Samba4 : Install

Encore à faire

Synchro temps

Backup

Installation

Editer le ficher hosts

nano /etc/hosts

Le nom du DC doit être mappé sur une IP accessible exemple

10.99.0.1 DC1.samdom.example.com DC1

Installer les paquets

apt-get install acl attr samba samba-dsdb-modules samba-vfs-modules winbind libpam-winbind libnss-winbind libpam-krb5 krb5-config krb5-user

Introduire le nom du domain kerberos et deux fois le nom du serveur en cours

Supprimer les configurations existantes

rm /etc/samba/smb.conf mv /etc/krb5.conf /root rm -R /var/lib/samba/private/* rm -R /var/lib/samba/sysvol/* rm -R /var/cache/samba/*

Provisionner le serveur Samba

samba-tool domain provision --server-role=dc --use-rfc2307 --dns-backend=SAMBA_INTERNAL --realm=SAMDOM.EXAMPLE.COM --domain=SAMDOM --adminpass=Passw0rd history -c

Modifier /etc/resolv.conf pour y refléter l'adresse de ce serveur et le domaine de recherche

nano /etc/resolv.conf

Copier le fichier krb5.conf

cp /var/lib/samba/private/krb5.conf /etc/krb5.conf

Activer le service

systemctl unmask samba-ad-dc systemctl enable samba-ad-dc systemctl start samba-ad-dc

Créer une zone dns inversée

samba-tool dns zonecreate dc1 20.10.10.in-addr.arpa -U Administrator

Intégration des utilisateurs SMB dans Linux

Pour afficher les utilisateurs & groupes du LDAP dans Linux:

Installer le paquet libss_winbind:

apt install libnss-winbind

Editer le fichier nsswitch:

nano /etc/nsswitch.conf

Et ajouter winbind aux entrées passwd et groups:

# /etc/nsswitch.conf # # Example configuration of GNU Name Service Switch functionality. # If you have the `glibc-doc-reference' and `info' packages installed, try: # `info libc "Name Service Switch"' for information about this file. passwd: compat winbind group: compat winbind shadow: compat gshadow: files hosts: files mdns4_minimal [NOTFOUND=return] dns networks: files protocols: db files services: db files ethers: db files rpc: db files netgroup: nis

Quelques vérifications

Vérifier que Kerberos fonctionne

kinit administrator

. Si il ne fonctionne pas

Vérifier votre resolv.conf

Vérifier votre fichier /etc/krb5.conf

Quelques tests dns:

host -t SRV _ldap._tcp.KERBEROSREALM.lan.
host -t SRV _kerberos._udp.KERBEROSREALM.lan.
host -t A dc1.KERBEROSREALM.lan.

Certificats

Mise en route

Creer les certificats et clés

Les copier dans /var/lib/samba/private/tls

Editer le fichier smb.conf

nano /etc/samba/smb.conf

et rajouter les lignes suivantes

tls enabled = yes
tls keyfile = tls/server.key
tls certfile = tls/server.crt
tls cafile = tls/rootCA.pem

Redémarrer les services

service samba-ad-dc restart service winbind restart service nmbd restart service smbd restart

Editer nsswitch

nano /etc/nsswitch.conf

et rajouter winbind à passwd & group

passwd: files winbind group: files winbind

Vérification sur un autre poste

Après avoir copié le certificat du CA, vous pouvez vérifier si le certificat est valide en faisant la commande

openssl s_client -connect serveur.domaine.lan:636

La réponse doit être 0 (ok)

Sources

https://wiki.samba.org/index.php/Setting_up_Samba_as_an_Active_Directory_Domain_Controller

https://turlucode.com/self-signed-certificates-by-your-own-ssl-certificate-authority-ca/