NB: Istruzioni e configurazioni valide per il dominio UNITN configurazione LDSS e fino a debian 9<\/p>\n
Macchina da mettere in dominio: \u00a0sci-ldtest.unitn.it \u00a0 192.168.121.30<\/p>\n
Server di Dominio e DNS:\u00a0dcunitn01.unitn.it 192.168.206.99\u00a0, dcunitn02.unitn.it\u00a0192.168.119.99<\/p>\n
Server delle home:\u00a0sci-aresw.unitn.it\u00a0192.168.131.2<\/p>\n
Installa i pacchetti:<\/p>\n
# apt-get install krb5-user samba ntp sssd adcli<\/pre>\nMetti UNITN.IT nel Default Kerberos realname:<\/p>\n
Configurazioni<\/h2>\n
Nome macchina:<\/h4>\n
NOTA<\/strong>: il nome meglio tutto minuscolo<\/p>\n
Diamo un nome appropriato alla nostra macchina editando il file \/etc\/hostname<\/strong><\/p>\n
sci-ldtest<\/pre>\nsistemiamo anche il file \/etc\/hosts<\/strong> che dovrebbe essere circa:<\/p>\n
127.0.0.1 localhost\r\n127.0.1.1 sci-ldtest.unitn.it sci-ldtest\r\n\r\n# The following lines are desirable for IPv6 capable hosts\r\n::1 localhost ip6-localhost ip6-loopback\r\nff02::1 ip6-allnodes\r\nff02::2 ip6-allrouters\r\n\r\n# Aggiungi questa riga se la machina non \u00e8 nel DNS\r\n#192.168.121.30 sci-ldDTest.unitn.it sci-ldDTest<\/pre>\nTime:<\/h4>\n
Sincroniziamo l’ora con i server di dominio (altrimanti kerberos non funziona). Editiamo il file \/etc\/ntp.conf\u00a0<\/strong>commentiamo i server di debian e aggiungiamo quello di UNITN<\/p>\n
#server 0.debian.pool.ntp.org iburst\r\n#server 1.debian.pool.ntp.org iburst\r\n#server 2.debian.pool.ntp.org iburst\r\n#server 3.debian.pool.ntp.org iburst\r\n\r\nserver unitn.it #server di unitn<\/pre>\nKerberos:<\/h4>\n
Modifichiamo il il file \/etc\/krb5.conf<\/strong> lasciando solo le seguenti informazioni:<\/p>\n
[libdefaults]\r\n default_realm = UNITN.IT\r\n rdns = false\r\n\r\n[domain_realm]\r\n .unitn.it = UNITN.IT\r\n unitn.it = UNITN.IT\r\n\r\n[realms]\r\n UNITN.IT = {\r\n kdc = 192.168.206.99\r\n kdc = 192.168.119.99\r\n }<\/pre>\nDNS:<\/h4>\n
modifichiamo il file\u00a0\/etc\/resolv.conf<\/strong>\u00a0come segue:<\/p>\n
# Generated by NetworkManager\r\nsearch unitn.it\r\nnameserver 192.168.206.99\r\nnameserver 192.168.119.99<\/pre>\nSamba:<\/h4>\n
Modifichiamo il file\u00a0\/etc\/samba\/smb.conf<\/strong>\u00a0 nel seguente modo:<\/p>\n
[global]\r\n workgroup = UNITN\r\n realm = UNITN.IT\r\n security = ADS\r\n kerberos method = secrets only\r\n syslog = 0\r\n machine password timeout = 0\r\n template homedir = \/home\/%u\r\n template shell = \/bin\/bash\r\n winbind use default domain = Yes\r\n winbind expand groups = 0\r\n winbind refresh tickets = Yes\r\n idmap config * : range = 10000 - 1000000\r\n idmap config UNITN:range = 10000 - 1000000\r\n idmap config UNITN:backend = rid\r\n idmap config * : backend = tdb\r\n password server = dcunitn01, dcunitn02<\/pre>\nNOTA<\/strong>: \u00a0la versione di samba di Debian 8 ha un bacco che richiede un comando in pi\u00f9 durante il join al dominio per sistemare il keytab.<\/p>\n
dalle versioni successive di samba ( es Ubuntu 16.04) basta modificare la riga del kerberos method come segue e tutto funziona:<\/p>\n
kerberos method = secrets and keytab<\/pre>\nsssd:<\/h4>\n
Crea il file\u00a0 \/etc\/sssd\/sssd.conf<\/strong>\u00a0 contenente:<\/p>\n
[sssd]\r\nservices = nss, pam\r\nconfig_file_version = 2\r\ndomains = unitn.it\r\n#debug_level = 8\r\n\r\n\r\n[domain\/unitn.it]\r\nad_domain = unitn.it\r\nkrb5_realm = UNITN.IT\r\nid_provider = ad\r\nldap_id_mapping = True\r\nldap_idmap_default_domain_sid = S-1-5-21-343818398-764733703-1708537768\r\nldap_idmap_range_min = 10000\r\nldap_idmap_range_size = 1000000\r\nuse_fully_qualified_names = False\r\ncache_credentials = True\r\nkrb5_store_password_if_offline = True\r\ndefault_shell = \/bin\/bash\r\nfallback_homedir = \/home\/%u\r\nldap_group_nesting_level = 0\r\nignore_group_members = True\r\naccess_provider = simple\r\nad_server = dcunitn01,dcunitn02<\/pre>\nNOTA<\/strong>: Cambia i permessi del file in 600<\/p>\n
Setup Authentication:<\/h4>\n
Il file\u00a0\/etc\/nsswitch.conf<\/strong> deve contenere:<\/p>\n
passwd: compat sss\r\ngroup: compat sss\r\nshadow: compat sss\r\n\r\nhosts: files dns\r\nnetworks: files\r\n\r\nprotocols: db files\r\nservices: db files sss\r\nethers: db files\r\nrpc: db files\r\n\r\nnetgroup: nis sss\r\nsudoers: files ss\r\n<\/pre>\nIl file\u00a0\/etc\/idmapd.conf<\/strong>\u00a0 deve contenere:<\/span><\/p>\n
[General]\r\n\r\nVerbosity = 0\r\nPipefs-Directory = \/run\/rpc_pipefs\r\n# set your own domain here, if id differs from FQDN minus hostname\r\nDomain = unitn.it\r\n\r\n[Mapping]\r\n\r\nNobody-User = nobody\r\nNobody-Group = nogroup<\/pre>\nPAM<\/h4>\n
Il file\u00a0\/etc\/pam.d\/common-auth<\/strong>\u00a0deve contenere:<\/p>\n
# \/etc\/pam.d\/common-auth - authentication settings common to all services\r\n#\r\n# This file is included from other service-specific PAM config files,\r\n# and should contain a list of the authentication modules that define\r\n# the central authentication scheme for use on the system\r\n# (e.g., \/etc\/shadow, LDAP, Kerberos, etc.). The default is to use the\r\n# traditional Unix authentication mechanisms.\r\n#\r\n# As of pam 1.0.1-6, this file is managed by pam-auth-update by default.\r\n# To take advantage of this, it is recommended that you configure any\r\n# local modules either before or after the default block, and use\r\n# pam-auth-update to manage selection of other modules. See\r\n# pam-auth-update(8) for details.\r\n\r\n# here are the per-package modules (the \"Primary\" block)\r\nauth [success=2 default=ignore] pam_unix.so nullok_secure\r\nauth [success=1 default=ignore] pam_sss.so use_first_pass\r\n# here's the fallback if no module succeeds\r\nauth requisite pam_deny.so\r\n# prime the stack with a positive return value if there isn't one already;\r\n# this avoids us returning an error just because nothing sets a success code\r\n# since the modules above will each just jump around\r\nauth required pam_permit.so\r\n# and here are more per-package modules (the \"Additional\" block)\r\nauth optional pam_cap.so\r\n# end of pam-auth-update config<\/pre>\nNFS:<\/h4>\n
Modifica le opzioni nel file\u00a0\/etc\/default\/nfs-common<\/strong>\u00a0come segue:<\/p>\n
# Do you want to start the statd daemon? It is not needed for NFSv4.\r\nNEED_STATD=yes<\/strong>\r\n\r\n# Options for rpc.statd.\r\n# Should rpc.statd listen on a specific port? This is especially useful\r\n# when you have a port-based firewall. To use a fixed port, set this\r\n# this variable to a statd argument like: \"--port 4000 --outgoing-port 4001\".\r\n# For more information, see rpc.statd(8) or http:\/\/wiki.debian.org\/SecuringNFS\r\nSTATDOPTS=\r\n\r\n# Do you want to start the idmapd daemon? It is only needed for NFSv4.\r\nNEED_IDMAPD=yes<\/strong>\r\n\r\n# Do you want to start the gssd daemon? It is required for Kerberos mounts.\r\nNEED_GSSD= yes<\/strong><\/pre>\nA questo punto \u00e8 pi\u00f9 veloce fare un riavvio della macchina che riavvirare i singoli servizi!!!!!<\/p>\n
Join<\/h2>\n
Per testare l’autenticazione kerberos (facoltativo):<\/p>\n
kinit [domai_user]@UNITN.IT<\/pre>\nMettere la password e se non ci sono errori procedere con il join:<\/p>\n
adcli join -D unitn.it -U [Domain_Administrator]<\/strong> -S dcunitn01<\/strong> -H $(hostname --fqdn) -O \"OU=Linux,OU=LD,OU=Computers,OU=Scienze,OU=Unitn,dc=unitn,dc=it<\/strong>\" --user-principal\r\n<\/pre>\nLe parti in neretto vanno sostituite con i giusti valori a seconda dei casi…<\/p>\n
Visto il bacco nella versione di samba di Debian 8 eseguire anche il comando:<\/p>\n
net ads keytab create -P<\/pre>\nSi ottiene in risposta un Warning ma tutto funziona a dovere.<\/p>\n
Prova ad eseguire il comando\u00a0klist -k per vedere cosa contiene il keytab<\/p>\n
Esegui il comando:<\/p>\n
timedatectl set-local-rtc 1<\/pre>\nPer fare un test fare un ssh con un utente di dominio alla macchina e vedere se logga:<\/p>\n
ssh [Domain_user]@localhost<\/pre>\nHome e software remoto<\/h2>\n
A questo punto se tutto \u00e8 andato bene possiamo montare le home\u00a0e le cartelle di rete\u00a0modificando il file \/etc\/fstab<\/strong>:<\/p>\n
sci-ares.unitn.it:\/local\/local-ubuntu \/usr\/local nfs sec=sys 0 0\r\n192.168.121.3:\/mnt\/Linux \/usr\/LDSS nfs sec=sys 0 0\r\nsci-ares.unitn.it:\/home \/home nfs sec=krb5 0 0<\/pre>\ne se tutto funziona con un mount -a si montano le home e il lavoro \u00e8 finito….<\/p>\n
aaa<\/p>\n","protected":false},"excerpt":{"rendered":"
NB: Istruzioni e configurazioni valide per il dominio UNITN configurazione LDSS e fino a debian 9 Attori: Macchina da mettere in dominio: \u00a0sci-ldtest.unitn.it \u00a0 192.168.121.30 Server di Dominio e DNS:\u00a0dcunitn01.unitn.it […]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[],"class_list":["post-461","post","type-post","status-publish","format-standard","hentry","category-linux"],"_links":{"self":[{"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/posts\/461","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/comments?post=461"}],"version-history":[{"count":34,"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/posts\/461\/revisions"}],"predecessor-version":[{"id":987,"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/posts\/461\/revisions\/987"}],"wp:attachment":[{"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/media?parent=461"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/categories?post=461"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/edulab.unitn.it\/tecnici\/wp-json\/wp\/v2\/tags?post=461"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}