ＩＴ技術発信ブログ

I installed Windows Domain Auth with LDAP,LDAP Replication + SAMBA,PDC,BDC. I’ve written the installation document below. Please give me advice/suggestions on it. I would appreciate any kind of advice/suggestion!



Windows認証 (LDAP,LDAP Replication + SAMBA,PDC,BDC) on Debian

ホスト設定

vim /etc/hosts
127.0.0.1 ldap1.com #
192.168.24.71 ldap1.com mail.ldap1.com
192.168.24.72 ldap2.com mail.ldap2.com

以下PDCのみのLDAPとSAMBA設定

以下インストール
aptitude install slapd ldap-utils libldap-dev
aptitude install samba smbclient swat smbldap-tools samba-doc
aptitude install migrationtools

zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > /etc/ldap/schema/samba.schema

以下で得たMD5をslapd.confのrootpwに適用する。
ldap1:/etc/ldap# slappasswd -s PASSWORD -h {MD5}
{MD5}MZ9NJuPFNrXdhxuyxS4xeA==

vim /etc/ldap/slapd.conf
include /etc/ldap/schema/samba.schema #add

suffix "dc=ldap1,dc=com" #change
rootdn "cn=admin,dc=ldap1,dc=com" #change
rootpw {MD5}k3pcIXcHEYMlTicw3RGw7w== #add

#検索用
index objectClass eq
index uid,uidNumber,gidNumber,memberUid eq
index cn,mail,surname,givenname eq,subinitial
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq

# アクセス制限 他のaccessはコメントアウト
access to attrs=userPassword,sambaNTPassword,sambaLMPassword
by self write
by dn="cn=admin,dc=ldap1,dc=com" write
by anonymous auth
by * none

access to *
by dn="cn=admin,dc=ldap1,dc=com" write
by self write
by * read

以下設定、ldapsearchで見るLDAP、BDCを設定する場合は以下をBDCのＬＤＡＰに向ける。

vim /etc/ldap/ldap.conf

BASE dc=ldap1, dc=com #change
URI ldap://ldap1.com #change

LDAP起動
/etc/init.d/slapd restart


以下sambaの設定

vim /etc/samba/smb.conf

[global]
workgroup = MYDOMAIN
dos charset = CP932
unix charset = UTF-8
display charset = UTF-8

netbios name = PDC
security = user
domain logons = yes
domain master = yes
local master = yes
os level = 64 #PDCのため値を大きくしておく。BDCはこの数値以下にしておく
preferred master = yes
wins support = yes

logon path =
logon home =

#Sambaのアドミンユーザー
admin users = Administrator

passdb backend = ldapsam:ldap://ldap1.com/
ldap suffix = dc=ldap1, dc=com
ldap admin dn = cn=admin,dc=ldap1,dc=com
ldap user suffix = ou=People
ldap group suffix = ou=Groups
ldap machine suffix = ou=Computers
ldap idmap suffix = ou=People

# リナックスとＷｉｎｄｗｏｓのパスワード同期
ldap passwd sync = yes
passwd program = /usr/sbin/smbldap-passwd %u
passwd chat = *New*password* %n\n *Retype*new*password* %n\n *all*authentication*tokens*up
dated*

# windows managerからの変更のため
add user script = /usr/sbin/smbldap-useradd -m "%u"
ldap delete dn = Yes
delete user script = /usr/sbin/smbldap-userdel "%u"
add machine script = /usr/sbin/smbldap-useradd -w "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"


interfaces = 192.168.24.0/24 127.0.0.1 eth0
guest account = nobody

#ログインした際に時間を合わせたりするスクリプト等を置く場所

[netlogon]
comment = Network Logon Service
path = /home/samba/netlogon
guest ok = yes
writable = no
share modes = no

#プロファイル情報格納場所
[profiles]
comment = Users profiles
path = /home/samba/profiles
guest ok = no
browseable = no
create mask = 0600
directory mask = 0700

#[printers]
# comment = All Printers
# browseable = no
# path = /var/spool/samba
# printable = yes
# public = no
# writable = no
# create mode = 0700

#[print$]
# comment = Printer Drivers
# path = /var/lib/samba/printers
# browseable = yes
# read only = yes
# guest ok = no

[homes]
comment = Home Directories
path = %H/samba #change
writable = yes #change
browseable = no
vfs objects = recycle #add ごみ箱設定
recycle:repository = .recycle #add　
recycle:keeptree = no #add
recycle:versions = yes #add
recycle:touch = no #add
recycle:maxsize = 0　 #add
recycle:exclude = *.tmp ~$* #add

load printers = no　　　　　　　　　　　　　　　　　#プリンタは不要
disable spoolss = yes

mkdir -p /home/samba/netlogon
mkdir -p /home/samba/profiles
chown -R nobody /home/samba
chmod 1777 /home/samba/profiles

以下でチェック
testparm

既存ユーザーのsambaディレクトリの作成

mkdir /etc/skel/samba
vi mkhomedir.sh
for user in `ls /home`
do
id $user > /dev/null 2>&1
[ $? -eq 0 ] && \
[ ! -d /home/$user/samba ] && \
mkdir /home/$user/samba && \
chown $user:$user /home/$user/samba && \
echo "/home/$user/samba create"
done
sh mkhomedir.sh

vi /etc/cron.weekly/recyclewatch
#!/bin/bash
for user in `ls /home/`
do
if [ -d /home/$user/samba/.recycle ]; then
tmpwatch -f 720 /home/$user/samba/.recycle/
fi
done
chmod +x /etc/cron.weekly/recyclewatch

#プリンターエラーの対応
touch /etc/printcap

/etc/init.d/samba start




SambaとＬＤＡＰの認証パスワードの設定ツール

zcat /usr/share/doc/smbldap-tools/examples/smbldap.conf.gz > /etc/smbldap-tools/smbldap.conf
cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf /etc/smbldap-tools/smbldap_bind.conf

以下で得たＳＩＤをsmbldap.conに適用
net getlocalsid

vim /etc/smbldap-tools/smbldap.conf

SID="S-1-5-21-3869316386-1369744062-3351931823" #change, get sid from command as "net getlocalsid"
sambaDomain="MYDOMAIN" # change
ldapTLS="0" # change
#verify="require"
#cafile="/etc/opt/IDEALX/smbldap-tools/ca.pem"
#clientcert="/etc/opt/IDEALX/smbldap-tools/smbldap-tools.pem"
#clientkey="/etc/opt/IDEALX/smbldap-tools/smbldap-tools.key"
usersdn="ou=People,${suffix}"
hash_encrypt="CRYPT" #change
#defaultMaxPasswordAge="45"
suffix="dc=ldap1,dc=com" #change
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}" #change
userSmbHome="\\PDC\%U" #change
userProfile="\\PDC\profiles\%U" #change
userHomeDrive="Z:" #change　ネットワークドライブ名
mailDomain="ldap1.com" #change

上記の項目でslaveLDAPとmasterLDAPはPDCとBDCを設定する場合にはそれぞれのＩＰを設定しておく


vim /etc/smbldap-tools/smbldap_bind.conf
slaveDN="cn=admin,dc=ldap1,dc=com"
slavePw="PASSWORD"
masterDN="cn=admin,dc=ldap1,dc=com"
masterPw="PASSWORD"

ＬＤＡＰにサンバ初期化登録
smbldap-populate

以下でSambaアドミニストレーターを設定

getent passwd
getent group で　アドミンやドメイングループの確認をして以下設定

smbldap-populate -a Administrator -k 998 -m 512
smbldap-passwd Administrator

サンバのアドミンパスワード設定
smbpasswd -w PASSWORD

以下でユーザー登録 -a 追加 -m ディレクトリを作成
smbldap-useradd -a -m sakai PASSWORD
smbldap-passwd sakai

ディレクトリごと削除 -r で以下削除可能
smbldap-userdel -r sakai



以下でＬＤＡＰのユーザを認識、id等で確認可能

apt-get install libnss-ldap
vim /etc/libnss-ldap.conf
vim /etc/nsswitch.conf
passwd: compat ldap
group: compat ldap
shadow: compat ldap

サーバーのSSH等もLDAPで管理したい場合は、PAMを設定

apt-get install libpam-ldap
vim /etc/pam_ldap.conf

vim /etc/pam.d/common-auth
auth sufficient pam_ldap.so
vim /etc/pam.d/common-account
auth sufficient pam_ldap.so

WindowsでMy Computerの右クリック、DomainをChangeをクリックして、ユーザー名にAdministrator、設定したパスワードを入力してドメインに登録する。
再起動後、ユーザー名(sakai)とパスワードでログイン

== LDAPのレプリケーション設定

- slave

ssh 192.168.24.72
rm -rf /var/lib/ldap/*

suffix "dc=ldap1,dc=com" #change
rootdn "cn=admin,dc=ldap1,dc=com" #change
rootpw PASSWORD #change

vim /etc/ldap/slapd.conf
updatedn cn=admin,dc=ldap1,dc=com
updateref ldap://ldap1.com


- master

ssh 192.168.24.71
/etc/init.d/slapd stop

以下ＬＤＡＰ情報をコピー
scp /var/lib/ldap/* 192.168.24.72:/var/lib/ldap/.

vim /etc/ldap/slapd.conf
replogfile /var/lib/ldap/replog
replica uri=ldap://ldap2.com:389
binddn="cn=admin,dc=ldap1,dc=com"
bindmethod=simple credentials=PASSWORD

- slave
chown -R openldap:openldap /var/lib/ldap/

apt-get install libnss-ldap
/etc/libnss-ldap.conf
base dc=ldap1,dc=com
uri ldap://ldap2.com/ 　　#BDCのためにスレーブを見る用にしておく
ldap_version 3
rootbinddn cn=admin,dc=ldap1,dc=com

- master and slave
/etc/init.d/slapd start


==BDCの設定

- slave

マスターから設定ファイルをコピー
scp 192.167.24.71:/etc/samba/smb.conf /etc/samba/.

以下書き換える
vim /etc/samba/smb.conf

passdb backend = ldapsam:ldap://ldap2.com/　　#スレーブを見るようにしておく
domain master = no
os level = 33 #PDCより下げておく。Windowsのデフォルトが32なので３３にあたりにしておく。'
wins support = no
wins server = 192.168.24.71

smbpasswd -w PASSWORD

自分のLDAPを見るようにしておく
vim /etc/ldap/ldap.conf
BASE dc=ldap1, dc=com
URI ldap://ldap2.com

PDCを落としてWindowsからDomainで入れるか確認、以下のログファイルでBDCが昇格したことを確認
cd /var/log/samba/


=============================
その他LDAP用コマンド

以下既存のユーザーをＬＤＡＰにmigrationする際のツール
vim /usr/share/migrationtools/migrate_common.ph
$DEFAULT_MAIL_DOMAIN = "ldap1.com"; #add
$DEFAULT_BASE = "dc=ldap1,dc=com"; #add
$DEFAULT_MAIL_HOST = "mail.ldap1.com"; #add


以下のLDAPの基本情報等を登録
vi base.ldif

dn: dc=ldap1,dc=com
objectClass: dcObject
objectclass: organization
o: ldap1 Organization
dc: ldap1

dn: cn=admin, dc=ldap1,dc=com
objectclass: organizationalRole
cn:admin

dn: ou=People,dc=ldap1,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=ldap1,dc=com
objectClass: organizationalUnit
ou: Group

ldapadd -h localhost -x -D "cn=admin,dc=ldap1,dc=com" -W -f base.ldif

ldapsearch -x -b 'dc=test,dc=com' uid=test1

ldapmodify -x -Dcn=admin,dc=test,dc=com -W -f add.ldif
vim add.ldif
dn: uid=test1,ou=People,dc=test,dc=com
changetype: modify
add: userPassword
userPassword: PASSWORD

=============================


== subversion と Apache Basic Authentication as LdAP

aptitude install subversion libapache2-svn

mkdir /var/svn
svnadmin create --fs-type fsfs /var/svn
chown -R www-data:513 /var/svn
cd /tmp
svn checkout http://localhost/svn

ln -s /etc/apache2/mods-available/authnz_ldap.load /etc/apache2/mods-enabled/authnz_ldap.load
ln -s /etc/apache2/mods-available/ldap.load /etc/apache2/mods-enabled/ldap.load

vim /etc/apache2/mods-enabled/dav_svn.conf


DAV svn
SVNPath /var/svn

AuthType Basic
AuthName "LDAP Auth"
AuthBasicProvider ldap
AuthzLDAPAuthoritative off
AuthLDAPURL ldap://test.com/ou=People,dc=test,dc=com?uid?sub?(objectclass=posixAccount)
Require valid-user



svn checkout http://localhost/svn
svn import http://localhost/svn -m "init"
cd svn touch test.txt
svn add test.txt
svn commit -m "up test.txt"


svn checkout http://localhost/svn/
Authentication realm: LDAP Auth
Password for 'root':

以下でも可。ＳＳＨの証明書をauthorized_keysに加えてパスワード入力なし設定をしてもＯＫ．
svn checkout svn+ssh://localhost/var/svn


== CVS
apt-get install cvs
mkdir /var/cvs
chown -R root:513 /var/cvs
export CVSROOT=/var/cvs
cvs init

ＳＳＨの証明書をauthorized_keysに加えてパスワード入力なし設定をしてもＯＫ．
export CVSROOT=:ext:sakai@192.168.24.71:/var/cvs

ラベル: LDAP

# RINA さんの投稿 : 3:03