[Comm] Линукс в домен W2K с ADS

[Comm] Линукс в домен W2K с ADS

[Алексей Данилович]

Доброго времени суток.
Прошу прощения за дикий оффтопик, но я плохо разбираюсь в ADS, а сабдж 
приспичил срочно. Я, конечно, задам сее и в samba@, но там могут 
ответить не сразу, такчто не пинайте, плиз.
Я выкачал  с инета несколько статей по этой теме, прочитал руководство 
пользователя к мастеру. У себя на машине поставил W2K server, развернул 
ADS. На своей старенькой ноте из-под матера 2.2.(samba 3) пыьаюсь войти 
в домен. В принципе, настроив керберос, самбу и сделав из-под рута net 
ads join -U Administrator в домен я попал. Но что дальше? Я понял, как 
предоставить доступ до шар на своей машине пользователям домена, но 
объясните, пожалуйста, как пользователю линуха получить доступ к шарам 
на каком-нибудь серваке домена? Я попробовал сделать net ads join -U 
someuser не из-под рута, но самба ругнулась про права к файлу 
secrets.pdb - в принципе верно, там рут рулит... Видимо это не то? 
Иначе: как пользователя линуха аутентифицировать через ADS?
И второй вопрос: как под этим юзером примонтировать шару с сервера? 
smbclient -k работает, конечно, а монтировать как?
Третий вопрос: что, сделав net ads join -U Administrator, я получил 
права для рута рулить доменом навсегда? Не стремно ли?

Огромное спасибо
Алексей

Re: [Comm] Линукс в домен W2K с ADS

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 1524 bytes --]

> Я выкачал  с инета несколько статей по этой теме, прочитал руководство
> пользователя к мастеру. У себя на машине поставил W2K server, развернул
> ADS. На своей старенькой ноте из-под матера 2.2.(samba 3) пыьаюсь войти
> в домен. В принципе, настроив керберос, самбу и сделав из-под рута net
> ads join -U Administrator в домен я попал. Но что дальше? Я понял, как
> предоставить доступ до шар на своей машине пользователям домена, но
> объясните, пожалуйста, как пользователю линуха получить доступ к шарам
> на каком-нибудь серваке домена? Я попробовал сделать net ads join -U
> someuser не из-под рута, но самба ругнулась про права к файлу
> secrets.pdb - в принципе верно, там рут рулит... Видимо это не то?
> Иначе: как пользователя линуха аутентифицировать через ADS?
по-видимому вам нужен winbind.
пользователи ad будут видны наравне с системными, и можно будет входить под 
ними.
> И второй вопрос: как под этим юзером примонтировать шару с сервера?
> smbclient -k работает, конечно, а монтировать как?
видимо smbmount
> Третий вопрос: что, сделав net ads join -U Administrator, я получил
> права для рута рулить доменом навсегда? Не стремно ли?
нет конечно. вы не можете рулить доменом, пароль админа вводится админом 
домена для передачи серверу. если видели, именно так вводятся в домен xp 
prof. там надо ввести пароль domain admin, это надо для создания в AD учетной 
записи _машины_ (machine$)

-- 
с уважением, 
Nick S. Grechukh
JID: ngrechukh@jabber.ru

network administrator of
Refractory Trading House 


[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [OBORONA-SPAM] [Comm] Линукс в домен W2K с ADS

[Владимир Гусев]

On Tue, 20 Jul 2004 00:56:27 +0400, Алексей Данилович <mlists@list.ru>  
wrote:

> Доброго времени суток.
> Прошу прощения за дикий оффтопик, но я плохо разбираюсь в ADS, а сабдж  
> приспичил срочно. Я, конечно, задам сее и в samba@, но там могут  
> ответить не сразу, такчто не пинайте, плиз.
> Я выкачал  с инета несколько статей по этой теме, прочитал руководство  
> пользователя к мастеру. У себя на машине поставил W2K server, развернул  
> ADS. На своей старенькой ноте из-под матера 2.2.(samba 3) пыьаюсь войти  
> в домен. В принципе, настроив керберос, самбу и сделав из-под рута net  
> ads join -U Administrator в домен я попал. Но что дальше? Я понял, как  
> предоставить доступ до шар на своей машине пользователям домена, но  
> объясните, пожалуйста, как пользователю линуха получить доступ к шарам  
> на каком-нибудь серваке домена? Я попробовал сделать net ads join -U  
> someuser не из-под рута, но самба ругнулась про права к файлу  
> secrets.pdb - в принципе верно, там рут рулит... Видимо это не то?  
> Иначе: как пользователя линуха аутентифицировать через ADS?
> И второй вопрос: как под этим юзером примонтировать шару с сервера?  
> smbclient -k работает, конечно, а монтировать как?
> Третий вопрос: что, сделав net ads join -U Administrator, я получил  
> права для рута рулить доменом навсегда? Не стремно ли?

Попробую ответить на второй вопрос (так, как сделал в данном случае я):
Если есть определенные стабильные расшаренные ресурсы на сервере, то я  
прописываю их в fstab, например:
\\sqlru\backup /mnt/sqlru/backup smbfs  
user,fmask=666,password=пароль_учетной_записи_в_Active_Directory,dmask=777,username=имя_учетной_записи_в_Active_Directory  
0 0
sqlru - имя компа
backup - имя расшареной папки на нем

Не знаю, корректно это или нет, но я вышел из положения таким образом.
А для временного подключения к разным расшаренным на время папкам можно  
подключаться, используя программу LinNeighborhood. Интерфейс у нее не  
очень, но по функциональности напоминает Сетевое окружение из Windows

-- 
С уважением, Владимир Гусев

Re: [Comm] Линукс в домен W2K с ADS

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 1480 bytes --]

> >>Иначе: как пользователя линуха аутентифицировать через ADS?
> >
> >по-видимому вам нужен winbind.
> >пользователи ad будут видны наравне с системными, и можно будет входить
> > под ними.
>
> Так стоит. Но как? Поверьте, если вы попытаетесь войти в систему под
> именем юзера из виндов, то ничего не выйдет!
> Я прочитал про прикручивание авторизации в домене через PAM для login...
> Сейчас буду пробовать, но не понимаю, в какую дом. директорию войдет
> юзер, авторизовавшись из-под домена, но в юниксе не созданный??

погуглите архивы devel@ по слову system-auth-standart, я писал в марте.
домашнюю директорию создаст модуль pam_mkhomedir. и будет она называться 
полным именем юзера:
domain+user (если winbind separator = + ).


> >>Третий вопрос: что, сделав net ads join -U Administrator, я получил
> >>права для рута рулить доменом навсегда? Не стремно ли?
> >
> >нет конечно. вы не можете рулить доменом, пароль админа вводится админом
> >домена для передачи серверу. если видели, именно так вводятся в домен xp
> >prof. там надо ввести пароль domain admin, это надо для создания в AD
> > учетной записи _машины_ (machine$)
>
> Все равно не врубаюсь... Я же после этого с помощью команд net ads user
> add  и т.д. добавлял/удалял пользователей домена... Или это пока
> керберос-билет не кончиться?
и что, даже админский (не рутовый) пароль не спрашивало?

-- 
с уважением, 
Nick S. Grechukh
JID: ngrechukh@jabber.ru

network administrator of
Refractory Trading House 


[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Линукс в домен W2K с ADS

[Алексей Данилович]

Nick S. Grechukh пишет:

>>Я выкачал  с инета несколько статей по этой теме, прочитал руководство
>>пользователя к мастеру. У себя на машине поставил W2K server, развернул
>>ADS. На своей старенькой ноте из-под матера 2.2.(samba 3) пыьаюсь войти
>>в домен. В принципе, настроив керберос, самбу и сделав из-под рута net
>>ads join -U Administrator в домен я попал. Но что дальше? Я понял, как
>>предоставить доступ до шар на своей машине пользователям домена, но
>>объясните, пожалуйста, как пользователю линуха получить доступ к шарам
>>на каком-нибудь серваке домена? Я попробовал сделать net ads join -U
>>someuser не из-под рута, но самба ругнулась про права к файлу
>>secrets.pdb - в принципе верно, там рут рулит... Видимо это не то?
>>Иначе: как пользователя линуха аутентифицировать через ADS?
>>    
>>
>по-видимому вам нужен winbind.
>пользователи ad будут видны наравне с системными, и можно будет входить под 
>ними.
>  
>
Так стоит. Но как? Поверьте, если вы попытаетесь войти в систему под 
именем юзера из виндов, то ничего не выйдет!
Я прочитал про прикручивание авторизации в домене через PAM для login... 
Сейчас буду пробовать, но не понимаю, в какую дом. директорию войдет 
юзер, авторизовавшись из-под домена, но в юниксе не созданный??

>>И второй вопрос: как под этим юзером примонтировать шару с сервера?
>>smbclient -k работает, конечно, а монтировать как?
>>    
>>
>видимо smbmount
>  
>
А вот в самбе@ говорят, что нельзя.... Но надо попробовать...

>>Третий вопрос: что, сделав net ads join -U Administrator, я получил
>>права для рута рулить доменом навсегда? Не стремно ли?
>>    
>>
>нет конечно. вы не можете рулить доменом, пароль админа вводится админом 
>домена для передачи серверу. если видели, именно так вводятся в домен xp 
>prof. там надо ввести пароль domain admin, это надо для создания в AD учетной 
>записи _машины_ (machine$)
>  
>
Все равно не врубаюсь... Я же после этого с помощью команд net ads user 
add  и т.д. добавлял/удалял пользователей домена... Или это пока 
керберос-билет не кончиться?

Re: [Comm] Линукс в домен W2K с ADS

[Алексей Данилович]

Nick S. Grechukh пишет:

>>>>Иначе: как пользователя линуха аутентифицировать через ADS?
>>>>        
>>>>
>>>по-видимому вам нужен winbind.
>>>пользователи ad будут видны наравне с системными, и можно будет входить
>>>под ними.
>>>      
>>>
>>Так стоит. Но как? Поверьте, если вы попытаетесь войти в систему под
>>именем юзера из виндов, то ничего не выйдет!
>>Я прочитал про прикручивание авторизации в домене через PAM для login...
>>Сейчас буду пробовать, но не понимаю, в какую дом. директорию войдет
>>юзер, авторизовавшись из-под домена, но в юниксе не созданный??
>>    
>>
>
>погуглите архивы devel@ по слову system-auth-standart, я писал в марте.
>домашнюю директорию создаст модуль pam_mkhomedir. и будет она называться 
>полным именем юзера:
>domain+user (если winbind separator = + ).
>
>
>  
>
Не был подписан на devel@. Теперь видимо придется. Погуглю.

>>>>Третий вопрос: что, сделав net ads join -U Administrator, я получил
>>>>права для рута рулить доменом навсегда? Не стремно ли?
>>>>        
>>>>
>>>нет конечно. вы не можете рулить доменом, пароль админа вводится админом
>>>домена для передачи серверу. если видели, именно так вводятся в домен xp
>>>prof. там надо ввести пароль domain admin, это надо для создания в AD
>>>учетной записи _машины_ (machine$)
>>>      
>>>
>>Все равно не врубаюсь... Я же после этого с помощью команд net ads user
>>add  и т.д. добавлял/удалял пользователей домена... Или это пока
>>керберос-билет не кончиться?
>>    
>>
>и что, даже админский (не рутовый) пароль не спрашивало?
>
>  
>
Ага, один раз было - при net ads join -U Administartor. Далее уже без 
него. Видимо, до конца билета.

Re: [Comm] Линукс в домен W2K с ADS

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 1964 bytes --]

В сообщении от Вторник 20 Июль 2004 21:45 Алексей Данилович написал(a):
> Nick S. Grechukh пишет:
> >>>>Иначе: как пользователя линуха аутентифицировать через ADS?
> >>>
> >>>по-видимому вам нужен winbind.
> >>>пользователи ad будут видны наравне с системными, и можно будет входить
> >>>под ними.
> >>
> >>Так стоит. Но как? Поверьте, если вы попытаетесь войти в систему под
> >>именем юзера из виндов, то ничего не выйдет!
> >>Я прочитал про прикручивание авторизации в домене через PAM для login...
> >>Сейчас буду пробовать, но не понимаю, в какую дом. директорию войдет
> >>юзер, авторизовавшись из-под домена, но в юниксе не созданный??
> >
> >погуглите архивы devel@ по слову system-auth-standart, я писал в марте.
> >домашнюю директорию создаст модуль pam_mkhomedir. и будет она называться
> >полным именем юзера:
> >domain+user (если winbind separator = + ).
>
> Не был подписан на devel@. Теперь видимо придется. 
не придется :-) точнее не получится

>Погуглю.
только так.

> >>>>Третий вопрос: что, сделав net ads join -U Administrator, я получил
> >>>>права для рута рулить доменом навсегда? Не стремно ли?
> >>>
> >>>нет конечно. вы не можете рулить доменом, пароль админа вводится админом
> >>>домена для передачи серверу. если видели, именно так вводятся в домен xp
> >>>prof. там надо ввести пароль domain admin, это надо для создания в AD
> >>>учетной записи _машины_ (machine$)
> >>
> >>Все равно не врубаюсь... Я же после этого с помощью команд net ads user
> >>add  и т.д. добавлял/удалял пользователей домена... Или это пока
> >>керберос-билет не кончиться?
> >
> >и что, даже админский (не рутовый) пароль не спрашивало?
>
> Ага, один раз было - при net ads join -U Administartor. Далее уже без
> него. Видимо, до конца билета.
странно. мож надо было после этого залогиниться под доменным юзером, глядишь и 
билет бы новый дали

-- 
с уважением, 
Nick S. Grechukh
JID: ngrechukh@jabber.ru

network administrator of
Refractory Trading House 


[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Линукс в домен W2K с ADS

[Алексей Данилович]

Nick S. Grechukh пишет:

>В сообщении от Вторник 20 Июль 2004 21:45 Алексей Данилович написал(a):
>  
>
>>Nick S. Grechukh пишет:
>>    
>>
>>>>>>Иначе: как пользователя линуха аутентифицировать через ADS?
>>>>>>            
>>>>>>
>>>>>по-видимому вам нужен winbind.
>>>>>пользователи ad будут видны наравне с системными, и можно будет входить
>>>>>под ними.
>>>>>          
>>>>>
>>>>Так стоит. Но как? Поверьте, если вы попытаетесь войти в систему под
>>>>именем юзера из виндов, то ничего не выйдет!
>>>>Я прочитал про прикручивание авторизации в домене через PAM для login...
>>>>Сейчас буду пробовать, но не понимаю, в какую дом. директорию войдет
>>>>юзер, авторизовавшись из-под домена, но в юниксе не созданный??
>>>>        
>>>>
>>>погуглите архивы devel@ по слову system-auth-standart, я писал в марте.
>>>домашнюю директорию создаст модуль pam_mkhomedir. и будет она называться
>>>полным именем юзера:
>>>domain+user (если winbind separator = + ).
>>>      
>>>
>>Не был подписан на devel@. Теперь видимо придется. 
>>    
>>
>не придется :-) точнее не получится
>
>  
>
>>Погуглю.
>>    
>>
>только так.
>
>  
>
Погуглил. Нашел. Почитал. Понял, попробую, но все пока упиерлось в мой 
пост про PAM и winbind problem (см. в community@ & samba@). неврубаюсь, 
что ему-то тут нехватает - какой-то интернал еррор полез...

Кстати, а на кой тогда примеры в самбе, если реальные штуки так сильно 
отличаются....

>>>>>>Третий вопрос: что, сделав net ads join -U Administrator, я получил
>>>>>>права для рута рулить доменом навсегда? Не стремно ли?
>>>>>>            
>>>>>>
>>>>>нет конечно. вы не можете рулить доменом, пароль админа вводится админом
>>>>>домена для передачи серверу. если видели, именно так вводятся в домен xp
>>>>>prof. там надо ввести пароль domain admin, это надо для создания в AD
>>>>>учетной записи _машины_ (machine$)
>>>>>          
>>>>>
>>>>Все равно не врубаюсь... Я же после этого с помощью команд net ads user
>>>>add  и т.д. добавлял/удалял пользователей домена... Или это пока
>>>>керберос-билет не кончиться?
>>>>        
>>>>
>>>и что, даже админский (не рутовый) пароль не спрашивало?
>>>      
>>>
>>Ага, один раз было - при net ads join -U Administartor. Далее уже без
>>него. Видимо, до конца билета.
>>    
>>
>странно. мож надо было после этого залогиниться под доменным юзером, глядишь и 
>билет бы новый дали
>
>  
>
Так не получается... Я бы с радостью. :(