Quelltext der Seite Samba Active Directory Server aufsetzen

Zurück zu [[Server_aufsetzen]]

* https://wiki.ubuntuusers.de/HowTo/Samba-AD-Server_unter_Ubuntu_20.04_installieren/

=== Im Container samba4.test2.local einrichten ===
In einem Container, der mit lxc-create erzeugt wurde, ist viel weniger Software installiert als auf dem Host, der mit grml-debootstrab erzeugt wurde.

 # apt update
 # apt -y install bash-completion vim less iputils-* dnsutils

[[#Farbiges_Promt]]

* Zeitzone anpassen
 # dpkg-reconfigure tzdata
Die Zeit übernimmt der Container vom Host, die Zeitzone nicht.

* /etc/hosts
 127.0.0.1       localhost
 10.8.190.5      samba4.test2.local samba4

Testen mit
 # getent hosts $(hostname -f)
Ausgabe muss bei unserem Beispiel so aussehen
 10.8.190.5      samba4.test2.local samba4

=== Samba4 AD DC installieren und einrichten ===
 # apt install samba krb5-config smbclient winbind


*[http://www.server-world.info/en/note?os=Debian_8&p=samba&f=4 Samba4 AD DC install]
** Genutzt zur Ersteinrichtung des AD DCs, sehr knapp. Bitte in einem zweiten Tab öffnen

* # set realm: die Anleitung scheint den fqdn des Servers als REALM zu nutzen.
** REALM: test2.local 

* # specify the hostname ... of Kerberos servers for your Kerberos realm:
** samba4.test2.local

* # specify the hostname ... Administrative server for your Kerberos realm: 
** samba4.test2.local

* # rename or remove the default config file
 root@smamba4:~# mv /etc/samba/smb.conf /etc/samba/smb.conf.bak => Die Endung .bak ist ein MUSS für alte Leute :-)

* Erzeugen des REALMs. VORHER den Abschnitt auf server-world.info lesen!
 root@smb:~# samba-tool domain provision --use-rfc2307 --interactive


* # restart system
 root@samba4:~# reboot 

Unsere Domäne test2.local steht mit den Fähigkeiten eines Windows Server 2008 R2 bereit.<br>
Testweise binden wir einen Windows-Clienten in die Domäne ein.<br>
Für den Beitritt benötigen wir einen berechtigten User und sein Passwort.<br>

Beim domain provision haben wir ein Passowrt vergeben. <br>
Der dazugehörige User heißt administrator.

Ab jetzt können wir uns mit Usern der Domäne am Clienten anmelden.<br>
Bitte beachten: noch haben wir keine Roaming Profiles.<br>
<br>
Ab jetzt steht auch ein DNS-Server zur Verfügung. Der OPSI-Server wird ihn auch nutzen.


*[https://wiki.samba.org/index.php/Setup_a_Samba_Active_Directory_Domain_Controller Setup_a_Samba_Active_Directory_Domain_Controller]

=== systemctl ===
 # systemctl unmask samba-ad-dc
 # systemctl enable samba-ad-dc
 # systemctl start samba-ad-dc

=== Fehler Roaming Profile ===
* Es traten Fehler mit der Profilsyncronisierung auf.
* Neue Dateien wurde nicht mehr im Profil abgespeichert 

 journalctl -xn 100|grep -i oplock
* Oplock break failed for file schueler.V2/ntuser.ini

* Workaround
 # vim /etc/samba/smb.conf

 veto oplock files = /NTUSER.DAT/

=== DNS-Records erzeugen ===

==== Forward-Lookup-Zone ====
* Der Name des OPSI-Servers muss im Netzwerk auflösbar sein.

 # samba-tool dns add localhost test2.local opsi A 10.8.190.1 -U administrator --password=XXXXXXXXXX

* Auch die Clients müssen auflösbar sein.
Dazu benutzen wir zwei sequence. Die erste von 41-99, die zweite von 100-240.<br>
Der Grund ist, dass samba-tool keine IP mit z.B. 030 im letzten Block annimmt.

 # for i in {41..99};do  samba-tool dns add localhost test2.local win0$i A 10.8.190.$i -U administrator --password=XXXXXXXXXXXXX ;done
 # for i in {100..240};do  samba-tool dns add localhost test2.local win0$i A 10.8.190.$i -U administrator --password=XXXXXXXXXXXXX ;done


==== Reverse-Lookup-Zone ====
Zone erzeugen.
 # samba-tool dns zonecreate localhost  190.8.10.in-addr.arpa  -U administrator --password=XXXXXXXXXXXX

Daten eintragen.
 # samba-tool dns add localhost  190.8.10.in-addr.arpa 10 PTR opsi.test2.local -U administrator --password=XXXXXXXXX
 # samba-tool dns add localhost  190.8.10.in-addr.arpa 5 PTR samba4.test2.local -U administrator --password=XXXXXXXXX



* PTR-Records für die Clients, mit sequence wie oben

 # for i in {41..99};do samba-tool dns add localhost 190.8.10.in-addr.arpa $i PTR win0$i -U administrator --password=schu22=?alt;done

 # for i in {100..240};do samba-tool dns add localhost 190.8.10.in-addr.arpa $i PTR win$i -U administrator --password=schu22=?alt;done


=== Einstellungen ===
==== Kein Password ====
* Ganz abschalten lässt es sich leider nicht. Minimum ist ein Zeichen

 samba-tool domain passwordsettings set --complexity=off
 samba-tool domain passwordsettings set --history-length=0
 samba-tool domain passwordsettings set --min-pwd-age=0
 samba-tool domain passwordsettings set --max-pwd-age=0
 samba-tool domain passwordsettings set --min-pwd-length=0

 systemctl restart samba-ad-dc.service

=== openvpn ===
* Dazu muss das '''tun''' Device erzeugt werden

 # vim /etc/rc.local

 # mkdir /dev/net
 # mknod /dev/net/tun c 10 200
 # chmod 0666 /dev/net/tun