Erstellen einer Active Directory-Infrastruktur mit Samba4 auf Ubuntu - Teil 1

Samba ist eine kostenlose Open-Source-Software, die eine standardmäßige Interoperabilität zwischen Windows-Betriebssystemen und Linux/Unix-Betriebssystemen bietet.

Samba kann über die SMB/CIFS-Protokollsuite als eigenständiger Datei- und Druckserver für Windows- und Linux-Clients betrieben werden oder als Active Directory-Domänencontroller fungieren oder als Domänenmitglied in einen Realm eingebunden werden. Die höchste AD DC-Domänen- und Gesamtstrukturebene, die Samba4 derzeit emulieren kann, ist Windows 2008 R2.

Die Serie trägt den Titel Einrichten des Samba4 Active Directory-Domänencontrollers und behandelt die folgenden Themen für Ubuntu, CentOS und Windows:

In diesem Tutorial werden zunächst alle Schritte erläutert, die Sie ausführen müssen, um Samba4 als Domain Controller unter Ubuntu 16.04 und Ubuntu 14.04 zu installieren und zu konfigurieren.

Diese Konfiguration bietet einen zentralen Verwaltungspunkt für Benutzer, Computer, Volume-Freigaben, Berechtigungen und andere Ressourcen in einer durcheinander gewürfelten Windows- und Linux-Infrastruktur.

Anforderungen:

Ubuntu 16.04 Server-Installation.
Ubuntu 14.04 Server-Installation.
Eine statische IP-Adresse, die für den AD-Domänencontrollerserver konfiguriert ist.

Schritt 1: Erstkonfiguration für Samba4

1. Bevor Sie mit der Installation von Samba4 AD DC fortfahren, führen Sie zunächst einige erforderliche Schritte aus. Stellen Sie zunächst sicher, dass das System mit den neuesten Sicherheitsfunktionen, Kernels und Paketen auf dem neuesten Stand ist, indem Sie den folgenden Befehl ausführen:

$ sudo apt-get update 
sudo apt-get upgrade
sudo apt-get dist-upgrade

2. Öffnen Sie als Nächstes die Datei /etc/fstab und stellen Sie sicher, dass im Dateisystem Ihrer Partition ACLs aktiviert sind, wie im folgenden Screenshot dargestellt.

In der Regel unterstützen gängige moderne Linux-Dateisysteme wie ext3, ext4, xfs oder btrfs ACLs und haben standardmäßig aktivierte ACLs. Wenn dies bei Ihrem Dateisystem nicht der Fall ist, öffnen Sie einfach die Datei /etc/fstab zur Bearbeitung und fügen Sie am Ende der dritten Spalte eine acl-Zeichenkette hinzu und starten Sie den Rechner neu, um die Änderungen zu übernehmen.

3. Richten Sie schließlich den Hostnamen Ihres Rechners mit einem beschreibenden Namen ein, wie z. B. adc1, der in diesem Beispiel verwendet wird, indem Sie die Datei /etc/hostname bearbeiten oder ausgeben.

$ sudo hostnamectl set-hostname adc1

Nachdem Sie den Computernamen geändert haben, ist ein Neustart erforderlich, um die Änderungen zu übernehmen.

Schritt 2: Installieren der erforderlichen Pakete für Samba4 AD DC

4. Um Ihren Server in einen Active Directory-Domänencontroller umzuwandeln, installieren Sie Samba und alle erforderlichen Pakete auf Ihrem Computer, indem Sie den folgenden Befehl mit Root-Rechten in einer Konsole ausführen.

$ sudo apt-get install samba krb5-user krb5-config winbind libpam-winbind libnss-winbind

5. Während der Installation werden vom Installationsprogramm eine Reihe von Fragen gestellt, um den Domänencontroller zu konfigurieren.

Auf dem ersten Bildschirm müssen Sie einen Namen für Kerberos default REALM in Großbuchstaben hinzufügen. Geben Sie den Namen, den Sie für Ihre Domain verwenden werden, in Großbuchstaben ein und drücken Sie die Eingabetaste, um fortzufahren.

6. Geben Sie als Nächstes den Hostnamen des Kerberos-Servers für Ihre Domäne ein. Verwenden Sie den gleichen Namen wie für Ihre Domain, diesmal in Kleinbuchstaben, und drücken Sie die Eingabetaste, um fortzufahren.

7. Geben Sie abschließend den Hostnamen für den Verwaltungsserver Ihres Kerberos-Bereichs an. Verwenden Sie dieselbe wie Ihre Domain und drücken Sie die Eingabetaste, um die Installation abzuschließen.

Schritt 3: Bereitstellen von Samba AD DC für Ihre Domäne

8. Bevor Sie mit der Konfiguration von Samba für Ihre Domäne beginnen, führen Sie zunächst die folgenden Befehle aus, um alle Samba-Daemons zu stoppen und zu deaktivieren.

$ sudo systemctl stop samba-ad-dc.service smbd.service nmbd.service winbind.service
sudo systemctl disable samba-ad-dc.service smbd.service nmbd.service winbind.service

9. Benennen Sie als Nächstes die ursprüngliche Samba-Konfiguration um oder entfernen Sie sie. Dieser Schritt ist unbedingt erforderlich, bevor Samba AD bereitgestellt wird, da Samba zum Zeitpunkt der Bereitstellung eine neue Konfigurationsdatei von Grund auf neu erstellt und einige Fehler auswirft, falls eine alte smb.conf-Datei gefunden wird.

$ sudo mv /etc/samba/smb.conf /etc/samba/smb.conf.initial

10. Starten Sie nun interaktiv die Domänenbereitstellung, indem Sie den folgenden Befehl mit Root-Rechten eingeben und die Standardoptionen akzeptieren, die Samba Ihnen zur Verfügung stellt.

Stellen Sie außerdem sicher, dass Sie die IP-Adresse für eine DNS-Weiterleitung an Ihrem Standort (oder extern) angeben, und wählen Sie ein sicheres Kennwort für das Administratorkonto. Wenn Sie ein Wochenpasswort für das Administratorkonto auswählen, schlägt die Bereitstellung der Domain fehl.

$ sudo samba-tool domain provision --use-rfc2307 --interactive

11. Benennen Sie abschließend die Kerberos-Hauptkonfigurationsdatei um oder entfernen Sie sie aus dem Verzeichnis /etc und ersetzen Sie sie durch einen symbolischen Link mit der neu generierten Samba-Kerberos-Datei, die sich im Pfad /var/lib/samba/private befindet, indem Sie die folgenden Befehle ausführen:

$ sudo mv /etc/krb5.conf /etc/krb5.conf.initial
sudo ln -s /var/lib/samba/private/krb5.conf /etc/

12. Starten und aktivieren Sie die Samba Active Directory Domain Controller-Daemons.

$ sudo systemctl start samba-ad-dc.service
sudo systemctl status samba-ad-dc.service
sudo systemctl enable samba-ad-dc.service

13. Verwenden Sie als Nächstes den Befehl netstat, um die Liste aller Dienste zu überprüfen, die ein Active Directory benötigt, um ordnungsgemäß ausgeführt zu werden.

$ sudo netstat –tulpn| egrep ‘smbd|samba’

Schritt 4: Endgültige Samba-Konfigurationen

14. Zu diesem Zeitpunkt sollte Samba bei Ihnen vor Ort voll funktionsfähig sein. Die höchste Domänenebene, die Samba emuliert, sollte Windows AD DC 2008 R2 sein.

Es kann mit Hilfe des Dienstprogramms samba-tool überprüft werden.

$ sudo samba-tool domain level show

15. Damit die DNS-Auflösung lokal funktioniert, müssen Sie die Netzwerkschnittstelleneinstellungen öffnen und bearbeiten und die DNS-Auflösung anzeigen, indem Sie die Anweisung dns-nameservers auf die IP-Adresse Ihres Domain-Controllers ändern (verwenden Sie 127.0.0.1 für die lokale DNS-Auflösung) und die Anweisung dns-search, um auf Ihren Bereich zu verweisen.

$ sudo cat /etc/network/interfaces
sudo cat /etc/resolv.conf

Wenn Sie fertig sind, starten Sie Ihren Server neu und werfen Sie einen Blick auf Ihre Resolver-Datei, um sicherzustellen, dass sie auf die richtigen DNS-Nameserver verweist.

16. Testen Sie abschließend den DNS-Resolver, indem Sie Abfragen und Pings für einige wichtige AD DC-Einträge ausgeben, wie im folgenden Auszug gezeigt. Ersetzen Sie den Domainnamen entsprechend.


ping -c3 tecmint.lan         #Domain Name
ping -c3 adc1.tecmint.lan   #FQDN
ping -c3 adc1               #Host

Führen Sie die folgenden Abfragen für den Samba Active Directory Domain Controller aus.


host -t A tecmint.lan
host -t A adc1.tecmint.lan
host -t SRV _kerberos._udp.tecmint.lan  # UDP Kerberos SRV record
host -t SRV _ldap._tcp.tecmint.lan # TCP LDAP SRV record

17. Überprüfen Sie außerdem die Kerberos-Authentifizierung, indem Sie ein Ticket für das Domänenadministratorkonto anfordern und das zwischengespeicherte Ticket auflisten. Schreiben Sie den Teil des Domänennamens in Großbuchstaben.

$ kinit [email 
klist

Das ist alles! Jetzt haben Sie einen voll funktionsfähigen AD-Domänencontroller in Ihrem Netzwerk installiert und können mit der Integration von Windows- oder Linux-Maschinen in Samba AD beginnen.