji musi vygenerovat. Mimochodem smbldap-populate bere zakladni konfiguraci ze smb.conf i kdyz se samba k ldapu jeste nemuze pripojit. Aby fungovalo mapovani GID a UID na linuxove uzivatele a skupiny v LDAPu je nutno nakonfig.NSSWITCH . Pokud se ma i overit na ldapu pak jeste treba nastavit PAM moduly.

[svaca]

Nejde o konfiguraci ... Ted jsi to vystihl: JEDNODUCHE skripty, NECHCI skripty, chci treba pres web naklikat uzivatele a je to. Nemuzu zakaznikovi rict (nebo dovolit) at pousti nejake skripty v shellu ... Ano export LDAp je super. Ale jak rikam pres LDAP admina a pod, tam uzivatele nenasypes ... Tedy nasypes, ale ten opruz ...

Zatim jsem nemusel resit tolik uzivatelu, maximalne do 100 a to resim klasickymi unix ucty + webmain na zpravu.

[greenroot]

kdyz chces nechat uzivatele delat ucty musis mu dat stejne prava roota nebo alespon sudo k prislusnym prikazum takze tento argument postrada smysl. A mimochodem skript ktery ma asi 100 radku a vygeneruje z jednoduche MYSQL tabulky jenz mi predem natukaj studenti (prijmeni;jmeno;trida;roknastupu;primarniskupina;sekundarniskupina) cele tridy do LDAPu, vcetne vytvoreni domovskych adresaru emailu, vygenerovani hesla, diskovych quot atd. A to se slusne jen zepta ktery rocnik a tridu chces popripade ktereho konkretniho uzivatele,(to zvladne i muj kolega windowsak). A podobny skriptik pro odstraneni uzivatelu. Cely rocnik 150 studentu trva asi 2minuty. A propo chces-li pres web neni problem udelat si jednoduche rozhrani v PHP ale to mi pripada mene bezpecne.

[svaca]

Hezke.

1. na localu je to v pohode
2. Nemam skripty
3. Nemam kdo by je plnil
4. ano prava roota, ale on pouze zada pres webmin par okynek a ma to taky (samozrejme ne s takovymi moznostmi jako LDAP)
5. Nejsem programator jako asi vsichni a zakaznici uz vubec ne
6. LDAP správci toto neumi co pises (dostatecne jednoduse - proto mas skripty)
7. Kdyz nabidnu to co rikas zakaznikovi, tak jediny co rekne (Pokud nekdy videl Wokna): Ale AD a Exchange je o dost jednodussi, ne ?

Abychom si rozumeli, jde mi o jedine o VELMI jednoduchou spravu uzivatelu, klidne to budu mesic pripravovat a konfigurovat, ale sprava uzivatelu musi byt easy a to proste s LDAP dnes nedam. A nemluvme o programovani a skriptovani ....

[greenroot]

Mimochodem fakt nevim co je na tom slozitejsiho nez standartni prikazy: smbldap-useradd -a -n -m -c popisek -g primarniskupina -G sekundarni_skupina pridavany_uzivatel smbldap-userdel -r odebirany_uzivatel smbldap-groupadd -a pridavana_skupina smbldap-groupadd -a pridavana_skupina smbldap-useradd -w "pridana_masina$" LDAP je nejjednodusi zpusob sjednoceni hesel jak pro SAMBU tak pro dalsi sluzby linuxoveho serveru. Drive jsem jel taky bez LDApu (uzivatele si mneli heslo do linuxu pres USERMIN) ale pro vetsinu (uzivatelu bylo nepochopitelne a zmatecne jine heslo pro WIN klienty a jine pro postu, ftp apod.

[greenroot]

Omlovam se zapomnel jsem oradkovat tak znova:

Mimochodem fakt nevim co je na tom slozitejsiho nez standartni prikazy:

smbldap-useradd -a -n -m -c popisek -g primarniskupina -G sekundarni_skupina pridavany_uzivatel
smbldap-userdel -r odebirany_uzivatel
smbldap-groupadd -a pridavana_skupina
smbldap-groupadd -a pridavana_skupina
smbldap-useradd -w "pridana_masina$"


LDAP je nejjednodusi zpusob sjednoceni hesel jak pro SAMBU tak pro dalsi sluzby linuxoveho serveru. Drive jsem jel taky bez LDApu (uzivatele si mneli heslo do linuxu pres USERMIN) ale pro vetsinu (uzivatelu bylo nepochopitelne a zmatecne jine heslo pro WIN klienty a jine pro postu, ftp apod.

[svaca]

Neni nejjednodussi, ale je jedinny ..... rozumny .. Bohuzel.

[svaca]

ano znam rozumim, ale zakaznik NECHCE shell, cahpes ?? Dale:

1. Klient by nemel pravo si menit heslo do posty (protoze pak k uctu jana vznikne heslo jana)
2. Login do win stanice at si meni do aleluja (tim padem i FTP) - samozrejme POUZE lokalne
3. Zadny Usermin

Jeste poznamka, ja mluvim o zakaznikach - lidi z kanclu - ty ani nevedi co je to login do domeny, v tom je trochu rozdil.