🥇Samba DC som en andra domänkontrollant i en AD-domän Windows 2012R2 och roamingmappar för klienter på Windows и Linux

Insikten om att jag var i en importröra kom inte direkt. Först när färska leveranser av datorer stadigt började komma från en högre organisation med Alt Linux-distributionen ombord misstänkte jag att något var fel.

Men när jag gick igenom stadierna för att acceptera det oundvikliga, blev jag involverad och började till och med njuta lite av processen. Och vid något tillfälle trodde jag att i den här takten skulle jag förr eller senare behöva skilja mig från lösningar för att organisera katalogtjänster från Microsoft och gå mot något mer exotiskt. Därför, för att förbereda sig i förväg för det oundvikliga och, om möjligt, för att fånga så många fallgropar som möjligt, beslutades det att placera ut en testbänk, som inkluderar:

DC1 — Windows Server 2012R2
DC2 - Viola Server 8.2
Filserver — Windows Server 2012R2
PC1 — Windows 7
PC2 - Viola Workstation 8.2

Standmål:

Implementera en domän baserad på w2k12r2. Skapa en minimal uppsättning grupprinciper (liknande de som används i produktionsinfrastrukturen), inklusive en princip för att migrera användarnas arbetsmappar (Nedladdningar/Dokument/Skrivbord). I slutändan vill jag se till att när en användare byter arbetsstation, Windows på Linux och tillbaka hade han bekväm tillgång till sina arbetsdokument.
Samba DC-ingång från den andra styrenheten. Kontrollerar katalog och DNS-replikering
Skapa klienter Linux att arbeta med att flytta mappar

Genomförande:

Installation och driftsättning av ny styrenhetMed MS-installation Windows 2012R2 är enkel och mer eller mindre tydlig. Det finns 1001 manualer på internet för att driftsätta en domän på Windows både med hjälp av GUI och Powershell, så jag kommer inte att upprepa det igen, jag lämnar bara länk på av. dokumentation för den nyfikna och den som vill fräscha upp minnet.

Det finns dock fortfarande en viktig punkt på denna punkt. För närvarande kan Samba inte fungera med katalogsystem högre än 2008R2.

spoiler titel Mer exakt angav utvecklarna att detta stöd var experimentellt. Men i praktiken ett försök att introducera Samba som en andra DC i en befintlig domän Windows med schema 69 - kommer du att mötas av följande felmeddelande

DsAddEntry misslyckades med status WERR_ACCESS_DENIED info (8567, 'WERR_DS_INCOMPATIBLE_VERSION')

Problemet är att Windows 2012 och 2012R2 använder WMI-verktyg för att arbeta med domäner och skogar, och stabilt stöd för detta har endast tillkännagivits för version Samba 4.11, som ska släppas före årets slut.
Det följer av detta att det enda alternativet för att introducera samba i en AD-domän som är utplacerad på en 2012R2-server är att nedgradera schemat från 69 till 47. Naturligtvis bör detta inte göras på en produktionsinfrastruktur utan goda skäl, men vi har en testbänk här, så varför inte faktiskt inte.

Installera Alt Server 8.2. Under installationen väljer du profilen "Samba-DC Server (AD Controller)". På den utplacerade servern utför vi en komplett systemuppdatering och installerar task-samba-dc-paketet, som hämtar allt du behöver

# apt-get install task-samba-dc

Om plötsligt task-samba-dc, i motsats till försäkran om dokumentationen, vägrar Alta att installera allt nödvändigt själv.

# apt-get install python-module-samba-DC samba-DC-common samba-DC-winbind-clients samba-DC-winbind samba-DC-common-libs libpytalloc-devel

Därefter går vi vidare till att installera Kerberos och ta emot en biljett. Öppna filen krb5.conf, gå till sektionen [libdefaults] och ta den till följande formulär:

# vim /etc/krb5.conf

 dns_lookup_kdc = true
 dns_lookup_realm = true
 default_realm = TEST.LOCAL

Begär en biljett

# kinit administrator
Password for administrator@TEST.LOCAL:

Kontrollerar listan över mottagna Kerberos-biljetter

# klist
Ticket cache: KEYRING:persistent:0:0
Default principal: administrator@TEST.LOCAL

Valid starting       Expires              Service principal
16.05.2019 11:51:38  16.05.2019 21:51:38  krbtgt/TEST.LOCAL@TEST.LOCAL
        renew until 23.05.2019 11:51:35

Nu tar vi bort eller byter namn på den befintliga samba-konfigurationen.

# mv smb.conf smb.conf.bak1

Och slutligen går vi in i AD-domänen med den andra kontrollern:

# samba-tool domain join test.local DC -U"TESTadministrator"

Lyckad inmatning kommer att åtföljas av följande logg

Finding a writeable DC for domain 'test.local'
Found DC DC1.TEST.LOCAL
Password for [TESTadministrator]:
Reconnecting to naming master e31d7da6-8f56-4420-8473-80f2b3a31338._msdcs.TEST.                           LOCAL
DNS name of new naming master is DC1.TEST.LOCAL
workgroup is TEST
realm is TEST.LOCAL
Adding CN=DC2,OU=Domain Controllers,DC=TEST,DC=LOCAL
Adding CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC                           =TEST,DC=LOCAL
Adding CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN                           =Configuration,DC=TEST,DC=LOCAL
Adding SPNs to CN=DC2,OU=Domain Controllers,DC=TEST,DC=LOCAL
Setting account password for DC2$
Enabling account
Calling bare provision
Looking up IPv4 addresses
Looking up IPv6 addresses
No IPv6 address will be assigned
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
A Kerberos configuration suitable for Samba AD has been generated at /var/lib/sa                           mba/private/krb5.conf
Provision OK for domain DN DC=TEST,DC=LOCAL
Starting replication
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[402/1426] linked                           _values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[804/1426] linked                           _values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1206/1426] linke                           d_values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1608/1426] linke                           d_values[0/0]
Schema-DN[CN=Schema,CN=Configuration,DC=TEST,DC=LOCAL] objects[1743/1426] linke                           d_values[0/0]
Analyze and apply schema objects
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[402/2240] linked_values[0/                           24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[804/2240] linked_values[0/                           24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1206/2240] linked_values[0                           /24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1608/2240] linked_values[0                           /24]
Partition[CN=Configuration,DC=TEST,DC=LOCAL] objects[1772/2240] linked_values[2                           4/24]
Replicating critical objects from the base DN of the domain
Partition[DC=TEST,DC=LOCAL] objects[109/110] linked_values[26/29]
Partition[DC=TEST,DC=LOCAL] objects[394/5008] linked_values[29/29]
Done with always replicated NC (base, config, schema)
Replicating DC=DomainDnsZones,DC=TEST,DC=LOCAL
Partition[DC=DomainDnsZones,DC=TEST,DC=LOCAL] objects[42/42] linked_values[0/0]
Replicating DC=ForestDnsZones,DC=TEST,DC=LOCAL
Partition[DC=ForestDnsZones,DC=TEST,DC=LOCAL] objects[20/20] linked_values[0/0]
Exop on[CN=RID Manager$,CN=System,DC=TEST,DC=LOCAL] objects[3] linked_values[0]
Committing SAM database
Adding 1 remote DNS records for DC2.TEST.LOCAL
Adding DNS A record DC2.TEST.LOCAL for IPv4 IP: 192.168.90.201
Adding DNS CNAME record 6ff1df40-cbb5-41f0-b7b3-53a27dde8edf._msdcs.TEST.LOCAL                            for DC2.TEST.LOCAL
All other DNS records (like _ldap SRV records) will be created samba_dnsupdate o                           n first startup
Replicating new DNS records in DC=DomainDnsZones,DC=TEST,DC=LOCAL
Partition[DC=DomainDnsZones,DC=TEST,DC=LOCAL] objects[1/42] linked_values[0/0]
Replicating new DNS records in DC=ForestDnsZones,DC=TEST,DC=LOCAL
Partition[DC=ForestDnsZones,DC=TEST,DC=LOCAL] objects[1/20] linked_values[0/0]
Sending DsReplicaUpdateRefs for all the replicated partitions
Setting isSynchronized and dsServiceName
Setting up secrets database
Joined domain TEST (SID S-1-5-21-3959064270-1572045903-2556826204) as a DC

ADUC ska ha en post för den nya DC i domänen TEST.LOCAL, och DNS Manager ska ha en ny A-post som motsvarar DC2.

Replikering mellan styrenheterLåt oss först kontrollera funktionen för Directory Replication Service (DRS)

# samba-tool drs showrepl

Alla replikeringsförsök i utdata bör lyckas. Vår DC1 bör visas i KCC-objektlistan inom 15 minuter efter inmatning. Windows

Default-First-Site-NameDC2
	DSA Options: 0x00000001
	DSA object GUID: 0e9f5bce-ff59-401e-bdbd-fc69df3fc6bf
	DSA invocationId: 017997b5-d718-41d7-a3f3-e57ab5151b5c

	==== INBOUND NEIGHBORS ====

	DC=ForestDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:31 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:31 2019 MSK

	DC=DomainDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:32 2019 MSK

	CN=Schema,CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:32 2019 MSK

	DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:32 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:32 2019 MSK

	CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:56:33 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:56:33 2019 MSK

	==== OUTBOUND NEIGHBORS ====

	DC=ForestDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:03 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:03 2019 MSK

	DC=DomainDnsZones,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:03 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:03 2019 MSK

	CN=Schema,CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:08 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:08 2019 MSK

	DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Thu May 23 16:40:08 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Thu May 23 16:40:08 2019 MSK

	CN=Configuration,DC=test,DC=local
	        Default-First-Site-NameDC1 via RPC
	                DSA object GUID: 60fb339d-efa3-4585-a42d-04974e6601b7
	                Last attempt @ Mon May 27 12:12:17 2019 MSK was successful
	                0 consecutive failure(s).
	                Last success @ Mon May 27 12:12:17 2019 MSK

	==== KCC CONNECTION OBJECTS ====

	Connection --
	        Connection name: 6d2652b3-e723-4af7-a19f-1ee48915753c
	        Enabled        : TRUE
	        Server DNS name : DC1.test.local
	        Server DN name  : CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=local
	                TransportType: RPC
	                options: 0x00000001
	Warning: No NC replicated for Connection!

Varning "Ingen NC replikerad för Connection!" kan säkert ignoreras. Det verkar för att Samba ställer in vissa replikeringsflaggor felaktigt när en ny DC registreras.

Det skulle också vara en bra idé att kontrollera LDAP-replikering.

# samba-tool ldapcmp ldap://dc1.test.local ldap://dc2.test.local -Uadministrator

Ovanstående kommando kommer att jämföra attributvärdena för hela katalogobjekten på DC1 och DC2.

Exempel på framgångsrik replikering

* Comparing [DOMAIN] context...

	* Objects to be compared: 249

	* Result for [DOMAIN]: SUCCESS

	* Comparing [CONFIGURATION] context...

	* Objects to be compared: 1750

	* Result for [CONFIGURATION]: SUCCESS

	* Comparing [SCHEMA] context...

	* Objects to be compared: 1739

	* Result for [SCHEMA]: SUCCESS

	* Comparing [DNSDOMAIN] context...

	* Objects to be compared: 42

	* Result for [DNSDOMAIN]: SUCCESS

	* Comparing [DNSFOREST] context...

	* Objects to be compared: 20

	* Result for [DNSFOREST]: SUCCESS

I vissa fall kan attributen för objekt på olika kontroller skilja sig åt, och kommandoutgången kommer att informera dig om detta. Men inte i alla fall kommer detta att vara ett tecken på ett replikeringsproblem.

Nästa steg är att manuellt konfigurera stabil replikering av SysVol-katalogen.
Saken är den att Samba ännu inte stöder DFS-R, precis som det inte stödde den tidigare FRS. Därför, för replikering mellan domänkontrollanter, Samba och Windows Den enda fungerande lösningen hittills är envägsreplikering med hjälp av verktyget Robocopy från satsen Windows Server Resursverktyg 2003.

För att undvika kompatibilitetsproblem rekommenderar Samba-utvecklare att man först installerar verktygssviten på en vanlig arbetsstation och sedan kopierar Robocopy till kontrollenheten i mappen "C:\Program Files (x86)".Windows ResurspaketVerktyg»

Efter installationen, i aktivitetsschemaläggaren på styrenheten med Windows Vi skapar en uppgift för att utföra replikering med följande parametrar:

— Kör för alla användare
— Trigger för att utföra dagligen var 5:e minut under dagen
— I åtgärderna anger vi sökvägen till robocopy-verktyget och anger som argument:

DC1SYSVOLtest.local DC2SYSVOLtest.local /mir /sec

I det här specifika fallet kopierar vi innehållet i SysVol-katalogen från DC1 till DC2.

Bärbara användarmappar med pam_mount-konfigurationGenom erfarenhet hittade jag två genomförbara alternativ för att lösa detta problem med hjälp av det.
1. Att montera en profilmapp helt från nätverket till /home-partitionen. Ett enkelt alternativ. Fungerar utmärkt om namnen på mapparna Mina dokument, Nedladdningar och Skrivbord är desamma i båda operativsystemen. Detta förutsätter att datorn är på Linux har redan angetts i domänen och användare loggar in under sina domänkonton med ssd som autentiserings- och auktoriseringsmekanism.
```
# vim /etc/security/pam_mount.conf.xml
```
```
<volume uid="100000000-2000000000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)" mountpoint="~" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
```
  där:
  - uid="100000000-2000000000" — UID-intervall tilldelat domänanvändare från SSSD
  - server="dfs" - filservernamn
  - path="Profile_Users/%(USER)" — en resurs på en filserver med en värdbaserad användarprofil
  - monteringspunkt =”~” — montera sökvägen till användarens hemmapp
  Användarinloggningen skickas till makrovariabeln "%(USER)" som används av pam_mount för att ansluta vår nätverksresurs enligt inmatning i visningshanteraren. Därför är det viktigt att inloggningen skrivs in i DM utan att uttryckligen specificera domännamnet.
  I sssd.conf löses detta genom att kommentera bort eller sätta alternativet till False use_fully_qualified_names, som möjliggör fullt kvalificerat namnläge (inklusive domän) för användare och grupper.
2. Den andra metoden är mindre okomplicerad och klumpig, och enligt min mening mer bekväm och att föredra. Skillnaden från den första finns bara i pam_mount-konfigurationen
```
# vim /etc/security/pam_mount.conf.xml
```
```
<volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Рабочий стол" mountpoint="~/Рабочий стол" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
<volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Downloads" mountpoint="~/Загрузки" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
<volume uid="100000000-2000200000" fstype="cifs" server="dfs" path="Profile_Users/%(USER)/Мои документы" mountpoint="~/Документы" options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID),file_mode=0664,dir_mode=0775"/>
```
  Det vill säga, vi monterar helt enkelt var och en av våra mappar separat i motsvarande katalog

Resultat

Under en halv månads arbete på testbänken överlevde detta paket framgångsrikt flera alternerande långsiktiga och kortsiktiga avstängningar av båda kontrollerna, i stort sett utan några konsekvenser för klienterna (när en klient väl är på Windows7 förlorade förtroendefulla relationer).

Sammantaget hade jag en ganska trevlig upplevelse att arbeta med den här produkten, även trots alla nyanser som jag var tvungen att hantera både i artikeln och "bakom kulisserna."

Det finns många fallgropar, och när du arbetar med Samba måste du upptäcka ett stort antal av dem. Det finns dock för närvarande inga andra lösningar som låter dig organisera en hybridmiljö, både med och utan en katalogtjänst. Windows.

Källa: will.com

Samba DC som en andra domänkontrollant i en AD-domän Windows 2012R2 och roamingmappar för klienter på Windows и Linux

Standmål:

Genomförande:

Yuri gagarin