Quelltext der Seite Fileserver für die Domain aufsetzen

== Container fs.test2.local einrichten ==
=== Externe Links ===

[https://wiki.samba.org/index.php/Setting_up_Samba_as_a_Domain_Member Setting_up_Samba_as_a_Domain_Member]

=== Zeitzone festlegen ===

 # dpkg-reconfigure tzdata

=== Software installieren ===

 # apt install vim acl less samba inetutils-ping winbind libnss-winbind


=== Vorbereitung der Installation ===

* Alle Prozesse, die mit dem folgenden Befehl gefunden werden können, müssen beendet werden.
 # ps ax | egrep "samba|smbd|nmbd|winbindd"

* Der Befehlt stoppt die Prozesse.
 # systemctl stop samba smbd nmbd winbind

Samba-Configfile löschen für einen sauberen Start.
 # rm /etc/samba/smb.conf 

Sämtliche Datenbanken, die auf .tdb und .ldb enden, löschen.<br>
Mit dem folgenden Befehl lassen sich die Orte finden, an denen sie liegen.
 # smbd -b | egrep "LOCKDIR|STATEDIR|CACHEDIR|PRIVATE_DIR"
   LOCKDIR: /var/run/samba
   STATEDIR: /var/lib/samba
   CACHEDIR: /var/cache/samba
   PRIVATE_DIR: /var/lib/samba/private

* In Debian Stretch liegen sie an den oben gezeigten Orten.
* Der folgende Befehl löscht die Datenbanken auf einen Schlag.

 # rm /var/run/samba/*.tdb /var/run/samba/*.ldb /var/lib/samba/*.tdb /var/lib/samba/*.ldb /var/cache/samba/*.tdb /var/cache/samba/*.ldb /var/lib/samba/private/*.tdb /var/lib/samba/private/*.ldb

=== Beitritt der Maschine in die Domain vorbereiten ===
==== DNS konfigurieren ====
* Die Namensauflösung muss funktionieren.
* Ausführen im Container "samba4"
 # samba-tool dns add localhost test2.local fs.test2.local A 10.8.190.4 -U administrator --password=XXXXXX

 # samba-tool dns add localhost 190.8.10.in-addr.arpa 4 PTR fs.test2.local -U administrator --password=XXXXXXX

* Damit das Programm "net" arbeiten kann, muss es den Namen des Host auflösen können.
 
* Mit dem folgenden Befehl kann das geprüft werden.
 # getent hosts fs
* Das gewünschte Ergebniss sollte so aussehen.
 10.8.190.4     fs.test2.local	fs

* Die Datei "/etc/hosts" sollte bis auf die Werte aussehen wie folgt. Der DNS-Server löst den Namen auch auf. So geht es schneller.

 # vim /etc/hosts

 127.0.0.1	localhost
 10.8.190.4     fs.test2.local	fs

==== Kerberos konfigurieren ====
* Samba unterstützt Heimdal und MIT Kerberos back ends. Um Kerberos auf dem zukünftigen Domainmitglied einzurichten, trage die folgenden Werte in /etc/krb5.conf ein:

 # vim /etc/krb5.conf

 [libdefaults]
 	default_realm = TEST2.LOCAL
 	dns_lookup_realm = false
 	dns_lookup_kdc = true

=== Samba konfigurieren ===
* Bitte beachten: zum Verständnis unbedingt die folgenden Seiten lesen!
* [https://wiki.samba.org/index.php/Setting_up_Samba_as_a_Domain_Member Setting up Samba as a Domain Member]
* [https://wiki.samba.org/index.php/Idmap_config_rid Idmap config rid
]
* Als Backend wurde "rid" gewählt.
* Wichtiger Vorteil:
** Alle Domain User user accounts und groups sind automatisch auf allen Domain Mitgliedern vorhanden.
* Nachteil/Bitte beachten:
** Alle Domain Mitglieder müssen die selbe Config nutzen, um den oben genannten Vorteil zu haben.

 # vim /etc/samba/smb.conf

 [global]
        security = ADS
        workgroup = TEST2
        realm = TEST2.LOCAL
 
        log file = /var/log/samba/%m.log
        log level = 1
 
        # Default ID mapping configuration for local BUILTIN accounts
        # and groups on a domain member. The default (*) domain:
        # - must not overlap with any domain ID mapping configuration!
        # - must use a read-write-enabled back end, such as tdb.
        # - Adding just this is not enough
        # - You must set a DOMAIN backend configuration, see below
        idmap config * : backend = tdb
        idmap config * : range = 3000-7999
 
 # Backend: rid
        # Template settings for login shell and home directory
        winbind nss info = template
        template shell = /bin/bash
        template homedir = /home/%U
 
        # idmap config for the TEST2 domain
        idmap config TEST2 : backend = rid
        idmap config TEST2 : range = 10000-999999

=== NSS konfigurieren ===
* Damit sich Domainuser am System anmelden und/oder deren ID auch auf das Linux-System gemappt werden.
 # vim /etc/nsswitch.conf

* Die folgenden Zeilen in der Datei müssen dafür bearbeitet werden.

 passwd:         files winbind
 group:          files winbind


=== smbd und nmbd starten ===
 # systemctl start smbd nmbd

=== Der Domäne beitreten ===

 # net ads join -U administrator

 Enter administrator's password:
 Using short domain name -- TEST2
 Joined 'TEST2' to dns domain 'test2.local'
 DNS Update for fs.test2.local failed: ERROR_DNS_UPDATE_FAILED
 DNS update failed: NT_STATUS_UNSUCCESSFUL

* Der Fehler resultiert daraus, das der DNS-Eintrag schon vorhanden ist und kann ignoriert werden.

=== winbind ===
 # systemctl restart winbind
=== Shares ===
* Shares können auch per Samba-Registry eingerichtet werden. Die Performance ist besser.
* Shares in der /etc/samba/smb.conf zu definieren führt zu einer besseren Lesbarkeit.
Ein "browseable = no" kann einen kleinen Schutz gegen Vandalismus bieten. Das ist allerdings "security by obscurity".

=== Roaming Profile ===

 # mkdir -p /local/samba/profiles/

 # vim /etc/samba/smb.conf

 [Profiles]
        path = /local/samba/profiles/
        read only = no

==== Fehler Roaming Profile ====
* Es traten Fehler mit der Profilsyncronisierung auf.
* Neue Dateien wurde nicht mehr im Profil abgespeichert 

 # journalctl -xn 100|grep -i oplock
* Oplock break failed for file schueler.V2/ntuser.ini

* Workaround
 # vim /etc/samba/smb.conf

 veto oplock files = /NTUSER.DAT/
=== Folder Redirects ===

 # mkdir -p /local/samba/redirects/

 # vim /etc/samba/smb.conf

 [Redirects]
        path = /local/samba/redirects/
        read only = no