A NET Dorfstrasse 68 CH-8126 Zumikon Tel: +41 (0) Fax: +41 (0)

Transkript

1 A NET Dorfstrasse 68 CH-8126 Zumikon Tel: +41 (0) Fax: +41 (0) opensuse 11.2 ins ActiveDirectory integrieren Eine Schritt-für-Schritt Anleitung für die erfolgreiche Integration und Konfiguration eines SAMBA-Servers, integriert als Mitgliedsserver in einem ActiveDirectory unter Windows Server 2003/ opensuse 11.2 in AD Seite 1/14

2 Inhalt Integration OpenSuSE 11.2 mit ActiveDirectory...3 Zusammenspiel der verschiedenen Server...3 Voraussetzungen schaffen...3 Unsere Konfiguration...3 Windows Server 2003 vorbereiten...5 opensuse Linux vorbereiten...5 Zusätzliche Pakete installieren...6 Sichern der alten Konfigurationsdateien...6 Konfiguration von Linux...6 Erste Tests...9 Anpassen der /etc/samba/smb.conf...9 Letzte Tests und Anmelden als Domänenbenutzer...11 Konfigurationsdateien zur Kontrolle...12 /etc/krb5.conf...12 /etc/nsswitch.conf...12 /etc/pam.d/xdm...13 /etc/security/pam_winbind.conf opensuse 11.2 in AD Seite 2/14

3 Integration OpenSuSE 11.2 mit ActiveDirectory Ziel diese Anleitung ist es, einen SAMBA File-Server oder Linux-Arbeitsstation unter opensuse 11.2 so aufzusetzen, dass die ganze Benutzerverwaltung und Rechteverwaltung im ActiveDirectory eines Windows Server 2003 oder 2008 erfolgt. So kann sich ein im ActiveDirectory erfasster Benutzer am Linux anmelden, ohne dort vorher erfasst zu werden. Bei der ersten Anmeldung wird ein Home-Verzeichnis für den Benutzer angelegt unter dem Verzeichnis /home/anet60 (wenn anet60.xxxx der Domänenname des AD ist). Die praktischen Test wurden mit virtuellen Servern mit dem Windows Server 2003 gemacht, da der Windows Server 2008 wesentlich mehr Ressourcen verbraucht. Zusammenspiel der verschiedenen Server Unser Vorgehen benötigt keinerlei Änderungen am Windows Server. Deshalb muss sich das Linux-System der Windows AD Umgebung vollständig anpassen. Natürlich sollte das ActiveDirectory des Windows Servers fehlerfrei funktionieren. Testen Sie diesen Server deshalb mit den Support Tools (s. Windows Server CD) mit den Programmen dcdiag.exe und netdiag.exe. Der Vorteil davon ist, dass das Vorgehen mit allen aktuellen Windows Servern funktionieren sollte. Voraussetzungen schaffen Sowohl der Windows Server als auch das SuSE 11.2 System sollten korrekt aufgesetzt werden. Die aktuelle Anleitung dazu finden Sie auf unserer Webseite unter: Installieren Sie einen Windows Server mit AD gemäss dieser Anleitung und testen Sie diesen mit dcdiag.exe. Dann Installieren Sie ein Linux-System mit SAMBA. Machen Sie keine Konfiguration des SMABA mit SWAT. Unsere Konfiguration Legen Sie die Namen der beiden Server und die IP-Adressen vor Beginn definitiv fest. Achten Sie darauf, dass alle Namen immer gleich bleiben und nicht ein System mal so und mal anders heisst. Besonders die DNS-Namen und NetBios Namen müssen konsistent sein, das heisst der NetBios Name eines Systems ist IMMER gleich dem vordersten Teil des DNS-Namens bis zum ersten Punkt. Der DNS-Name selber besteht nur aus Kleinbuchstaben. Das gleiche gilt für den Domain-Namen. Der NetBios-Name besteht jeweils nur aus Grossbuchstaben. Windows Server 2003 (AD Domain Controller und DNS Server) IP-Adresse: netmask Domain: anet60.intern NetBios Name der Domain: ANET60 Name: t60s1.anet60.intern Hinweis: Den Computernamen des Servers müssen Sie in der Systemsteuerung System Computername anpassen. Dann ist eine Neustart notwendig. Bevor Sie dcpromo ausführen, muss als einziger DNS-Server die eigene IP-Adresse eingetragen werden. (s. Anleitung Windows Server 2003) Open SuSE 11.2 IP-Adresse: netmask DNS: (=IP des Windows Domain Controllers) Domain: anet60.intern opensuse 11.2 in AD Seite 3/14

4 NetBios Name der Domain: ANET60 Name: t60lin.anet60.intern Die IP-Adresse und Namenseinstellungen können Sie mit YaST vornehmen: Chamäleon Rechner YaST (Passwort von root eingeben) Netzwerkgeräte (rechts) Netzwerkeinstellungen (ev. traditionelle Methode mit ifup aktivieren) Netzwerk-Karte im oberen Feld markieren (hier Pcnet32LANCE) [Bearbeiten] (x) statisch zugewiesene IP-Adresse IP-Adresse Subnetmaske Hostname t60lin [Weiter] Reiter [Hostname/DNS] Hostname Domänenname t60lin anet60.intern (= Windows Domain) Nameserver (= DNS des Windows Domain Controllers!) [OK] Unter [Routing] können Sie den Router in Ihrem Netzwerk angeben, damit das System ins Internet gelangen kann. So können zusätzlich Pakete vom Internet geladen werden. Da als DNS-Server derjenige vom Windows Server eingetragen ist, muss auch Windows laufen und Zugriff zum Internet haben. Andernfalls sind die Programme ab DVD zu installieren. Dann kann der Routing-Eintrag leer bleiben, dafür muss die DVD bereit gehalten werden und im YaST die Repositories im Internet deaktiviert werden. Die Netzwerk-Konfiguration sollte dann wie folgt aussehen (bitte genau nach Plan!): opensuse 11.2 in AD Seite 4/14

5 Windows Server 2003 vorbereiten Da sich Linux dem ActiveDirectory anpasst, muss hier nichts geändert werden. Testen Sie lediglich, dass das AD einwandfrei funktioniert und der Windows Server während der ganzen Konfiguration der Linux-Systems erreichbar ist. opensuse 11.2 Das Linux-System wird ins ActiveDirectory integriert. Dazu muss dieses unter der IP und dem Namen erreichbar sein. Testen Sie dies gleich jetzt: ping muss funktionieren ping t06s1.anet60.intern muss auch funktionieren Wichtige Hinweise: Viele Dateien werden von YaST automatisch angepasst. Es lohnt sich aber, sehr genau zu arbeiten und insbesondere die Gross-/Kleinschreibung zu beachten. Erstellen Sie keinen Benutzer root im AD, so ist klar, dass dies immer der Chef auf dem Linux ist und Sie können sich immer dort anmelden, um Korrekturen vorzunehmen. Falls auch die Dateien pam_unix2.conf und xdm angepasst werden ist Vorsicht geboten, sonst kann man sich vom System aussperren. Diese Dateien müssen mit dieser Anleitung allerdings nicht mehr erstellt/geändert werden. Linux vorbereiten Der DNS-Name und die IP-Konfiguration werden wie oben beschrieben passend vorbereitet. Starten Sie anschliessend den smbd und nmbd neu mit: opensuse 11.2 in AD Seite 5/14

6 rcnmb restart rcsmb restart Zusätzliche Pakete installieren Die meisten Programme sind bereits installiert. Wir überprüfen diese und installieren die fehlenden Programme. Zusätzlich muss Linux die Kerberos Authentisierung beherrschen und auch im LDAP nachsehen können. Legen Sie die SuSE 11.2 DVD ein oder sogen Sie dafür, dass Linux ins Internet gelangen kann. Fall Sie ab DVD installieren, sollten die Internet Repositories deaktiviert werden um unnötige Time Outs zu vermeiden. Dazu öffnen Sie in YaST Software Software Repositories. Dann markieren Sie die Internet Repositories und entfernen den Hacke aktiv. Am Schluss fügen Sie mit [hinzufügen] das DVD Laufwerk hinzu. Dann Starten Sie YaST: Chamäleon Rechner YaST Software installieren oder löschen [Suche] [x] samba-winbind (sollte bereits installiert sein) [x] samba-doc (nicht notwendig, aber nützlich zum Nachschlagen) [x] krb5 (sollte bereits installiert sein) [x] krb5-client (nachinstallieren) [x] pam_ldap [x] pam_krb5 [x] nss_ldap [Übernehmen] Nun sollten die Pakete vom Internet nachgeladen werden oder allenfalls ab DVD. Sichern der alten Konfigurationsdateien Damit bei etwaigen Fehlern ein neuer Versuch einfach möglich ist, sichern wir die alten Konfigurationsdateien. Sie können so auch verfolgen, was YaST selbständig angepasst hat. Wir kopieren die Dateien auf den gleichen Namen mit angehängtem _org: cd /etc/samba cp smb.conf smb.conf_org cd /etc cp krb5.conf krb5.conf_org cp nsswitch.conf nsswitch.conf_org cd /etc/pam.d cp xdm xdm._org cd /etc/security cp pam_winbind.conf pam_winbind.conf_org Konfiguration von Linux Nun wird Linux ins AD konfiguriert. Achten Sie daraus, dass der Windows Server läuft und erreichbar ist. Wir starten YaST und binden Linux in die Domäne ein: opensuse 11.2 in AD Seite 6/14

7 Chamäleon Rechner YaST (Passwort von Root eingeben) Netzwerkdienste (nach untern blättern) Mitgliedschaft in Windows Domäne Domäne oder Arbeitsgruppe: anet60.intern [x] zusätzlich SMB-Informationen für Linux-Authentifizierung verwenden [x] Home Verzeichnis bei Anmeldung erstellen [x] offline Authentifizierung (Anmeldung später auch ohne AD möglich) Weiter Details können (wahlweise) eingestellt werden unter: [Einstellungen für Experten] UID-Bereich (Benutzernummern für Windows Benutzer) Minimum: Maximum: GID-Bereich (Nummern für Windows Gruppen) Minimum: Maximum: [ ] WINS zur Hostnamensauflösung verwenden (heute ist meist kein WINS mehr vorhanden) [x] WINS-Server über DHCP abrufen Serververzeichnisse einhängen: (hier können Server-Freigaben bei Der Anmeldung am Linux eingehängt werden) [ ] Benutzern die Freigabe ihrer Verzeichnisse erlauben [OK] Hinweis: Wird die Domäne nicht gefunden, probieren Sie weitere Alternativen für den Domänen-Namen: ANET60 ANET60.INTERN opensuse 11.2 in AD Seite 7/14

8 Es erscheint folgende Meldung: (sollte rasch kommen, sonst Erreichbarkeit des Windows Servers prüfen) Dieser Host ist kein Mitglied von Domäne ANET60. Domäne beitreten? [Ja] Benutzername: [Administrator ] Passwort: [xxxxxxx ] (Passwort vom Windows Administrator) Domäne ANET60 erfolgreich beigetreten [OK] Diese Änderung betriff nur neu erstellt Prozesse und nicht bereits laufende Dienste. Starten Sie die Dienste neu oder starten Sie die Maschine neu [OK] Nun starten wir alle SAMBA-Dienste neu: rcnmb restart opensuse 11.2 in AD Seite 8/14

9 rcsmb restart rcwinbind restart Hinweis: Wechseln Sie zum Windows Domain Controller und öffnen Sie: Start Verwaltung ActiveDirectory Benutzer und Computer [+] anet60.intern Computer t60lin (das Linux-System sollte hier erscheinen) Testen der winbind-konfiguration: In einem Linux Terminal-Fenster geben Sie als root ein: chkconfig s winbind on (es sollten keine Fehlermeldungen erscheinen) Man kann das System auch per Befehl im AD eintragen. Wenn der vorhergehende Schritt erfolgreich war, ist dies aber nicht mehr notwendig! net ads join U administrator (Passwort des Win2003 Administrators) Hinweis: Falls dieser Test noch nicht funktioniert, fahren Sie erst mit dem Anpassen der Konfiguration fort. Erste Tests Linux hat nun Zugriff auf das AD. Wir testen dies mit ein paar Befehlen: Ersteklen sie auf dem Windows Server im ActiveDirectory einen Benutzer hans. Im Linux Befehlsfenster testen Sie nun: net ads user U hans (hans sei der Windows Benutzer) hans s password: (Passwort des Benutzers hans) Administrator Gast Hans... Kerberos testen: kinit hans@anet60.intern (Domänen-Name in Grossbuchstaben!) Passwort von Hans wird erfragt, es sollten keinerlei Fehlermeldungen erscheinen Hinweis: erscheint hier eine Meldung: KDC reply did not match expectation dann wurde vermutlich der Domänenname in Kleinbuchstaben eingegeben. Benutzer des ActiveDirectory anzeigen: wbinfo -u Gruppen des ActiveDirectory anzeigen: wbinfo -g Anpassen der /etc/samba/smb.conf YaST hat beim Beitritt zur Domäne ein paar neue Zeilen in der smb.conf gemacht. Wir ergänzen noch ein paar weitere: Öffnen Sie ein Befehlsfenster auf dem Linux: cd /etc/samba opensuse 11.2 in AD Seite 9/14

10 vi smb.conf i (Einfügen sollte unten erscheinen) Ergänzen Sie die fehlenden Zeilen am Ende des Abschnittes [global] smb.conf is the main Samba configuration file. You find a full commented version at /usr/share/doc/packages/samba/examples/smb.conf.suse if the samba-doc package is installed. Date: [global] workgroup = ANET60 passdb backend = tdbsam printing = cups printcap name = cups printcap cache time = 750 cups options = raw map to guest = Bad User include = /etc/samba/dhcp.conf logon path = \\%L\pro\.msprofile logon home = \\%L\%U\.9xprofile logon drive = P: usershare allow guests = No idmap gid = idmap uid = realm = ANET60.INTERN security = ADS template homedir = /home/%d/%u template shell = /bin/bash winbind offline logon = yes winbind refresh tickets = yes winbind separator = / winbind use default domain =yes winbind enum users =yes winbind enum groups = yes [Esc] (zum Speichern der Änderungen) :wq Die blau markierten Zeilen wurden von YaST beim Beitritt zur Domain ergänzt. Darin sind die Nummernbereiche für die UID und GID für die AD-Benutzer enthalten. Ausserdem wurde ADS zur Authentisierung aktiviert und als Home-Verzeichnis der Ordner /home/anet60 festgelegt. Die vier letzten Zeilen müssen manuell ergänzt werden: Der Windbind Separator trennt den Domänennamen vom Benutzernamen. Windows verwendet hier den \. Dies ist jedoch unter Linux das Escape-Zeichen, deshalb verwenden wir das / Zeichen. Der AD-Benutzer heisst dann also: ANET60/hans winbind benutzt als Standard-Domain die Windows Domain. Mit winbind enum users können die Linux und Windows Benutzer angezeugt werden winbind enum groups macht das Gleiche für die Windows Gruppen Die SMABA-Dienste werden nochmals neu gestartet, damit die Änderungen wirksam werden: rcnmb restart rcsmb restart rcwinbind restart opensuse 11.2 in AD Seite 10/14

11 Damit sind wir bereit für die letzten Tests. Letzte Tests und Anmelden als Domänenbenutzer Zuerst testen wir, ob die Benutzer und Gruppen von Linux und AD angezeigt werden können. Öffnen sie dazu unter Linux eine Befehlszeile. getent passwd (es erscheinen die Linux und dann die Windows-Benutzer) getent group (es erscheinen die Linux und dann die Windows-Gruppen) Waren diese Test erfolgreich sind wir dem Ziel sehr nahe! Wir melden uns nun als Windows Domänen-Benutzer am Linux an, ohne diesen auf dem Linux zu erfassen. Dazu gehen wir in ein Terminal-Fenster am Linux. Dies kann per Tastatur erfolgen: Drücken Sie folgende Tasten: [Ctrl] + [Alt] + [F2] Dann erscheint die Console TTY2 mit dem Logon-Prompt. Hinweis: Unter VMware Player werden die Tasten [Ctrl]+[Alt] abgefangen. Deshalb machen Sie in diesem Fall folgendes: [Ctrl]+[Alt]+[Leertaste] Nun melden wir uns an: Dann nur die Leertaste loslassen und [F2] drücken. t60lin login: ANET60/hans Password: xxxxxxx (Passowort von Hans im AD). Hinweis: Funktioniert die Anmeldung so nicht, geht aber mit ANET60\hans, dann wurde vermutlich in der smb.conf die Zeile winbind separator = / vergessen oder falsch geschrieben Es erscheint einen Meldung, dass nun das Home-Verzeichnis für hans erstellt wird und Sie sind drin! Mit Logout kann man sich wieder abmelden. Mit den folgenden Tasten kehren Sie wieder zur graphischen Oberfläche zurück: [Ctrl] + [Alt] + [F7] [Ctrl]+[Alt]+[Leertaste] beziehungsweise unter VMware: Dann nur die Leertaste loslassen und [F7] drücken Hinweis: Wenn die Anmeldung nicht klappt prüfen Sie folgendes: Geht die Verbindung zum Windows Server? Stimmen Benutzer und Passwort? wurden die SAMBA-Dienste neu gestartet? Nun Melden wir uns am Linux GUI ab und melden uns neu als Windows Benutzer an (siehe Bild am Anfang des Dokumentes): Benutzername: hans Passwort: xxxx Domain: ANET opensuse 11.2 in AD Seite 11/14

12 Einmal angemeldet sehen Sie sich das Home-Verzeichnis an. Es ist unter /home/anet60/hans Gratulation, Sie haben es geschafft! Konfigurationsdateien zur Kontrolle /etc/krb5.conf [libdefaults] default_realm = ANET60.INTERN clockskew = 300 default_realm = EXAMPLE.COM [realms] ANET60.INTERN = { kdc = t60s1.anet60.intern default_domain = anet60.intern admin_server = t60s1.anet60.intern } EXAMPLE.COM = { kdc = kerberos.example.com admin_server = kerberos.example.com } [logging] kdc = FILE:/var/log/krb5/krb5kdc.log admin_server = FILE:/var/log/krb5/kadmind.log default = SYSLOG:NOTICE:DAEMON [domain_realm].anet60.intern = ANET60.INTERN [appdefaults] pam = { ticket_lifetime = 1d renew_lifetime = 1d forwardable = true proxiable = false minimum_uid = 1 } /etc/nsswitch.conf /etc/nsswitch.conf An example Name Service Switch config file. This file should be sorted with the most-used services at the beginning. The entry '[NOTFOUND=return]' means that the search for an entry should stop if the search in the previous entry turned up nothing. Note that if the search failed due to some other reason (like no NIS server responding) then the search continues with the next entry. Legal entries are: compat Use compatibility setup nisplus Use NIS+ (NIS version 3) nis Use NIS (NIS version 2), also called YP dns Use DNS (Domain Name Service) opensuse 11.2 in AD Seite 12/14

13 Use the local [NOTFOUND=return] Stop searching if not found so far For more information, please read the nsswitch.conf.5 manual page. passwd: nis shadow: nis group: nis passwd: compat winbind group: compat winbind hosts: networks: services: protocols: rpc: ethers: netmasks: netgroup: publickey: bootparams: automount: aliases: mdns4_minimal [NOTFOUND=return] dns dns nis nis /etc/pam.d/xdm %PAM-1.0 auth include common-auth account include common-account password include common-password session required pam_loginuid.so session include common-session /etc/security/pam_winbind.conf pam_winbind configuration file /etc/security/pam_winbind.conf [global] cached_login = yes krb5_auth = yes krb5_ccache_type = FILE turn on debugging ;debug = no turn on extended PAM state debugging ;debug_state = no request a cached login if possible (needs "winbind offline logon = yes" in smb.conf) ;cached_login = no authenticate using kerberos ;krb5_auth = no when using kerberos, request a "FILE" krb5 credential cache type (leave empty to just do krb5 authentication but not have a ticket opensuse 11.2 in AD Seite 13/14

14 afterwards) ;krb5_ccache_type = make successful authentication dependend on membership of one SID (can also take a name) ;require_membership_of = password expiry warning period in days ;warn_pwd_expire = 14 omit pam conversations ;silent = no create homedirectory on the fly ;mkhomedir = no opensuse 11.2 in AD Seite 14/14