Как правильно настроить addc на samba4?

Question

[Wadik_Wadkovich]

Как правильно настроить домен на samba4 + файловый сервер в сети где используются и винда и linux, что бы один и тот же пользователь без проблемы мог логиниться на любой машине , попадал в свой домашний каталог и получал права на шаре . Всю информацию беру отсюда https://wiki.samba.org/index.php/Setting_up_Samba_...
Но вот во всех этих uid, gid, RFC2307 и настройках idmap_ * запутался в край

Answer 1

[nobody]

тлдр: юзайте дебиан 8+.

Because of the missing MIT Kerberos support in Samba, you can not use the Samba packages provided by Red Hat Enterprise Linux 7 as a Samba AD DC. As alternative:

- build Samba. For details, see Build Samba from Source.
- use 3rd-party packages with AD support from a trusted source.

Try reading it, this confirms what you fear, you cannot have a samba4 DC with the official samba packages, so you are going to have to compile it yourself, but this might be easier said than done due to the kerberos problem, might just be easier to install Debian on the server

...

Fedora and RHEL are using MIT Kerberos implementation as its Kerberos infrastructure of choice.
While the Samba Active Directory Domain Controller implementation is the Heimdal and so not available with MIT Kereberos at the moment.
Only way to have full Samba4 functionality on RHEL now, is to compile from source.

I'm not surprised the RH guys dont want to change Kerberos implementation because of Samba, as it is interwoven with many other OS related things, but it would surely help, if RH would maybe said something about ETA? Or progress?

Answer 2

[Антон Уланов]

Вы сервер в ад ввели?

Comments

[Wadik_Wadkovich]

есть машина с centos 7 , на нем развернул домен на samba4 . Поставил centos на вторую машину , пока только примонтировал туда жесткий с acl , саму машину в домен пока не вводил, так как не могу понять где и какие параметры в smb.conf мне нужно прописывать или как правильно собрать samba из исходников для файлового сервера.

[Антон Уланов]

Wadik_Wadkovich, а ldap? А kerberos?

[Антон Уланов]

Wadik_Wadkovich, поставьте freenas вам с ним проще будет

[Wadik_Wadkovich]

Антон Уланов, Я наверно не совсем понимаю что вы хотите спросить. Всю настройку я проводил вот по этому мануалу. Вроде как все работает. За freenas спасибо , как нибудь потыкаю. Но как говорится в вики - " Но, как указывает автор, пока нет возможности предоставлять доступ к папкам сервера на основе учётных записей пользователей Microsoft AD(Active Directory)" .
Посидел почитал немного разобрался . Вроде как для моих задач (один DC , один файловый сервер) подходит idmap config SAMDOM : backend = rid ... но я еще пока не уверен

[Антон Уланов]

Wadik_Wadkovich, я неделю назад решал аналогичную проблемму: сеть 40пк на виндах, 10 серверов( часть на винде часть на линуксах, на винде крутился контроллер домена, файлопомойка была до переноса на хрюшке и вне домена. Сейчас файловая помойка перенесена на freenas который введен в домен за пару кликов в его вэбморде. Создана шара в smb аля дата, ткда перенесены все каталоги с файлами. Далее на каждую папку назначил права на основе ou в кд. Как итог народ доволен, я не парюсь с настройками.

[Wadik_Wadkovich]

freenas не получится ,хотя функционал понравился ... не подходит по некоторым требованиям (не моя прихоть).

[nobody]

AD не поднять на Centos7 - там неподходящий kerberos-heimdal, а нужен kerberos-mit. Он есть в дебиане8-9, например.

Могу подтвердить что приведённые вами инструкции рабочие, просто попробуйте еще раз.

[Cr3w]

nobody,
[root@gw ~]# yum info krb5-server
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
* base: mirror.yandex.ru
* epel: mirror.yandex.ru
* extras: mirror.sale-dedic.com
* updates: mirror.sale-dedic.com
Available Packages
Name : krb5-server
Arch : x86_64
Version : 1.15.1
Release : 8.el7
Size : 1.0 M
Repo : base/7/x86_64
Summary : The KDC and related programs for Kerberos 5
URL : web.mit.edu/kerberos/www
License : MIT
Description : Kerberos is a network authentication system. The krb5-server package
: contains the programs that must be installed on a Kerberos 5 key
: distribution center (KDC). If you are installing a Kerberos 5 KDC,
: you need to install this package (in other words, most people should
: NOT install this package).

[nobody]

Cr3w
Я неправильно сказал, там проблема не в отсутствии пакетов, а в линковке кербероса официальной самбы в centos7 - подробнее в соседнем ответе.