एक विंडोज़ डोमेन में सांबा प्रमाणीकरण

हम लिनक्स और विंडोज की बातचीत के बारे में लेखों की एक श्रृंखला जारी रखते हैं।
अब हम Windows 2008R2 डोमेन में CentOS Linux ऑपरेटिंग सिस्टम (संस्करण 6.3) के साथ एक सर्वर शुरू करने के कार्य पर विचार करेंगे। नवीनतम लेखों की तरह, हम ऑपरेटिंग सिस्टम की वितरण प्रणाली के साथ आपूर्ति किए गए मानक उपकरणों का उपयोग करेंगे। लेकिन, हमारे पिछले लेखों के विपरीत, हम कार्य का विस्तार करेंगे। CentOS Linux चलाने वाले सर्वर पर न केवल फ़ाइल स्टोरेज को व्यवस्थित करना आवश्यक है, बल्कि डोमेन उपयोगकर्ताओं को कमांड और ग्राफिकल शेल तक पहुंच प्रदान करता है।
आप CentOS प्रोजेक्ट साइट पर सांबा को कॉन्फ़िगर करने के बारे में जानकारी पा सकते हैं, लेकिन यह जानकारी मुख्य रूप से पुराने संस्करणों (CentOS 5) की चिंता करती है और कम संख्या में कॉन्फ़िगरेशन उदाहरणों को शामिल करती है।
सेंटोस वितरण के लिए सांबा स्थापित करने पर अन्य सामग्रियां हैं। लेख लिखने और परीक्षण की प्रक्रिया में, साइट पर प्रकाशित लेखों का चयन बहुत उपयोगी था। निम्नलिखित लेख विशेष रूप से उपयोगी साबित हुए (इस तथ्य के बावजूद कि वे मार्च - अप्रैल 2007 में प्रकाशित हुए थे):

1. आरएचईएल / सेंटो 5 के लिए सांबा के साथ सक्रिय निर्देशिका एकीकरण
2. समस्या निवारण सक्रिय निर्देशिका और Winbind
3. सक्रिय निर्देशिका एकल साइन ऑन

एक परीक्षण नेटवर्क को व्यवस्थित करने के लिए, हम वर्चुअल वातावरण VMware VSphere 5 का उपयोग करेंगे, जिसे ESXi हाइपरवाइज़र आर्किटेक्चर के आधार पर कार्यान्वित किया जाएगा। यह वातावरण सक्रिय रूप से होस्टिंग सर्वर और अनुसंधान के लिए एमपीईआई की सूचना और कंप्यूटिंग नेटवर्क में उपयोग किया जाता है। हालांकि, एक अच्छी तरह से स्थापित Microsoft हाइपर-वी, साथ ही किसी भी अन्य समान समाधान का लाभ उठा सकता है, जिसमें मुफ्त सॉफ्टवेयर के आधार पर शामिल हैं, जैसे कि एक्सएन हाइपरवाइजर या केवीएम ।
परीक्षण वातावरण एक सक्रिय निर्देशिका (AD DS) आधारित डोमेन नेटवर्क है, जिसमें MS Windows Server 2008 R2 EE, और एक क्लाइंट मशीन, MS Windows 7 Professional चलाने वाले दो अवसंरचना सर्वर शामिल हैं। 192.168.7.0/24 सबनेट से आईपी पते का उपयोग करता है।

1. डोमेन नाम - LAB.LOCAL
2. फ़ोरफ़्रंटट्रीट प्रबंधन गेटवे (TMG) 2010 सर्वर - LAB-TMG.lab.local
3. ग्राहक - LAB-CL1.lab.local

निम्न भूमिकाएँ LAB-DC1 डोमेन नियंत्रक पर स्थापित की जाती हैं:

1. सक्रिय निर्देशिका प्रमाणपत्र सेवाएँ (AD CS)
2. सक्रिय निर्देशिका डोमेन सेवाएँ (AD DS)
3. डीएचसीपी सर्वर (स्कोप नाम: LAB.LOCAL; पता पूल: 192.168.7.20–192.168.7.70);
4. DNS सर्वर (प्रकार: AD- एकीकृत; गतिशील अपडेट: केवल सुरक्षित);
5. वेब सेवाएँ (IIS)।

परीक्षण नेटवर्क और इंटरेक्शन प्रोटोकॉल के विवरण लेख में वर्णित हैं।

1. आवश्यक पैकेज

हम पैकेज के न्यूनतम आवश्यक सेट को स्थापित करते हैं: सूक्ति डेस्कटॉप (या अपनी पसंद का दूसरा विंडो प्रबंधक), कोर सर्वर, और सांबा । हमें आवश्यकता होगी:

1. krb5- वर्कस्टेशन पैकेज (संस्करण 1.9 से कम नहीं), जिसमें केर्बरोस-आधारित प्रमाणीकरण के लिए आवश्यक क्लाइंट एप्लिकेशन हैं;
2. पहले लॉग में उपयोगकर्ता निर्देशिकाओं के स्वत: निर्माण के लिए विषमजमोखोमेदिर पैकेज (संस्करण 0.30-5 से कम नहीं);
3. सांबा पैकेज स्वयं (संस्करण 3.5-10 से कम नहीं), जिसमें मुख्य कार्यक्रम और सांबा-विनबाइंड पैकेज शामिल है , जो हमारे सर्वर को एक डोमेन नियंत्रक से जोड़ने के लिए जिम्मेदार है।

2. डीएनएस सेटअप

सबसे पहले आपको DNS सर्विस को कॉन्फ़िगर करना होगा। यह बहुत महत्वपूर्ण है, क्योंकि हमारे नेटवर्क और सांबा सेवाओं का विश्वसनीय संचालन नेटवर्क पर सही नाम समाधान पर निर्भर करता है। हमारा डोमेन कंट्रोलर भी एक DNS सर्वर है। इसलिए, हम प्रशासनिक उपकरण अनुभाग में DNS प्रबंधन कार्यक्रम का चयन करेंगे और मैन्युअल रूप से नए सर्वर का नाम और पता दर्ज करेंगे। अंजीर में। 1, परिणाम पहले से ही प्रस्तुत किया गया है।


अंजीर। 1. DNS में नाम और पता सेट करना।

हमारा DNS सर्वर सक्रिय निर्देशिका के साथ एकीकृत है। आप nslookup या होस्ट उपयोगिता का उपयोग करके आगे और रिवर्स नाम रिज़ॉल्यूशन की शुद्धता को सत्यापित कर सकते हैं। हम स्पष्ट करेंगे: यह अवश्य किया जाना चाहिए, भले ही DNS सर्वर पर आवश्यक रिकॉर्ड पहले से ही दिखाई दिया हो। आपको ऐसा करने की आवश्यकता है क्योंकि ऐसा चेक नेटवर्क की संचालन क्षमता का एक अतिरिक्त परीक्षण है और सेटिंग्स सही हैं। मेजबान उपयोगिता का उपयोग करने वाला एक चेक इस तरह दिखता है:
मेजबान 192.168.7.10 - पते से नाम का निर्धारण, और
मेजबान परीक्षण-centos.lab.local - नाम से पता निर्धारित करें।
नतीजतन, हमें दोनों मामलों में सही नाम समाधान प्राप्त करना चाहिए।

3. एक नेटवर्क एडाप्टर को कॉन्फ़िगर करना

अब इस आईपी पते (192.168.7.10) को नए स्थापित CentOS लिनक्स सर्वर के नेटवर्क एडेप्टर को सौंपा जाना चाहिए। हम डेस्कटॉप पर सिस्टम मेनू आइटम का उपयोग करते हैं और नेटवर्क कनेक्शन आइटम (छवि 2) का चयन करते हैं।


अंजीर। 2. एक नेटवर्क कनेक्शन कॉन्फ़िगर करें।

दिखाई देने वाली सेटिंग्स विंडो में, वांछित आईपी पता सेट करें। नतीजतन, हमें निम्नलिखित प्राप्त करना चाहिए - अंजीर देखें। 3।


अंजीर। 3. नेटवर्क कनेक्शन को कॉन्फ़िगर करना। IP पता सेट करें।

हमारा सर्वर नेटवर्क मैनेजर का उपयोग करके कॉन्फ़िगर किया गया है। इसलिए, कई विकल्पों पर ध्यान देना आवश्यक है:

1. स्वचालित रूप से कनेक्ट करें, जो आपको नेटवर्क एडाप्टर को स्वचालित रूप से कनेक्ट करने की अनुमति देता है।
2. सभी उपयोगकर्ताओं के लिए उपलब्ध है, जो सभी उपयोगकर्ताओं को इस एडेप्टर का उपयोग करने की अनुमति देता है।

आप फ़ाइल /etc/sysconfig/networking/devices/ifcfg-eth0, को संपादित करके नेटवर्क कनेक्शन को मैन्युअल रूप से कॉन्फ़िगर कर सकते हैं /etc/sysconfig/networking/devices/ifcfg-eth0, इसे अंजीर में दिखाए गए फॉर्म में ला सकते हैं। 4।


अंजीर। 4. नेटवर्क कनेक्शन को कॉन्फ़िगर करना। सेटिंग्स फ़ाइल।

NM_CONTROLLED कीवर्ड नेटवर्क मैनेजर का उपयोग करके कनेक्शन प्रबंधन को सक्षम या अक्षम करता है।
किसी भी कॉन्फ़िगरेशन विधि के साथ, आपको DNS सर्वर का IP पता सेट करना होगा। यह IP पता 192.168.7.2 के साथ हमारा डोमेन नियंत्रक है।
नेटवर्क एडेप्टर की सेटिंग लागू करने के लिए, आपको रीस्टार्ट कमांड चलाना होगा:

 /etc/init.d/network restart 

4. सेट समय

जैसा कि पिछले लेखों में बताया गया है, सक्रिय निर्देशिका के संचालन के लिए सही समय सेटिंग बहुत महत्वपूर्ण है। आप मानक सिस्टम टूल्स का उपयोग करके समय को समायोजित कर सकते हैं (देखें। अंजीर। 5)।


अंजीर। 5. समय सेटिंग।

लेकिन घड़ी तुल्यकालन के साथ समस्याओं से पूरी तरह से बचने के लिए, आपको डोमेन नियंत्रक के साथ समय को सिंक्रनाइज़ करने के लिए समय सेवा ( ntpd डेमॉन) को कॉन्फ़िगर करना चाहिए (चित्र 6 देखें)।


अंजीर। 6. समय सेवा को कॉन्फ़िगर करना।

ऐसा करने के लिए, /etc/ntp.conf फ़ाइल को संपादित करें, डोमेन नियंत्रक को समय सर्वर के रूप में निर्दिष्ट करें। Ntpd डेमॉन को chkconfig ntpd on का उपयोग शुरू करने के लिए याद रखें और इसे /etc/init.d/ntpd restart कमांड के साथ /etc/init.d/ntpd restart ।

5. सेटिंग्स का परीक्षण

इन सेटिंग्स को करने के बाद, आपको उनकी शुद्धता की जांच करनी चाहिए। डोमेन नियंत्रक, समय सेटिंग्स, प्रत्यक्ष और रिवर्स नाम रिज़ॉल्यूशन की शुद्धता (देखें। अंजीर। 7) के साथ कनेक्शन का परीक्षण करना आवश्यक है।


अंजीर। 7. सेटिंग्स की जाँच करना।

6. डोमेन प्राधिकरण को कॉन्फ़िगर करना

अब विंडोज डोमेन में हमारे सर्वर की सदस्यता स्थापित करने का समय आ गया है। पिछले उदाहरणों के विपरीत, हम अलग से LDAP और Kerberos को कॉन्फ़िगर नहीं करेंगे। सेंटोस वितरण के साथ आपूर्ति की गई ऑक्टोकोनफिग कमांड-लाइन उपयोगिता का उपयोग करके हम एक बार में सब कुछ कॉन्फ़िगर करने का प्रयास करेंगे।
Authconfig आपको एक बार में सभी आवश्यक सेवाओं को कॉन्फ़िगर करने की अनुमति देता है। उसी समय, आप न केवल विंडोज 2008 डोमेन में प्राधिकरण को कॉन्फ़िगर कर सकते हैं, बल्कि एलडीएपी, एनआईएस और अन्य प्रमाणीकरण विधियों का उपयोग भी कर सकते हैं।
ऑर्टकोन्फिग यूटिलिटी के बारे में अधिक जानकारी बिल्ट-इन मैनुअल ( मैन ऑक्टोकोनफिग , ऑनलाइन संस्करण ) से प्राप्त की जा सकती है, या कमांड प्रॉम्प्ट पर ओर्टकॉन्फिग -एचएलपी टाइप करके अंतर्निहित मैनुअल से प्राप्त की जा सकती है। यह कहने के लिए पर्याप्त है कि ऑक्टोकोनफिग में लगभग 50 कॉन्फ़िगरेशन विकल्प हैं - क्या आप इसकी क्षमताओं और उसी समय, कॉन्फ़िगरेशन कठिनाइयों की कल्पना कर सकते हैं? सिस्टम-कॉन्फिग-ऑथेंटिकेशन यूटिलिटी (अंजीर। 8) - ऑर्टकनफिग को ग्राफिकल इंटरफेस का उपयोग करना आसान है। इस उपयोगिता को सिस्टम प्रशासन इंटरफ़ेस से बुलाया जा सकता है, या आप कमांड लाइन का उपयोग भी कर सकते हैं। इसके अलावा, दूसरा विकल्प बेहतर लगता है, क्योंकि टर्मिनल विंडो में डायग्नोस्टिक संदेशों का आउटपुट होगा, जो समस्या निवारण को सरल करेगा।


अंजीर। 8. सिस्टम-कॉन्फ़िगरेशन-प्रमाणीकरण कॉल करें।

उपयोगकर्ता खाता डेटाबेस मेनू में, आप चुन सकते हैं कि उपयोगकर्ता सूचियों और पासवर्ड कहाँ संग्रहीत करें। संभावित विकल्प हैं:

1. स्थानीय पासवर्ड डेटाबेस (फाइलें / आदि / पासवार्ड और / आदि / छाया);
2. LDAP सर्वर से कनेक्शन
3. एनआईएस सर्वर से कनेक्शन;
4. विनबिंड का उपयोग - एक विंडोज डोमेन नियंत्रक से कनेक्शन;
5. IPAv2 का उपयोग करना LDAP, Kerberos, NTP, DNS और प्रमाणपत्र सेवाओं के संयोजन का एक एकीकृत समाधान है।

IPAv2 आपको उपयोगकर्ताओं, कार्यस्थानों, समूहों को अधिकृत करने और नेटवर्क एक्सेस कंट्रोल पॉलिसी को बनाए रखने की अनुमति देता है। IPAv2 को NSSWITCH और PAM की जगह एक समाधान के रूप में तैनात किया गया है। अधिक जानकारी http://www.freeipa.org/page/Main_Page पर उपलब्ध है।
चूंकि हमारा कार्य विंडोज़ डोमेन में प्राधिकरण है, इसलिए हम Winbind को उपयोगकर्ता खाता डेटाबेस (छवि 9) के रूप में चुनते हैं।


अंजीर। 9. उपयोगकर्ता खाता डेटाबेस चुनना।

आपको ऑर्टकनफिग के लिए बुनियादी मापदंडों को निर्दिष्ट करना होगा। विंडोज डोमेन विंडोज 2008R2 डोमेन का संक्षिप्त नाम है, जिसका उपयोग सांबा कॉन्फ़िगरेशन फ़ाइल (/etc/samba/smb.conf) के कार्यसमूह पैरामीटर में किया जाता है। हमने पहले से ही पिछले लेखों में सांबा कॉन्फ़िगरेशन फ़ाइल के बारे में बात की थी।
सुरक्षा मॉडल विज्ञापनों में स्थापित है, जो सांबा कॉन्फ़िगरेशन फ़ाइल /etc/samba/smb.conf में सुरक्षा पैरामीटर के मान से मेल खाती है। सुरक्षा मॉडल = विज्ञापनों का चयन करने का अर्थ है कि प्रोटोकॉल का उपयोग किया जाता है जो Windows 2008R2 ADS के साथ संगत हैं। अन्य संभावित सुरक्षा मॉडल मूल्य:

1. डोमेन - विंडोज 2000/2003 डोमेन का उपयोग करके केंद्रीकृत प्राधिकरण;
2. सर्वर - उन मामलों में उपयोग किया जाता है जहां सांबा डोमेन का सदस्य नहीं है, लेकिन सर्वर पर उपयोगकर्ता खातों और पासवर्ड के केंद्रीकृत भंडारण का उपयोग करता है;
3. उपयोगकर्ता - उपयोगकर्ता खातों और पासवर्डों के स्थानीय डेटाबेस का उपयोग करता है। इसके लिए न केवल एक उपयोगकर्ता खाता, बल्कि एक कार्य केंद्र खाता भी आवश्यक है।

Winbind ADS Realm पैरामीटर, Samba कॉन्फ़िगरेशन फ़ाइल में REALM पैरामीटर के समान है और कर्बरोस सुरक्षा सेटिंग्स से संबंधित है। एक समान /etc/krb5.conf पैरामीटर /etc/krb5.conf कॉन्फ़िगरेशन /etc/krb5.conf में निर्दिष्ट है।
Winbind डोमेन नियंत्रकों को रिक्त छोड़ा जा सकता है - DNS से ​​डोमेन नियंत्रक नाम निर्धारित किया जाएगा। इस क्षेत्र को पूरा किया जाना चाहिए, अगर किसी कारण से, DNS डोमेन नियंत्रक के नाम और आईपी पते का निर्धारण नहीं कर सकता है।
टेम्पलेट शेल पैरामीटर बहुत दिलचस्प है, यह दर्शाता है कि हमारे सेंटोस लिनक्स सर्वर पर एक डोमेन उपयोगकर्ता को पंजीकृत करते समय किस कमांड शेल का उपयोग किया जाएगा। संभावित शैल मान /etc/shells फ़ाइल में सूचीबद्ध हैं। सिस्टम-कॉन्फिग-ऑथेंटिकेशन यूटिलिटी इन वैल्यूज / बिन / गलत को जोड़ता है, जिसका उपयोग डिफॉल्ट वैल्यू के रूप में किया जाता है। यदि आप शेल के रूप में /bin/false निर्दिष्ट करते हैं, तो डोमेन उपयोगकर्ताओं को सिस्टम तक पहुंच से वंचित कर दिया जाएगा। टेम्पलेट शेल पैरामीटर लिनक्स पर /etc/passwd के शेल फ़ील्ड के समान है। उपयोगकर्ताओं को कमांड लाइन का उपयोग करके सिस्टम पर अंतःक्रियात्मक रूप से बातचीत करने की अनुमति देने के लिए, इस पैरामीटर को /bin/sh या /bin/bash सेट किया जाना चाहिए।
ऑफ़लाइन लॉगिन की अनुमति दें पैरामीटर हमारे CentOS लिनक्स सर्वर को पासवर्ड कैश करने की अनुमति देता है और, तदनुसार, डोमेन नियंत्रक अनुपलब्ध होने की स्थिति में उपयोगकर्ताओं को अधिकृत करता है।
हम उन्नत विकल्प टैब पर जाएंगे, क्योंकि कुछ ऐसे पैरामीटर हैं जो हमारी रुचि रखते हैं (चित्र 10 देखें)।


अंजीर। 10. उन्नत विकल्प टैब सिस्टम-कॉन्फ़िगरेशन-प्रमाणीकरण ।

इस टैब पर, हम दो मापदंडों में रुचि रखते हैं: पहले लॉगिन पर होम निर्देशिका बनाएं और स्थानीय पहुंच नियंत्रण सक्षम करें।
स्थानीय अभिगम नियंत्रण सक्षम करें हमें अपने सर्वर पर उपयोगकर्ताओं को पंजीकृत करने के नियमों को निर्दिष्ट करने की अनुमति देता है। आप कुछ उपयोगकर्ताओं को टर्मिनलों या दूरस्थ डेस्कटॉप का उपयोग करने में सक्षम या अक्षम कर सकते हैं। यह बहुत सुविधाजनक है यदि हम चाहते हैं, उदाहरण के लिए, उपयोगकर्ताओं को कंसोल टर्मिनल के माध्यम से कनेक्ट करने से रोकना। पंजीकरण नियम और एक संक्षिप्त विवरण /etc/security/access.conf फ़ाइल में समाहित है।
पहले लॉगिन विकल्प पर होम डाइरेक्टरी बनाएँ, उपयोगकर्ताओं के लिए होम डाइरेक्टरी बनाने के लिए व्यवस्थापक की जिम्मेदारी को हटा देता है। जब यह पैरामीटर निर्दिष्ट किया जाता है, तो उपयोगकर्ता द्वारा सिस्टम पर पहली बार लॉग करने पर होम निर्देशिका स्वचालित रूप से बनाई जाती है। लेकिन आपको इस विकल्प की शुद्धता की जांच करने की आवश्यकता है। CentOS Linux पर, pam_oddjob_mkhomedir.so मॉड्यूल इसके लिए ज़िम्मेदार है, जिसका उल्लेख सत्र लाइन में /etc/pam.d/system-auth में pam_oddjob_mkhomedir.so स्कैल skel=/etc/skel/ umask=0022 । इसके अलावा, सांबा सर्वर पर डोमेन उपयोगकर्ताओं को पंजीकृत करने के लिए डिफ़ॉल्ट होम डायरेक्टरी /home/%D/%U सेट है। यह सांबा सेटिंग फ़ाइल में टेम्प्लेट होमडेयर पैरामीटर द्वारा दर्शाया गया है। यदि आप डिफ़ॉल्ट मान का उपयोग करते हैं, तो व्यवस्थापक को निर्देशिका /home/, . /home/LAB , .
Identity & Authentication system-config-authentication Windows 2008 R2.
Join Domain (. 11). OK, LAB.


. 11. .

, Samba (. 12). . , system-config-authentication . System, .


. 12. LAB.

Authentication Configuration Apply, Winbind oddjobd .
(. . 13).


. 13. .

, test-centos.
. (. 14).


. 14. .

, . «\». winbind separator Samba . Log In, . usertest (. 15).


. 15. CentOS Linux.

, CentOS Linux Windows 2008 R2 Linux. .

7.
- .
. . बनाने की आवश्यकता है /home/, . /home/LAB , .
Identity & Authentication system-config-authentication Windows 2008 R2.
Join Domain (. 11). OK, LAB.


. 11. .

, Samba (. 12). . , system-config-authentication . System, .


. 12. LAB.

Authentication Configuration Apply, Winbind oddjobd .
(. . 13).


. 13. .

, test-centos.
. (. 14).


. 14. .

, . «\». winbind separator Samba . Log In, . usertest (. 15).


. 15. CentOS Linux.

, CentOS Linux Windows 2008 R2 Linux. .

7.
- .
. . /home/, . /home/LAB , .
Identity & Authentication system-config-authentication Windows 2008 R2.
Join Domain (. 11). OK, LAB.


. 11. .

, Samba (. 12). . , system-config-authentication . System, .


. 12. LAB.

Authentication Configuration Apply, Winbind oddjobd .
(. . 13).


. 13. .

, test-centos.
. (. 14).


. 14. .

, . «\». winbind separator Samba . Log In, . usertest (. 15).


. 15. CentOS Linux.

, CentOS Linux Windows 2008 R2 Linux. .

7.
- .
. .

/home/, . /home/LAB , .
Identity & Authentication system-config-authentication Windows 2008 R2.
Join Domain (. 11). OK, LAB.


. 11. .

, Samba (. 12). . , system-config-authentication . System, .


. 12. LAB.

Authentication Configuration Apply, Winbind oddjobd .
(. . 13).


. 13. .

, test-centos.
. (. 14).


. 14. .

, . «\». winbind separator Samba . Log In, . usertest (. 15).


. 15. CentOS Linux.

, CentOS Linux Windows 2008 R2 Linux. .

7.
- .
. .

/home/, . /home/LAB , .
Identity & Authentication system-config-authentication Windows 2008 R2.
Join Domain (. 11). OK, LAB.


. 11. .

, Samba (. 12). . , system-config-authentication . System, .


. 12. LAB.

Authentication Configuration Apply, Winbind oddjobd .
(. . 13).


. 13. .

, test-centos.
. (. 14).


. 14. .

, . «\». winbind separator Samba . Log In, . usertest (. 15).


. 15. CentOS Linux.

, CentOS Linux Windows 2008 R2 Linux. .

7.
- .
. .