Samba als Domain Controller

[Darik]

Ok die smb.conf is konfiguriert und wenn ich mich an die domaine anmelden will bekomme ich diese Fehler meldung

Bei dem Versuch der Domane "xy" beizutreten, trat der Fehler Auf :

Das verwendete Konto ist ein Arbeitssstationskonto. Verwenden Sie ihr normales Benutzerkonto oder lokales Benutzer, um auf diesen Server zuzugreifen.

P.s: Redhat 7.0, Samba 2.2.1
Client:win2k 2sp

[Manuel Capellari]

da samba einen NT domain controller emuliert musst du logischerweise das selbe wie unter NT machen ... einen machine account hinzu fügen

[Darik]

ja ist erledigt aber leider kommt noch immer der gleich fehler

hmmm was könnte das noch sein os lvl ist auch auf 32 und sonst ist in der smb.conf nicht was mir spannisch vor kommt
hier wäre sie vieleicht siehst du da eine fehler

# Global parameters
[global]
workgroup = xy
netbios name = TO
server string = teamware server
encrypt passwords = Yes
map to guest = Bad User
socket options = SO_KEEPALIVE IPTOS_LOWDELAY TCP_NODELAY
character set = ISO8859-15
logon script = logon.cmd
logon path = \%Nprofiles\%u
logon drive = J:
logon home = \to\%u
domain logons = Yes
os level = 32
domain master = True
kernel oplocks = No
default service = homes
printing = lprng

[homes]
comment = Home Directories
read only = No
create mask = 0640
directory mask = 0750
browseable = No

[printers]
comment = All Printers
path = /var/tmp
create mask = 0600
printable = Yes
browseable = No
[netlogon]
path = /usr/local/samba/lib/netlogon

[profiles]
path = /home/ntprofiles
read only = No
create mask = 0600
directory mask = 0700

oder kann es sein das die samba version zu alt ist das sie als windows 2000 und Xp domain contoller funkt

[Manuel Capellari]

OS Level definiert lediglich die priorität des browsers, d.h. sollte es bei einem master browser so hoch wie möglich liegen

ich würde noch einen eintrag
preferred master = yes

in global setzen

mit hilfe von nmblookup kannst du verifizieren ob dein samba überhaupt masterbrowser ist

[Darik]

danke ich versuchs gleich ich habe jetzt gerade gelesen das ich mit dem Domain admin in der domaine anmelden muss damit ich den maschienen acc bekomme nur wie richtet man den ein ich finde diese option nich mal im swat programm des sambas

[Manuel Capellari]

>nich mal im swat programm des sambas
liegt wohl daran dass swat müll ist


ist im prinzip ganz einfach ...

1. machine account erstellen:
======================
useradd -d /dev/null -c "Machine Account" -s /bin/false MASCHINENNAME$
passwd -l MASCHINENNAME$
smbpasswd -a -m MASCHINENNAME

somit wurde der machine account erstellt


2. domain admin passwort vergeben
==========================
smbpasswd -a root secret

somit wurde root mit passwort secret zum domain admin


3. samba neu starten
================
/etc/init.d/smb restart


4. einstellungen auf der client maschine
=============================
System Properties -> Network Identification -> Properties [...]
die restliche integration des clients läuft komplett gleich ab wie die anbindung an einen windows NT bzw. 2000 server

btw. mit proprietären datenbanksystemen wie z.b. btrieve oder paradox lösungen wär ich auf samba servern jedoch vorsichtig, diese verlangen meist ein paar speziellere einstellungen ...

[Darik]

danke für die aus kunft

[Darik]

Problem nach dem ich mich nun in die domaine anmelden konnte und der rechner das profiel auf den samba server gespielt hat habe ich ab gemeldet und neu angemeldet

Dann kam die fehler meldung das er sich nicht das profiel hollen könne

[Manuel Capellari]

klingt nach falscher berechtigung des profile verzeichnisses bzw. nach einem falschen benutzer

[reality.sys]

In einer (älteren) Samba Dokumentation standt soweit ich weiß einmal, dass das Profile Verzeichniss unter Win2k/XP "browseable" sein muß. (oder war es netlogon?!)
Versuch mal bei deiner [profiles] Freigabe: browseable = true einzugeben.

Außerdem brauchen die User, neben der share Erlaubnis des Sambaservers, noch die read write und execute Erlaubnis des Linux Systems. (Wäre ja sonst nicht wirklich sinnvoll home verzeichnisse frei zu geben)

In deinem Fall wäre das:

chmod a+r+x /home/ntprofiles

(Ich hoffe das "+" ist richtig. Bin mir nicht mehr so sicher)
Du brauchst trotz dieser freigabe nicht wirklich Angst wegen Fremdzugriff um deine Home Verzeichnisse haben, da du ja mit directory mask und create mask diese serverseitig beschränkt hast.

[reality.sys]

Ich meinte natürlich chmod r+w+x /home/ntprofiles

Du kannst dies natürlich noch auf Gruppe(n) beschränken.

[Manuel Capellari]

> standt soweit ich weiß einmal, dass das Profile Verzeichniss unter Win2k/XP "browseable" sein muß

hmmm, also ich hab die profiles standardmässig im jeweiligen home verzeichnis des users, welches nicht browseable ist, es funktioniert recht gut

[reality.sys]

Ja, ich handhabe es hier genau so

Es war dann wohl doch das netlogon share.

danke

[Manuel Capellari]

jau, das netlogon muss auf jedenfall browseable und die enthaltenen scripts ausführbar sein, weil ohne logon scripts is der ganze server nix wert ...

[reality.sys]

Stimmt genau

Frage mich sowieso gerade wo Darik sein [netlogon] gelassen hat

Hey, was hälst du eigentlich von Swat?
Imo ists ein nettes Tool für Einsteiger, die sich nicht gleich mit der smb.conf rumschlagen wollen.
Jedoch kleistert es für meine Verhältnisse ziemlich in selbiger rum. Noch dazu kommt der kleine x.inetd Bug im 7.3er Redhat. (Wurde der eigentlich schon gefixed?)

Selfedit ist mir da um einiges sicherer und außerdem ist man wesentlich schneller.