Trust di due domini Samba
Per poter far accedere gli utenti di due domini diversi ai vicendevoli pdc sena riautenticarli, è necessario stabilire un trust tra i due domini. ATTENZIONE: se i domini sono in due subnet differenti, bisogna attivare la propagazione wins come in Browsing di due domini in due subnet separate
Si supponga che :
LAN1: Dominio CROSS, PDC crosrv01
LAN2: Dominio CROMEN, PDC crosrv02
Attivazione del primo trusting account
Verificare che non ci siano altre relazioni di trust:
net rpc trustdom list -Uadministrator%arabafenice Trusted domains list: none Trusting domains list: none
Prima si deve creare un account su crosrv01 per poter accogliere il dominio CROMEN:
net rpc trustdom add CROMEN password -Uadministrator%arabafenice
Se dà l'errore:
[2006/03/10 10:28:54, 0] utils/net_rpc.c:rpc_trustdom_add_internals(4422) Could not set trust account password: NT_STATUS_ACCESS_DENIED
Ripetere il comando precedente
Verificare che sia stato creato l'account unix:
cat /etc/passwd | grep 'cromen\$' cromen$:x:1117:100::/home/cromen$:
Verificare l'account Samba:
pdbedit -Lw CROMEN\$ cromen$:1117:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX:[DU ]:LCT-00000000:
Il problema è che l'account è disabilitato, ed è un account user.
Abilitarlo, sena inserire NESSUNA PASSWORD (invio):
sudo smbpasswd -e cromen\$ New SMB password: Retype new SMB password: Enabled user cromen$.
Trasformarlo in account di Interdomani Trust:
sudo smbpasswd -ei cromen Enabled user cromen$.
Verificarlo:
pdbedit -Lw CROMEN\$ cromen$:1117:AAD3B435B51404EEAAD3B435B51404EE:31D6CFE0D16AE931B73C59D7E0C089C0:[I ]:LCT-441153B0:
Verificare ora se CROMEN appare nella lista dei trusting domains:
net rpc trustdom list -Uadministrator%arabafenice Trusted domains list: none Trusting domains list: CROMEN S-1-5-21-554765556-2967324569-2728440080
Se si usa User Manager for domains, ora lo si vede anche lì in Policies ... Trust Relationships (certo che non funzionava crearlo da lì...)
Fare la stessa cosa sul PDC2
Attivazione del TRUST
Sul PDC1, battere invio quando viene chiesta la password:
net rpc trustdom establish CROMEN Password: Could not connect to server CROSRV02 Trust to domain CROMEN established
Verificare:
net rpc trustdom list -Uadministrator%arabafenice Trusted domains list: CROMEN S-1-5-21-554765556-2967324569-2728440080 Trusting domains list: CROMEN S-1-5-21-554765556-2967324569-2728440080
Sul PDC2 battere invio quando viene chiesta la password:
net rpc trustdom establish CROSS Password: Could not connect to server CROSRV01 Trust to domain CROSS established
Verificare:
net rpc trustdom list -Uadministrator%muuocugd Trusted domains list: CROSS S-1-5-21-2127181584-2096053586-1845911597 Trusting domains list: CROSS S-1-5-21-2127181584-2096053586-1845911597
Ora è possibile accedere ad entrambi i domini senza che venga richiesta la password, se si è autenticati in uno.
Cioè gli account di un dominio valgono anche in quello di un altro.
Installazione di Winbind per la gestione degli account remoti
Se non si usa winbind, quando si vogliono applicare dei diritti con gruppi o utenti trustati, il sistema non saprà come gestirli, e quindi li scarterà.
Occorre usare winbind, su tutti e due i PDC:
Installarlo
sudo apt-get install winbind
Modificare il file che dice di usarlo:
sudoedit /etc/nsswitch.conf ... passwd: compat winbind group: compat winbind ...
Aggiornare le librerie:
sudo /sbin/ldconfig -v | grep winbind
libnss_winbind.so -> libnss_winbind.so.2 (changed
Mettere i parametri in smb.conf:
sudoedit /etc/samba/asmb.conf [global] # separate domain and username with '\', like DOMAIN\username winbind separator = \\ # use uids from 10000 to 20000 for domain users idmap uid = 10000-20000 # use gids from 10000 to 20000 for domain groups idmap gid = 10000-20000 # allow enumeration of winbind users and groups winbind enum users = yes winbind enum groups = yes # give winbind users a real shell (only needed if they have telnet access) #template homedir = /home/winnt/%D/%U #template shell = /bin/bash
Restartare samba e winbind:
sudo /etc/init.d/samba restart; sudo /etc/init.d/winbind restart
Controllare che listi gli account remoti:
wbinfo -u CROSS\milko.radicioni CROSS\arcserve CROSS\mario.corrado CROSS\maria.savorelli CROSS\dataentry CROSS\luca.loprete CROSS\silvia.rossi CROSS\silvia.ranni CROSS\mara.lepori CROSS\guest CROSS\paola.fasola CROSS\monitor CROSS\at-105 CROSS\at-104 CROSS\nadege.lods CROSS\elisabetta.zuccato CROSS\andrea.distefano CROSS\valeria.campi CROSS\paola.nessi CROSS\rosamaria.degiorgi CROSS\roberto.pigozzo CROSS\gabriele.vivinetto CROSS\tempadmin CROSS\antonio.rusca CROSS\nicola.maltone CROSS\administrator