Samba DC како втор доменски контролер во AD домен Windows 2012R2 и папки за роаминг за клиенти на Windows и Linux

Сознанието дека сум во увозен хаос не дојде веднаш. Само кога свежите испораки на компјутери почнаа постојано да пристигнуваат од повисока организација со дистрибуција Alt Linux на одборот, се посомневав дека нешто не е во ред.

Меѓутоа, како што поминував низ фазите на прифаќање на неизбежното, се вклучив и дури почнав малку да уживам во процесот. И во одреден момент мислев дека со ова темпо, порано или подоцна ќе морам да се разделам со решенијата за организирање услуги на директориуми од Microsoft и да се префрлам кон нешто поегзотично. Затоа, со цел однапред да се подготвиме за неизбежното и, ако е можно, да фати што е можно повеќе замки, беше одлучено да се распореди тест клупа, која вклучува:

• DC1 — Windows Server 2012R2
• DC2 - Виола сервер 8.2
• Датотечен сервер — Windows Server 2012R2
• PC1 — Windows 7
• PC2 - Виола работна станица 8.2

Цели на штандот:

1. Распоредете домен базиран на w2k12r2. Создадете минимален сет на групни политики (слични на оние што се користат во производствената инфраструктура), вклучувајќи политика за мигрирање на работните папки на корисниците (Преземања/Документи/Работна површина). На крајот на краиштата, сакам да се осигурам дека кога корисникот ќе ја промени својата работна станица, Windows на Linux и назад имаше удобен пристап до своите работни документи.
2. Samba DC влез од вториот контролер. Проверка на директориум и репликација на DNS
3. Поставување клиенти Linux да работи со преместување на папки

Имплементација:

1. Инсталација и пуштање во работа на нов контролерСо инсталација на MS Windows 2012R2 е едноставен и повеќе или помалку јасен. На интернет има 1001 прирачник за распоредување на домен на Windows и двата користат GUI и Powershell, па затоа нема да го повторувам повторно, само ќе си заминам врска Вклучено исклучено. документација за љубопитните и оние кои сакаат да си ја освежат меморијата.

   Сепак, има уште една важна точка во овој момент. Во моментов, Samba не може да работи со шеми на директориуми повисоки од 2008R2.

   Наслов на спојлер Попрецизно, програмерите ја наведоа оваа поддршка како експериментална. Но, во пракса, обид да се воведе Самба како втор DC во постоечки домен Windows со шема 69 - ќе ве пречека следната грешка

   DsAddEntry не успеа со информации за статусот WERR_ACCESS_DENIED (8567, „WERR_DS_INCOMPATIBLE_VERSION“)

   Проблемот е во тоа Windows 2012 и 2012R2 користат WMI алатки за работа со домени и шуми, за кои стабилна поддршка е најавена само за верзијата Samba 4.11, која треба да излезе пред крајот на оваа година.
   Од ова произлегува дека единствената опција за воведување на самба во домен АД распореден на серверот 2012R2 е да се намали шемата од 69 на 47. Се разбира, тоа не треба да се прави на производствена инфраструктура без добра причина, но имаме тест клупа овде, па зошто да не всушност.

   Инсталирајте Alt Server 8.2. За време на инсталацијата, изберете го профилот „Samba-DC Server (AD Controller)“. На распоредениот сервер, вршиме целосно ажурирање на системот и го инсталираме пакетот task-samba-dc, кој ќе повлече се што ви треба

   # apt-get install task-samba-dc

   Ако одеднаш task-samba-dc, спротивно на уверувањето во документацијата, Алта одбива сама да инсталира се што е потребно.

   # apt-get install python-module-samba-DC samba-DC-common samba-DC-winbind-clients samba-DC-winbind samba-DC-common-libs libpytalloc-devel

   Следно, продолжуваме кон поставување на Kerberos и добивање билет. Отворете ја датотеката krb5.conf, одете во делот [libdefaults] и доведете ја во следнава форма:

   # vim /etc/krb5.conf

    dns_lookup_kdc = true
    dns_lookup_realm = true
    default_realm = TEST.LOCAL

   Барање билет

   # kinit administrator
   Password for administrator@TEST.LOCAL:

   Проверка на списокот со примени билети за Керберос

   # klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: administrator@TEST.LOCAL
   
   Valid starting       Expires              Service principal
   16.05.2019 11:51:38  16.05.2019 21:51:38  krbtgt/TEST.LOCAL@TEST.LOCAL
           renew until 23.05.2019 11:51:35

   Сега ја бришеме или преименуваме постоечката конфигурација на самба.

   # mv smb.conf smb.conf.bak1

   И, конечно, влегуваме во доменот АД со вториот контролер:

   # samba-tool domain join test.local DC -U"TESTadministrator"

   Успешното внесување ќе биде придружено со следниот дневник

   Finding a writeable DC for domain 'test.local'
   Found DC DC1.TEST.LOCAL
   Password for [TESTadministrator]:
   Reconnecting to naming master e31d7da6-8f56-4420-8473-80f2b3a31338._msdcs.TEST.                           LOCAL
   DNS name of new naming master is DC1.TEST.LOCAL
   workgroup is TEST
   realm is TEST.LOCAL
   Adding CN=DC2,OU=Domain Controllers,DC=TEST,DC=LOCAL
   Adding CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC                           =TEST,DC=LOCAL
   Adding CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN                           =Configuration,DC=TEST,DC=LOCAL
   Adding SPNs to CN=DC2,OU=Domain Controllers,DC=TEST,DC=LOCAL
   Setting account password for DC2$
   Enabling account
   Calling bare provision
   Looking up IPv4 addresses
   Looking up IPv6 addresses
   No IPv6 address will be assigned
   Setting up share.ldb
   Setting up secrets.ldb
   Setting up the registry
   Setting up the privileges database
   Setting up idmap db
   Setting up SAM db
   Setting up sam.ldb partitions and settings
   Setting up sam.ldb rootDSE
   Pre-loading the Samba 4 and AD schema
   A Kerberos configuration suitable for Samba AD has been generated at /var/lib/sa                           mba/private/krb5.conf
   Provision OK for domain DN DC=TEST,DC=LOCAL
   Starting replication
   Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[402/1426] linked                           _values[0/0]
   Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[804/1426] linked                           _values[0/0]
   Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1206/1426] linke                           d_values[0/0]
   Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1608/1426] linke                           d_values[0/0]
   Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1743/1426] linke                           d_values[0/0]
   Analyze and apply schema objects
   Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[402/2240] linked_values[0/                           24]
   Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[804/2240] linked_values[0/                           24]
   Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1206/2240] linked_values[0                           /24]
   Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1608/2240] linked_values[0                           /24]
   Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1772/2240] linked_values[2                           4/24]
   Replicating critical objects from the base DN of the domain
   Partition[DC=TEST,DC=LOCAL] objects[109/110] linked_values[26/29]
   Partition[DC=TEST,DC=LOCAL] objects[394/5008] linked_values[29/29]
   Done with always replicated NC (base, config, schema)
   Replicating DC=DomainDnsZones,DC=TEST,DC=LOCAL
   Partition[DC=DomainDnsZones,DC=TEST,DC=LOCAL] objects[42/42] linked_values[0/0]
   Replicating DC=ForestDnsZones,DC=TEST,DC=LOCAL
   Partition[DC=ForestDnsZones,DC=TEST,DC=LOCAL] objects[20/20] linked_values[0/0]
   Exop on[CN=RID Manager$,CN=System,DC=TEST,DC=LOCAL] objects[3] linked_values[0]
   Committing SAM database
   Adding 1 remote DNS records for DC2.TEST.LOCAL
   Adding DNS A record DC2.TEST.LOCAL for IPv4 IP: 192.168.90.201
   Adding DNS CNAME record 6ff1df40-cbb5-41f0-b7b3-53a27dde8edf._msdcs.TEST.LOCAL                            for DC2.TEST.LOCAL
   All other DNS records (like _ldap SRV records) will be created samba_dnsupdate o                           n first startup
   Replicating new DNS records in DC=DomainDnsZones,DC=TEST,DC=LOCAL
   Partition[DC=DomainDnsZones,DC=TEST,DC=LOCAL] objects[1/42] linked_values[0/0]
   Replicating new DNS records in DC=ForestDnsZones,DC=TEST,DC=LOCAL
   Partition[DC=ForestDnsZones,DC=TEST,DC=LOCAL] objects[1/20] linked_values[0/0]
   Sending DsReplicaUpdateRefs for all the replicated partitions
   Setting isSynchronized and dsServiceName
   Setting up secrets database
   Joined domain TEST (SID S-1-5-21-3959064270-1572045903-2556826204) as a DC

   ADUC треба да има запис за новиот DC во доменот TEST.LOCAL, а менаџерот DNS треба да има нов запис A што одговара на DC2.

2. Репликација помеѓу контролоритеПрво, да ја провериме работата на Услугата за репликација на директориуми (DRS)

   # samba-tool drs showrepl

   Сите обиди за репликација во излезот треба да бидат успешни. Нашиот DC1 треба да се појави во листата на објекти на KCC во рок од 15 минути од внесувањето. Windows

   Default-First-Site-NameDC2
   	DSA Options: 0x00000001
   	DSA object GUID: 0e9f5bce-ff59-401e-bdbd-fc69df3fc6bf
   	DSA invocationId: 017997b5-d718-41d7-a3f3-e57ab5151b5c
   
   	==== INBOUND NEIGHBORS ====
   
   	DC=ForestDnsZones,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Mon May 27 12:56:31 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Mon May 27 12:56:31 2019 MSK
   
   	DC=DomainDnsZones,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Mon May 27 12:56:32 2019 MSK
   
   	CN=Schema,CN=Configuration,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Mon May 27 12:56:32 2019 MSK
   
   	DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Mon May 27 12:56:32 2019 MSK
   
   	CN=Configuration,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Mon May 27 12:56:33 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Mon May 27 12:56:33 2019 MSK
   
   	==== OUTBOUND NEIGHBORS ====
   
   	DC=ForestDnsZones,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Thu May 23 16:40:03 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Thu May 23 16:40:03 2019 MSK
   
   	DC=DomainDnsZones,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Thu May 23 16:40:03 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Thu May 23 16:40:03 2019 MSK
   
   	CN=Schema,CN=Configuration,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Thu May 23 16:40:08 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Thu May 23 16:40:08 2019 MSK
   
   	DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Thu May 23 16:40:08 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Thu May 23 16:40:08 2019 MSK
   
   	CN=Configuration,DC=test,DC=local
   	        Default-First-Site-NameDC1 via RPC
   	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
   	                Last attempt @ Mon May 27 12:12:17 2019 MSK was successful
   	                0 consecutive failure(s).
   	                Last success @ Mon May 27 12:12:17 2019 MSK
   
   	==== KCC CONNECTION OBJECTS ====
   
   	Connection --
   	        Connection name: 6d2652b3-e723-4af7-a19f-1ee48915753c
   	        Enabled        : TRUE
   	        Server DNS name : DC1.test.local
   	        Server DN name  : CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=local
   	                TransportType: RPC
   	                options: 0x00000001
   	Warning: No NC replicated for Connection!

   Предупредување „Не се реплицира NC за поврзување!“ може безбедно да се игнорира. Се појавува затоа што кога регистрира нов DC, Samba погрешно поставува некои знаменца за репликација.

   Исто така, би било добра идеја да се провери репликацијата на LDAP.

   # samba-tool ldapcmp ldap://dc1.test.local ldap://dc2.test.local -Uadministrator

   Горенаведената команда ќе ги спореди вредностите на атрибутите на целиот директориум објекти на DC1 и DC2.

   Пример за успешна репликација

   * Comparing [DOMAIN] context...
   
   	* Objects to be compared: 249
   
   	* Result for [DOMAIN]: SUCCESS
   
   	* Comparing [CONFIGURATION] context...
   
   	* Objects to be compared: 1750
   
   	* Result for [CONFIGURATION]: SUCCESS
   
   	* Comparing [SCHEMA] context...
   
   	* Objects to be compared: 1739
   
   	* Result for [SCHEMA]: SUCCESS
   
   	* Comparing [DNSDOMAIN] context...
   
   	* Objects to be compared: 42
   
   	* Result for [DNSDOMAIN]: SUCCESS
   
   	* Comparing [DNSFOREST] context...
   
   	* Objects to be compared: 20
   
   	* Result for [DNSFOREST]: SUCCESS

   Во некои случаи, атрибутите на објектите на различни контролери може да се разликуваат, а излезот на командата ќе ве извести за ова. Но, не во сите случаи ова ќе биде знак за проблем со репликацијата.

   Следниот чекор е рачно да конфигурирате стабилна репликација на директориумот SysVol.
   Работата е во тоа што Samba сè уште не поддржува DFS-R, исто како што не го поддржуваше и претходниот FRS. Затоа, за репликација помеѓу DC-а, Samba и Windows Единственото решение што функционира до денес е еднонасочна репликација со користење на алатката Робокопија од комплетот Windows Server Алатки за комплет ресурси за 2003 година.

   За да се избегнат проблеми со компатибилноста, програмерите на Samba препорачуваат прво да го инсталирате пакетот алатки на обична работна станица, а потоа да го копирате Robocopy во контролерот во папката „C:\Program Files (x86)“.Windows Комплети ресурсиАлатки»

   По инсталацијата, во распоредувачот на задачи на контролерот со Windows Создаваме задача за извршување на репликација со следниве параметри:

   — Изврши за сите корисници
   — Активирајте за извршување Дневно на секои 5 минути во текот на денот
   — Во дејствата ја одредуваме патеката до алатката за робокопирање, наведувајќи како аргументи:

   DC1SYSVOLtest.local DC2SYSVOLtest.local /mir /sec

   Во овој конкретен случај, ја копираме содржината на директориумот SysVol од DC1 во DC2.

3. Преносливи кориснички папки користејќи конфигурација pam_mountПреку искуство, најдов две остварливи опции за решавање на овој проблем со негова помош.
   1. Целосно монтирање на папка со профили од мрежата на партицијата /home. Едноставна опција. Работи одлично ако имињата на папките Мои документи, Преземања и Десктоп се исти во двата оперативни системи. Ова претпоставува дека компјутерот е вклучен Linux веќе е внесено во доменот и корисниците се најавуваат под своите доменски сметки користејќи ssd како механизам за автентикација и авторизација.

      # vim /etc/security/pam_mount.conf.xml

      <volume uid="100000000-2000000000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)" mountpoint="~" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
      

      каде што:

      • uid = "100000000-2000000000" — UID опсег доделен на корисници на домен од SSSD
      • сервер = "dfs" - име на серверот за датотеки
      • патека = "Профил_Корисници/%(КОРИСНИК)" — ресурс на сервер за датотеки со хостиран кориснички профил
      • mountpoint=”~” — монтирајте ја патеката до домашната папка на корисникот

      Корисничкото најавување се пренесува на макро променливата „%(USER)“ што ја користи pam_mount за да го поврзе нашиот мрежен ресурс како што е внесено во менаџерот на екранот. Затоа, важно е најавувањето да се внесе во ДМ без експлицитно да се наведе името на доменот.

      Во sssd.conf ова се решава со коментирање или поставување на опцијата на Неточно use_fully_qualified_names, што овозможува целосно квалификуван режим на име (вклучувајќи домен) за корисници и групи.

   2. Вториот метод е помалку директен и несмасен, а според мое мислење е поудобен и попогоден. Разликата од првата е само во конфигурацијата pam_mount

      # vim /etc/security/pam_mount.conf.xml

      <volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Рабочий стол" mountpoint="~/Рабочий стол" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
      <volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Downloads" mountpoint="~/Загрузки" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
      <volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Мои документы" mountpoint="~/Документы" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>

      Тоа е, ние едноставно ја монтираме секоја од нашите папки одделно во соодветниот директориум

Наоди

За време на половина месец работа на тест-клупата, овој пакет успешно преживеа неколку наизменични долгорочни и краткорочни исклучувања на двата контролери, без практично никакви последици за клиентите (откако клиентот ќе биде вклучен) Windows7 изгубени доверливи врски).

Генерално, имав доста пријатно искуство со работа со овој производ, дури и покрај сите нијанси со кои морав да се справам и во статијата и „зад сцената“.

Постојат стапици, многу од нив, и додека работите со Samba, ќе мора да откриете голем број од нив. Сепак, во моментов нема други решенија што ви овозможуваат да организирате хибридна средина, и со и без услуга за директориум. Windows.

Извор: www.habr.com