Documentation<Précédent | Table des matières | Suivant>
5.1. Contrôleur de domaine principal
Cette section couvre la configuration de Samba en tant que contrôleur de domaine principal (PDC) à l'aide du backend smbpasswd par défaut.
1. Tout d'abord, installez Samba et libpam-winbind pour synchroniser les comptes d'utilisateurs, en entrant ce qui suit dans une invite de terminal :
sudo apt installer samba libpam-winbind
2. Ensuite, configurez Samba en éditant /etc/samba/smb.confL’ sécurité le mode doit être réglé sur utilisateur, et le groupe de travail doit se rapporter à votre organisation :
groupe de travail = EXEMPLE
security = utilisateur
3. Dans la section "Domaines" commentée, ajoutez ou décommentez les éléments suivants (la dernière ligne a été divisée pour s'adapter au format de ce document) :
ouvertures de session de domaine = oui
chemin de connexion = \\%N\%U\profile lecteur de connexion = H :
accueil de connexion = \\%N\%U script de connexion = logon.cmd
ajouter un script machine = sudo /usr/sbin/useradd -N -g machines -c Machine -d
/var/lib/samba -s /bin/false %u
Si vous ne souhaitez pas utiliser Profils itinérants quitter le connexion à la maison ainsi que chemin de connexion options commentées.
• ouvertures de session de domaine : fournit le service netlogon faisant en sorte que Samba agisse en tant que contrôleur de domaine.
• chemin de connexion : place le profil Windows de l'utilisateur dans son répertoire personnel. Il est également possible de configurer un [profils] partager en plaçant tous les profils sous un seul répertoire.
• lecteur de connexion : spécifie le chemin local du répertoire de base.
• connexion à la maison : spécifie l'emplacement du répertoire personnel.
• script de connexion : détermine le script à exécuter localement une fois qu'un utilisateur s'est connecté. Le script doit être placé dans le [connexion au réseau] action.
• ajouter un script machine : un script qui créera automatiquement le Compte de confiance de machine nécessaire pour qu'un poste de travail rejoigne le domaine.
Dans cet exemple, le groupe de machines devra être créé à l'aide de l'utilitaire addgroup voir Section 1.2, « Ajout et suppression d'utilisateurs » [p. 181] pour plus de détails.
4. Décommentez le [maisons] partager pour permettre au connexion à la maison à cartographier :
[maisons]
comment = Répertoires personnels consultables = non
lecture seule = pas de création de masque = 0700
masque de répertoire = 0700 utilisateurs valides = %S
5. Lorsqu'il est configuré en tant que contrôleur de domaine, un [connexion au réseau] le partage doit être configuré. Pour activer le partage, décommentez :
[connexion au réseau]
comment = Chemin du service d'ouverture de session réseau = /srv/samba/netlogon guest ok = yes
lecture seule = oui modes de partage = non
L'ouverture a connexion au réseau le chemin de partage est /home/samba/netlogon, mais selon le Filesystem Hierarchy Standard (FHS), / srv20 est l'emplacement correct pour les données spécifiques au site fournies par le système.
6. Créez maintenant le connexion au réseau répertoire, et un vide (pour l'instant) ouverture de session.cmd Fichier de script:
sudo mkdir -p /srv/samba/netlogon
sudo touch /srv/samba/netlogon/logon.cmd
Vous pouvez entrer n'importe quelle commande de script d'ouverture de session Windows normale dans ouverture de session.cmd pour personnaliser l'environnement du client.
7. Redémarrez Samba pour activer le nouveau contrôleur de domaine :
sudo systemctl redémarrer smbd.service nmbd.service
8. Enfin, quelques commandes supplémentaires sont nécessaires pour configurer les droits appropriés.
Avec racine étant désactivé par défaut, afin de joindre un poste de travail au domaine, un groupe système doit être mappé sur Windows Administrateurs de domaine grouper. A l'aide de l'utilitaire net, depuis un terminal, entrez :
sudo net groupmap add ntgroup="Domain Admins" unixgroup=sysadmin rid=512 type=d
20 http://www.pathname.com/fhs/pub/fhs-2.3.html#SRVDATAFORSERVICESPROVIDEDBYSYSTEM
Modifier sysadmin au groupe que vous préférez. De plus, l'utilisateur utilisé pour rejoindre le domaine doit être membre du sysadmin groupe, ainsi qu'un membre du système admin grouper. Les admin le groupe permet l'utilisation de sudo.
Si l'utilisateur n'a pas encore d'informations d'identification Samba, vous pouvez les ajouter avec l'utilitaire smbpasswd, modifiez le sysadmin nom d'utilisateur de manière appropriée :
sudo smbpasswd -a administrateur système
En outre, les droits doivent être explicitement accordés au Administrateurs de domaine groupe pour permettre au ajouter un script machine
(et d'autres fonctions d'administration) pour fonctionner. Ceci est réalisé en exécutant:
net rpc rights grant -U sysadmin "EXEMPLE\Domain Admins" SeMachineAccountPrivilege \ SePrintOperatorPrivilege SeAddUsersPrivilege SeDiskOperatorPrivilege \ SeRemoteShutdownPrivilege
9. Vous devriez maintenant pouvoir joindre les clients Windows au domaine de la même manière que les joindre à un domaine NT4 exécuté sur un serveur Windows.