关于samba服务加入AD域用户验证和权限管理

关于samba服务加入AD域用户验证和权限管理

1、环境：centos7
(1)安装samba服务和相关的软件包：samba, krb5-user, samba-client samba-common samba-winbind samba-winbind-clients
2、编辑配置文件
(1)resolv.conf （DNS客户机配置文件，用于设置DNS服务器的IP地址及DNS域名，还包含了主机的域名搜索顺序）

vim  /etc/resolv.conf
search example.com #域名
nameserver 192.168.**.** #域ip

(2)/etc/krb5.conf（配置与域有关的项目）

vim /etc/krb5.conf
[libdefaults]
 dns_lookup_realm = true
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
 default_realm = EXAMPLE.COM
 default_ccache_name = KEYRING:persistent:%{uid}

 default_realm = EXAMPLE.COM
 dns_lookup_kdc = true
[realms]
# EXAMPLE.COM = {
#  kdc = kerberos.example.com
#  admin_server = kerberos.example.com
# }

EXAMPLE.COM = {
  kdc = 192.168.**.**#域控主机IP
  admin_server = 192.168.**.**#域控主机IP
  default_domain = EXAMPLE.COM

[domain_realm]
# .example.com = EXAMPLE.COM
# example.com = EXAMPLE.COM
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM

(3)ifcfg-ens33（网卡配置）

vim /etc/sysconfig/network-scripts/ifcfg-ens33
SEARCH="example.com"#域

(4)nsswitch.conf（(名字服务切换配置)规定通过哪些途径以及按照什么顺序通过这些途径来查找特定类型的信息）

vim /etc/nsswitch.conf
passwd:     files winbind #sss
shadow:     files winbind #sss
group:      files winbind #sss

(5)smb.conf（局域网共享文件的一种协议的配置文件）

vim /etc/samba/smb.conf
[global]
        #workgroup = SAMBA
        workgroup = EXAMPLE
        realm = EXAMPLE.COM
        security = ADS
        password server = 192.168...#域控主机的IP地址
        passdb backend = tdbsam
        idmap uid = 10000 - 20000
        idmap gid = 10000 - 20000
        template shell = /sbin/nologin
        winbind separator = /
        winbind use default domain = true
        winbind enum users = yes
        winbind enum groups = yes
        encrypt passwords = yes
        ...
        [homes]
        comment = Home Directories
        path = /home/%U
        #valid users = %S, %D%w%S
        valid users = EXAMPLE.COM/%U
        browseable = No
        read only = No
        root preexec = /root/mkhome.sh %U %G
        inherit acls = Yes

        [share]#自己创建的共享文件夹
        comment = home directories#文件夹的描述
        path = /share#共享文件夹的目录
        browseable = yes#可见
        writable = yes#可写
        valid users = @group#group代表域控里面的组，这样写表示共享的文件夹属于域控的group组，group组的用户可以通过输入用户名密码登录，来进入共享文件夹

编辑完配置文件后，可以用testparm来检查配置文件是否有错误。
编辑完成后重启samba,systemctl start smb,systemctl start smb,可以使用命令systemctl status smb查看samba的状态，selinux和防火墙未关闭可能会报错。

vi /etc/sysconfig/selinux
selinux = disabled

(6)使用net ads join -U administrator命令将Samba服务器加入域
会提示你输入域 administrator的密码。结束后记得要重启centos，重启完成后记得打开samba服务，可以使用命令wbinfo -t检查是否连接成功，连接成功的话，会显示…succeeded。同时还可以用wbinfo -u查看域用户，也可以在域控主机的界面看到你加域的机器。

(7)创建共享目录mkdir /share,然后你可以在windows文件资源浏览器上输入本机ip地址，会看到一个/share目录，目前可以使用group组的用户登录进去，但是其实是没有读写执行权限的，因为samba服务的文件夹不仅是受samba用户控制，也是受linux系统用户控制权限的，所以可以使用ll -d /share查看文件的属主，属组，更改文件权限chmod 775 /share 一般的话是不会设置为777的权限的。之后就可以通过windows文件资源浏览器进入共享文件夹和创建新文件了。

(8)centos中实现域用户登录的方式：su - usernname@example.com#域名输入域用户的登录密码就会登录上，并自动创建域用户的home。

samba官方文档地址：https://wiki.samba.org/index.php/Main_Page