Autor: Miguel Ángel Fernández Chacón.

Transcripción

1 Instalación y configuración de un Controlador Primario de Dominio (PDC), con soporte OpenLDAP, para clientes Windows (2000/XP), sobre Mandrake 10 Official. Autor: Miguel Ángel Fernández Chacón. mad_gcc en escomposlinux.org y freenode.net Changelog: 30/07/2004: Versión /08/2004: Versión Aplicado formato al texto de CLI, para mayor legibilidad. Añadidos enlaces a documentos usados para elaborar este How-To- Introducción. De todos es conocido el monopolio de facto que Microsoft mantiene ( y mantendrá durante algún tiempo) sobre los sistemas operativos de escritorio. Microsoft Windows, en cualquiera de sus sabores, es el sistema operativo más usado en todo el mundo. Lógicamente, cuando se plantea utilizar Windows en red, lo natural sería hacerlo usando los productos y protocolos que Microsoft ha desarrollado a tal efecto, haciendo más "cómoda" la vida a los ya de por si sufridos administradores de sistemas, que han de lidiar a diario con software no todo lo acabado y estable que pudiera desearse. Sin embargo y a lo largo del tiempo, las licencias de uso, la complejidad y el coste de la documentación de Windows 2000 y 2003 Server, se han ido incrementando paulatinamente, llegando a costar auténticas fortunas el mantener algo que, en un principio, se vendía como un sistema más económico que los sistemas Unix propietarios. Es aquí donde entra en juego el proyecto Samba ( Samba es un proyecto de Software Libre mantenido por una comunidad internacional de desarrolladores, y una amplia base de usuarios, que implementa una alternativa libre a los servidores de ficheros e impresión mediante protocolo CIFS (Common Internet File System) nativos de Microsoft. El protocolo CIFS no es más que el protocolo SMB (Server Message Block) renombrado para incluir la mágica palabra "Internet", tan de moda y tan comercial en estos últimos tiempos. Samba es la solución perfecta para todos aquellos que necesitan usar clientes Windows en red, atacando a un servidor de ficheros o impresión, utilizando una solución estable, probada, documentada y libre. Lo que viene a continuación es el proceso a seguir para Mandrake 10 Samba PDC+OpenLDAP 1

2 conseguir que Samba pueda hacerse con el control de un dominio Windows como PDC, usando como base de datos de usuarios y autentificación OpenLDAP. Se asume en este documento un conocimiento previo de Samba como servidor de ficheros, y de GNU/Linux como plataforma servidora, y del manejo de los parámetros de configuración como servidor básico de ficheros. Se sale del ámbito de este documento el explicar cómo se configura un servidor Samba desde 0. Se asume también conocimiento previo del funcionamiento de las redes Windows (concepto de Dominio, Master Browsers, usuarios y grupos de dominio, etc.), ya que este tema, de por si, es lo suficientemente extenso. Para todos aquellos que deseen iniciarse en el conocimiento de Samba, y lo que puede ofrecer, les invito a revisar dos libros, que bajo mi punto de vista, son imprescindibles: Samba-HOWTO-Collection: Samba-Guide: Ambos documentos forman parte de la documentación oficial del Proyecto Samba, y es regularmente actualizada. Cualquier rectificación, adición, comentario o crítica constructiva será bien recibida en la dirección electrónica m.fernandez@fernandezmartin.net Mandrake 10 Samba PDC+OpenLDAP 2

3 Plataforma elegida, y software necesario Evidentemente, no podía ser de otra forma, la plataforma elegida es Mandrake 10 Official, con núcleo 2.6.3, actualizado a la última versión disponible en los mirrors de Mandrake. Son necesarios también los siguientes paquetes, que vienen de forma estándar con la distribución: samba-server-3.0.2a-3mdk samba-common-3.0.2a-3mdk (este paquete se instala como dependencia del anterior) openldap mdk openldap-servers mdk openldap-clients mdk pam_ldap-167-3mdk nss_ldap-212-3mdk Usaremos para la instalación el fantástico gestor de paquetes de Mandrake, urpmi, tal que así: urpmi samba-server urpmi openldap-servers (el paquete openldap se instala por defecto) urpmi openldap-clients urpmi pam_ldap urpmi nss_ldap Una vez instalado correctamente estos paquetes, iniciamos la configuración. Configuración de OpenLDAP OpenLDAP es un servidor de directorios, pensado para mantener información que no se cambia frecuentemente. Es muy rápido en operaciones de lectura, y su arquitectura abierta permite la adaptación a cualquier esquema de almacenamiento de datos. En particular, vamos a tratar uno de los más usados: la autentificación de usuarios, y más concretamente la de usuarios de Dominios Windows. 1. Fichero /etc/openldap/slapd.conf Este fichero contiene las definiciones de la base de datos donde se almacenará toda la información relativa al directorio. Su contenido, comentado, es como sigue: ***Esta es la definición de ACL por defecto que viene en el fichero original. La he comentado y habilitado una propia más adelante, para poder configurar el directorio sin problemas de permisos de acceso.** Mandrake 10 Samba PDC+OpenLDAP 3

4 # database definitions database bdb suffix "dc=sbcdomain,dc=com" rootdn "cn=manager,dc=sbcdomain,dc=com" *** En este apartado, indicamos el tipo de base de datos a utilizar (Berkeley DataBase), el sufijo raíz (suffix)para nuestro directorio, así como el usuario (rootdn) con permisos para administrarlo*** # Cleartext passwords, especially for the rootdn, should # be avoided. See slappasswd(8) and slapd.conf(5) for details. # Use of strong authentication encouraged. # rootpw secret rootpw {MD5}mfRp+5ofawkh1UKovdnLMA== *** Aquí se define la contraseña del rootdn. Observamos que lo que se almacena no es la contraseña en texto plano, sino el hash obtenido al usar la herramienta slappasswd en línea de comandos, utilizando el sistema de cifrado MD5. Por ejemplo: [root@svr-2 etc]# slappasswd -h {MD5} -s contraseña La salida de este comando la pegaremos en la entrada rootpw. *** # The database directory MUST exist prior to running slapd AND # should only be accessable by the slapd/tools. Mode 700 recommended. directory /var/lib/ldap *** Aquí definimos la ubicación física de los ficheros de la base de datos del directorio. *** # Indices to maintain # Indices to maintain index objectclass eq index cn pres,sub,eq index sn pres,sub,eq index uid pres,sub,eq index displayname pres,sub,eq index uidnumber eq index gidnumber eq index memberuid eq index sambasid eq index sambaprimarygroupsid eq index sambadomainname eq index default sub Mandrake 10 Samba PDC+OpenLDAP 4

5 *** Como en toda base de datos, se crean índices para que las consultas sean más rápidas. En OpenLDAP, se crean usando index nombre_de_atributo tipo_de_búsqueda. El parámetro tipo_de_búsqueda puede tomar los valores pres (verifica la presencia), sub (busca por subcadena), eq (busca una cadena igual) y approx (busca una cadena aproximada). OpenLDAP mantiene estos índices sobre bases de datos Berkeley DB, lo que agiliza de una manera considerable las búsquedas. *** # ACL #access #by #by to dn=".*dc=sbcdomain,dc=com" self write * read *** Como comenté más arriba, he añadido este ACL para configurar fácilmente el directorio. En el apartado ACL, se detallan las listas de control de acceso, es decir, quién tiene acceso a qué. Para nuestros propósitos, vamos a utilizar un ACL bastante relajado (deshabilitado, más bien), para que no tengamos ningún problema a la hora de configurar el directorio. Posteriormente las endureceremos para asegurar que sólo accede a la información del directorio quien tenga que hacerlo, y nadie más. *** 2. Arranque de openldap Una vez configurado OpenLDAP, hemos de asegurarnos que el fichero / etc/openldap/slapd.conf tiene como propietario y grupo al usuario ldap, y permisos 640: [root@svr-2 openldap]# ls la slapd.conf total 1 -rw-r ldap ldap 3698 jul 21 17:18 slapd.conf Con todo esto, ya podemos arrancar openldap con el comando service ldap start : [root@svr-2 openldap]# service ldap start Running /usr/bin/slapd_db_recover on /var/lib/ldap Iniciando slapd (ldap + ldaps): [ OK ] Si todo ha ido bien, nuestro servidor de directorios está configurado y funcionando. 3. Configuración de nss_ldap El módulo nss_ldap, permite que el sistema pueda buscar información relativa a usuarios y grupos en el directorio LDAP recién creado. Vamos a necesitar este servicio porque los grupos Windows del dominio estarán almacenados en el directorio LDAP. Por defecto, los sistemas Unix buscan esta información en ficheros locales (/etc/passwd y /etc/group, fundamentalmente) Mandrake 10 Samba PDC+OpenLDAP 5

6 Hay que modificar 3 ficheros: Fichero /etc/ldap.conf : SIZELIMIT 200 TIMELIMIT 15 DEREF never host base dc=sbcdomain,dc=com rootbinddn cn=manager,dc=sbcdomain,dc=com nss_base_passwd nss_base_shadow nss_base_group ou=people,dc=sbcdomain,dc=com?one ou=people,dc=sbcdomain,dc=com?one ou=groups,dc=sbcdomain,dc=com?one Este fichero es el que hemos de configurar para que el sistema pueda conectarse al servidor LDAP para hacer las búsquedas. Hemos de definir la máquina donde está el servidor LDAP (host ), la raíz de búsqueda (base dc=sbcdomain,dc=com), el nombre de usuario del administrador del directorio LDAP (ver fichero / etc/openldap/slapd.conf). Los apartados nss_base_ determinan en qué contenedores del directorio LDAP tiene que buscar el sistema, dependiendo de si lo que busca, es un usuario o un grupo. Este fichero ha de ser propiedad de root, y permisos 600 Fichero /etc/ldap.secret Este fichero almacena la contraseña del administrador del directorio ldap, debe contener la contraseña en texto plano y acabado por un carácter LF (vamos, un enter de toda la vida). De igual forma que el fichero anterior, propietario y grupo root y permisos 600. Fichero /etc/nsswitch.conf Este fichero determina los lugares en los que busca el sistema cuando un usuario pretende autentificar. Es un sistema heredado de Solaris. En este fichero hemos de buscar las siguientes entradas: passwd: shadow: group: db files nisplus nis db files nisplus nis db files nisplus nis Y sustituirlas por: passwd: shadow: group: files ldap files ldap files ldap De esta forma, al intentar el sistema buscar un nombre de usuario o grupo, primero mirará en los ficheros locales (/etc/passwd, /etc/shadow, /etc/group), si no encuentra lo que Mandrake 10 Samba PDC+OpenLDAP 6

7 busca, entonces hará una consulta al servidor LDAP que hemos definido en el fichero / etc/ldap.conf (ver punto anterior). Configuración de Samba. Samba es un servidor CIFS Open Source, que en múltiples ocasiones ha ganado por goleada a las implementaciones nativas de Microsoft, en lo que a velocidad y escalabilidad en el servicio de ficheros se refiere. Se encuentra en producción en multitud de sitios, y su robustez y estabilidad permiten que pueda utilizarse de forma transparente para los usuarios, que, generalmente, no saben que están interactuando con un servidor Samba, y no con un servidor Windows. Para que Samba pueda controlar un dominio Windows, y convertirse en el PDC (Primary Domain Controller, o lo que es lo mismo, Controlador Primario de Dominio) del mismo, usando como base de datos de autentificación de máquinas y usuarios el servidor OpenLDAP que hemos configurado previamente, es necesario configurar los siguientes ficheros: 1. Fichero /etc/samba/smb.conf Este fichero es el 80% de una exitosa configuración de Samba como PDC usando OpenLDAP. La mayoría de los errores que nos pueden causar las estaciones Windows vienen propiciadas por configuraciones incorrectas de este fichero. Una forma de saber si, al menos, la sintaxis del fichero es correcta, antes de aplicar los cambios al servidor, es usar el comando testparm, que verifica que el fichero smb.conf contiene órdenes correctas sintácticamente hablando. Por ejemplo: [root@svr-2 etc]# testparm Load smb config files from /etc/samba/smb.conf Processing section "[homes]" Processing section "[netlogon]" Processing section "[printers]" Processing section "[print$]" Processing section "[pdf-generator]" Loaded services file OK. Server role: ROLE_DOMAIN_PDC Press enter to see a dump of your service definitions Aquí podemos ver que no hay errores, y que podemos aplicar los cambios al servidor. Voy a detallar los parámetros que hay que tocar en el fichero original de la distribución, y de qué manera: [global] # 1. Server Naming Options: # workgroup = NT-Domain-Name or Workgroup-Name workgroup = SBCDOMAIN Mandrake 10 Samba PDC+OpenLDAP 7

8 # Security mode. Most people will want user level security. See # security_level.txt for details. security = user encrypt passwords = yes local master = yes os level = 255 domain master = yes preferred master = yes domain logons = yes logon path = \\%L\Profiles\%U *** Si queremos utilizar los perfiles móviles (Roaming Profiles) de Windows (no muy recomendable, si no se usa con cuidado), buscar información acerca de la redirección de carpetas (Folder Redirection) add user script = /usr/share/samba/scripts/smbldap-useradd.pl -a -m '%u' delete user script = /usr/share/samba/scripts/smbldap-userdel.pl -r '%u' add user to group script = /usr/share/samba/scripts/smbldapgroupmod.pl -m '%u' '%g' delete user from group script = /usr/share/samba/scripts/smbldapgroupmod.pl -x '%u' '%g' set primary group script = /usr/share/samba/scripts/smbldapusermod.pl -g '%g' '%u' add group script = /usr/share/samba/scripts/smbldap-groupadd.pl '%g' && /usr/share/samba/scripts/smbldap-groupshow.pl %g awk '/^gidnumber:/ {print $2}' delete group script = /usr/share/samba/scripts/smbldap-userdel.pl '% g' *** ESTE es el corazón del uso de samba con openldap. En este conjunto de scripts, que forman parte de la distribución estándar de Samba, habilitan la interacción de Samba y OpenLDAP, para la gestión de usuarios y máquinas.*** add machine script = /usr/share/samba/scripts/smbldap-useradd.pl -w -d /dev/null -s /bin/false %u *** Este apartado, define el script necesario para unir una máquina Windows 2000/XP a un dominio.*** passdb backend = ldapsam:ldap://localhost idmap backend = ldap:ldap://localhost *** Este script configura a Samba para utilizar OpenLDAP como backend para la base de datos de contraseñas.*** idmap uid = Mandrake 10 Samba PDC+OpenLDAP 8

9 idmap gid = *** Este apartado, reserva números de usuario y grupo a posibles conexiones provenientes de otras máquinas del dominio, tales como otros servidores Samba*** ldap admin dn = cn=manager,dc=sbcdomain,dc=com ldap suffix = dc=sbcdomain,dc=com ldap machine suffix = ou=people ldap user suffix = ou=people ldap group suffix = ou=groups ldap idmap suffix = ou=idmap *** Aquí tenemos la configuración básica para que Samba pueda comunicarse con el servidor LDAP, tales como el dn del administrador (ldap admin dn), el sufijo (ldap suffix), y los contenedores a utilizar para almacenar las máquinas (host suffix), usuarios (user suffix) y grupos (group suffix). Es importante hacer notar que, debido a un bug de Samba 3, las máquinas (machine suffix) deben insertarse en el contenedor de los usuarios (user suffix). Este bug no permite usar el contenedor apropiado. (hosts, en este caso). Hay que ejecutar smbpasswd w contraseña_de_openldap para que samba tenga acceso a OpenLDAP*** dos charset = 850 unix charset = ISO *** Esto puede parecer supérfluo, pero en mi caso no lo es, ya que manejo ficheros tanto desde Linux, como desde Windows, y necesito que los nombres de fichero sean los mismos en ambos entornos.*** [netlogon] comment = Network Logon Service path = /var/lib/samba/netlogon guest ok = yes writable = no [Profiles] path = /var/lib/samba/profiles browseable = no guest ok = yes root preexec = PROFILE=/var/lib/samba/profiles/%u; if [! -e $PROFILE ]; \ then mkdir -pm700 $PROFILE; chown %u.%g $PROFILE;fi Mandrake 10 Samba PDC+OpenLDAP 9

10 Esto es todo, de momento, en lo que se refiere a smb.conf. El resto de opciones, tales como los directorios a compartir, quedan al libre albedrio del osado lector que ha sido capaz de llegar hasta aquí. Como he comentado más arriba, una vez salvado el fichero, es necesario ejecutar el comando smbpasswd w contraseña_de_openldap, para que samba pueda acceder a OpenLDAP. Ahora, verificaremos que la sintaxis del fichero smb.conf es correcta, ejecutando: root@svr-2 samba]# testparm Load smb config files from /etc/samba/smb.conf Processing section "[homes]" Processing section "[netlogon]" Processing section "[printers]" Processing section "[print$]" Processing section "[pdf-generator]" Loaded services file OK. Server role: ROLE_DOMAIN_PDC Parece que todo ha ido bien. Es hora de arrancar Samba: [root@svr-2 samba]# service smb start Iniciando servicios SMB: [ OK ] Reiniciando los servicios NMB: [ OK ] [root@svr-2 samba]# Perfecto. Ahora tenemos que obtener el SID del dominio. Un SID (Security IDentifier), es un número único que cada máquina windows en red posee. Este número es imprescindible para usar Samba con OpenLDAP. Según la documentación de Samba, para obtener este número se ejecuta en línea de comandos: [root@svr-2 samba]# net getlocalsid que da una salida como esta: SID for domain SVR-2 is: S Nota: se supone que esta es la forma de obtener este identificador, sin embargo, yo no he podido obtenerlo siempre. Según la documentación de Samba, hay que esperar unos minutos para que este número se genere, pero yo no he podido conseguirlo en muchas ocasiones. La solución a este problema la he encontrado ejecutando otro comando, en lugar del que he descrito más arriba: [root@svr-2 samba]# net rpc getsid Mandrake 10 Samba PDC+OpenLDAP 10

11 que da una salida como esta: Storing SID S for Domain SBCDOMAIN in secrets.tdb Bien, sea de una forma, o de la otra, hay que anotar este número y detener Samba con service smb stop 2. Fichero /etc/samba/smbldap_conf.pm En este fichero se define el comportamiento por defecto que van a tener las herramientas ldap de samba (smbldap tools), para la gestión y mantenimiento de los usuarios y grupos. Las smbldap tools son un conjunto de scripts Perl desarrollados por Idealx ( A continuación detallo los cambios a realizar en el fichero para adaptarlo a nuestro entorno: # General Configuration # UID and GID starting at... $UID_START = 1000; $GID_START = 1000; # Put your own SID # to obtain this number do: "net getlocalsid" $SID='S '; *** Aquí es donde tenemos que introducir el SID obtenido anteriormente *** # LDAP Configuration # Ex: $slaveldap = " "; $slaveldap = " "; $slaveport = "389"; # Master LDAP : needed for write operations # Ex: $masterldap = " "; $masterldap = " "; $masterport = "389"; *** Dirección IP del servidor LDAP. En nuestro caso, localhost *** # Use SSL for LDAP # If set to "1", this option will use start_tls for connection # (you should also used the port 389) $ldapssl = "0"; *** Ya que no usamos SSL, lo desactivamos *** $suffix = "dc=sbcdomain,dc=com"; Mandrake 10 Samba PDC+OpenLDAP 11

12 *** Sufijo para la conexión al servidor LDAP *** ou=users,dc=idealx,dc=org $usersou = q(people); $usersdn = "ou=$usersou,$suffix"; ou=computers,dc=idealx,dc=org $computersou = q(people); $computersdn = "ou=$computersou,$suffix"; ou=groups,dc=idealx,dc=org $groupsou = q(groups); $groupsdn = "ou=$groupsou,$suffix"; *** Definición de los contenedores LDAP donde se almacenarán las máquinas, usuarios y grupos de nuestro PDC *** $scope = "sub"; *** Ámbito de las búsquedas *** $hash_encrypt="ssha"; *** Encriptación por defecto de las contraseñas Unix *** $binddn = "cn=manager,$suffix"; $bindpasswd = "contraseña_adminstrador_servidor_ldap"; *** Credenciales necesarias para la conexión a OpenLDAP *** # SAMBA Configuration $_usersmbhome = q(\\\\svr-2\\); *** Directorio home por defecto *** $_userprofile = q(\\\\svr-2\\profiles\\); *** Directorio donde se almacena el perfil de usuario por defecto de windows *** $_userhomedrive = q(k:); *** Letra de unidad a asignar por defecto *** # The default user netlogon script name # if not used, will be automatically username.cmd $_userscript = q(startup.bat); # make sure script file is edited under dos Mandrake 10 Samba PDC+OpenLDAP 12

13 *** Logon script a asignar por defecto *** Bien, hasta aquí la configuración de las herramientas smbldap. Ahora, debemos arrancar el servidor Samba, y llenar el directorio OpenLDAP con los grupos y usuarios mínimos para poder empezar a trabajar con un PDC Windows. Este paso se lleva a cabo usando el script de las herramientas smbldap-tools smbldap-populate. Este script se encuentra en el directorio /usr/bin/, pero en realidad, es un enlace simbólico que, en Mandrake 10, apunta a /usr/share/samba/scripts/smbldappopulate.pl. El motivo de esta aclaración, es que todos los grupos y usuarios predefinidos a introducir en el PDC, están en perfecto inglés, y en lugar de la cuenta Administrador de Windows, vamos a tener su correspondiente en inglés, Administrator. Esto no es relevante desde el punto de vista de funcionamiento, ya que cada cuenta bien conocida de Windows (Well Known Accounts) tiene un número único que se obtiene a partir del SID del dominio, y añadiendo un identificador de usuario, se forma lo que se denomina RID. En el caso de estas cuentas ese identificador es fijo, sea cual sea la lengua del sistema operativo Windows que estemos usando. Nada nos impediría, pues, modificar smbldap-populate.pl, y traducir las entradas de los grupos y usuarios al idioma de nuestra elección. Sin embargo, yo no lo he traducido, y muestro aquí los nombres por defecto que trae, para no confundir (aún más ) al lector. 3. Inserción de los grupos y usuarios Windows en el servidor LDAP. Ejecutamos el comando: [root@svr-2 samba]# smbldap-populate Using builtin directory structure adding new entry: dc=sbcdomain,dc=com adding new entry: ou=people,dc=sbcdomain,dc=com adding new entry: ou=groups,dc=sbcdomain,dc=com adding new entry: ou=people,dc=sbcdomain,dc=com failed to add entry: Already exists at /usr/bin/smbldap-populate line 323, <GEN1> line 5. adding new entry: uid=administrator,ou=people,dc=sbcdomain,dc=com adding new entry: uid=nobody,ou=people,dc=sbcdomain,dc=com adding new entry: cn=domain Admins,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=domain Users,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=domain Guests,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=administrators,ou=groups,dc=sbcdomain,dc=com adding new entry: cn=users,ou=groups,dc=sbcdomain,dc=com adding new entry: cn=guests,ou=groups,dc=sbcdomain,dc=com adding new entry: cn=power Users,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=account Operators,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=server Operators,ou=Groups,dc=sbcdomain,dc=com Mandrake 10 Samba PDC+OpenLDAP 13

14 adding new entry: cn=print Operators,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=backup Operators,ou=Groups,dc=sbcdomain,dc=com adding new entry: cn=replicator,ou=groups,dc=sbcdomain,dc=com adding new entry: cn=domain Computers,ou=Groups,dc=sbcdomain,dc=com Observamos que existe un error en una línea. Es debido a que, en el fichero / etc/smbldap_conf.pm, hemos definido que el grupo de usuarios y máquinas vaya en el mismo contenedor (People), y al intentar crear un segundo People, nos avisa de que ya existe. Es seguro ignorarlo. Ahora necesitamos realizar algunas comprobaciones, para verificar que el sistema es capaz de encontrar tanto los usuarios almacenados en el servidor LDAP, como los grupos de Windows mapeados: [root@svr-2 backup ldap]# net groupmap list more Domain Admins (S ) -> Domain Admins Domain Users (S ) -> Domain Users Domain Guests (S ) -> Domain Guests Administrators (S ) -> Administrators users (S ) -> Users Guests (S ) -> Guests Power Users (S ) -> Power Users Account Operators (S ) -> Account Operators Server Operators (S ) -> Server Operators Print Operators (S ) -> Print Operators Backup Operators (S ) -> Backup Operators Replicator (S ) -> Replicator Domain Computers (S ) -> Domain Computers Maravilloso. El módulo nss_ldap, está haciendo su trabajo. 4. Modificación del usuario Administrator En los dominios Windows, existe la figura del Administrador del Dominio, que es el que tiene potestad para añadir máquinas y usuarios al mismo. Cuando se desea unir una máquina Windows a un dominio, debe existir en la base de datos de usuarios del dominio (OpenLDAP, en este caso) un usuario con uid=0, ya que la máquina Windows así lo requiere, si no, falla la autentificación y da un error de acceso denegado. Este aspecto me tuvo cavilando un poco de tiempo, ya que NO tenía forma de saber cómo hacerlo. Revisando documentación en Internet, me encontre un How-To en italiano muy majo, (un poco corto, pero muy majo), que me resolvió la duda en un abrir y cerrar de ojos. Es tan simple como ejecutar: Mandrake 10 Samba PDC+OpenLDAP 14

15 samba]# smbldap-usermod -u 0 Administrator Y ya está. Evidentemente, hemos de asignar también la contraseña al Administrador del dominio: [root@svr-2 samba]# smbldap-passwd Administrator Changing password for Administrator New password : Introducimos la contraseña, y la repetimos para verificar. Con esto, estamos listos para añadir máquinas y usuarios al dominio. 5. Adición de una máquina al dominio, y creación de un usuario del dominio. Desde una máquina Windows 2000 o Windows XP Professional (ojo, NO se puede añadir una máquina Windows XP Home a un dominio Windows. Esto es así por diseño del sistema de Microsoft.) o o o o o o Inicio->Configuración->Panel de Control->Sistema->Nombre de Equipo Hacer click sobre el botón Cambiar En Miembro de seleccionar Dominio e introducir el nombre del dominio seleccionado. (campo workgroup del fichero /etc/samba/smb.conf) Click en Aceptar Aparecerá una ventana pidiendo nombre de usuario y contraseña del administrador con permisos para añadir la maquina al dominio. Es Administrator y la contraseña introducida. Hacemos click en Aceptar y esperamos un momento. Tras este momento, un mensaje nos dará la bienvenida al dominio. Desde el servidor, añadimos un usuario desde la línea de comandos: Smbldap-useradd a m usuario Smbldap-passwd usuario Reiniciamos la estación de trabajo windows, y en el login, aparecerá el nuevo dominio. Lo seleccionamos, e introducimos el nombre de usuario y contraseña que dimos de alta en el paso anterior. Si todo ha ido bien, nos encontraremos una estación de trabajo windows, con login en red, autentificado contra un PDC Samba con backend OpenLDAP. Hemos conseguido nuestro objetivo. Felicidades. Mandrake 10 Samba PDC+OpenLDAP 15

16 Bibliografía. Mandrake 10 Samba PDC+OpenLDAP 16