🥇Samba DC као други контролер домена у AD домену Windows 2012R2 и роминг фасцикле за клијенте на Windows и Linux

Спознаја да сам у увозној збрци није дошла одмах. Тек када су нове испоруке рачунара почеле да стижу из више организације са Алт Линук дистрибуцијом, посумњао сам да нешто није у реду.

Међутим, како сам пролазио кроз фазе прихватања неизбежног, укључио сам се и чак почео помало да уживам у процесу. И у неком тренутку сам помислио да ћу овим темпом пре или касније морати да се одвојим од решења за организовање сервиса именика из Мајкрософта и кренем ка нечему егзотичнијем. Стога је, како би се унапред припремили за неизбежно, и, ако је могуће, ухватили што више замки, одлучено је да се постави испитни сто, који укључује:

ДЦ1 — Windows Server КСНУМКСРКСНУМКС
ДЦ2 - Виола Сервер 8.2
Датотечни сервер — Windows Server КСНУМКСРКСНУМКС
ПЦ1 — Windows 7
ПЦ2 - Виола Воркстатион 8.2

Циљеви штанда:

Распоредите домен заснован на w2k12r2. Направите минимални скуп групних политика (сличних онима које се користе у производној инфраструктури), укључујући политику за миграцију радних фасцикли корисника (Преузимања/Документи/Радна површина). На крају крајева, желим да осигурам да када корисник промени своју радну станицу, Windows на Linux и назад је имао удобан приступ својим радним документима.
Самба ДЦ улаз од другог контролера. Провера директоријума и ДНС репликације
Постављање клијената Linux за рад са премештањем фасцикли

Имплементација:

Монтажа и пуштање у рад новог контролераСа MS инсталацијом Windows 2012R2 је једноставан и мање-више јасан. На интернету постоји 1001 упутство за распоређивање домена на Windows оба користећи графички кориснички интерфејс и Powershell, тако да нећу понављати, само ћу оставити линк он офф. документација за радознале и оне који желе да освеже памћење.

Међутим, још увек постоји једна важна тачка у овом тренутку. Тренутно, Самба не може да ради са шемама директоријума вишим од 2008Р2.

наслов спојлера Прецизније, програмери су изјавили да је ова подршка експериментална. Али у пракси, покушај увођења Самбе као другог контролера домена у постојећи домен Windows са шемом 69 - дочекаће вас следећа грешка

ДсАддЕнтри није успео са статусом ВЕРР_АЦЦЕСС_ДЕНИЕД информација (8567, 'ВЕРР_ДС_ИНЦОМПАТИБЛЕ_ВЕРСИОН')

Проблем је у томе Windows Верзије 2012 и 2012R2 користе WMI алате за рад са доменима и шумама, за које је стабилна подршка најављена само за верзију Samba 4.11, која би требало да изађе пре краја ове године.
Из овога произилази да је једина опција за увођење самбе у АД домен распоређен на серверу 2012Р2 да се шема смањи са 69 на 47. Наравно, то не би требало да се ради на производној инфраструктури без доброг разлога, али имамо тестна клупа овде, па зашто не би заправо.

Инсталирајте Алт Сервер 8.2. Током инсталације изаберите профил „Самба-ДЦ Сервер (АД Цонтроллер)“. На распоређеном серверу вршимо комплетно ажурирање система и инсталирамо таск-самба-дц пакет, који ће повући све што вам треба

# apt-get install task-samba-dc

Ако изненада таск-самба-дц, супротно уверавањима у документацији, Алта одбија да сама инсталира све што је потребно.

# apt-get install python-module-samba-DC samba-DC-common samba-DC-winbind-clients samba-DC-winbind samba-DC-common-libs libpytalloc-devel

Затим прелазимо на подешавање Кербероса и добијање тикета. Отворите датотеку крб5.цонф, идите на одељак [либдефаултс] и доведите је у следећи облик:

# vim /etc/krb5.conf

 dns_lookup_kdc = true
 dns_lookup_realm = true
 default_realm = TEST.LOCAL

Тражење карте

# kinit administrator
Password for administrator@TEST.LOCAL:

Провера листе примљених Керберос тикета

# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: administrator@TEST.LOCAL

Valid starting       Expires              Service principal
16.05.2019 11:51:38  16.05.2019 21:51:38  krbtgt/TEST.LOCAL@TEST.LOCAL
        renew until 23.05.2019 11:51:35

Сада бришемо или преименујемо постојећу самба конфигурацију.

# mv smb.conf smb.conf.bak1

И коначно, улазимо у АД домен са другим контролером:

# samba-tool domain join test.local DC -U"TESTadministrator"

Успешан унос ће бити праћен следећом евиденцијом

Finding a writeable DC for domain 'test.local'
Found DC DC1.TEST.LOCAL
Password for [TESTadministrator]:
Reconnecting to naming master e31d7da6-8f56-4420-8473-80f2b3a31338._msdcs.TEST.                           LOCAL
DNS name of new naming master is DC1.TEST.LOCAL
workgroup is TEST
realm is TEST.LOCAL
Adding CN=DC2,OU=Domain Controllers,DC=TEST,DC=LOCAL
Adding CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC                           =TEST,DC=LOCAL
Adding CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN                           =Configuration,DC=TEST,DC=LOCAL
Adding SPNs to CN=DC2,OU=Domain Controllers,DC=TEST,DC=LOCAL
Setting account password for DC2$
Enabling account
Calling bare provision
Looking up IPv4 addresses
Looking up IPv6 addresses
No IPv6 address will be assigned
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
A Kerberos configuration suitable for Samba AD has been generated at /var/lib/sa                           mba/private/krb5.conf
Provision OK for domain DN DC=TEST,DC=LOCAL
Starting replication
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[402/1426] linked                           _values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[804/1426] linked                           _values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1206/1426] linke                           d_values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1608/1426] linke                           d_values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1743/1426] linke                           d_values[0/0]
Analyze and apply schema objects
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[402/2240] linked_values[0/                           24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[804/2240] linked_values[0/                           24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1206/2240] linked_values[0                           /24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1608/2240] linked_values[0                           /24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1772/2240] linked_values[2                           4/24]
Replicating critical objects from the base DN of the domain
Partition[DC=TEST,DC=LOCAL] objects[109/110] linked_values[26/29]
Partition[DC=TEST,DC=LOCAL] objects[394/5008] linked_values[29/29]
Done with always replicated NC (base, config, schema)
Replicating DC=DomainDnsZones,DC=TEST,DC=LOCAL
Partition[DC=DomainDnsZones,DC=TEST,DC=LOCAL] objects[42/42] linked_values[0/0]
Replicating DC=ForestDnsZones,DC=TEST,DC=LOCAL
Partition[DC=ForestDnsZones,DC=TEST,DC=LOCAL] objects[20/20] linked_values[0/0]
Exop on[CN=RID Manager$,CN=System,DC=TEST,DC=LOCAL] objects[3] linked_values[0]
Committing SAM database
Adding 1 remote DNS records for DC2.TEST.LOCAL
Adding DNS A record DC2.TEST.LOCAL for IPv4 IP: 192.168.90.201
Adding DNS CNAME record 6ff1df40-cbb5-41f0-b7b3-53a27dde8edf._msdcs.TEST.LOCAL                            for DC2.TEST.LOCAL
All other DNS records (like _ldap SRV records) will be created samba_dnsupdate o                           n first startup
Replicating new DNS records in DC=DomainDnsZones,DC=TEST,DC=LOCAL
Partition[DC=DomainDnsZones,DC=TEST,DC=LOCAL] objects[1/42] linked_values[0/0]
Replicating new DNS records in DC=ForestDnsZones,DC=TEST,DC=LOCAL
Partition[DC=ForestDnsZones,DC=TEST,DC=LOCAL] objects[1/20] linked_values[0/0]
Sending DsReplicaUpdateRefs for all the replicated partitions
Setting isSynchronized and dsServiceName
Setting up secrets database
Joined domain TEST (SID S-1-5-21-3959064270-1572045903-2556826204) as a DC

У АДУЦ додатку треба да постоји запис за нови ДЦ у ТЕСТ.ЛОЦАЛ домену, ау ДНС менаџеру треба да постоји нови А запис који одговара ДЦ2.

Репликација између контролераПрво, хајде да проверимо рад услуге репликације директоријума (ДРС)

# samba-tool drs showrepl

Сви покушаји репликације у излазу треба да буду успешни. Наш DC1 треба да се појави на KCC листи објеката у року од 15 минута од уноса. Windows

Default-First-Site-NameDC2
	DSA Options: 0x00000001
	DSA object GUID: 0e9f5bce-ff59-401e-bdbd-fc69df3fc6bf
	DSA invocationId: 017997b5-d718-41d7-a3f3-e57ab5151b5c

	==== INBOUND NEIGHBORS ====

	DC=ForestDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:31 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:31 2019 MSK

	DC=DomainDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:32 2019 MSK

	CN=Schema,CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:32 2019 MSK

	DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:32 2019 MSK

	CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:33 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:33 2019 MSK

	==== OUTBOUND NEIGHBORS ====

	DC=ForestDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:03 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:03 2019 MSK

	DC=DomainDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:03 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:03 2019 MSK

	CN=Schema,CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:08 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:08 2019 MSK

	DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:08 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:08 2019 MSK

	CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:12:17 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:12:17 2019 MSK

	==== KCC CONNECTION OBJECTS ====

	Connection --
	        Connection name: 6d2652b3-e723-4af7-a19f-1ee48915753c
	        Enabled        : TRUE
	        Server DNS name : DC1.test.local
	        Server DN name  : CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=local
	                TransportType: RPC
	                options: 0x00000001
	Warning: No NC replicated for Connection!

Упозорење „Ниједан НЦ реплициран за везу!“ може се безбедно занемарити. Чини се зато што приликом регистрације новог ДЦ-а, Самба погрешно поставља неке заставице репликације.

Такође би било добро проверити ЛДАП репликацију.

# samba-tool ldapcmp ldap://dc1.test.local ldap://dc2.test.local -Uadministrator

Горња команда ће упоредити вредности атрибута целих објеката директоријума на ДЦ1 и ДЦ2.

Пример успешне репликације

* Comparing [DOMAIN] context...

	* Objects to be compared: 249

	* Result for [DOMAIN]: SUCCESS

	* Comparing [CONFIGURATION] context...

	* Objects to be compared: 1750

	* Result for [CONFIGURATION]: SUCCESS

	* Comparing [SCHEMA] context...

	* Objects to be compared: 1739

	* Result for [SCHEMA]: SUCCESS

	* Comparing [DNSDOMAIN] context...

	* Objects to be compared: 42

	* Result for [DNSDOMAIN]: SUCCESS

	* Comparing [DNSFOREST] context...

	* Objects to be compared: 20

	* Result for [DNSFOREST]: SUCCESS

У неким случајевима, атрибути објеката на различитим контролерима могу се разликовати, а излаз команде ће вас обавестити о томе. Али не у свим случајевима ово ће бити знак проблема са репликацијом.

Следећи корак је да ручно конфигуришете стабилну репликацију СисВол директоријума.
Ствар је у томе што Samba још увек не подржава DFS-R, баш као што није подржавала ни ранији FRS. Стога, за репликацију између контролера домена, Samba и Windows Једино радно решење до сада је једносмерна репликација коришћењем услужног програма Робокопија из комплета Windows Server Алати из комплета ресурса из 2003. године.

Да би се избегли проблеми са компатибилношћу, програмери Самбе препоручују да прво инсталирате пакет услужних програма на редовну радну станицу, а затим копирате Robocopy на контролер у фасцикли „C:\Program Files (x86)“.Windows Комплети ресурсаАлати»

Након инсталације, у распоређивачу задатака на контролеру са Windows Креирамо задатак за извршавање репликације са следећим параметрима:

— Изврши за све кориснике
— Окидач за извршавање дневно сваких 5 минута током дана
— У акцијама наводимо путању до услужног програма робоцопи, наводећи као аргументе:

DC1SYSVOLtest.local DC2SYSVOLtest.local /mir /sec

У овом конкретном случају, копирамо садржај СисВол директоријума са ДЦ1 на ДЦ2.

Преносиви кориснички фолдери који користе конфигурацију пам_моунтКроз искуство сам пронашао две одрживе опције за решавање овог проблема уз његову помоћ.
1. Потпуно монтирање фасцикле профила са мреже на партицију /home. Једноставна опција. Одлично функционише ако су имена фасцикли Моји документи, Преузимања и Радна површина иста у оба оперативна система. Ово претпоставља да је рачунар на Linux је већ унет у домен и корисници се пријављују под својим налозима домена користећи sssd као механизам за аутентификацију и ауторизацију.
```
# vim /etc/security/pam_mount.conf.xml
```
```
<volume uid="100000000-2000000000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)" mountpoint="~" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
```
  где је:
  - уид="100000000-2000000000" — Опсег УИД-а додељен корисницима домена са СССД-а
  - сервер="дфс" - назив сервера датотека
  - патх="Профиле_Усерс/%(УСЕР)" — ресурс на серверу датотека са хостованим корисничким профилом
  - моунтпоинт=”~” — путања за монтирање до кућне фасцикле корисника
  Корисничка пријава се прослеђује макро променљивој „%(УСЕР)“ коју користи пам_моунт да повеже наш мрежни ресурс као што је унето у менаџер приказа. Због тога је важно да се пријава унесе у ДМ без експлицитног навођења имена домена.
  У сссд.цонф ово се решава коментарисањем или постављањем опције на Фалсе усе_фулли_куалифиед_намес, који омогућава режим потпуно квалификованог имена (укључујући домен) за кориснике и групе.
2. Други метод је мање једноставан и неспретан, а по мом мишљењу погоднији и пожељнији. Разлика од првог је само у конфигурацији пам_моунт
```
# vim /etc/security/pam_mount.conf.xml
```
```
<volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Рабочий стол" mountpoint="~/Рабочий стол" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
<volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Downloads" mountpoint="~/Загрузки" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
<volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Мои документы" mountpoint="~/Документы" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
```
  То јест, ми једноставно монтирамо сваки од наших фолдера засебно у одговарајући директоријум

Налази

Током пола месеца рада на тестном столу, овај пакет је успешно преживео неколико наизменичних дугорочних и краткорочних искључивања оба контролера, практично без последица по клијенте (једном када се клијент укључи Windows7 изгубљених односа поверења).

Све у свему, имао сам прилично пријатно искуство у раду са овим производом, чак и упркос свим нијансама са којима сам морао да се позабавим како у чланку, тако и „иза кулиса“.

Постоје замке, многе од њих, и док радите са Самбом, мораћете да откријете велики број њих. Међутим, тренутно не постоје друга решења која вам омогућавају да организујете хибридно окружење, како са тако и без сервиса директоријума. Windows.

Извор: ввв.хабр.цом

Samba DC као други контролер домена у AD домену Windows 2012R2 и роминг фасцикле за клијенте на Windows и Linux

Циљеви штанда:

Имплементација:

Јуриј Гагарин