Re: [Sysadmins] Управление учетными записями ( =?koi8-r?b?xM/Nxc4=?=)

Re: [Sysadmins] Управление учетными записями ( =?koi8-r?b?xM/Nxc4=?=)

[Андрей Черепанов]

[-- Attachment #1: Type: Text/Plain, Size: 1099 bytes --]

17 февраля 2011 Алексей Кайтаз написал:
> Господа, админы!
> 
> Появилось желание проверить возможности ALTLinux-а для реализации следующей
> схемы:
> 
> Сервер1:
> - ALTLinux 5 Ковчег
> - Контроллер домена (учетные записи пользователей, серверов и рабочих
> станций)
> - Требуется развернуть
> 
> Сервер2:
> - W2003
> - Файловый сервер
> - Требуется ввести в домен.
> 
> Рабочие станции:
> - ALTLinux Desktop, Win7, WinXP
> - Требуется ввести в домен.
> 
> На сколько ALTLinux готов к управлению данным хозяйством?
> Обладает ли ALTLinux необходимым "фирменным" инструментарием?
> Есть ли документация по этой теме?
Документации ALT-specific по интеграции OpenLDAP и виндового хозяйства нет, 
хотя очень востребована. Пока Ковчег работает из коробки в гомогенной (чисто 
линуксовой) среде.

Думаю, будет здорово, если вместе через рассылку опишем рецепт ввода рабочих 
станций и серверов под Windows в домен OpenLDAP в Ковчеге.  Так как у меня под 
рукой нет виндовых машин, то прошу желающих посмотреть рецепты в Google по 
теме. Помогу, чем смогу.

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] Управление учетными записями ( =?koi8-r?b?xM/Nxc4=?=)

[Boris Savelev]

>> - ALTLinux Desktop, Win7, WinXP
>> - Требуется ввести в домен.
>>
> Думаю, будет здорово, если вместе через рассылку опишем рецепт ввода рабочих
> станций и серверов под Windows в домен OpenLDAP в Ковчеге.  Так как у меня под
> рукой нет виндовых машин, то прошу желающих посмотреть рецепты в Google по
> теме. Помогу, чем смогу.


недавно делал такое на debian. Если что, тоже могу помочь.


-- 
Boris

Re: [Sysadmins] Управление учетными записями ( =?koi8-r?b?xM/Nxc4=?=)

[Андрей Черепанов]

[-- Attachment #1: Type: Text/Plain, Size: 560 bytes --]

17 февраля 2011 Boris Savelev написал:
> >> - ALTLinux Desktop, Win7, WinXP
> >> - Требуется ввести в домен.
> > 
> > Думаю, будет здорово, если вместе через рассылку опишем рецепт ввода
> > рабочих станций и серверов под Windows в домен OpenLDAP в Ковчеге.  Так
> > как у меня под рукой нет виндовых машин, то прошу желающих посмотреть
> > рецепты в Google по теме. Помогу, чем смогу.
> 
> недавно делал такое на debian. Если что, тоже могу помочь.
Хотя бы ссылкой. Тогда можно адаптировать уже на altlinux.org

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] Управление учетными записями

[Anton A. Vinogradov]

Рецепты лежат на форуме, уже давно. Рабочее, лично проверял почти год на 
живой сетке
Но делать надо на кентавре, ибо семерку в домен на ковчеге не загонишь

17.02.2011 15:10, Андрей Черепанов пишет:
> 17 февраля 2011 Алексей Кайтаз написал:
>> Господа, админы!
>>
>> Появилось желание проверить возможности ALTLinux-а для реализации следующей
>> схемы:
>>
>> Сервер1:
>> - ALTLinux 5 Ковчег
>> - Контроллер домена (учетные записи пользователей, серверов и рабочих
>> станций)
>> - Требуется развернуть
>>
>> Сервер2:
>> - W2003
>> - Файловый сервер
>> - Требуется ввести в домен.
>>
>> Рабочие станции:
>> - ALTLinux Desktop, Win7, WinXP
>> - Требуется ввести в домен.
>>
>> На сколько ALTLinux готов к управлению данным хозяйством?
>> Обладает ли ALTLinux необходимым "фирменным" инструментарием?
>> Есть ли документация по этой теме?
> Документации ALT-specific по интеграции OpenLDAP и виндового хозяйства нет,
> хотя очень востребована. Пока Ковчег работает из коробки в гомогенной (чисто
> линуксовой) среде.
>
> Думаю, будет здорово, если вместе через рассылку опишем рецепт ввода рабочих
> станций и серверов под Windows в домен OpenLDAP в Ковчеге.  Так как у меня под
> рукой нет виндовых машин, то прошу желающих посмотреть рецепты в Google по
> теме. Помогу, чем смогу.
>
>
>
>
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Управление учетными записями

[Anton A. Vinogradov]

17.02.2011 16:03, Алексей Кайтаз пишет:
> Уважаемый Антон,

http://www.google.com/search?hl=ru&ie=utf-8&as_q=samba+pdc&as_sitesearch=forum.altlinux.org&num=50

Re: [Sysadmins] Управление учетными записями

[Anton A. Vinogradov]

17.02.2011 16:03, Алексей Кайтаз пишет:
> будут весьма полезными

==================
smb.conf

[global]
realm = GF.LCL
netbios name = PDCSRV
server string = PDCSRV.GF.LCL
use kerberos keytab = Yes
log file = /var/log/samba/log.%m
max log size = 50
printcap name = cups
printing = cups
os level = 254
dns proxy = No
name resolve order = wins bcast hosts
use sendfile = Yes
workgroup = GF
security = user
wins support = yes
#hosts allow = 192.168. 127.0.0.1
#socket options = TCP_NODELAY SO_SNDBUF=8192 SO_RCVBUF=8192
encrypt passwords = yes
dos charset = 866
unix charset = UTF-8
client use spnego = yes
client signing = yes

nt acl support = yes
acl compatibility = auto
map acl inherit = yes
acl map full control = yes
dos filemode = yes
orce unknown acl user = no
map read only = Permissions
enable privileges = yes
obey pam restrictions = no
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=ldaproot,dc=GF,dc=LCL
ldap suffix = dc=GF,dc=LCL
ldap group suffix = ou=Group
ldap user suffix = ou=People
ldap machine suffix = ou=Hosts
ldap idmap suffix = ou=Idmap
ldap passwd sync = Yes
passwd program = /usr/sbin/smbldap-passwd %u
passwd chat = *New*password* %n\n *Retype*new*password* %n\n 
*all*authentication*tokens*updated*
add user script = /usr/sbin/smbldap-useradd -m "%u"
add user script = /usr/sbin/useradd -g Hosts -d /dev/null -s /bin/false 
-M "%u"
ldap delete dn = Yes
delete user script = /usr/sbin/smbldap-userdel "%u"
add machine script = /usr/sbin/smbldap-useradd -w "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
local master = yes
domain master = yes
preferred master = yes
domain logons = yes
# logon path = \\%L\profiles\%U
# logon drive = X:
# logon home = \\%L\%U
logon path = \\pdcsrv\profiles\%U
logon drive =
logon home =
logon script = logon.bat
admin users = locadmin, Administrator

#[homes]
#comment = Home Directories
#valid users = %S
#create mask = 0711
#directory mask = 0755
#read only = no
#browseable = no

[netlogon]
comment = Network Logon Service
path = /domain/netlogon
browseable = no
guest ok = yes
writable = no
write list = Administrator, locadmin

[profiles]
path = /domain/profiles
browseable = no
read only = no
create mask = 0666
directory mask = 0777
profile acls = yes
=====================

один из моих первых вариантов

Re: [Sysadmins] Управление учетными записями

[Maks Re]

> passwd program = /usr/sbin/smbldap-passwd %u
> passwd chat = *New*password* %n\n *Retype*new*password* %n\n 
> *all*authentication*tokens*updated*
> add user script = /usr/sbin/smbldap-useradd -m "%u"
> add user script = /usr/sbin/useradd -g Hosts -d /dev/null
> -s /bin/false -M "%u"

а без smbldap-tools ?

Re: [Sysadmins] Управление учетными записями

[Alexey Shabalin]

2011/2/17 Maks Re :
>> passwd program = /usr/sbin/smbldap-passwd %u
>> passwd chat = *New*password* %n\n *Retype*new*password* %n\n
>> *all*authentication*tokens*updated*
>> add user script = /usr/sbin/smbldap-useradd -m "%u"
>> add user script = /usr/sbin/useradd -g Hosts -d /dev/null
>> -s /bin/false -M "%u"
>
> а без smbldap-tools ?
А без них лучше и не начинать. :)
PS: хотя машины samba в ldap умеет заводить сама, без smbldap-tools

-- 
Alexey Shabalin

Re: [Sysadmins] Управление учетными записями

[Dmitriy Kruglikov]

17 февраля 2011 г. 17:09 пользователь Alexey Shabalin  написал:

> PS: хотя машины samba в ldap умеет заводить сама, без smbldap-tools
И пароли менять узверям то же ...
Только нужно сперва вспомнить о том, что пароль для записи в LDAP
нужно установить ...
smbpasswd -w, если что ...
;)


-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Управление учетными записями

[Michael Shigorin]

On Thu, Feb 17, 2011 at 06:09:14PM +0300, Alexey Shabalin wrote:
> > а без smbldap-tools ?
> А без них лучше и не начинать. :)

Эээ... только его недавно чинил в сизифе, в бранче собран
с патчем, который работает скорее за счёт везения.  Отправил
бэкпорт в M51.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] Управление учетными записями

[Anton A. Vinogradov]

17.02.2011 16:23, Алексей Кайтаз пишет:
>
>
> 17 февраля 2011 г. 16:12 пользователь Anton A. Vinogradov
> <vinogradov.mail@gmail.com <mailto:vinogradov.mail@gmail.com>> написал:
>
>     17.02.2011 16:03, Алексей Кайтаз пишет:
>
>         будут весьма полезными
>
>
>     ==================
>     smb.conf
>
>     [global]
>     realm = GF.LCL
>     netbios name = PDCSRV
>     server string = PDCSRV.GF.LCL
>     use kerberos keytab = Yes
>     log file = /var/log/samba/log.%m
>     max log size = 50
>     printcap name = cups
>     printing = cups
>     os level = 254
>     dns proxy = No
>     name resolve order = wins bcast hosts
>     use sendfile = Yes
>     workgroup = GF
>     security = user
>     wins support = yes
>     #hosts allow = 192.168. 127.0.0.1
>     #socket options = TCP_NODELAY SO_SNDBUF=8192 SO_RCVBUF=8192
>     encrypt passwords = yes
>     dos charset = 866
>     unix charset = UTF-8
>     client use spnego = yes
>     client signing = yes
>
>     nt acl support = yes
>     acl compatibility = auto
>     map acl inherit = yes
>     acl map full control = yes
>     dos filemode = yes
>     orce unknown acl user = no
>     map read only = Permissions
>     enable privileges = yes
>     obey pam restrictions = no
>     passdb backend = ldapsam:ldap://127.0.0.1/ <http://127.0.0.1/>
>     ldap admin dn = cn=ldaproot,dc=GF,dc=LCL
>     ldap suffix = dc=GF,dc=LCL
>     ldap group suffix = ou=Group
>     ldap user suffix = ou=People
>     ldap machine suffix = ou=Hosts
>     ldap idmap suffix = ou=Idmap
>     ldap passwd sync = Yes
>     passwd program = /usr/sbin/smbldap-passwd %u
>     passwd chat = *New*password* %n\n *Retype*new*password* %n\n
>     *all*authentication*tokens*updated*
>     add user script = /usr/sbin/smbldap-useradd -m "%u"
>     add user script = /usr/sbin/useradd -g Hosts -d /dev/null -s
>     /bin/false -M "%u"
>     ldap delete dn = Yes
>     delete user script = /usr/sbin/smbldap-userdel "%u"
>     add machine script = /usr/sbin/smbldap-useradd -w "%u"
>     add group script = /usr/sbin/smbldap-groupadd -p "%g"
>     delete group script = /usr/sbin/smbldap-groupdel "%g"
>     add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
>     delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
>     set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
>     local master = yes
>     domain master = yes
>     preferred master = yes
>     domain logons = yes
>     # logon path = \\%L\profiles\%U
>     # logon drive = X:
>     # logon home = \\%L\%U
>     logon path = \\pdcsrv\profiles\%U
>     logon drive =
>     logon home =
>     logon script = logon.bat
>     admin users = locadmin, Administrator
>
>     #[homes]
>     #comment = Home Directories
>     #valid users = %S
>     #create mask = 0711
>     #directory mask = 0755
>     #read only = no
>     #browseable = no
>
>     [netlogon]
>     comment = Network Logon Service
>     path = /domain/netlogon
>     browseable = no
>     guest ok = yes
>     writable = no
>     write list = Administrator, locadmin
>
>     [profiles]
>     path = /domain/profiles
>     browseable = no
>     read only = no
>     create mask = 0666
>     directory mask = 0777
>     profile acls = yes
>     =====================
>
>     один из моих первых вариантов
>
>     _______________________________________________
>     Sysadmins mailing list
>     Sysadmins@lists.altlinux.org <mailto:Sysadmins@lists.altlinux.org>
>     https://lists.altlinux.org/mailman/listinfo/sysadmins
>
>
> Видно, что работа проделана не маленькая.
> Очень полезный конфиг. Спасибо, обязательно воспользуюсь.
>
[profiles]
только потом потуже затяните, чтоб не лазал где попало.
при этом конфиге на ковчеге винда заходит "как родная"

И да, от дефолтного конфига ковчега здесь совсем немного отличий

Re: [Sysadmins] Управление учетными записями (домен)

[Michael Shigorin]

On Thu, Feb 17, 2011 at 09:28:12AM +0300, Алексей Кайтаз wrote:
> Появилось желание проверить возможности ALTLinux-а для
> реализации следующей схемы:
> 
> Сервер1:
> - ALTLinux 5 Ковчег
> - Контроллер домена (учетные записи пользователей, серверов и
> рабочих станций)

NT4-домен на Samba 3 поднять можно, ADC -- нет.

> - Требуется развернуть
> 
> Сервер2:
> - W2003
> - Файловый сервер
> - Требуется ввести в домен.
> 
> Рабочие станции:
> - ALTLinux Desktop, Win7, WinXP
> - Требуется ввести в домен.
> 
> На сколько ALTLinux готов к управлению данным хозяйством?
> Обладает ли ALTLinux необходимым "фирменным" инструментарием?
> Есть ли документация по этой теме?

См. тж. http://www.altlinux.org/Ввод_в_домен_на_базе_Windows_2003

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/