{"id":1807,"date":"2015-09-23T14:08:07","date_gmt":"2015-09-23T12:08:07","guid":{"rendered":"http:\/\/blog.sfsoft.it\/?p=1807"},"modified":"2015-09-25T09:01:10","modified_gmt":"2015-09-25T07:01:10","slug":"eseguire-il-join-su-active-directory-da-ubuntu-server-14-04","status":"publish","type":"post","link":"http:\/\/www.sfsoft.it\/blog\/2015\/09\/23\/eseguire-il-join-su-active-directory-da-ubuntu-server-14-04\/","title":{"rendered":"Eseguire il join su Active Directory da Ubuntu Server 14.04"},"content":{"rendered":"

Avviso: <\/strong>Sto notando che nonostante l’integrazione ed il login con i permessi del dominio funzionino quello che non va tanto sono le condivisioni Samba, nel senso che funzionano solo se prima \u00e8 stato effettuato almeno un login locale, gli utenti con i quali non \u00e8 stato effettuato il login locale non riescono ad accedere alle condivisioni Samba.<\/span><\/p>\n

\n

Nota:<\/strong> Riprendo l’articolo gi\u00e0 scritto Eseguire il join su Active Directory da Ubuntu Server<\/span><\/a> e lo adatto alla prova fatta con Ubuntu Server 14.04, ad esempio per creare un server NAS, in quanto il pacchetto PowerBroker Identity Services Open ( PBIS ) pare avere seri problemi con l’integrazione con Samba 4.<\/p>\n

\n

 <\/p>\n

Per questa operazione user\u00f2 l’autenticazione Kerberos<\/em> e i pacchetti realmd<\/em> e sssd<\/em> presenti nei repository ufficiali.<\/p>\n

Nella prova ho usato la versione Ubuntu Server LTS 14.04.3.<\/p>\n

Nota<\/strong>: onde evitare eventuali problemi di utenza o di profilo si consiglia di avere un utente locale diverso dall’utente di dominio.<\/p>\n

Si installano i pacchetti necessari:<\/p>\n

sudo apt-get install krb5-user realmd sssd sssd-tools adcli samba-common-bin<\/pre>\n
Verr\u00e0 richiesto molto probabilmente il dominio da usare in Kerberos, basta metterlo maiuscolo ( es. DOMAIN.LOC ), nell’eventualit\u00e0 non venisse richiesto serve andare poi a editare a mano il file \/etc\/krb5.conf<\/em>.<\/p>\n
Per testare se l’autenticazione funziona, proviamo ad aprire un tiket<\/em> con l’utente amministratore di dominio:<\/p>\n
sudo kinit administrator@DOMAIN.LOC<\/pre>\n
Per verificare che il ticket sia stato rilasciato basta eseguire:<\/p>\n
sudo klist<\/pre>\n
Ora si passa a configurare realmd<\/em>, si deve editare il suo file di configurazione in \/etc\/realmd.conf<\/em>, nel mio caso per\u00f2 il file non esisteva e ho dovuto crearlo:<\/p>\n
[service]\r\nautomatic-install = no\r\n \r\n[users]\r\ndefault-home = \/home\/%D\/%U\r\ndefault-shell = \/bin\/bash\r\n \r\n[domain.loc]\r\ncomputer-ou = DC=domain,DC=loc\r\nautomatic-id-mapping = yes\r\nfully-qualified-names = no<\/pre>\n
Si controlla se il dominio viene rilevato:<\/p>\n
sudo realm discover domain.loc<\/pre>\n
Se \u00e8 tutto corretto si pu\u00f2 procedere all’associazione:<\/p>\n
sudo realm join domain.loc<\/pre>\n
Se tutto va come dovrebbe si pu\u00f2 poi ad esempio ottenere la lista degli amministratori di dominio:<\/p>\n
sudo getent group 'Domain Admins'<\/pre>\n
Ora \u00e8 possibile eseguire il login alla macchina utilizzando gli utenti di dominio, volendo \u00e8 possibile anche limitare l’accesso e decidere chi solo pu\u00f2 accedere:<\/p>\n
sudo realm deny --all\r\nsudo realm permit administrator\r\nsudo realm permit -g 'Domain Admins'<\/pre>\n
Per far creare la cartella home al primo accesso occorre modificare il file \/etc\/pam.d\/common-session<\/em> aggiungendo la riga:<\/p>\n
session required      pam_mkhomedir.so  skel=\/etc\/skel umask=0022<\/pre>\n
Per configurare Samba si edita il file smb.conf<\/em>, e si impostano poi i seguenti parametri:<\/p>\n
[global]\r\n   workgroup = DOMAIN\r\n\r\n[share]\r\n   path = \/path\/to\/share\r\n   read list = @\"Domain Users@DOMAIN.LOC\"\r\n   write list = user@DOMAIN.LOC,@\"group@DOMAIN.LOC\"\r\n   valid users = user@DOMAIN.LOC,@\"group@DOMAIN.LOC\",@\"Domain Users@DOMAIN.LOC\"\r\n   writeable = yes\r\n   public = yes\r\n   browsable = yes<\/pre>\n
Dopo volendo \u00e8 possibile anche dare ad un utente o ad un gruppo di dominio i diritti di sudo<\/em>, si esegue il comando visudo<\/em> e si aggiunge a fine file (qui i nomi utente e gruppi vanno senza @DOMAIN.LOC<\/em>):<\/p>\n
user ALL=(ALL:ALL) ALL\r\n%group ALL=(ALL:ALL) ALL<\/pre>\n
Al termine delle operazione \u00e8 consigliato un riavvio della macchina, dopodich\u00e8 \u00e8 possibile eseguire il login come utente di dominio.<\/p>\n
Per maggiori informazioni rimando alla documentazione ufficiale e all’articolo da cui ho preso spunto:<\/p>\n
Ubuntu 14.04 Active Directory Authentication<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
Avviso: Sto notando che nonostante l’integrazione ed il login con i permessi del dominio funzionino quello che non va tanto sono le condivisioni Samba, nel senso che funzionano solo se prima \u00e8 stato effettuato almeno un login locale, gli utenti con i quali non \u00e8 stato effettuato il login locale non riescono ad accedere alle […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[15,3,23],"tags":[189,83,16,8,114,190,5],"_links":{"self":[{"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/posts\/1807"}],"collection":[{"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/comments?post=1807"}],"version-history":[{"count":10,"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/posts\/1807\/revisions"}],"predecessor-version":[{"id":1817,"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/posts\/1807\/revisions\/1817"}],"wp:attachment":[{"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/media?parent=1807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/categories?post=1807"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.sfsoft.it\/blog\/wp-json\/wp\/v2\/tags?post=1807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}