Xavi: Nova páxina: "== INTRODUCCIÓN == O obxectivo deste tutorial é explicar como se pode configurar unha equipa Linux pra que realice a autenticación dos usuarios mediante un PDC (Primary Domain..."

2014-06-26T09:13:04Z

Nova páxina: "== INTRODUCCIÓN == O obxectivo deste tutorial é explicar como se pode configurar unha equipa Linux pra que realice a autenticación dos usuarios mediante un PDC (Primary Domain..."

Páxina nova

== INTRODUCCIÓN ==

O obxectivo deste tutorial é explicar como se pode configurar unha equipa Linux pra que realice a autenticación dos usuarios mediante un PDC (Primary Domain Controller), xa sexa un ordenador Windows 2000/NT ou un Linux/Unix con samba. A autenticación en rede pode realizarse de varios xeitos, como NIS, NIS+ ou Kerberos, aínda que este documento únicamente trata a autenticación mediante PDC. Nos seguintes apartados se comentará como configurar unha equipa con Linux pra que autentifique os seus usuarios mediante un PDC si o usuario non está de alta no sistema local (/etc/passwd e /etc/shadow), xa que en ese caso se realizará unha autenticación tradicional. Tamén se comentará o xeito de mapear os usuarios do PDC a usuarios locais UNIX asignándolles un UID (número de usuario) e un GID (número de grupo) e como crear automáticamente os homes dos usuarios.

== WINBIND. ==

O demo '''winbindd''' permite a unha equipa Linux formar parte dun dominio Windows NT/2000, e como membro do dominio ver os usuarios e grupos NT/2000 como si fosen usuarios Linux. O resultado final é que cando un programa no sistema Linux (por exemplo ''login'') necesita autenticación de usuario, o sistema operativo pode realizala mediante o PDC. Os nomes de usuario terán a forma '''DOMINIO/usuario''' e '''DOMINIO/grupo''', sendo posible elexir o caracter pra separar o dominio do nome de usuario ou grupo (neste caso /). A equipa de programación de Samba implementou as chamadas RPC (Remote Procedure Call) de Windows necesarias pra manexo remoto, autenticación e spool de impresión, esto permite listar os usuarios e grupos, obter información detallada sobre os mesmos, autenticar usuarios contra o PDC e cambiar a password dos usuarios do PDC dende unha máquina Linux. Winbind mapea automáticamente a información das contas no NT/2000 a usuarios e grupos Linux.

== NSS (''Name Service Switch''). ==

'''NSS''' (''Name Service Switch'') é unha característica de moitos sistemas UNIX que permite obter información sobre nomes de hosts, alias de correo e información sobre os usuarios a partir de distintas fontes de información, por exemplo dende ficheiros de texto no sistema local, dun servidor NIS ou dun servidor DNS. NSS permite polo tanto a winbind actuar coma un proveedor de información NSS que resolve nomes de usuarios e grupos. Gracias a esto é posible obter os usuarios e grupos mediante chamadas UNIX estándar como si se tratara de usuarios e grupos locais. O ficheiro de configuración de NSS é '''/etc/nsswitch.conf'''. Cando un sistema UNIX fai unha petición búscase en este ficheiro unha liña que coincida co servicio solicitado, por exemplo ''passwd'' cando se buscan usuarios ou grupos. Esta liña especifica que proveedor de información vai a resolver a petición e en qué orde. Por exemplo:

passwd files example

Con esta liña se intentará a carga de '''/lib/libnss_files.so''' pra realizar a autenticación, e se falla o intentará con '''/lib/libnss_example.so'''. Winbind proporciona o módulo '''libnss_winbind.so''' que ten que estar situado no directorio /lib.

== PAM (''Pluggable Authenticate Modules''). ==

Mediante os módulos PAM é posible especificar distintos métodos de autenticación pra diferentes aplicacións do sistema sen necesidade de recompilalas, ademáis da ofrecer a posibilidade de elexir entre varias políticas de autorización. Por exemplo pódese configurar o sistema pra permitir logins na consola so ós usuarios que estén en /etc/passwd, e acceder mediante telnet únicamente ós usuarios autenticados mediante NIS. Winbind utiliza o interface PAM pra integrar ós usuarios NT no sistema Linux permitindo a autenticación contra un PDC ou cambiar a password dos usuarios no PDC. Pra facer esto Winbind proporciona un módulo chamado '''pam_winbind.so''' que debe estar situado no directorio /lib/security.

== MANEXO DOS UIDs e GIDs. ==

Os usuarios e grupos NT usan un identificador numérico chamado RID que é distinto do rango de números utilizado polos sistemas Linux/Unix para os usuarios e os grupos. É responsabilidade de winbind a conversión entre os RIDs de Windows e os UIDs e GIDs Linux. No momento da configuración é necesario especificar un conxunto de IDs numéricas entre os que escollerá winbind pra facer o mapeo de usuarios. Este mapeo de usuarios vaise facendo dun xeito secuencial según van iniciando sesión os usuarios por primeira vez, e se almacena nunha base de datos local. Pra optimizar o uso do ancho de banda da rede a información dos usuarios (como a password) almacénase nunha caché local utilizando unha clave suministrada polo PDC. Cando a información do usuario cambia o PDC incrementa esa clave. Winbind compara as claves local e a enviada polo PDC pra detectar cando expira a caché coa información dos usuarios.

== INSTALACIÓN. ==

Pra facer uso de winbind é necesario ter instalado e funcionando samba no equipo.

=== Configuración NSS ===

O arquivo ''libnss_winbind.so'' ten que estar situado no directorio /lib e con permiso de execución universal. Tamén pode ser necesario un enlace simbólico ([link|L) chamado ''libnss_winbind.so.2'' correspondendo o ''2'' á versión de glibc que se esté a utilizar (si se estivera usando glibc 1, o enlace sería libnss_wonbind.so.1). No ficheiro '''/etc/nsswitch.conf''' é necesario modificar as liñas axeitadas pra que queden do seguinte modo:

passwd: files winbind shadow: files group: files winbind

=== Configuración de smb.conf ===

No arquivo ''smb.conf'' situado normalmente en ''/etc/samba'' é necesario poñer as seguintes liñas na sección [global]:

winbind separator = + winbind uid = 10000-20000 winbind gid = 10000-20000 winbind enum users = yes winbind enum groups = yes template homedir = /home/%D/%U template shell = /bin/bash

''winbind separator'' especifica o separador a utilizar entre o dominio é o nome de usuario. Neste caso o usuario tomará a forma DOMINIO/usuario.

''winbind uid'' e ''winbind gid'' indican o rango de valores que se colle pra facer o mapeo de usuarios entre o RID e o UID e GID.

''winbind enum users'' e ''winbind enum groups'' indica si se permite o listado dos usuarios e grupos do PDC. Pode desactivarse pra mellora-lo rendemento.

''template homedir'' e ''template shell'' especifican respectivamente o '''home''' dos usuarios e o [modules.php?op=modload&name=phpWiki&file=index&pagename=S shell] a utilizar nas sesións interactivas (ssh, telnet, login ...).

=== Unión o PDC (Primary Domain Controller). ===

Pra unir o equipo ó dominio servido polo PDC se utiliza o seguinte comando:

''smbpasswd -j DOMINIO -r PDC -U Administrador''

Donde ''Administrador'' é un usuario do dominio con permiso pra engadir equipos ó dominio DOMINIO, e sendo DOMINIO o nome do dominio. Se todo funciona correctamente amosarase unha mensaxe '''''Joined the domain DOMINIO'''''.

=== Proba do Winbind. ===

Agora podemos probar o sistema. Pra esto é necesario arrancar o demo '''winbind'''. En RedHat hay un script de arranque do servicio en ''/etc/init.d/'' chamado ''winbind'', co que bastará con escribir ''/etc/init.d/winbind start'' . Tamén é posible chamar directamente á aplicación ''winbindd''. Unha vez arrancado o servicio é posible realizar as seguintes accións:

* ''wbinfo -u''<nowiki>: Obtén unha lista dos usuarios do PDC. </nowiki>
* ''wbinfo -g''<nowiki>: Obtén unha lista dos grupos do PDC. </nowiki>
* ''getent passwd''<nowiki>: Obtén unha lista dos usuarios do PDC e dos usuarios locais. </nowiki>
* ''getent group''<nowiki>: Obtén unha lista dos grupos do PDC e dos grupos locais. </nowiki>

=== Configuración PAM. ===

É necesario configurar PAM pra permitir a autenticación para os servicios de acceso (por exemplo ssh e login). Pra esto precisamos que o arquivo ''pam_winbind.so'' esté situado no directorio ''/lib/security'' e posteriormente configurar o ficheiro de ''/etc/pam.d'' axeitado para o servicio de acceso. Seguidamente veremos un exemplo de configuración pra login e pra ssh:

* ''login''

#%PAM-1.0
auth required /lib/security/pam_securetty.so
auth sufficient /lib/security/pam_winbind.so
auth required /lib/security/pam_stack.so service=system_auth
auth required /lib/security/pam_nologin.so
account sufficient /lib/security/pam_winbind.so
account required /lib/security/pam_stack.so service=system_auth
password required /lib/security/pam_stack.so service=system_auth
session required /lib/security/pam_stack.so service=system_auth
session optional /lib/security/pam_console.so

* ''sshd''

#%PAM-1.0
auth required /lib/security/pam_stack.so service=system_auth
auth sufficient /lib/security/pam_winbind.so
auth required /lib/security/pam_nologin.so
account sufficient /lib/security/pam_winbind.so
account required /lib/security/pam_stack.so service=system_auth
password required /lib/security/pam_stack.so service=system_auth
session required /lib/security/pam_stack.so service=system_auth
session required /lib/security/pam_limits.so
session optional /lib/security/pam_console.so

Tamén é posible configurar PAM para samba de xeito que se creen automáticamente os homes dos usuarios:

#%PAM-1.0
auth required pam_nologin.so
auth required pam_stack.so service=system_auth
account required pam_stack.so service=system_auth
session required pam_mkhomedir.so skel=/etc/sambaskel umask=0022
session required pam_stack.so service=system_auth
password required /lib/security/pam_stack.so service=system_auth

== NOTAS ADICIONAIS. ==

Para o correcto funcionamento da autenticación hay que ter en conta os seguintes puntos:

* O ''workgroup'' de samba debe ser o mesmo que o dominio do PDC
* ''security'' debe ser ''domain''
* ''domain master'' debe ser ''no''
* Deberíase poñer en /etc/hosts o dominio coa IP do PDC
* Conven engadir ós ficheiros pam axeitados (coma login) a liña para crear automáticamente os directorios home:

'''session required /lib/security/pam_mkhomedir.so skel=/etc/skel umask=0022'''

: :* Non funciona si o directorio home do usuario está dentro de outro directorio sin crear. Por exemplo si o home está en ''/home/dominio/usuario'' e non temos creado antes o directorio ''dominio'' non funciona.

* Elexir / como separador no ficheiro smb.conf fai que non arranquen as X cun error de falta de permisos sobre a consola.
* Ollo coas maiúsculas e minúsculas no nome de usuario. Winbind autenticará de todos modos, pero logo non funcionarán correctamente algunhas cousas como as X.

== SCRIPT DE CONFIGURACIÓN ==

Este script está pensado para o IES de Rodeira e unha configuración baseada en unha rede de clase B na que os dous últimos números da IP utilíizanse para nomear o aula e o equipo respectivamente. Sen embargo, é moi fácil modificar o script para adaptalo a outras necesidades máis ou menos complexas.

#!/bin/sh
#
# winbindea v1.0 beta
#
# (Cl) FJTA 2003
#
# Prepara o sistema para autenticarse contra un servidor Windows2000
#
# A primeira parte nomea os equipos como LINUXAnºaula_nºequipo
# collendo o número de aula e de equipo dos parámetros
# fácilmente modificable pra coller o nome de equipo directamente dos parámetros
# sería un so parámetro e facer HN=$1
#
#
# Cambiar estas liñas para outra situación
#
# adminPDC debe ser un usuario do dominio con permiso para agregar equipos.
#
NAMEPDC=IESRODEIRA
IPPDC=172.16.2.2
PREHN=LINUXA
PREIPHOST=172.16.
GATEWAY=172.16.2.1
DNS=172.16.2.1
GRUPO=domainusers
ADMIN=adminPDC
#
if [ $# -eq 2 ]; then
NUMHOST=`echo $2|sed 's/^0*//'`
NUMAULA=`echo $1|sed 's/^0*//'`
LNUMIP=$NUMHOST
if [ `expr length $NUMHOST` -le 1 ]; then
NUMHOST=0"$NUMHOST"
fi
if [ `expr length $LNUMIP` -ge 3 ]; then
LNUMIP=100
fi
#
echo "Parando firewall....."
/etc/init.d/iptables stop
#
# Facendo copias de seguridade
#
if [ ! -d .winbinded ]; then
mkdir .winbinded
cp -f /etc/sysconfig/network-scripts/ifcfg-eth0 .winbinded/
cp -f /etc/sysconfig/network .winbinded/
cp -f /etc/hosts .winbinded/
cp -f /etc/samba/smb.conf .winbinded/
cp -f /etc/nsswitch.conf .winbinded/
cp -f /etc/pam.d/login .winbinded/
cp -f /etc/resolv.conf .winbinded/
cp -f /etc/group .winbinded/
else
echo "Equipo xa configurado con anterioridade"
echo "executa:"
echo " winbindea restore"
echo "antes de intentalo de novo."
exit
fi
echo "Parcheando archivos...."
HN=$PREHN$NUMAULA\_$NUMHOST
IPHOST=$PREIPHOST$NUMAULA.$LNUMIP
#
if [ -z "`grep $GRUPO /etc/group`" ]; then
sed '$a\
GRUPO:x:10000:' /etc/group | sed "s/GRUPO/$GRUPO/" > group.new
fi
#
if [ -z "`grep $GATEWAY /etc/resolv.conf`" ]; then
sed '1 i\
nameserver DNS' etc/resolv.conf | sed "s/DNS/$DNS/" > resolv.conf.new
fi
sed "s/HOSTNAME=.*/HOSTNAME=$HN/" /etc/sysconfig/network > network.new.tmp
if [ -z "`/sbin/route|grep default`" ]; then
echo "Poñendo a ruta por defecto...."
/sbin/route add default gw $GATEWAY
sed "s/GATEWAY=.*/GATEWAY=$GATEWAY" network.new.tmp > network.new
rm -f network.new.tmp
else
mv -f network.new.tmp network.new
fi
hostname $HN
#
sed -e "s/IPADDR/#IPADDR/" -e '/NETMASK/i\
NOVOHOST' /etc/sysconfig/network-scripts/ifcfg-eth0 | sed "s/NOVOHOST/IPADDR=$IPHOST/" > ifcfg-eth0.new
/sbin/ifconfig eth0 $IPHOST
sed -e '$a\
NOVOHOST\
NOVONOME' /etc/hosts |\
sed -e "s/NOVOHOST/$IPPDC $NAMEPDC/" -e\
"s/127\.0\.0\.1/#127\.0\.0\.1/" -e\
"s/NOVONOME/127\.0\.0\.1 $HN localhost\.localdomain localhost/" > hosts.new
#
sed -e 's/workgroup/#workgroup/' -e\
's/server string/#server string/' -e\
's/security/#security/' -e\
's/netbios name/#netbios name/' -e\
's/domain master/#domain master/' -e\
's/encrypt passwords/#encrypt passwords/' -e\
'/global/a\
workgroup = NOVOPDC\
netbios name = NOVOHOST\
server string = NOVOHOST\
security = domain\
domain master = no\
encrypt passwords = yes' -e '/homes/i\
#
#Engadido para autenticar contra w2000\
#
winbind separator = +\
winbind uid = 10000-20000\
winbind gid = 10000-20000\
winbind enum users = yes\
winbind enum groups = yes\
template homedir = /home/%D/%U\
template shell = /bin/bash' /etc/samba/smb.conf | sed -e "s/NOVOHOST/$HN/" -e "s/NOVOPDC/$NAMEPDC/"> smb.conf.new
sed 's/^passwd:.*/passwd: files winbind/' /etc/nsswitch.conf|\
sed 's/^shadow:.*/shadow: files/'|sed 's/^group:.*/group: files winbind/' > nsswitch.conf.new
if [ ! -f /home/IESRODEIRA ]; then
mkdir /home/IESRODEIRA
fi
echo '#%PAM-1.0' > login.new
echo "auth required /lib/security/pam_securetty.so" >> login.new
echo "auth sufficient /lib/security/pam_winbind.so" >> login.new
echo "auth required /lib/security/pam_stack.so service=system-auth" >> login.new
echo "auth required /lib/security/pam_nologin.so" >> login.new
echo "account sufficient /lib/security/pam_winbind.so" >> login.new
echo "account required /lib/security/pam_stack.so service=system-auth" >> login.new
echo "password required /lib/security/pam_stack.so service=system-auth" >> login.new
echo "session required /lib/security/pam_stack.so service=system-auth" >> login.new
echo "session required /lib/security/pam_mkhomedir.so skel=/etc/skel umask=0022" >> login.new
echo "session optional /lib/security/pam_console.so" >> login.new
#
#TODO: Parchear os arquivos rc.d axeitados para non necesitar facer o setup a mano.
#
echo "Copiando archivos parcheados...."
mv -f ifcfg-eth0.new /etc/sysconfig/network-scripts/ifcfg-eth0
mv -f network.new /etc/sysconfig/network
mv -f hosts.new /etc/hosts
mv -f smb.conf.new /etc/samba/smb.conf
mv -f nsswitch.conf.new /etc/nsswitch.conf
mv -f login.new /etc/pam.d/login
mv -f resolv.conf.new /etc/resolv.conf
mv -f group.new /etc/group
#
echo "Reiniciando servicios e engadíndome ó dominio...."
/etc/init.d/smb restart
/etc/init.d/winbind restart
smbpasswd -j IESRODEIRA -r 172.16.2.2 -U $ADMIN
#
echo "OK!..."
echo "ATENCION!!!: RECORDA MODIFICAR O FIREWALL E INICIAR SMB E WINBIND AUTOMÁTICAMENTE (setup)"
echo "unha vez feito esto podes saír do sistema e reiniciar a tua sesión"
echo "escribindo como login IESRODEIRA+usuario e como password a tua password no"
echo "servidor Windows 2000. Recorda desactivar o salvapantallas nas X".
elif [ $1 ] && [ $1 = "restore" ]; then
if [ -d .winbinded ]; then
cp -f .winbinded/ifcfg-eth0 /etc/sysconfig/network-scripts/ifcfg-eth0
cp -f .winbinded/network /etc/sysconfig/network
cp -f .winbinded/hosts /etc/hosts
cp -f .winbinded/smb.conf /etc/samba/smb.conf
cp -f .winbinded/nsswitch.conf /etc/nsswitch.conf
cp -f .winbinded/login /etc/pam.d/login
cp -f .winbinded/resolv.conf /etc/resolv.conf
cp -f .winbinded/group /etc/group
rm -Rf .winbinded
fi
else
echo winbindea aula host
echo winbindea restore
fi

Autenticación Linux cun Controlador de Dominio Windows - Historial de revisións

Xavi: Nova páxina: "== INTRODUCCIÓN == O obxectivo deste tutorial é explicar como se pode configurar unha equipa Linux pra que realice a autenticación dos usuarios mediante un PDC (Primary Domain..."