Samba4 AD DC

Da ich diese Woche auf Arbeit einen Samba4 als Active Directory Domain Controller eingerichtet habe, möchte ich euch hier eine kurze Anleitung geben, wie ich vorgegangen bin.

Als Basis dient ein openSuSe 12.3 64 Bit in der Grundinstallation und ein Samba-Server Version 4.0.4, welchen wir selbst kompilieren.
Der Netzwerkkarte wurde die interne Zone zugewiesen und SSH für die später Administration aktiviert.
Folgende Pakete müssen zusätzlich installiert werden:

• libacl-devel
• libblkid-devel
• libgnutls-devel
• libgda-xslt-5_0-4
• libxslt-devel
• python-xattr
• python-bsddb3
• python-bsddb3-devel
• python-setproctitle
• python-devel
• gnutls
• readline-devel
• openldap2
• openldap2-devel
• cups-devel
• docbook-xsl-stylesheets
• gcc
• make
• sssd
• krb5-client

Einige davon kann man vor der Installation auswählen, andere kann man erst nach der Installation über das Software-Management von Yast hinzufügen.
Nachdem das System alle Updates bekommen hat, vergeben wir einen Namen an das System, z.B. PDC.

Als erstes laden wir uns den Samba-Source Version 4.0.4 runter und entpacken diesen, z.B. in /home

Jetzt geht es auf der Kommandozeile weiter!Wechselt in das eben entpackte Verzeichnis (/home/samba-4.0.4) und führt nacheinander die folgenden Befehle aus.

./configure
make
make install

Sollten hier etwas schief laufen, prüft, ob ihr wirklich alle Pakete installiert habt!
Habt ihr alles bis hierher richtig gemacht, so findet ihr euern kompilierten Samba im Verzeichnis /usr/local/samba

OK, jetzt erstellen wir unsere Domäne, konfigurieren unseren DNS-Server und vergeben unser Administrator-Passwort.
Klingt viel schlimmer, als es ist...

# Domain erstellen
/usr/local/samba/bin/samba-tool domain provision

Jetzt werdet ihr nach den folgenden Angaben gefragt:

• realm => FQDN der Domain (z.B. DEINE.DOMAIN)
• Domain => Domänenname (einfach Enter drücken)
• Serverrole => die Rolle des Servers (DC = Domaincontroller)
• DNS backend => die zu nutzende DNS-Datenbank (SAMBA_INTERNAL)
• DNS forwarder => der DNS-Server, an den Anfragen weitergeleitet werden, die unser DNS nicht kennt (z.B. eine zentrale Firewall, Router, etc.)
• Administrator password => Admin-Passwort (das Passwort muss aus mindestens 8 Zeichen bestehen und mindestens 1 Großbuchstaben und mindestens eine Zahl beinhalten [kann später abgeschaltet werden])

Somit ist die Grundeinrichtung abgeschlossen.
Zum starten des Samba-Servers einfach noch folgenden Befehlt ausführen:

#Samba starten
/usr/local/samba/sbin/samba

Der Samba-Deamon muss momentan noch manuell gestartet werden.
Ihr solltet euch sinnvollerweise ein Script erstellen, welchen den Deamon beim Systemstart mit startet...

Kommen wir jetzt zum ersten Verbindungstest. Dieser ist noch lokal!
Gebt folgende Befehle in die Kommandozeile ein:

/usr/local/samba/bin/smbclient -L localhost -U%
/usr/local/samba/bin/smbclient //localhost/netlogon -UAdministrator%'EuerP4$$wort' -c 'ls'

Mit dem ersten Befehl prüft ihr, ob ihr euch zu euerm lokalen Samba-Server verbinden könnt.Der zweite Befehl versucht euch mit dem Benutzer Administrator an der Freigabe netlogon an zu melden.

Jetzt überprüfen wir die DNS-Einstellungen.
In der Datei /etc/resolve.conf sollten folgende Zeilen zu finden sein:

domain DEINE.DOMAIN
nameserver IP_DEINES_SAMBA4_SERVERS

Zum testen des DNS helfen uns diese Befehle:

host -t SRV _ldap._tcp.DEINE.DOMAIN.
host -t SRV _kerberos._udp.DEINE.DOMAIN.
host -t A SERVERNAME.DEINE.DOMAIN.

Vergesst den Punkt am Ende nicht!
Hier sollten keine Fehler auftreten, sonst ist der DNS falsch konfiguriert.

Zum Schluss kommt noch Kerberos an die Reihe.
Kopiert die Datei /usr/local/samba/share/setup/krb5.conf in das Verzeichnis /etc.In der Datei muss folgende Zeile zu finden sein:

default_realm = DEINE.DOMAIN

Achtung! Kerberos verlangt, dass die Domain groß geschrieben wird! (siehe Kommentare)

Anschließend sollten euch die beiden Befehle

kinit Administrator@DEINE.DOMAIN
klist

keine Fehler bringen.

Damit ist einer Samba4 als AD DC konfiguriert. Glückwunsch!
Die Administration des DNS, der Benutzer, der Gruppen und der Gruppenrichtlinien kann ganz bequem mit den Windows Remote Administration Tools erfolgen.
Downloads:

• Windows 7: http://www.microsoft.com/de-de/download/details.aspx?id=7887
• Windows 8: http://www.microsoft.com/de-de/download/details.aspx?id=28972

Es kann zwischendurch oftmals helfen, den Samba neu zu starten

killall samba
/usr/local/samba/sbin/samba

Wenn ihr noch zusätzliche Verzeichnisse eures Server freigeben wollt, dann tragt diese in folgendem Format in die Datei /usr/local/samba/etc/smb.conf ans Ende ein.

[FREIGABENAME]
  path = /PFAD/ZUR/FREIGABE
  comment = KOMMENTAR
  read only = no

Anschließend den Samba-Deamon neustarten.

Hier noch ein paar Befehle, die euch bei der Einrichtung behilflich sein könnten:

#Der realm deiner Domain (DEINE.DOMAIN).
/usr/local/samba/bin/samba-tool testparm -suppress-prompt |grep realm
#Abstellen, dass ein komplexes Passwort benötigt wird.
/usr/local/samba/bin/samba-tool domain passwordsettings set --complexity=off
#Version des Samba-Servers prüfen.
/usr/local/samba/sbin/samba -V
#Version des Samba-Clients prüfen.
/usr/local/samba/bin/smbclient --version
#Passwortrichtlinien der Domäne anzeigen.
/usr/local/samba/bin/samba-tool domain passwordsettings show
#Maximales Passwortalter setzen. (Hier 999 Tage.)
/usr/local/samba/bin/samba-tool domain passwordsettings set --max-pwd-age=999
#Minimales Passwortalter setzen.(Hier 0 Tage.)
/usr/local/samba/bin/samba-tool domain passwordsettings set --min-pwd-age=0
#Minimale Passwortlänge festlegen. (Hier 2 Zeichen.)
/usr/local/samba/bin/samba-tool domain passwordsettings set --min-pwd-length=2

Hinzufügen eines Windows-Clients zur Domäne

Nun werden wir noch einen Windows-Client zu unserer neu angelegten Domäne hinzufügen.
In den Netzwerkeinstellungen des Windows-Rechners stellen wir als primären DNS-Server die IP unseres Samba4-Servers ein.
Später sollte das per DHCP gemacht werden...

Anschließend Rechtsklick auf Computer -> Eigenschaften -> Einstellungen ändern (rechts neben dem Computernamen).
Domäne auswählen und deinen Domänennamen eingeben. (DEINE.DOMAIN).
Jetzt sollte eine Abfrage nach Benutzer und Passwort kommen.
Unser Benutzer ist natürlich Administrator und euer dazu vergebenes (Samba-Administrator-) Passwort.

Wenn alles geklappt hat, kommt eine Aufforderung zum Neustart.
Nach einem Neustart könnt ihr euch mit euer Windows-PC an der Domäne anmelden (DEINE.DOMAIN\Administrator).