km.azerttyu.net

Gosa : Utilisation de Samba

km — 2009-08-31T14:19:47Z

Configuration de l'annuaire LDAP

Lors de la configuration de notre annuaire LDAP, nous avons déjà activé les schémas requis pour Samba (voir Installer Gosa (partie 2 : Gosa). Nous n'avons rien à configurer de ce coté.

Installer le plugin pour GOsa

Avec la version 2.6.5 de GOsa, l'interface d'admistration de Samba est affectée à un plugin. Nous devons installer le plugin gosa-plugin-samba.

gosa:# apt-get install gosa-plugin-samba

En nous connectant à l'interface d'administration, une icône dédiée à Samba nous indique que le plugin est correctement installé.

Créer un compte Samba

Pour créer un compte Samba, il faut ajouter un utilisateur dans notre annuaire et lui affecter les droits Unix, puis les droits Samba.

A ce stade, notre utilisateur gosa est prêt à se connecter à notre serveur Samba.
L'étape suivant consiste en la configuration de notre serveur Samba.

Configurer le serveur Samba : Authentification LDAP

Pour commencer nous devons installer le serveur samba (il est recommandé d'utiliser un serveur dédié pour ce service)

samba:# apt-get install samba

Nous éditons ensuite le fichier smb.conf pour paramétrer les connexions à notre annuaire LDAP.

samba:# nano /etc/samba/smb.conf

 passdb backend = ldapsam:ldap://ip_gosa ldap admin dn = "cn=admin,dc=mydc,dc=mycountry" ldap ssl = off ldap delete dn = no ldap user suffix = ou=users ldap machine suffix = ou=machines ldap group suffix = ou=groups ldap suffix = dc=mydc,dc=mycountry

A noter :

On n'aborde pas la sécurisation via ssl, d'où l'option à off
Au lieu de l'ip_gosa, on peut indiquer le nom du serveur.

Configurer le serveur Samba : Partage de répertoire

Voici un exemple de partage possible.
La première section correspond à un répertoire accessible pour l'ensemble du groupe gosa_groupe. Ce groupe est défini via l'administration de GOsa.
La seconde section est un partage générique pour que chaque compte accède à son répertoire personnel (exemple : /home/gosa)

Notre utilisateur gosa doit appartenir au groupe gosa_groupe pour accéder aux 2 partages.

#Partage accessible uniquement aux comptes appartenant au groupe gosa_groupe [Commun] comment = Partage Commun path = /var/samba/Commun valid users = @gosa_groupe browseable = yes writable = yes #Interdire les non authentifiés guest ok = No #Accéder au répertoire de l'utilisateur authentifié. #Dans l'explorateur le répertoire sera nommé selon le compte utilisateur. [homes] comment = Répertoire Personnel browseable = No writeable = Yes

Vérification de la configuration

Samba fournit la commande testparm qui analyse le fichier smb.conf et retourne les erreurs éventuelles.

samba:# testparm

Load smb config files from /etc/samba/smb.conf Processing section "[section1]" ... Processing section "[SectionN]" Loaded services file OK.

On relance le démon afin de prendre en compte nos modifications.

samba:# /etc/init.d/samba restart

Configurer le compte d'administration Samba

Pour finaliser la configuration, nous devons sauvegarder le mot de passe du compte administrateur déclaré dans smb.conf

samba:# smbpasswd -w MonMotDePasse

Setting stored password for "cn=admin,dc=mydc,dc=mycountry" in secrets.tdb

Vérifier la connexion LDAP

Pour vérifier que notre serveur de fichier voit bien notre compte créé avec GOsa, nous utiliserons pdbedit

samba:# pdbedit -L

gosa:1001:gosa gosa

Nous pouvons vérifier l'ensemble des paramètres de notre compte via samba:# pdbedit -L -v -u gosa

Ainsi se conclut cet article, notre utilisateur gosa doit pouvoir s'authentifier sans problème au serveur Samba et consulter ses documents.

Ressources

Gosa : Authentification Unix (compte posix)

km — 2009-08-28T09:31:32Z

Nous allons autoriser un poste client à considerer nos comptes GOsa comme des comptes Unix standard

Pré requis

Avant de continuer la lecture de cet article, je vous invite à les 2 articles suivants :

Ces articles proposent une configuration de base concernant GOsa et son annuaire LDAP.

Création d'un compte GOsa

Pour authentifier un compte GOsa, il faut d'abord le créer. En 2 captures, c'est fait.

creation compte 01 creer

creation compte 02 information

Pour l'utilisateur créé, nous le configurons pour qu'il soit considéré comme un compte unix. Lors de l'installation de notre annuaire LDAP, les objets et attributs requis pour gérer les comptes posix sont déja actifs.

creation compte 03 activer unix

creation compte 03 compte unix

Notre utilisateur est prêt à se connecter sur notre poste client. Nous continuons par la configuration du dit poste.

Installation des paquets NSS et PAM

Sur le poste qui acceptera des comptes gérés par LDAP, nous installons en premier les outils utiles à leurs communications.
apt-get install libnss-ldap, nous amènera à configurer 2 paquets libnss-ldap et libpam-ldap.

Les questions sont relativement claires, donc pas d'explications, juste une installation en image.

Le paquet libnss

libnss ldap 01 uri

libnss ldap 02 DN

libnss ldap 03 version

libnss ldap 04 anonyme

libnss ldap 05 root

libnss ldap 06 chmod

libnss ldap 07 admin ldap

libnss ldap 08 passwd

libnss ldap 09 nsswitch

libpam ldap 01 uri

Le paquet libpam

libpam ldap 02 DN

libpam ldap 03 version

libpam ldap 04 root

libpam ldap 05 anonyme

libpam ldap 06 admin ldap

libpam ldap 07 passwd

libpam ldap 08 chiffrage

Configuration des paquets

Avec la configuration réalisée à l'aide de debconf, il se trouve que la communication avec le serveur LDAP ne fonctionne pas à tous les coups.
La configuration générée utilise une URI ldap ://, hors il est préférable de faire appel à l'attribut host

Dans les 2 fichiers suivants :

on commente la ligne commençant par ldap://
on ajoute la ligne host ldap.mydc.mycountry

client:# nano /etc/libnss-ldap.conf
client:# nano /etc/pam_ldap.conf

Configuration de NSS

Pour rappel, lors de l'installation du paquet libnss-ldap, la dernière étape nous invitait à éditer le fichier nsswitch.conf

client:# nano /etc/nsswitch.conf

Nous ajoutons la référence à ldap.

passwd: compat ldap group: compat ldap shadow: compat ldap

Configuration de PAM

PAM est un module qui gére les différents sources d'authentification et fait le pont avec les applications nécessitant une authentification.

Nous avons 3 fichiers à mettre à jour.

client:# nano /etc/pam.d/common-account

account	sufficient	pam_ldap.so account	required	pam_unix.so try_first_pass

client:# nano /etc/pam.d/common-auth

auth	sufficient	pam_ldap.so auth	required	pam_unix.so nullok_secure try_first_pass

client:# nano /etc/pam.d/common-password

password	sufficient	pam_ldap.so password	required	pam_unix.so nullok obscure min=4 md5

Automatiser la création des répertoires utilisateurs

En l'état si vous tentez de vous connecter (# ssh gosa@ip_client) avec le compte créé au tout début de l'article vous obtenez ce genre de message :

Could not chdir to home directory /home/gosa: No such file or directory gosa@client:/#

A ce stade de notre configuration, seule l'authentification par ldap a été activée. Ainsi nous pouvons bien nous connecter avec notre compte mais si le répertoire utilisateur n'existe pas celui n'est pas créé automatiquement.

Pour remédier à ce problème, nous éditons le fichier client:# nano /etc/pam.d/common-session

session required pam_unix.so session required pam_mkhomedir.so skel=/etc/skel/ session optional pam_ldap.so

Connexion

Et ainsi se conclue cet article :

# ssh gosa@ip_client gosa@client:~# gosa@client:~#pwd gosa@client:~#/home/gosa

Ressources

Installer Gosa (partie 2 : Gosa)

km — 2009-08-26T15:10:51Z

Gosa est une interface web évoluée destinée à piloter un annuaire ldap
Cet outil propose une interface simple et unifiée pour gérer ses collaborateur en entreprise [1], de la gestion de compte unix en passant par le déploiement de systeme bureautique complet.

Pré requis

Nous avons a disposition un serveur Debian Lenny avec une installation standard et le paquet ssh et un annuaire LDAP actif. Ce serveur gérera uniquement GOsa et l'annuaire ldap.
Pour la partie LDAP, nous pouvons nous reporter à l'article Installer Gosa (partie 1 : Ldap).

Ce serveur est connecté à un réseau (au moins local) et sera nommé gosa tout le long de cet article.

Obtenir et Installer le dernier paquet gosa

Les dépôts officiels de Debian hébergent déjà des paquets pour GOsa. Mais le projet GOsa évolue plus vite que l'actualisation de ces dépots, nous utiliserons donc leur dépôt public.

Nous éditons notre fichier sources.list :
gosa:# nano /etc/apt/sources.list, nous ajoutons la ligne suivante :
deb http://oss.gonicus.de/pub/gosa/debian-etch/ ./

Enfin on installe avec les commandes classiques :

gosa:# apt-get update gosa:# apt-get install gosa

Vérifier et préparer Gosa

A ce point de l'article nous avons accès à l'interface de configuration. Nous pouvons y accéder depuis notre navigateur favori (non ce n'est pas un panda chez moi).
http://ip_gosa/gosa/

Pour valider son installation, gosa demande l'écriture d'un fichier spécifique :
gosa:# echo -n a077780babfcf255bbb5ee809c22d75e > /tmp/gosa.auth

Une fois fait nous continuons en choisissant notre langue de prédilection.

Ensuite GOsa fait un état des lieux et vérifie que les extensions PHP requises sont bien installées sur le serveur.

Nous continuons en validant la licence d'utilisation.

Accéder à un annuaire LDAP

La prochaine étape consiste à se connecter à un annuaire ldap.
Comme nous n'avons pas encore fournit nos paramètres de connexion, nous observons :

 La connexion anonyme sur le serveur 'ldap://localhost:389' à échoué !

comme le montre la capture suivante.

En mettant à jour nos informations, nous obtenons un message de succès en rappelant le compte et le serveur ldap utilisé.
Pour l'URI de connexion, je suggère de donner un nom de domaine plutôt qu'une IP. Cette solution permettra de faire évoluer notre infrastructure réseau simplement via le fichier hosts de gosa ou un serveur DNS interne.

Validation des schémas

L'étape suivant consiste par la vérification des schémas activé dans l'annuaire. Si certains objets ou attributs sont manquant, une liste récapitule ceux à activer.

Dans ce cas je vous invite à relire Installer Gosa (partie 1 : Ldap) pour corriger les objets manquants signalés en rouge.

Les objets facultatifs manquant sont signalés en bleu, pour le moment on ne s'en préoccupe pas, on abordera les modules de GOsa dans d'autres articles.

Paramétrage de GOsa

A l'aide de 3 étapes on peut personnaliser sa configuration de GOsa. Du fait d'une installation minimaliste, seules les configurations par défaut sont conservées.

Vérification de l'annuaire LDAP

Une fois connecté à l'annuaire LDAP et les schémas validés GOsa vérifie certains problèmes de configuration classique. Pour chaque problème rencontré une solution est proposée.

Lorsque les problèmes sont résolus, tous les messages d'erreurs sont supprimés.

Participer à GOsa

Pour améliorer la qualité du projet, l'équipe de developpement vous propose de vous abonner à la liste de diffusion. Vous pouvez aussi remonter librement diverses informations concernant votre installation.

Finaliser la configuration

Une fois la configuration validée et finie, vous êtes invité à protéger votre fichier de configuration. Vous devez d'abord telecharger le fichier de configuration et le sauver dans /etc/gosa/gosa.conf puis :

chown root:www-data /etc/gosa/gosa.conf chmod 640 /etc/gosa/gosa.conf

Se connecter

Vous venez d'arriver à la conclusion de cet article. La configuration des modules sera abordée lors de prochaines publications.

[1] association, groupe, ...

Installer Gosa (partie 1 : Ldap)

km — 2009-08-07T14:59:11Z

Gosa est une interface web évoluée pour piloter des comptes et systèmes géré dans des annuaires LDAP.
Cet article ne parlera que de la configuration minimale requise pour rendre Gosa fonctionnel.

Introduction

Pour la suite de l'article, nous nommerons le serveur LDAP gosa. Dans notre cas, nous utiliserons le même serveur pour gérer notre annuaire LDAP et gosa.

Le serveur (sous Debian) a été installé avec le strict minimum, juste l'installation standard et le paquet ssh.

Installer LDAP

Nous utiliserons l'annuaire ldap fournit par slapd. Il s'agit de la version 2.4.11-1.

L'installation se fait simplement : gosa :# apt-get install slapd .

L'ensemble des éléments de configuration se feront tous dans le fichier /etc/ldap/slapd.conf. Si ce n'est pas le cas, je le préciserai.

Sauf indication contraire, nous utiliserons la configuration par défaut du fichier.

L'annuaire utilisé a pour suffixe dc=mydc,dc=mycountry, il faudra penser à changer ses informations à son cas particulier. Par exemple j'utilise mon nom de domaine et son TLD.

Les schémas

Pour utiliser un annuaire LDAP, il faut lui fournir des schémas. Ce sont, en version courte, de simples descriptifs précisant comment l'annuaire doit stocker et gérer ses données.

Les schémas nécessaire au fonctionnement de LDAP sont déjà activés :

# Schema and objectClass definitions
include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/inetorgperson.schema

Le schéma inetorgperson par exemple est normalisé.

Il est possible par la suite de faire évoluer au fur et à mesures des besoins, en ajoutant de nouveaux schémas à notre annuaire.

Les schémas Gosa

Gosa propose fournit ses propres schémas pour mieux gérer les données contenues dans l'annuaire.

Au préalable nous penserons à ajouter le dépot de gosa (cf partie2). L'installation est classique avec gosa :# apt-get install gosa-schema. Dans notre cas il s'agit de la version 2.6.5-1etch1.

Les schémas minimums à ajouter sont (pour les étourdis nano /etc/ldap/slapd.conf) :

#for gosa
include /etc/ldap/schema/gosa/gosystem.schema
include /etc/ldap/schema/gosa/gofon.schema
include /etc/ldap/schema/gosa/goto.schema
include /etc/ldap/schema/gosa/samba3.schema
include /etc/ldap/schema/gosa/gosa-samba3.schema #Options mais obligatoire
include /etc/ldap/schema/gosa/gofax.schema
include /etc/ldap/schema/gosa/goserver.schema

Configurer les droits d'accès

Comme Gosa apporte de nouveaux attributs et objets à l'annuaire, nous déclarons des droits supplémentaires pour mieux les protéger.

## Configuration Gosa
#Partie Samba
access to attrs=userPassword,sambaPwdLastSet,sambaPwdMustChange,sambaPwdCanChange,shadowMax,shadowExpire by dn="cn=admin,dc=mydc,dc=mycountry" write by dn="uid=samba,ou=DSA,dc=mydc,dc=mycountry" write by anonymous auth by self write by * none
access to attrs=sambaLmPassword,sambaNtPassword by dn="cn=admin,dc=mydc,dc=mycountry" write by dn="uid=samba,ou=DSA,dc=mydc,dc=mycountry" write by anonymous auth by self write by * none ##Partie Autre
access to attrs=goImapPassword by dn="cn=admin,dc=mydc,dc=mycountry" write by * none
access to attrs=goKrbPassword by dn="cn=admin,dc=mydc,dc=mycountry" write by * none
access to attrs=goFaxPassword by dn="cn=admin,dc=mydc,dc=mycountry" write by * none
access to attrs=gotoLastUser by * write #Autorisation générique
access to dn.regex="ou=incoming,dc=mydc,dc=mycountry" by dn="cn=terminal-admin,dc=mydc,dc=mycountry" write by dn="cn=admin,dc=mydc,dc=mycountry" write
access to dn.sub="ou=incoming,dc=mydc,dc=mycountry" by dn.regex="cn=terminal-admin,dc=mydc,dc=mycountry" write by dn="cn=admin,dc=mydc,dc=mycountry" write
access to dn="ou=(people|groups|computers),dc=mydc,dc=mycountry" by dn="cn=admin,dc=mydc,dc=mycountry" write by dn="uid=samba,ou=DSA,dc=mydc,dc=mycountry" write by * read
access to * by dn="cn=admin,dc=mydc,dc=mycountry" =wrscx by * read by anonymous auth

Lancer Ldap

Nous avons maintenant un annuaire minimaliste compatible avec Gosa. Pour l'activer :

gosa:# /etc/init.d/slapd start Starting OpenLDAP: slapd.

Si ldap se lance correctement alors nous pouvons passer à l'étape suivante.

Utiliser Gosa

A partir de cet instant, nous pouvons configurer Gosa pour piloter notre annuaire.
N'oublions pas que cet annuaire est configuré au minimum nous devrons donc par la suite revenir sur la configuration de LDAP pour ajouter le support de Samba et autres services.