[Sysadmins] Пользователь ldaproot в ark server 5.0

[Sysadmins] Пользователь ldaproot в ark server 5.0

[Сергей]

Здравствуйте,

Сервер ark server 5.0, после установки задаю имя домена expo.local,
задаю пароль root'а. После просмотра файла
/var/lib/ldap/etc/slapd-expo.local.conf
вижу такую запись администратора ldap:

database hdb
suffix "dc=expo,dc=local"
rootdn "cn=ldaproot,dc=expo,dc=local"
rootpw eivohlo7iesheiyi
directory /var/lib/ldap/bases/expo.local

В /etc/samba/smb.conf также присутствует описание этого пользователя:

ldap admin dn = cn=ldaproot,dc=expo,dc=local

-Откуда берется этот пользователь?
-Откуда берется его пароль?
-Этот пароль eivohlo7iesheiyi зашифрован или это набор случайных символов?
-Как его сменить??? Везде про ldap описывается, как создавать  
администратора
ldap с нуля и задавать его пароль, а как поменять имеющийся, "встроенный"?

Второе, я пытаюсь создать другого, моего администратора,
создаю файл entries.ldif c таким содержимым:


#Organization Role for Directory Manager
dn: cn=Manager,dc=expo,dc=local
objectClass: organizationalRole
cn:Manager
description: Manager LDAP

Ввожу команду (secret это пароль, который будет у Manager'a):

ldapadd -f entries.ldif -x -D "cn=Manager,dc=expo,dc=local" -w secret

Получаю ответ

ldap_bind: Invalid credentials (49)

-как мне завести нужного мне пользователя, который будет админисратором
ldap, а в последствии и администратором Samba+ldap-PDC для windows-машин

С уважением,
	Тренин Сергей

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Dmitriy Kruglikov]

22 марта 2010 г. 17:50 пользователь Сергей  написал:

> -Откуда берется этот пользователь?
Создается автоматически альтератором.

> -Откуда берется его пароль?
Создается автоматически альтератором

> -Этот пароль eivohlo7iesheiyi зашифрован или это набор случайных символов?
Это автоматически созданный пароль и он не зашифрован.

> -Как его сменить??? Везде про ldap описывается, как создавать администратора
переписать руками. После этого smbpasswd -w
Пользователь cn=ldaproot.... будет писать необходимые для Samba данные в LDAP

> Второе, я пытаюсь создать другого, моего администратора,
> создаю файл entries.ldif c таким содержимым:
>
>
> Ввожу команду (secret это пароль, который будет у Manager'a):
Он же ж еще только будет ...
Добавлять запись нужно от имени и с паролем из конфига базы.

>
> ldap_bind: Invalid credentials (49)
Вполне ожидаемо...

>
> -как мне завести нужного мне пользователя, который будет админисратором
> ldap, а в последствии и администратором Samba+ldap-PDC для windows-машин
Можно завести пользователя типа Manager, а потом долго и нудно править
конфиг базы на предмет прав доступа.
По примеру cn=ldaproot,dc=expo,dc=local


-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Dmitriy Kruglikov]

23 марта 2010 г. 11:58 пользователь Ceргей  написал:

> в /var/lib/ldap/etc/slapd-expo.local.conf
в /etc/openldap/slapd-expo.local.conf ...

В /var/lib/ldap/etc/ оно потом само "чрутнется" ...


> сделал smbpasswd -w secret
Я бы сделал smbpasswd -w eivohlo7iesheiyi
Всяко сложнее подобрать чем  secret
> настройки пароля для cn=ldaproot... сохранены в secrets.tdb
eivohlo7iesheiyi и так уже было в secrets.tdb ...


>
> И все, переправляем в конфиге Samba
Зачем ????????????
Не правильнее было бы вдуматься в тот мануал, по которому вы пытаетесь
настроить систему и изменить _его_, вместо того, чтобы перепиливать
уже работающую систему под мануал сомнительного качества?


-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Ceргей]

> Он же ж еще только будет ...
> Добавлять запись нужно от имени и с паролем из конфига базы

в /var/lib/ldap/etc/slapd-expo.local.conf вместо eivohlo7iesheiyi поставил  
secret, перезапустил slapd,
все перезапустилось успешно
сделал smbpasswd -w secret
настройки пароля для cn=ldaproot... сохранены в secrets.tdb

Так понимаю, это потенциальный админ домена windows (то есть когда вводим  
рабочую станцию
в домен, то указывать пользователя ldaproot и пароль secret)?
Не намекнете, как добавлять от имени этого самого ldaproot? Мне то  
представляется,

> Можно завести пользователя типа Manager, а потом долго и нудно править
> конфиг базы на предмет прав доступа.
> По примеру cn=ldaproot,dc=expo,dc=local

что заводим Manager'a, и в /var/lib/ldap/etc/slapd-expo.local.conf вместо

database hdb
suffix "dc=expo,dc=local"
rootdn "cn=ldaproot,dc=expo,dc=local"

ставим

database hdb
suffix "dc=expo,dc=local"
rootdn "cn=Manager,dc=expo,dc=local"

И все, переправляем в конфиге Samba ldaproot на Manager и smbpasswd -w  
secret, вот он мой админ домена винды


Dmitriy Kruglikov <dmitriy.kruglikov@gmail.com> писал(а) в своём письме  
Tue, 23 Mar 2010 18:17:03 +0900:

> 22 марта 2010 г. 17:50 пользователь Сергей  написал:
>
>> -Откуда берется этот пользователь?
> Создается автоматически альтератором.
>
>> -Откуда берется его пароль?
> Создается автоматически альтератором
>
>> -Этот пароль eivohlo7iesheiyi зашифрован или это набор случайных  
>> символов?
> Это автоматически созданный пароль и он не зашифрован.
>
>> -Как его сменить??? Везде про ldap описывается, как создавать  
>> администратора
> переписать руками. После этого smbpasswd -w
> Пользователь cn=ldaproot.... будет писать необходимые для Samba данные в  
> LDAP
>
>> Второе, я пытаюсь создать другого, моего администратора,
>> создаю файл entries.ldif c таким содержимым:
>>
>>
>> Ввожу команду (secret это пароль, который будет у Manager'a):
> Он же ж еще только будет ...
> Добавлять запись нужно от имени и с паролем из конфига базы.
>
>>
>> ldap_bind: Invalid credentials (49)
> Вполне ожидаемо...
>
>>
>> -как мне завести нужного мне пользователя, который будет админисратором
>> ldap, а в последствии и администратором Samba+ldap-PDC для windows-машин
> Можно завести пользователя типа Manager, а потом долго и нудно править
> конфиг базы на предмет прав доступа.
> По примеру cn=ldaproot,dc=expo,dc=local
>
>



-- 
Написано в почтовом клиенте браузера Opera: http://www.opera.com/mail/

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Dmitriy Kruglikov]

23 марта 2010 г. 12:19 пользователь Ceргей  написал:

> Все мануалы, которые у меня есть начинаются со слов "ставим openldap, samba,
> делаем конфиги,
> создаем ldif-файл, в котором описываем НОВУЮ базу и создаем администратора
> ldap, и задаем ему пароль, делаем
> ldapadd... и все, ldap запущен"

Все это и делает alterator-openldap ...
Старались, потели, мозги ломали ...
Не для того, чтобы потом сгенеренные автоматом конфиги править ...
;)

-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Ceргей]

> Я бы сделал smbpasswd -w eivohlo7iesheiyi
> Всяко сложнее подобрать чем  secret

Да это просто для эксперимента

> Зачем ????????????
> Не правильнее было бы вдуматься в тот мануал, по которому вы пытаетесь
> настроить систему и изменить _его_, вместо того, чтобы перепиливать
> уже работающую систему под мануал сомнительного качества?

Все мануалы, которые у меня есть начинаются со слов "ставим openldap,  
samba, делаем конфиги,
создаем ldif-файл, в котором описываем НОВУЮ базу и создаем администратора  
ldap, и задаем ему пароль, делаем
ldapadd... и все, ldap запущен"

И там все понятно более-менее, а тут система уже настроена (а в уже  
настроенном часто разбираться сложнее,
чем самому с нуля делать), вот я и решил "своего" администратора завести,  
так как не понял что это за ldaproot
такой, ну я в целом вроде разобрался, оставлю как есть - автоматически  
заведенного админа. Главное теперь я пароль ему
менять умею :)


Dmitriy Kruglikov <dmitriy.kruglikov@gmail.com> писал(а) в своём письме  
Tue, 23 Mar 2010 18:57:55 +0900:

> Зачем ????????????
> Не правильнее было бы вдуматься в тот мануал, по которому вы пытаетесь
> настроить систему и изменить _его_, вместо того, чтобы перепиливать
> уже работающую систему под мануал сомнительного качества?



-- 
Написано в почтовом клиенте браузера Opera: http://www.opera.com/mail/

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Ceргей]

мы, пользователи, не всегда ходим простыми путями :) а иногда и не хотим...
Спасибо за прояснение. ldap стал чуть ближе :)

Dmitriy Kruglikov <dmitriy.kruglikov@gmail.com> писал(а) в своём письме  
Tue, 23 Mar 2010 19:15:05 +0900:

> 23 марта 2010 г. 12:19 пользователь Ceргей  написал:
>
>> Все мануалы, которые у меня есть начинаются со слов "ставим openldap,  
>> samba,
>> делаем конфиги,
>> создаем ldif-файл, в котором описываем НОВУЮ базу и создаем  
>> администратора
>> ldap, и задаем ему пароль, делаем
>> ldapadd... и все, ldap запущен"
>
> Все это и делает alterator-openldap ...
> Старались, потели, мозги ломали ...
> Не для того, чтобы потом сгенеренные автоматом конфиги править ...
> ;)
>



-- 
Написано в почтовом клиенте браузера Opera: http://www.opera.com/mail/

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Владимир]

> Все это и делает alterator-openldap ...
> Старались, потели, мозги ломали ...
> Не для того, чтобы потом сгенеренные автоматом конфиги править ...
а если ко всей этой красоте сразу smbldap прикрутить?

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Andrii Dobrovol`s`kii]

[-- Attachment #1: Type: text/plain, Size: 702 bytes --]

Dmitriy Kruglikov пишет:
> 
> Все это и делает alterator-openldap ...
> Старались, потели, мозги ломали ...
> Не для того, чтобы потом сгенеренные автоматом конфиги править ...
> ;)
> 
Дмитрий, пользователь всё это оценит правильно когда сможет прочесть
понятную и полную документацию по предложенному решению. Она где-то
есть?
-- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Dmitriy Kruglikov]

23 марта 2010 г. 13:17 пользователь Владимир написал:
>> Все это и делает alterator-openldap ...
>> Старались, потели, мозги ломали ...
>> Не для того, чтобы потом сгенеренные автоматом конфиги править ...
> а если ко всей этой красоте сразу smbldap прикрутить?
А зачем ?
У меня пользователь, созданный в альтераторе, к ресурсу подключился ...
А smbldap(тулзы, которые) требуют несколько свою заточку базы ...
Лично мне она не нравится ...


-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Dmitriy Kruglikov]

23 марта 2010 г. 13:54 пользователь Andrii Dobrovol`s`kii написал:

> Дмитрий, пользователь всё это оценит правильно когда сможет прочесть
> понятную и полную документацию по предложенному решению. Она где-то
> есть?
Ну, пользователю должно быть достаточно нажать на кнопочку "Справка" в
альтераторе ...
Там уже кой-чего есть ...
Описывать всю внутреннюю кухню?
Сперва нужно привести ее в некоторый порядок.
То, что сейчас, работает, но мне не нравится ...
Если я реализую так, как нравится мне, и это пойдет в тираж, я опишу ...

-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Andrii Dobrovol`s`kii]

[-- Attachment #1: Type: text/plain, Size: 1145 bytes --]

Dmitriy Kruglikov пишет:
> 23 марта 2010 г. 13:54 пользователь Andrii Dobrovol`s`kii написал:
> 
>> Дмитрий, пользователь всё это оценит правильно когда сможет прочесть
>> понятную и полную документацию по предложенному решению. Она где-то
>> есть?
> Ну, пользователю должно быть достаточно нажать на кнопочку "Справка" в
> альтераторе ...
> Там уже кой-чего есть ...
> Описывать всю внутреннюю кухню?
> Сперва нужно привести ее в некоторый порядок.
> То, что сейчас, работает, но мне не нравится ...
> Если я реализую так, как нравится мне, и это пойдет в тираж, я опишу ...
> 
Ну что ж... Надежды юношей... и далее по классику. Если Вы не будете
писать документацию параллельно с развитием проекта -- Вы её вряд ли
будете писать вообще. Хорошо если я не прав.

-- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Dmitriy Kruglikov]

23 марта 2010 г. 15:25 пользователь Andrii Dobrovol`s`kii  написал:
> Хорошо если я не прав.
Как жаль, что прав ...
Если бы у меня сейчас была документация, то я бы не пытался понять,
зачем и для чего (чтоб не сказать какого **** ?) так извращался
предыдущий скриптописатель ...

P.S.
Что-то мне подсказывает, что мы уже не в теме треда ...

-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Andrii Dobrovol`s`kii]

[-- Attachment #1: Type: text/plain, Size: 797 bytes --]

Dmitriy Kruglikov пишет:
> 23 марта 2010 г. 15:25 пользователь Andrii Dobrovol`s`kii  написал:
>> Хорошо если я не прав.
> Как жаль, что прав ...
> Если бы у меня сейчас была документация, то я бы не пытался понять,
> зачем и для чего (чтоб не сказать какого **** ?) так извращался
> предыдущий скриптописатель ...
> 
> P.S.
> Что-то мне подсказывает, что мы уже не в теме треда ...
> 
:)
Согласен. На том и завязываем.
-- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Andrey Kuleshov]

23.03.2010 14:00, Dmitriy Kruglikov пишет:
> 23 марта 2010 г. 13:17 пользователь Владимир написал:
>    
>>> Все это и делает alterator-openldap ...
>>> Старались, потели, мозги ломали ...
>>> Не для того, чтобы потом сгенеренные автоматом конфиги править ...
>>>        
>> а если ко всей этой красоте сразу smbldap прикрутить?
>>      
> А зачем ?
> У меня пользователь, созданный в альтераторе, к ресурсу подключился ...
> А smbldap(тулзы, которые) требуют несколько свою заточку базы ...
> Лично мне она не нравится ...
>    
Зато ldap с такой заточкой может быть куском контроллера домена

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Vladimir Karpinsky]

23.03.2010 13:15, Dmitriy Kruglikov пишет:
> Все это и делает alterator-openldap ...

Делает, если вдруг не загнётся (см. 
http://lists.altlinux.org/pipermail/sysadmins/2010-March/032300.html)... 
Как его в этом случае чинить никто похоже не знает, а "руками", по 
пресловутым мануалам, работает.

-- 
	С уважением,
		Владимир.

Re: [Sysadmins] Пользователь ldaproot в ark server 5.0

[Ceргей]

> А зачем ?
> У меня пользователь, созданный в альтераторе, к ресурсу подключился ...
> А smbldap(тулзы, которые) требуют несколько свою заточку базы ...
> Лично мне она не нравится ...

Так вы не рекомендуете использовать smbldap из репозитория к ark server 5?
Она в репах альта не заточена чтоли под альт или в каком смысле?

> Ну, пользователю должно быть достаточно нажать на кнопочку "Справка" в
> альтераторе ...
> Там уже кой-чего есть ...
> Описывать всю внутреннюю кухню?

Альтератор это web-интерфейс https://IP-компа:8080 ?
Если так, то где там про ldap? Вся справка там очень лаконичная имхо

Dmitriy Kruglikov <dmitriy.kruglikov@gmail.com> писал(а) в своём письме  
Tue, 23 Mar 2010 21:03:23 +0900:

> 23 марта 2010 г. 13:54 пользователь Andrii Dobrovol`s`kii написал:
>
>> Дмитрий, пользователь всё это оценит правильно когда сможет прочесть
>> понятную и полную документацию по предложенному решению. Она где-то
>> есть?
> Ну, пользователю должно быть достаточно нажать на кнопочку "Справка" в
> альтераторе ...
> Там уже кой-чего есть ...
> Описывать всю внутреннюю кухню?
> Сперва нужно привести ее в некоторый порядок.
> То, что сейчас, работает, но мне не нравится ...
> Если я реализую так, как нравится мне, и это пойдет в тираж, я опишу ...
>



-- 
Написано в почтовом клиенте браузера Opera: http://www.opera.com/mail/