Verwalten der Samba4 Active Directory-Infrastruktur von Windows10 über RSAT - Teil 3

In diesem Teil der Samba4 AD DC-Infrastrukturserie werden wir darüber sprechen, wie Sie einen Windows 10-Computer in einen Samba4-Bereich einbinden und wie Sie die Domäne von einer Windows 10-Workstation aus verwalten.

Sobald ein Windows 10-System mit Samba4 AD DC verbunden wurde, können wir Domänenbenutzer und -gruppen erstellen, entfernen oder deaktivieren, wir können neue Organisationseinheiten erstellen, wir können Domänenrichtlinien erstellen, bearbeiten und verwalten oder wir können den Samba4-Domänen-DNS-Dienst verwalten.

Alle oben genannten Funktionen und andere komplexe Aufgaben rund um die Domain-Verwaltung können über jede moderne Windows-Plattform mit Hilfe von RSAT – Microsoft Remote Server Administration Tools realisiert werden.

Anforderungen

Erstellen einer AD-Infrastruktur mit Samba4 auf Ubuntu 16.04 – Teil 1
Verwalten der Samba4 AD-Infrastruktur über die Linux-Befehlszeile – Teil 2
Verwalten von Samba4 AD-Domänencontrollern, DNS und Gruppenrichtlinien von Windows aus – Teil 4

Schritt 1: Konfigurieren der Domänenzeitsynchronisierung

1. Bevor wir mit der Verwaltung von Samba4 ADDC von Windows 10 aus mit Hilfe von RSAT-Tools beginnen, müssen wir einen wichtigen Dienst kennen und uns um ihn kümmern, der für ein Active Directory erforderlich ist, und dieser Dienst bezieht sich auf eine genaue Zeitsynchronisierung.

Die Zeitsynchronisation kann vom NTP-Daemon in den meisten Linux-Distributionen angeboten werden. Die standardmäßige maximale Zeitabweichung, die ein AD unterstützen kann, beträgt etwa 5 Minuten.

Wenn die Abweichungszeit mehr als 5 Minuten beträgt, sollten verschiedene Fehler auftreten, vor allem in Bezug auf AD-Benutzer, verbundene Maschinen oder den freigegebenen Zugriff.

Führen Sie den folgenden Befehl aus, um den Network Time Protocol-Daemon und das NTP-Client-Dienstprogramm in Ubuntu zu installieren.

$ sudo apt-get install ntp ntpdate

2. Öffnen und bearbeiten Sie als Nächstes die NTP-Konfigurationsdatei und ersetzen Sie die standardmäßige NTP-Poolserverliste durch eine neue Liste von NTP-Servern, die sich geografisch in der Nähe Ihres aktuellen physischen Gerätestandorts befinden.

Die Liste der NTP-Server kann auf der offiziellen Webseite des NTP Pool Project http://www.pool.ntp.org/en/ abgerufen werden.

$ sudo nano /etc/ntp.conf

Kommentieren Sie die Standardserverliste, indem Sie ein # vor jeder Poolzeile hinzufügen, und fügen Sie die folgenden Poolzeilen mit den richtigen NTP-Servern hinzu, wie im folgenden Screenshot dargestellt.

pool 0.ro.pool.ntp.org iburst
pool 1.ro.pool.ntp.org iburst
pool 2.ro.pool.ntp.org iburst

Use Ubuntu's ntp server as a fallback.
pool 3.ro.pool.ntp.org

3. Schließen Sie die Datei noch nicht. Verschieben Sie die Datei an den Anfang und fügen Sie die folgende Zeile nach der driftfile-Anweisung hinzu. Dieses Setup ermöglicht es den Clients, den Server mithilfe von AD-signierten NTP-Anforderungen abzufragen.

ntpsigndsocket /var/lib/samba/ntp_signd/

4. Wechseln Sie schließlich zum Ende der Datei und fügen Sie die folgende Zeile hinzu, wie im folgenden Screenshot dargestellt, sodass Netzwerkclients nur die Uhrzeit auf dem Server abfragen können.

restrict default kod nomodify notrap nopeer mssntp

5. Wenn Sie fertig sind, speichern und schließen Sie die NTP-Konfigurationsdatei und erteilen Sie dem NTP-Dienst die entsprechenden Berechtigungen, um das ntp_signed Verzeichnis zu lesen.

Dies ist der Systempfad, in dem sich der Samba NTP-Socket befindet. Starten Sie anschließend den NTP-Daemon neu, um die Änderungen zu übernehmen und zu überprüfen, ob NTP offene Sockets in Ihrer Systemnetzwerktabelle hat, indem Sie den Befehl netstat in Kombination mit dem grep-Filter verwenden.

$ sudo chown root:ntp /var/lib/samba/ntp_signd/
sudo chmod 750 /var/lib/samba/ntp_signd/
sudo systemctl restart ntp
sudo netstat –tulpn | grep ntp

Verwenden Sie das Befehlszeilenprogramm ntpq, um den NTP-Daemon zusammen mit dem Flag -p zu überwachen, um eine Zusammenfassung des Peer-Status zu drucken.

$ ntpq -p

Schritt 2: Beheben von NTP-Zeitproblemen

6. Manchmal bleibt der NTP-Daemon bei Berechnungen hängen, wenn er versucht, die Zeit mit einem Upstream-NTP-Server-Peer zu synchronisieren, was zu den folgenden Fehlermeldungen führt, wenn er manuell versucht, die Zeitsynchronisierung durch Ausführen des Dienstprogramms ntpdate auf einer Client-Seite zu erzwingen:

# ntpdate -qu adc1
ntpdate[4472]: no server suitable for synchronization found

Bei Verwendung des Befehls ntpdate mit dem Flag -d.

# ntpdate -d adc1.tecmint.lan
Server dropped: Leap not in sync

7. Um dieses Problem zu umgehen, verwenden Sie den folgenden Trick, um das Problem zu lösen: Beenden Sie auf dem Server den NTP-Dienst und verwenden Sie das Client-Dienstprogramm ntpdate, um die Zeitsynchronisierung mit einem externen Peer manuell zu erzwingen, indem Sie das Flag -b verwenden, wie unten gezeigt:

# systemctl stop ntp.service
# ntpdate -b 2.ro.pool.ntp.org  [your_ntp_peer]
systemctl start ntp.service
systemctl status ntp.service

8. Nachdem die Uhrzeit genau synchronisiert wurde, starten Sie den NTP-Daemon auf dem Server und überprüfen Sie auf der Client-Seite, ob der Dienst bereit ist, Zeit für lokale Clients bereitzustellen, indem Sie den folgenden Befehl ausführen:

# ntpdate -du adc1.tecmint.lan    [your_adc_server]

Inzwischen sollte der NTP-Server wie erwartet funktionieren.

Schritt 3: Verbinden Sie Windows 10 mit Realm

9. Wie wir in unserem vorherigen Tutorial gesehen haben, kann Samba4 Active Directory über die Befehlszeile mit der Samba-Tool-Dienstprogrammschnittstelle verwaltet werden, auf die direkt über die VTY-Konsole des Servers zugegriffen oder eine Remote-Verbindung über SSH hergestellt werden kann.

Eine andere, intuitivere und flexiblere Alternative wäre die Verwaltung unseres Samba4 AD Domain Controllers über die Microsoft Remote Server Administration Tools (RSAT) von einem in die Domäne integrierten Windows-Arbeitsplatz. Diese Tools sind in fast allen modernen Windows-Systemen verfügbar.

Das Einbinden von Windows 10 oder älteren Versionen des Microsoft-Betriebssystems in Samba4 AD DC ist sehr einfach. Stellen Sie zunächst sicher, dass auf Ihrer Windows 10-Workstation die richtige Samba4-DNS-IP-Adresse konfiguriert ist, um den richtigen Realm-Resolver abzufragen.

Öffnen Sie Systemsteuerung -> Netzwerk und Internet -> Netzwerk- und Freigabecenter -> Ethernet-Karte -> Eigenschaften -> IPv4 -> Eigenschaften -> Verwenden Sie die folgenden DNS-Serveradressen und platzieren Sie die Samba4 AD-IP-Adresse manuell an der Netzwerkschnittstelle, wie in den folgenden Screenshots dargestellt.

Hier ist 192.168.1.254 die IP-Adresse des Samba4 AD Domain Controllers, der für die DNS-Auflösung verantwortlich ist. Ersetzen Sie die IP-Adresse entsprechend.

10. Übernehmen Sie als Nächstes die Netzwerkeinstellungen, indem Sie auf die Schaltfläche OK klicken, öffnen Sie eine Eingabeaufforderung und geben Sie einen Ping für den generischen Domänennamen und den Samba4-Host-FQDN aus, um zu testen, ob der Bereich über die DNS-Auflösung erreichbar ist.

ping tecmint.lan
ping adc1.tecmint.lan

11. Wenn der Resolver korrekt auf DNS-Abfragen des Windows-Clients antwortet, müssen Sie sicherstellen, dass die Uhrzeit genau mit dem Bereich synchronisiert ist.

Öffnen Sie die Systemsteuerung -> Uhr, Sprache und Region -> Uhrzeit und Datum festlegen -> Registerkarte Internetzeit -> Einstellungen ändern und schreiben Sie Ihren Domainnamen in das Feld Synchronisieren mit und Internet-Zeitserver.

Klicken Sie auf die Schaltfläche Jetzt aktualisieren, um die Zeitsynchronisierung mit dem Bereich zu erzwingen, und klicken Sie auf OK, um das Fenster zu schließen.

12. Treten Sie abschließend der Domäne bei, indem Sie Systemeigenschaften -> Ändern -> Mitglied der Domäne öffnen, schreiben Sie Ihren Domänennamen, klicken Sie auf OK, geben Sie die Anmeldeinformationen für Ihr Domänenadministratorkonto ein und klicken Sie erneut auf OK.

Es sollte ein neues Pop-up-Fenster geöffnet werden, in dem Sie darüber informiert werden, dass Sie Mitglied der Domain sind. Klicken Sie auf OK, um das Popup-Fenster zu schließen und den Computer neu zu starten, um die Domänenänderungen zu übernehmen.

Der folgende Screenshot veranschaulicht diese Schritte.

13. Klicken Sie nach dem Neustart auf Anderer Benutzer und melden Sie sich mit einem Samba4-Domänenkonto mit Administratorrechten bei Windows an, und Sie sollten bereit sein, mit dem nächsten Schritt fortzufahren.

Schritt 4: Verwalten des Samba4 AD DC mit RSAT

14. Die Microsoft Remote Server Administration Tools (RSAT), die weiterhin zur Verwaltung von Samba4 Active Directory verwendet werden, können je nach Windows-Version unter den folgenden Links heruntergeladen werden:

Windows 10: https://www.microsoft.com/de-de/download/details.aspx?id=45520
Windows 8.1: http://www.microsoft.com/de-de/download/details.aspx?id=39296
Windows 8: http://www.microsoft.com/de-de/download/details.aspx?id=28972
Windows 7: http://www.microsoft.com/de-de/download/details.aspx?id=7887

Nachdem das eigenständige Update-Installationspaket für Windows 10 auf Ihr System heruntergeladen wurde, führen Sie das Installationsprogramm aus, warten Sie, bis die Installation abgeschlossen ist, und starten Sie den Computer neu, um alle Updates anzuwenden.

Öffnen Sie nach dem Neustart Systemsteuerung -> Programme (Programm deinstallieren) -> Windows-Funktionen ein- oder ausschalten und überprüfen Sie alle Remoteserver-Verwaltungstools.

Klicken Sie auf OK, um die Installation zu starten, und starten Sie das System nach Abschluss des Installationsvorgangs neu.

15. Um auf die RSAT-Tools zuzugreifen, gehen Sie zu Systemsteuerung -> System und Sicherheit -> Verwaltung.

Die Werkzeuge finden Sie auch im Menü Verwaltung im Startmenü. Alternativ können Sie Windows MMC öffnen und Snap-Ins über das Menü Datei -> Snap-In hinzufügen/entfernen hinzufügen.

Die am häufigsten verwendeten Tools wie AD UC, DNS und Gruppenrichtlinienverwaltung können direkt vom Desktop aus gestartet werden, indem Verknüpfungen mit der Funktion "Senden an" aus dem Menü erstellt werden.

16. Sie können die RSAT-Funktionalität überprüfen, indem Sie AD UC öffnen und die Domäne Computer auflisten (neu beigetretene Windows-Computer sollten in der Liste angezeigt werden), eine neue Organisationseinheit oder einen neuen Benutzer oder eine neue Gruppe erstellen.

Überprüfen Sie, ob die Benutzer oder Gruppen ordnungsgemäß erstellt wurden, indem Sie den Befehl wbinfo von der Samba4-Serverseite ausgeben.