基于SAMBA4的域控制器安装设置

基于SAMBA4的域控制器安装设置

在企业网络中采用域控制器，能给网络安全带来很大的方便，但采用商业域控软件的成本给中小微企业带来较大的压力，特别是小微和初创公司。商业软件往往集成了很多功能，而大多数功能对中小微企业来说并不是不可缺少的；同时因集成太多的功能，也给域控服务器的运维提出了更高的要求。

这里介绍使用SAMBA4的域控制器的安装和设置，这个系统具备下列特性：
1、提供LDAPS授权服务
2、提供资源共享和授权管理
3、支持使用GPO对域内电脑进行配置和软件安装
4、系统安装在SoftRAID上，具备高可靠低维护特性。

---

系统安装配置

1. 操作系统安装
我们采用了Ubuntu 18.04 LTS 服务器版
建议硬件配置：
CPU：Xeon/i3/i5
RAM：4GB （最小2GB）
硬盘：32GB SSD x3
（注：下面的安装配置演示在虚拟机上完成）

按正常方式安装Ubuntu，一直到硬盘配置，转为手动配置。

选【Manual】，然后按【回车】。

在三个盘上各自建立分区给为建立SoftRAID做准备。

选择【Configure Software RAID】，按提示建立一个有2个活动盘，一个备份盘的RAID1磁盘阵列。

RAID1阵列已建好，下面给阵列配置文件系统。一般情况下，我们会遵循KISS原则，将安装和设置做的尽可能简单，我们这里采用了最简单、最“愚蠢”的配置。

配置完成后的情况：

后面就是正常的自动安装，一直到安装结束。
注意：Linux的mdadm服务在构建磁盘阵列时，是不会动MBR的内容的！在系统安装时，安装程序会将GRUB安装到二个活动盘上，但不会安装在备份盘上。现在让我i们验证一下。

dd if=/dev/sda bs=512 count=1 | xxd | grep -i grub

在/dev/sdb上也有一样的结果，在MBR区内能见到GRUB。而/dev/sdc（备份盘）在MBR区内就没有GRUB。

我们需要在/dev/sdc上安装

grub-install /dev/sdc

再检查，我们就会在MBR区内发现GRUB了。

切记：更换安装启动系统的RAID阵列在更换新的磁盘后，必须手工安装GRUB，否则系统有可能因没有GRUB而不能启动。

2. SAMBA4安装和配置

apt install samba krb5-user krb5-config winbind libpam-winbind libnss-winbind

在安装中，需要回答一些问题，注意大小写，我们选用的AD域名为LSWIN.LAN。



安装完成，下面是配置SAMBA4为PDC。

3. SAMBA4配置为PDC
在开始配置前，先停用和禁用一些安装时自动启动的服务和删除产生的smb.conf配置文件

    systemctl stop samba-ad-dc smbd nmbd winbind
    systemctl disable samba-ad-dc smbd nmbd winbind
    mv /etc/samba/smb.conf /etc/samba/smb.conf.initial

配置Samba为Domain Controller：
AD域的域名为LSWIN.LAN，DNS转发服务器的地址为192.168.220.1

    samba-tool domain provision --use-rfc2307 --interactive

用SAMBA4初始化成DC时产生的Kerberos配置文件替换现有的Kerberos配置文件

    mv /etc/krb5.conf /etc/krb5.conf.initial
    ln -s /var/lib/samba/private/krb5.conf /etc/

重新启动/启用SAMBA4为DC的服务。

    systemctl start samba-ad-dc
    systemctl enable samba-ad-dc

如遇到Failed to start samba-ad-dc.service: Unit samba-ad-dc.service is masked.问题，先执行：

    systemctl unmask samba-ad-dc

SAMBA4作为DC已经配置完成，我们可以用下列命令检查一下配置是否成功：

    samba-tool domain level show

配置成功的话，我们可以见到：

4. 其他配置
在ubuntu下，/etc/resolv.conf在每次启动时都会重新生成，我们使用rc.local将该文件覆盖成我们需要的内容。

    vi /etc/rc.local    

将下列内容加入：

    #!/bin/sh
    /bin/echo "nameserver 192.168.220.251" > /etc/resolv.conf
    /bin/echo "nameserver 192.168.220.1" >> /etc/resolv.conf
    /bin/echo "search lswin.lan" >> /etc/resolv.conf

192.168.220.251是DC的IP地址，192.168.220.1是主DNS服务器。

更改/etc/rc.local属性为可执行

    chmod +x /etc/rc.local

停用systemd-resolved服务

    systemctl disable systemd-resolved

修改/etc/hosts文件，删除所有pdc有关的内容，增加下列行：

    192.168.220.251 pdc

重启系统，然后测试DC。

5. 系统测试