Установка Samba4 в качестве контроллера домена на Ubuntu Server 14.04

Настроим Samba в качестве контроллера домена.

Установка всех пакетов будет проводиться из родных репозиториев. В качестве днс-сервера будет выступать bind9.

В качестве типовой конфигурации будем применять:

• Название домена (realm) adminunix.ru
• Короткое имя (domain) adminunix
• ip-адрес контроллера домена 192.168.0.1
• имя сервера в домене ad

Установку будем проводить на системе с последними обновлениями.

sudo apt update && sudo apt upgrade

Установим необходимых пакетов:

sudo apt-get install samba acl krb5-user ntp cups bind9 smbclient

Конфигурирование samba4

В состав samba4 входит утилита samba-tool для администрирования домена. Более подробно о возможностях этой утилиты вы можете почитать на странице [urlspan]https://www.samba.org/samba/docs/man/manpages/samba-tool.8.html[/urlspan] , мы же используем ее для поднятия домена.

После установки samba скопируем оригинальный файл конфигурации.

mv /etc/samba/smb.conf /etc/samba/smb.conf.orig

После чего запускаем настройку нашего контроллера домена (DC). В процессе надо будет ввести пароль администратора. Пароль должен быть сложным, иметь цифры, заглавные и строчные буквы !

samba-tool domain provision --use-rfc2307 --use-xattrs=yes --interactive

Отвечаем на вопросы, подставляя свое название домена:

• Realm [adminunix.ru]: adminunix.ru ←- название домена
• Domain [adminunix]: adminunix ←- короткое имя домена
• Server Role (dc, member, standalone) [dc]: dc ←- роль сервера(в данном случаем dc — контроллер домена)
• DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: BIND9_DLZ ←- используемый днс-сервер
• Administrator password:
• Retype password:

Или указав все эти данные в одной строке

samba-tool domain provision --realm=adminunix.ru --domain adminunix --adminpass='PASSWORD' --dns-backend=SAMBA_INTERNAL --server-role=dc --use-rfc2307 --use-xattrs=yes

Объяснение параметров (аргументов)

--use-rfc2307

этот параметр добавляет POSIX атрибуты (UID / GID) на схеме AD. Это понадобится при аутентификации клиентов Linux, BSD, or OS X (в том числе на локальной машине) в дополнение к Microsoft Windows.

--use-xattrs=yes

этот параметр включает расширенное использование атрибутов unix (ACLs) для файлов, размещенных на этом сервере. Если вы не будете открывать доступ файлов на контроллере домена, пропустите этот аргумент (но это не рекомендуется). Вы также должны убедиться, что все файловые системы, которые будут принимать открыт доступ Samba, установлены с поддержкой ACL's.

--interactive

этот параметр заставляет сценарий резерва запускаться в интерактивном режиме. 
--use-xattrs

Если в процессе конфигурирования возникли ошибки связанные с названием домена или паролем администратора, для того что заново запустить конфигурирование, удаляем файл конфигурации:

sudo rm /etc/samba/smb.conf

Настройка BIND9

Настраиваем bind9:

sudo nano /etc/bind/named.conf.options

и приводим файл к следующему виду(заменяя ip-адреса на свои):

options {
        directory "/var/cache/bind";
        auth-nxdomain yes;
        forwarders { 192.168.1.2; };
        allow-transfer { none; };
        notify no;
        empty-zones-enable no;
 
        allow-query {
                192.168.1.0/24;
                127.0.0.0/8;
        };
 
        allow-recursion {
                192.168.1.0/24;
                127.0.0.0/8;
        };
 
        allow-update {
                192.168.1.0/24;
                127.0.0.0/8;
        };
};

Включаем в конфиг bind9 конфиг samba4

sudo nano /etc/bind/named.conf

и дописываем в конец файла:

include "/var/lib/samba/private/named.conf";

Меняем конфиг для использования bind 9.9

sudo nano /var/lib/samba/private/named.conf

приводим к виду:

dlz "AD DNS Zone" {
    # For BIND 9.8.0
    # database "dlopen /usr/lib/i386-linux-gnu/samba/bind9/dlz_bind9.so";
 
    # For BIND 9.9.0
    database "dlopen /usr/lib/i386-linux-gnu/samba/bind9/dlz_bind9_9.so";
};

Далее, подправим конфиг apparmor разрешая bind9 использовать необходимые файлы:

sudo nano /etc/apparmor.d/usr.sbin.named

в конец файла, до »}» вставляем:

для 32-х битной системы:

  # for samba4
  #/var/lib/samba/private/** r,
  /usr/lib/i386-linux-gnu/samba/bind9/** m,
  /usr/lib/i386-linux-gnu/samba/ldb/** m,
  /usr/lib/i386-linux-gnu/ldb/modules/ldb/** m,
  /usr/lib/i386-linux-gnu/samba/gensec/krb5.so m,
  /var/lib/samba/private/dns.keytab rwk,
  /var/lib/samba/private/named.conf r,
  /var/lib/samba/private/dns/** rwk,
  /var/lib/samba/private/krb5.conf r,
  /var/tmp/** rwk,
  /dev/urandom rwk,

для 64-х битной системы

  # for samba4
  #/var/lib/samba/private/** r,
  /usr/lib/x86_64-linux-gnu/samba/bind9/** m,
  /usr/lib/x86_64-linux-gnu/samba/ldb/** m,
  /usr/lib/x86_64-linux-gnu/ldb/modules/ldb/** m,
  /usr/lib/x86_64-linux-gnu/samba/gensec/krb5.so m,
  /var/lib/samba/private/dns.keytab rwk,
  /var/lib/samba/private/named.conf r,
  /var/lib/samba/private/dns/** rwk,
  /var/lib/samba/private/krb5.conf r,
  /var/tmp/** rwk,
  /dev/urandom rwk,

Перезапускаем службы:

sudo service apparmor restart
sudo service bind9 restart

Запускаем samba4:

sudo service samba-ad-dc start