Fornece acesso ao Samba com base nas informações do LDAP?

Question

Estou tentando criar um servidor que forneça alguns compartilhamentos de arquivos para clientes Windows e gostaria de integrá-los a uma estrutura de autenticação existente que minha escola já configurou. Há um servidor LDAP do Windows que contém informações sobre todos os alunos aqui - gostaria que o Samba autenticasse nesse servidor e concedesse acesso a compartilhamentos, conforme apropriado.

Procurei guias, mas tudo o que consegui encontrar é a documentação para configurar meu próprio servidor LDAP para uso pelo Samba. Minha situação é um pouco restrita: eu não tenho direitos de administrador no servidor LDAP, e eu preciso usar esse servidor porque eu gostaria muito de fornecer um login unificado para meus usuários (ou seja, não ter que manter todos separados conta neste servidor).

Eu consegui configurar LDAP, Kerberos, PAM e NSS para que os usuários possam fazer login via SSH com seus nomes de usuário LDAP, mas não consigo descobrir como fazer com que o Samba faça o mesmo. Ouvi dizer que é ruim ter o Samba usando o PAM, já que isso requer a desativação da criptografia de senhas. Existe uma maneira de, sem privilégios de administrador em qualquer máquina remota, configurar o Samba para autenticar usuários em um servidor LDAP (ou Kerberos) separado? (Isso também significa que é mais comum juntar o servidor ao domínio do Active Directory.)

    

Answer 1

Eu acredito que será necessário pelo menos ter um administrador de domínio no servidor LDAP vindo para digitar sua senha pelo menos uma vez para realizar o que você quer e juntar o Samba ao domínio.

Dado que, as etapas devem ser relativamente simples. Extraído do Samba Wiki , defina o seguinte na configuração do seu samba:

* passdb backend = ldapsam:ldap://<your-hostname>
* ldap suffix = 
* ldap admin dn 

Em seguida, execute smbpasswd -w para que o samba saiba a senha do admin dn.

Há também um bom writeup aqui .

    

Answer 2

O Samba precisa de atributos e objetos personalizados na árvore do LDAP para armazenar os hashes de senha do Windows e dados adicionais, como a expiração da senha. Há um arquivo samba.schema na distribuição de origem do samba. O Debian envia em samba-doc .

Como ferramentas no servidor samba, eu recomendaria smbldap-tools . Eles fornecem extensos exemplos de arquivos de configuração, que podem ser facilmente adaptados às configurações locais. Usando-os, você pode até mesmo habilitar a alteração de senha via Windows para seus usuários.

O problema real será o modo como você cria os hashes de senha necessários. Eles só podem ser gerados a partir da senha de texto não criptografada original e precisam ser mantidos ao alterar as senhas.

    

Answer 3

Doug Wilson tem um artigo sobre a autenticação de um cliente samba com kerberos e o Active Directory aqui