Linux als Windowsfileserver in der ADS - Versionsgeschichte

Thomas.will: /* Domänenbenutzer-Anmeldung – Zusammenfassung */

2024-09-18T13:24:48Z

Domänenbenutzer-Anmeldung – Zusammenfassung

Thomas.will: /* Freigabe konfigurieren */

2024-09-18T13:21:15Z

Freigabe konfigurieren

Thomas.will: /* Samba konfigurieren */

2024-09-18T13:11:41Z

Samba konfigurieren

Thomas.will: /* Freigabe konfigurieren */

2024-09-18T13:08:18Z

Freigabe konfigurieren

Thomas.will: /* Samba konfigurieren */

2024-09-18T12:44:40Z

Samba konfigurieren

Thomas.will: /* Kerberos konfigurieren */

2024-09-18T12:44:20Z

Kerberos konfigurieren

Thomas.will: /* Kerberos konfigurieren */

2024-09-18T12:42:54Z

Kerberos konfigurieren

Thomas.will: Die Seite wurde neu angelegt: „== Voraussetzungen == * Das System läuft unter Debian mit einem ZFS-Mirror (Pool: '''/pool1'''). * Die Domain lautet: '''lab.internal'''. * Die ZFS-Freigabe s…“

2024-09-18T12:42:29Z

Die Seite wurde neu angelegt: „== Voraussetzungen == * Das System läuft unter Debian mit einem ZFS-Mirror (Pool: '''/pool1'''). * Die Domain lautet: '''lab.internal'''. * Die ZFS-Freigabe s…“

Neue Seite

== Voraussetzungen ==
* Das System läuft unter Debian mit einem ZFS-Mirror (Pool: '''/pool1''').
* Die Domain lautet: '''lab.internal'''.
* Die ZFS-Freigabe soll '''pool1''' heißen.
* Du benötigst administrative Zugangsdaten zur Domäne.

== Installation der notwendigen Pakete ==
Installiere die erforderlichen Pakete:
apt update
apt install samba smbclient krb5-user winbind libpam-winbind libnss-winbind

Während der Installation von '''krb5-user''' wirst du nach der Standard-Domäne gefragt. Gib dort die Domäne '''lab.internal''' an.

== Kerberos konfigurieren ==
Bearbeite die Datei '''/etc/krb5.conf''', um Kerberos korrekt einzurichten. Ein Beispiel für die Konfiguration:

[libdefaults]
default_realm = LAB.INTERNAL

[realms]
LAB.INTERNAL = {
kdc = dc1.lab.internal
admin_server = dc1.lab.internal
}

[domain_realm]
.lab.internal = LAB.INTERNAL
lab.internal = LAB.INTERNAL

Teste die Konfiguration mit:
kinit administrator@LAB.INTERNAL

== Samba konfigurieren ==
Bearbeite die Datei '''/etc/samba/smb.conf'''. Eine Beispielkonfiguration für einen Domänenmitglied-Server:

[global]
workgroup = LAB
realm = LAB.INTERNAL
security = ads
encrypt passwords = yes

idmap config * : backend = tdb
idmap config * : range = 10000-20000
idmap config LAB : backend = rid
idmap config LAB : range = 20000-30000

winbind use default domain = yes
winbind offline logon = false
winbind nss info = rfc2307
winbind enum users = yes
winbind enum groups = yes

template shell = /bin/bash
template homedir = /home/%U

kerberos method = secrets and keytab
dedicated keytab file = /etc/krb5.keytab

log file = /var/log/samba/%m.log
log level = 1

[pool1]
path = /pool1
read only = no
browseable = yes
valid users = @LAB\deinegruppe
create mask = 0770
directory mask = 0770

== Domäne beitreten ==
Um den Server der Domäne beitreten zu lassen, führe den folgenden Befehl aus:
net ads join -U Administrator

Gib das Passwort des Domänenadministrators ein, wenn du dazu aufgefordert wirst.

== Winbind-Dienste aktivieren ==
Aktiviere die Winbind-Dienste und starte Samba:
systemctl restart smbd nmbd winbind
systemctl enable smbd nmbd winbind

Teste, ob Benutzer und Gruppen der Domäne aufgelistet werden können:
wbinfo -u
wbinfo -g

Überprüfe, ob Domänenbenutzer korrekt angezeigt werden:
getent passwd DOMÄNENBENUTZER

== Freigabe konfigurieren ==
Stelle sicher, dass die Zugriffsrechte auf '''/pool1''' korrekt gesetzt sind. Verwende die folgenden Befehle, um Domänenbenutzer und -gruppen Zugriff zu gewähren:

setfacl -m u:LAB\\Benutzer:rwx /pool1

@@ Zeile 93: / Zeile 93: @@
   getfacl /pool1
 = Domänenbenutzer-Anmeldung – Zusammenfassung =
 == Heimatverzeichnisse automatisch erstellen ==

← Nächstältere Version		Version vom 18. September 2024, 13:21 Uhr
Zeile 92:		Zeile 92:
	===Überprüfen der ACLs: Prüfe, ob die ACLs korrekt angewendet wurden===		===Überprüfen der ACLs: Prüfe, ob die ACLs korrekt angewendet wurden===
	getfacl /pool1		getfacl /pool1
		+	= Domänenbenutzer-Anmeldung – Zusammenfassung =
		+	== Heimatverzeichnisse automatisch erstellen ==
		+
		+	Damit für Domänenbenutzer beim ersten Login automatisch ein Heimatverzeichnis erstellt wird, musst du nur noch den entsprechenden Abschnitt in der PAM-Konfiguration anpassen.
		+
		+	Bearbeite die Datei '''/etc/pam.d/common-session''' und füge folgende Zeile hinzu:
		+
		+	session required pam_mkhomedir.so skel=/etc/skel/ umask=0022
		+
		+	* '''pam_mkhomedir.so''' sorgt dafür, dass beim ersten Login eines Domänenbenutzers automatisch ein Heimatverzeichnis erstellt wird.
		+	* '''skel=/etc/skel''' legt fest, dass die Standarddateien aus dem Verzeichnis '''/etc/skel''' kopiert werden.
		+	* '''umask=0022''' legt die Berechtigungen für die neu erstellten Verzeichnisse und Dateien fest.
		+
		+	Sobald diese Änderung vorgenommen wurde, wird für jeden Domänenbenutzer, der sich zum ersten Mal anmeldet, automatisch ein Heimatverzeichnis erstellt.

@@ Zeile 87: / Zeile 87: @@
 == Freigabe konfigurieren ==
-Stelle sicher, dass die Zugriffsrechte auf '''/pool1''' korrekt gesetzt sind. Verwende die folgenden Befehle, um Domänenbenutzer und -gruppen Zugriff zu gewähren:
+===ACL-Typ auf POSIX-ACL setzen===
+ zfs set acltype=posixacl pool1
-  setfacl -m u:LAB\\Benutzer:rwx /pool1
+===Setzen von ACLs mit setfacl: Jetzt kannst du wie gewohnt mit setfacl Berechtigungen verwalten===

@@ Zeile 64: / Zeile 64: @@
      read only = no
      browseable = yes
      create mask = 0770
      directory mask = 0770

@@ Zeile 39: / Zeile 39: @@
      security = ads
      encrypt passwords = yes
-−
      idmap config * : backend = tdb
      idmap config * : range = 10000-20000
      idmap config LAB : backend = rid
      idmap config LAB : range = 20000-30000
-−
      winbind use default domain = yes
      winbind offline logon = false
@@ Zeile 50: / Zeile 50: @@
      winbind enum users = yes
      winbind enum groups = yes
-−
      template shell = /bin/bash
      template homedir = /home/%U
-−
      kerberos method = secrets and keytab
      dedicated keytab file = /etc/krb5.keytab
-−
      log file = /var/log/samba/%m.log
      log level = 1
-−
   [pool1]
      path = /pool1

@@ Zeile 20: / Zeile 20: @@
   [realms]
      LAB.INTERNAL = {
-       kdc = dc1.lab.internal
+       kdc = win2022.lab.internal
-       admin_server = dc1.lab.internal
+       admin_server = win2022.lab.internal
+     }

@@ Zeile 17: / Zeile 17: @@
   [libdefaults]
      default_realm = LAB.INTERNAL
-−
   [realms]
      LAB.INTERNAL = {
@@ Zeile 23: / Zeile 23: @@
        admin_server = dc1.lab.internal
+     }
-−
   [domain_realm]
      .lab.internal = LAB.INTERNAL