lilinji

学习Samba加域之大话西游02

当前，几乎所有的公司，组织都会采用 Active Directory为它们的 Windows 桌面和服务器提供身份验证服务。在《Linux 身份验证策略》中，我们讲过让Linux 计算机也采用 Active Directory，这样做得好处显而易见，那就是集中管身份验证。

1. 一些基础概念如Samba和Winbind，PAM, NSS可以参考《Linux 身份验证策略》。

2. 怎么配置 Samba，参考 学习Samba基础命令详解之大话西游01。

3. 关于使用LDAP认证，后面我会给大家带来文档

在《Linux 身份验证策略》中，我们也谈到可以采用一些公司的商用软件来集成Linux与Active Directory。但如果花钱购买集成软件不在预算之内，则可以利用免费的 Samba来做。今天我就来测试一下集成 RedHat/CentOS 6 与 ActiveDirectory 身份验证。

实施计划

使用 Winbind 设置 Linux 计算机以便使用 Active Directory 进行身份验证并非易事。要配置的东西有很多，而且很多地方都可能会出错，而 Linux 的每个版本和 Samba 的每个版本之间又都存在一些细微差别，再加上Windows Active Directory的版本不同，这更是雪上加霜。我选用了Windows 2003 R2 Active Directory与CentOS 6.2 来测试。

在集成 Active Directory 对 RHEL 6 对进行身份验证基本上需要步骤：

1. 前期的考虑，包括技术方面和非技术方面

2. 身份验证策略的选择

3. 实施的前期准备，包括Active Directory， DNS、 Samba，时间同步，Kerberos 客户端等。

4. 根据不同的验证策略来配置 Linux，特别是 PAM 和 NSS。

这里要注意的是，其实Windows Active Directory Domain Services包含了三个不同的服务：LDAP，DNS，Kerberos。

参考文档

这方面的文档真的非常多，但全面又比较权威的的，我找到了微软的一篇《使用 Active Directory 对 Linux 客户端进行身份验证》，以及RedHat的一篇《Integrating RedHat Enterprise Linux 6 with Active Directory》。

重要概念

Identity Management (IdM) in Red HatEnterprise Linux (RHEL)

这个IdM其实就是RedHat搞出来的和Windows ActiveDirectory DS一样的东西，不在本文的研究范围之类。

Red Hat Identity Management (IdM) in RHEL is a domaincontroller for Linux and UNIX servers that uses native Linux tools. Similar toActive Directory, Identity Management provides centralized management ofidentity stores, authentication and authorization policies. Identity Managementdefines a domain, with servers and clients who share centrally-managedservices, like Kerberos and DNS. Although centralizedapplications to manage identity, policy and authorization are not new, IdentityManagement is one of the only options that supports Linux/Unix domains.

Identity Management provides a unifying interface forstandards-based, common network

services, including PAM, LDAP, Kerberos, DNS, NTP, and certificate services,and allows Red

Hat Enterprise Linux systems to serve as domaincontrollers.

System Security Services Daemon (SSSD)

The System Security Services Daemon (SSSD) provides access to different identity andauthentication providers. SSSD is an intermediary between local clients and anyconfigured data store. The local clients connect to SSSD and then SSSD contactsthe external providers.

This brings a number of benefits for administrators:

Offline authentication. SSSD can optionally keep a cache of useridentities and credentials that it retrieves from remoteauthentication/identification services. This allows users to authenticate toresources successfully, even if the remote identification server is offline orthe local machine is offline.

Reduced load on authentication/identificationservers. Rather than having every client contact the identification serverdirectly, all local clients can contact SSSD which can connect to theidentification server or check its cache.

Single user account. Remote usersfrequently have multiple user accounts, such as one for their local system andone for the organizational system. Since SSSD supports caching and offlineauthentication, remote users can connect to network resources simply byauthenticating to their local machine and then SSSD maintains their networkcredentials.

SSSD recognizes domains, which are associated withdifferent identity servers. Domains are a combination of an identity providerand an authentication method. SSSD works with LDAP identity providers(OpenLDAP, Red Hat Directory Server, IdM in RHEL, Microsoft Active Directory)and native LDAP authentication or Kerberos authentication.

Winbind

对于Redhat 来说，Winbind 提供了以下三个功能:

Authentication of user credentials(via PAM).

ID Tracking/Name Resolution via nsswitch(NSS). The nsswitch service allows user and system information to be obtainedfrom different database services such as LDAP or NIS. ID Tracking/NameResolution is responsible for determining “Where” user identities are found.

ID Mapping represents the mappingbetween Red Hat Enterprise Linux user (UID), group (GID), and Windows security(SID) IDs. ID Mappings are handled through an idmap “backend” that isresponsible for tracking “What” ID’s users are known by in both operatingsystem environments.

ID 映射

通过 Active Directory 对 Linux 用户进行身份验证时有个大问题我还没有提到，那就是用户和组的 UID 问题。Linux 和 Windows 在内部都不是根据用户名来引用用户的，而是使用唯一的内部标识符。Windows 使用安全标识符（即 SID），它能够唯一标识 Windows 域中的每个用户，其结构长度可以变化。SID 也包含唯一域标识符，以便 Windows 区别不同域中的用户。

Linux 的方案则简单得多，Linux 计算机上的每个用户都有一个 UID，而此 UID 只是一个 32 位的整数。但是 UID 的范围受限于计算机本身。在某台 Linux 计算机上具有 UID 436 的用户，不一定与另一台 Linux 计算机上具有 UID 436 的用户相同。因此，用户必须登录他需要访问的每台计算机，这显然不是理想的情况。

Linux 网络管理员解决此问题的常用方法是，使用 NetworkInformation System (NIS) 或共享 LDAP 目录来提供网络身份验证。网络身份验证系统提供用户的 UID，而使用该身份验证系统的所有 Linux 计算机都将共享相同的用户和组标识符。在这种情况下，我将使用 Active Directory 来提供唯一的用户和组标识符。

解决这个ID映射问题，就是使用Winbind Backends。

Winbind Backends

Winbind idmap “backends” are one of the mostcommonly misunderstood components in Samba. Since Winbind provides a number ofdifferent “backends” and each manages ID Mappings differently, it is useful toclassify them as follows:

Allocating – “Read-Writeable” backends that store IDMappings in a local database file on the Red Hat Enterprise Linux 6 system(s).

Algorithmic – “Read-Only” backends that calculate ID Mappings on demand andprovide consistent ID Mappings across each Red Hat Enterprise Linux 6 system.

Assigned – “Read-Only” backends that use ID Mappingspre-configured within Active Directory.

Selecting a Winbind “backend” is also dependent onfactors such as:

Whether or not Active Directory schema modifications are permitted

Preferred location of ID Mappings

Number of Red Hat Enterprise Linux 6 systems

Number of nodes in the Active Directory forest

Use of LDAP

下图是RedHat 6 提供的不同Winbind Backend：

下面来说2个比较简单的策略：

第一个（也是最明显的）策略是，为每个用户和组创建 UID，并将该标识符与各自的对象一起存储到 Active Directory 中。这样一来，当 Winbind 对用户进行身份验证时，它就可以查询该用户的 UID，然后将它提供给 Linux 作为该用户的内部标识符。Winbind 将此方案称为 Active Directory ID 映射，或 idmap_ad。图 17 介绍了 ActiveDirectory ID 映射的过程。

Active Directory ID 映射的唯一缺点是，我们必须提供一种机制来确保每个用户和组都拥有标识符，而且这些标识符在林中都是唯一的。

幸好，还有另外一种 ID 映射策略，这种策略的管理负荷要少得多。回想一下，我们在前面曾提到过 Windows SID 可以唯一标识域中的用户和域本身。SID 中能唯一标识域中用户的部分称为相对标识符（或 RID），而且这部分事实上是一个 32 位的整数。因此，Winbind 可在用户登录时直接从 SID 中提取 RID，然后将该 RID 用作唯一的内部 UID。Winbind 将此策略称为 RID 映射，或 idmap_rid。图 18描述了 RID 映射的实际工作方式。

RID 映射具有零管理负荷的优点，但是您不能将它用在多域的环境中，因为不同域中的用户可能拥有相同的 RID 值。但是，如果您拥有单个 Active Directory 域，则可以使用 RID 映射。

要配置 Winbind ID 映射策略，请再次编辑 /etc/samba/smb.conf 文件，并且添加 “idmap backend = ad”行来使用 ActiveDirectory 映射策略；

如果您要使用 RID 映射策略，请添加“idmap backend =rid”行。确保该文件中不存在任何其他指定映射策略的行。

对于 Winbind，我们还需要在 smb.conf 文件中添加其他配置选项。虽然我们已将 PAM 设置为在每个用户登录时为其创建主目录，但是还需要告诉 Winbind 主目录的名称是什么。我们可以通过将“template homedir = /home/%U”行添加到 smb.conf 来执行此操作（请参见图 19）。这会告诉 Winbind，使用 Active Directory 进行身份验证的每个用户的主目录都将是 /home/<用户名>。但务必要先创建好 /home 目录。

前提考虑

There are many reasons why organizations choose tointegrate Red Hat Enterprise Linux 6 systems into a Windows Active Directorydomain. Some of the most common include:

Simplify, consolidate the administration of user accounts

Greater reliability, stability

Cost savings

Flexibility

Customization

Source code access

Greater security

Leverage Red Hat Enterprise Linux 6 benefits

Non-technical Considerations

· Organizational Alignment

· Expertise Levels

· Scope/Complexity

· Project Deployment

· Prototype

Technical Considerations

· File Sharing

· Login Access

· Active Directory ID Attributes

· numeration

· LDAP Referrals

· Winbind Backends

· Services Integration

· Log Files

身份验证策略

身份验证策略比较

这里可以参考一下RedHat的文档《Integrating RedHat Enterprise Linux 6 with Active Directory》，文中列举了10中不同的配置方法:

身份验证策略选择

既然有10中策略，那应该选哪一种呢？下图是一个比较简单的选择策略：

实施的前期准备

注意包括下面这些步骤，这里就不一一详述了。

Windows Server 2008 R2 server:
Deploy Windows Server 2008 R2
Configure Active Directory Domain Services
Red Hat Enterprise Linux 6 systems:
Deploy Red Hat Enterprise Linux 6
Configure SELinux Security Parameters
Install/Configure Samba (for recommended configurations 1, 2 only)
Synchronize Time Services
Configure DNS
Install/Configure Kerberos Client

Configure SELinux Security Parameters

关于SELinux，可参考《Red HatEnterprise Linux 6 Security-Enhanced Linux》。

Install/Configure Samba

参考 学习Samba基础命令详解之大话西游01。

Synchronize Time Services

这是因为如果时间差超过5分钟，Kerberos认证是通不过的。我们指向Windows的域控制器：

vim /etc/ntp.conf

server 0.centos.pool.ntp.org

server 1.centos.pool.ntp.org

server 2.centos.pool.ntp.org

server 192.168.136.8 这个后面是AD 域的IP

/etc/init.d/ntpd restart

可以看到时间同步了。

Configure DNS

我的DNS server指向Windows域控制器:

[root@client /]# cat /etc/resolv.conf

# Generated by NetworkManager

search ad.xample.com 这里是域的全名

nameserver 192.168.136.8 这里是域的ip地址

# No nameservers found; try putting DNS servers into your

# ifcfg files in /etc/sysconfig/network-scripts like so:

# DNS1=xxx.xxx.xxx.xxx

# DNS2=xxx.xxx.xxx.xxx

DOMAIN=ad.xample.com

[root@ client /]# cat /etc/sysconfig/network

bash: cat /etc/sysconfig/network: No such file or directory

[root@server1 /]# cat /etc/sysconfig/network

NETWORKING=yes

NETWORKING_IPV6=no

HOSTNAME=client

Install/Configure Kerberos Client

Best practice is to install and configure the Kerberosclient (krb5-workstation) to insure Kerberos is able to properly authenticateto Active Directory on the Windows Server 2008 R2 server. This step is optionalbut highly recommended as it is useful for troubleshooting Kerberosauthentication issues.

#1. Verify the Kerberos client is installed:

[root@server1 /]# yum list installed | grep krb5

krb5-libs.x86_64 1.10.3-10.el6 @anaconda-CentOS-201303020151.x86_64/6.4

krb5-workstation.x86_64 1.10.3-10.el6 @anaconda-CentOS-201303020151.x86_64/6.4

pam_krb5.x86_64 2.3.11-9.el6 @anaconda-CentOS-201303020151.x86_64/6.4

#2. Edit the file /etc/krb5.conf as follows

[root@client etc]# cat /etc/krb5.conf

[logging]

default = FILE:/var/log/krb5libs.log

kdc = FILE:/var/log/krb5kdc.log

admin_server = FILE:/var/log/kadmind.log

[libdefaults]

default_realm = AD.EXAMPLE.COM

dns_lookup_realm = false

dns_lookup_kdc = true

ticket_lifetime = 24h

renew_lifetime = 7d

forwardable = yes

[realms]

EXAMPLE.COM={

kdc =ad.example.com

admin_server = ad.example.com

default_domain = EXAMPLE.COM

}

[domain_realm]

.example.com = EXAMPLE.COM

example.com = EXAMPLE.COM

#3. Verify the Kerberos configuration. First, clear out any existing tickets:

root@client etc]# kdestroy

kdestroy: No credentials cache found while destroying cache

[root@client etc]#

[root@client etc]# klist

klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_0)

[root@server1 etc]#

#4. Obtain a new Kerberos ticket:

[root@client etc]# kinit administrator@AD.EXAMPLE.COM

Password for administrator@AD.EXAMPLE.COM:

#5. Verify a new Kerberos ticket was granted:

[root@client etc]# klist

Ticket cache: FILE:/tmp/krb5cc_0

Default principal: administrator@AD.EXAMPLE.COM

Valid starting Expires Service principal

10/09/14 16:20:09 10/10/14 02:20:12 krbtgt/AD.EXAMPLE.COM@ AD.EXAMPLE.COM

renew until 10/16/14 16:20:09

Install oddjob-mkhomedir

Install the oddjob-mkhomedir package to ensure that userhome directories are created

with the proper SELinux file and directory contexts:

[root@server1 etc]# service oddjobd status

oddjobd (pid 2018) is running...

[root@server1 etc]# chkconfig oddjobd --list

oddjobd 0:off 1:off 2:on 3:on 4:on 5:on 6:off

[root@server1 etc]#

集成方案一 – Samba/Winbind (idmap_rid)

这个是最简单的一种配置，可以用来集成一个台或多台Redhat到Active Directory domain中，可以提供用户访问的验证和文件共享功能。下面是配置概要：

Authentication and ID Components

The following picture depicts the Authentication, IDTracking, and ID Mapping for Configuration 1:

1. Configure Authentication(配置 PAM 和 NSS)

PAM和NSS的配置文件

PAM 和 NSS 提供 Linux 应用程序（如桌面）与 Winbind 之间的联系媒介。与许多 Linux 服务一样，您可以通过文本文件来配置 PAM 和 NSS。

PAM 为使用它的应用程序提供了四个与身份验证相关的功能。身份验证设施允许应用程序确定使用它的用户。帐户设施提供的帐户管理功能（如登录时间限制）与身份验证并不是特别相关。密码设施提供请求和管理密码的机制。会话设施执行与用户相关的安裝和应用程序的拆卸任务，例如，在用户特定的目录中记录或创建文件。

Red Hat 下的 PAM 将它的配置文件存储在 /etc/pam.d 目录中，其中包含使用 PAM 进行身份验证的每个应用程序的文本文件。例如，文件 /etc/pam.d/gdm 包含 Gnome Desktop Manager (GDM) 的 PAM 配置信息，即 Red Hat 的默认窗口运行环境。每个 PAM 配置文件都包含多行内容，其中每行分别定义 PAM 身份验证过程的某个方面。

PAM 配置文件中的每个项目都具有 <管理组> <控制> <模块> <参数> 的形式，其中 <管理组> 对应于配置条目所属的设施：身份验证、帐户、密码或会话。上图中描述的控制关键字可控制 PAM 处理配置条目的方式。该文件的第三栏包含 /lib/security 目录中的 PAM 共享库的名称。共享库包含可动态加载的可执行代码，类似于 Windows 中的 DLL。模块名称后的其他术语都是 PAM 传递到共享库的参数。

Required 如果模块成功，则 PAM 将继续评估管理组的其余项目，并且结果将由其余模块的结果决定。如果模块失败，PAM 将继续评估，但向调用应用程序返回失败消息。

Requisite 如果模块成功，PAM 将继续评估管理组条目。如果模块失败，PAM 将返回到调用应用程序，并且不做进一步处理。

Sufficient 如果模块成功，PAM 将向调用应用程序返回成功消息。如果模块失败，PAM 会继续评估，但结果将由后续模块决定。

Optional 除非模块是为管理组指定的唯一模块，否则 PAM 将忽略模块的结果。

Include PAM 包括引用的 PAM 配置文件的内容，并且还会处理该配置文件包含的条目。

您可以看到每个管理组都包含多个条目。PAM 按照调用命名的模块的顺序处理条目。然后，该模块返回成功或失败消息，而 PAM 将继续根据控制关键字进行评估。

您可能会注意到，GDM 的 PAM 配置文件在它的所有管理组中都包含系统身份验证。这正是 PAM 为 GDM 建立默认身份验证行为的方式。通过修改系统身份验证，您可以修改在其 PAM 配置中包含系统身份验证文件的所有应用程序的身份验证行为。下图中介绍了默认系统身份验证文件。

Name Service Switch (NSS) 模块将隐藏系统数据存储的详细信息以防应用程序开发人员看见，这与 PAM 隐藏身份验证的详细信息的方式大体相似。NSS 允许管理员指定存储系统数据库的方式。具体来说，管理员可以指定如何存储用户名和密码信息。因为我们希望应用程序使用 Winbind 在 Active Directory 中查询用户信息，所以我们必须修改 NSS 配置文件才能显示此信息。

1. 配置步骤（不过我没有图形化配置，具体往下看）！！！！！！我发现官网都是坑爹滴！

Red Hat 包含一个小型的图形小程序，可用来配置 PAM 和 NSS，称为system-config-authentication。它负责管理您需要对系统身份验证和 nss.conf 文件进行的大部分（而非全部）更改。

运行 system-config-authentication 应用程序后，您会看到下图：

Winbind Domain: Windows Active Directorydomain

Security Model: The Samba client mode ofoperation. The drop-down list allows

selection of the following options:

ads – This mode instructs Samba to act as a domainmember in an Active Directory Server (ADS) realm. To operate in this mode, thekrb5-server package must be installed, and Kerberos must be configuredproperly.

domain – In this mode, Samba attempts to validate theusername/password by authenticating it through a Windows Active Directorydomain server, similar to how a Windows Server would.

server – In this mode, Samba attempts to validate theusername/password by authenticating it through another SMB server. If theattempt fails, the user mode takes effect instead.

user – This is the default mode. With this level ofsecurity, a client must first log in with a valid username and password.Encrypted passwords can also be used in this security mode.

Winbind ADS Realm: When the ads SecurityModel is selected, this allows you to specify the ADS Realm the Samba servershould act as a domain member of.

Winbind Domain Controllers: Use this optionto specify which domain server winbind should use.

Template Shell: When filling out the userinformation for a Windows user, the winbindd daemon uses the value chosen hereto specify the login shell for that user.

Allow offline login: By checking thisoption, authentication information is stored in a local cache. This informationis then used when a user attempts to authenticate while offline.

我们将使用下列配置：

选择"Apply”，SSSD失败应该不影响最终结果，先不管。

Return to the Identity & Authentication tab, selectJoin Domain. An alert indicates the need

to save the configuration changes to disk before continuing.

Select Save. A new window prompts for the Domainadministrator password:

Select OK. 中间遇到了2个错，"DNS update failed"和“clock skew too great：

很容易解决，一是将DNS动态更新改为”nonsecure andsecure”，二是确保时间和域控同步。

我的配置：

/etc/samba/smb.conf

[global]

workgroup = AD # 指定AD域的NetBIOS名称。

必须有这个语句，否则不能在域网络中搜

# 索得到该Samba服务器

server string = File Server

netbios name = Sambaserver

security = ads # 指定Samba服务器的工作模式为ads

hosts allow = 172.16. 127. 192.

encrypt passwords = yes

guest account = alice # 指定alice用户作为来宾访问账户

realm =

ad.example.com

# 指定Windows域名（DNS格式）

password server = 172.16.0.1 # 指定担当身份

验证服务器的服务器IP地址

[homes]

comment = Home Directories

browseable = no

writable = yes

path = /home/%U

valid users = %U

[share]

comment = All user's share directory

path = /usr/share

public = no

guest ok =yes

readonly = yes

[program]

comment = Program Files

path = /etc/program

valid users = @administrator alice # 指

定该共享目录仅允许域网络中的administrtors组成员

# 和alice用户访问

public = no

writable = yes

idmap uid = 15000-20000 # 指定一个uid范围，

该范围内的uid被用来映射Linux用户到

# Windows用户SID，而且要确保这个id范围内没有被本地或NIS

# 用户占用，在winbind服务启动后，也不能在该ID范围内添加用户

idmap gid = 15000-20000 # 指定一个gid范围，该

范围内的gid被用来映射Linux用户到

# Windows的组SID，而且要确保这个id范围内没有被本地或NIS

# 组占用，在winbind启动以后，也不能在该ID范围内添加新组

winbind enum groups = yes # 指定winbind服务

是否能在系统上创建Windows域组。一般情况下

# 都要设置为yes，除非你出于某种原因希望关闭该功能

winbind enum users = yes # 指定winbind服务

是否能在系统上创建Windows域用户。一般情

# 况下都要设置为yes，除非你出于某种原因希望关闭该功能

winbind separator = + # 指定一个字符作为分隔符，

winbind将使用该分隔符来分隔用户或组

# 名使用该配置将使得域用户表示为"MYDOMAIN+username"，域组

# 被表示为"MYDOMAIN+Domain Users"

template homedir = /homes/%D/%U # 用来指定为域

用户产生主目录。使用变量替换可使winbind

# 服务把用户主目录设置为/homes/MYDOMAIN/username

template shell = /bin/bash # 控制Samba在哪里寻找域用户的主目录

举个栗子：

[global]
   workgroup = AD
   password server = ad.example.com
   realm = AD.EXAMLE.COM
   security = ads
   idmap config * : range = 16777216-33554431
   winbind separator = /
   template homedir = /home/%U
   template shell = /bin/bash
   winbind use default domain = true
   winbind offline logon = true
server string = Samba Server Version %v
log file = /var/log/samba/log.%m
max log size = 50
load printers = yes
cups options = raw
encrypt passwords = yes
winbind enum users = yes
winbind enum groups = yes
[homes]
comment = Home Directories
path = /data/%D/%U
browseable = no
writable = yes
valid users = %U
valid users = AD.EXAMPLE.COM\%U
create mode = 0777
directory mode = 0777
[printers]
comment = All Printers
path = /var/spool/samba
browseable = no
guest ok = no
writable = no
printable = yes

/etc/krb5.conf

[logging]  
 
         default = FILE:/var/log/krb5libs.log  
         kdc = FILE:/var/log/krb5kdc.log  
         admin_server = FILE:/var/log/kadmind.log  
 
[libdefaults]  
 
         default_realm = AD.EXAMPLE.LOCAL     # 指定默认域名  
         dns_lookup_realm = false       # 指定无需DNS解析域请求包  
         dns_lookup_kdc = ture          # 指定允许DNS解析kdc请求包  
ticket_lifetime = 24h           # 指定Kerberos认证票证有效期  
         forwardable = yes          # 允许转发解析请求  
 
[realms]     
 
         LYCB.LOCAL = {  
          kdc = 192.168.136.8:88           # 指定kdc服务器和kdc服务端口  136那个ip 其实就是AD 服务器那个ip 也就是 ad.example.com
          admin_server = 192.168.136.8:749     # 指定域控制器和管理端口  
          default_domain = ad.example.com   # 指定默认域  
         }  
 
[domain_realm]  
 
         .example.com = EXAMPLE.LOCAL  
          example.com = EXAMPLE.LOCAL 
 
# 以上两条其实是设置一个域搜索范围，并通过这两个语句可以使得域名与大小写无关  
 
[kdc]  
        profile = /var/kerberos/krb5kdc/kdc.conf  
 
[appdefaults]  
         pam = {  
          debug = false 
           ticket_lifetime = 36000 
           renew_lifetime = 36000 
           forwardable = true    # 允许转发请求  
           krb4_convert = false 
         }

nsswitch.conf配置文件是用来控制在用户访问Samba服务器时与Windows域中DC中的用户账户的切换，使用DC中的用户账户来进行身份验证。nsswitch.conf配置文件是在/etc目录下，要配置的内容也非常简单，只需要编辑以下几行语句即可：

/etc/nsswitch.conf

passwd: files winbind  #注意
group:  files winbind  #注意
shadow: files winbind  #注意
 
hosts:  files dns wins  
networks:   files dns  
 
protocols:  db files  
services:   db files  
ethers:     db files  
rpc:    db files

vi /etc/pam.d/system-auth 这里一般是认证的东西：不懂得要学习一下注意添加红色字体，这里一般是用户直接登录的玩意

#%PAM-1.0

# This file is auto-generated.

# User changes will be destroyed the next time authconfig is run.

auth required pam_env.so

auth sufficient pam_unix.so nullok try_first_pass

auth requisite pam_succeed_if.so uid >= 500 quiet

auth sufficient pam_winbind.so use_first_pass

auth required pam_deny.so

account sufficient pam_winbind.so

account required pam_unix.so

account sufficient pam_succeed_if.so uid < 500 quiet

account [default=bad success=ok user_unknown=ignore] pam_winbind.so

account required pam_permit.so

password requisite pam_cracklib.so try_first_pass retry=3 type=

password sufficient pam_unix.so md5 shadow nis nullok try_first_pass use_authtok

password sufficient pam_winbind.so use_authtok

password required pam_deny.so

session optional pam_keyinit.so revoke

session required pam_limits.so

session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid

session required pam_unix.so

对了还有，一个步骤就是编辑 vi /etc/resolv.conf

# Generated by NetworkManager

search ad.xample.com #域服务器

nameserver 192.168.136.8 #域的ip

之后重启 smb winbind

2. Verify/Test Active Directory

[root@samba ~]# net ads info
LDAP server: 192.168.136.8
LDAP server name: TJDNS03.ad.example.com
Realm: AD.EXAMPLE.COM
Bind Path: dc=AD,dc=EXAMPLE,dc=COM
LDAP port: 389
Server time: Wed, 03 Dec 2014 17:49:37 CST
KDC server: 192.168.136.8
Server time offset: 18
[root@samba ~]# wbinfo --domain-users
SAMBA\lilinji
administrator
guest
krbtgt
lilinji
wuxiaolei
sss

看看下面的配置概述：3. Modify Samba Configuration

修改samba配置文件/etc/samba/smb.conf如下：

Test the new configuration file:

[root@samba ~]# testparm

Load smb config files from /etc/samba/smb.conf

rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)

WARNING: The "idmap uid" option is deprecated

WARNING: The "idmap gid" option is deprecated

Processing section "[userdata]"

Loaded services file OK.

WARNING: The setting 'security=ads' should NOT be combined with the 'password server' parameter.

(by default Samba will discover the correct DC to contact automatically).

Server role: ROLE_DOMAIN_MEMBER

Press enter to see a dump of your service definitions

[global]

workgroup = AD

realm = AD.EXAMPLE.COM

security = ADS

password server = ad.example.com

template homedir = /home/%U

template shell = /bin/bash

winbind enum users = Yes

winbind enum groups = Yes

winbind use default domain = Yes

idmap config * : range = 100000-200000

idmap config * : backend = tdb

[userdata]

path = /home/%D/%U

valid users = AD.EXAMPLE.COM/%U

read only = No

create mask = 0777

directory mask = 0777

Backup and clear out the existing Samba cache files –requires services to be stopped.

[root@samba ~]# kdestroy

[root@samba ~]# klist

klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_0)

[

重新加入域时，这里又遇到了2个错：