Newsgroup: it.comp.os.linux.sys
Titolo: SAMBA PDC -- ANCORA

l'impresa e' riuscita, ora occorrono i dettagli.
parto da una slack 11 installata di default e da un xp pro installato di
default, sistemi "puliti" . 
sulla slackware eseguo quanto segue:
groupadd dadmin
net groupmap add unixgroup=dadmin ntgroup="Domain Admins"
useradd -s /bin/false -g dadmin pippo
passwd -l pippo
smbpasswd -a pippo
risulta chiara la mia volonta' di avere sul pc windows un utente
amministratore. tuttavia cio' non avviene. anche se uso root come utente 
di dominio, oppure qualunque combinazione di utenti / gruppi utilizzata 
ecco che nel pc windows all'atto del login sul dominio, risulto un utente 
con bassi privilegi. 
ecco il smb.conf
 
[ global ]
netbios name                            =               serversamba
workgroup                               =               dominio
server string                           =               samba server nt
log file                                =               /var/log/samba/%m.log
security                                =               user    
encrypt passwords                       =               yes
passdb backend                          =               smbpasswd
local master                            =               yes
preferred master                        =               yes
os level                                =               66
domain master                           =               yes
domain logons                           =               yes
wins support                            =               yes
time server                             =               yes
log file                                =               /var/log/samba/log.%m
log level                               =               4
username map                            =               /etc/samba/smbusers
logon script                            =               logon.bat
logon path                              =               \\serversamba\profile\%U
add user script                         =               /usr/sbin/useradd -m -s /bin/false %u
delete user script                      =               /usr/sbin/userdel -r %u
add group script                        =               /usr/sbin/groupadd %g
delete group script                     =               /usr/sbin/groupdel %g
add user to group script                =               /usr/sbin/usermod -G %u %g
delete user from group script           =               /usr/bin/gpasswd -d '%u' '%g'
set primary group script                =               /usr/sbin/usermod -g '%g' '%u'
add machine script                      =               /usr/sbin/useradd -s /bin/false -d /dev/null -g
dominio -M %u
# delete machine script                 =               /usr/sbin/userdel -r %u
passwd program                          =               /usr/bin/passwd %u
passwd chat                             =               "*New password:*" %n\r "*New password (again):*" %n\r
\ "*Password changed*"
printcap name                           =               cups
printing                                =               cups
load printers                           =               yes
 
[ netlogon ]
comment                                 =               directory degli script di inizialiazzaione
path                                    =               /home/netlogon
read only                               =               yes
guest ok                                =               yes
browseable                              =               no
[ home ]
comment                                 =               dir utente
path                                    =               /home/%U
browseable                              =               yes
writable                                =               yes
[ public ]
comment                                 =               dir pubblica
path                                    =               /home/public
browseable                              =               yes
writable                                =               yes
public                                  =               yes
create mask                             =               0777
[ dati ]
comment                                 =               cartella condivisa
path                                    =               /home/dati
browseable                              =               yes
read only                               =               no
create mask                             =               0777
directory mask                          =               0777
public                                  =               yes
[ profile ] 
comment                                 =               profili degli utenti
path                                    =               /home/profile
browseable                              =               no
read only                               =               no
create mask                             =               0777
directory mask                          =               0777
public                                  =               yes
[printers]
comment                                 =               All Printers
path                                    =               /var/spool/samba
printable                               =               yes
guest ok                                =               yes
browsable                               =               yes
# valid users                           =               claudio
public                                  =               yes
printable                               =               yes
print ok                                =               yes
e' gia due ore che leggo " man net " , ma non ho ancora trovato il bandolo
della matassa.
grazie a tutti
-- 
---------------------------------------
linux slackware
tutto il resto e' inutile
---------------------------------------

 passdb backend                          =               smbpasswd
usa tbdsam, smbpasswd non tiene manco il rid, comunque una letta qua
e la` al samba howto, magari al samba by example, che fornisce delle
configurazioni base pronte per diversi scenari, ti eviterebbe grande
parte di questo ravanare

 usa tbdsam, smbpasswd non tiene manco il rid, comunque una letta qua
]zac[
Oltre a questo c'è la soluzione di impostare sul client windows che l'utente
(del pdc di samba) è utente privilegiato/amministratore (fornendo alla
richiesta i dati dell'amministratore locale (se non ricordo male) del
client windows.

 con bassi privilegi. [...]
Io ho fatto cosě, ti copio e incollo i miei appunti che mi sono scritto 
mentre configuravo:
**********************INIZIO MIEI APPUNTI******************************
*Creare Mapping fra gruppi Linux e Gruppi Microsoft:
net groupmap add ntgroup="Domain Admins" unixgroup=root rid=512 type=d
net groupmap add ntgroup="Domain Users" unixgroup=users rid=513 type=d
net groupmap add ntgroup="Domain Guests" unixgroup=nogroup rid=514 type=d
net groupmap list per vedere la lista dei gruppi che deve essere cosě:
Domain Admins (S-1-5-21-3219995980-3111989300-1300046870-512) -> root
Domain Guests (S-1-5-21-3219995980-3111989300-1300046870-514) -> nogroup
Domain Users (S-1-5-21-3219995980-3111989300-1300046870-513) -> users
*Per far appartenere un utente al gruppo degli amministratori:
adduser utentexyz --ingroup root
*Una volta creato l'utente Linux, bisogna aggiungere l'utente Samba:
pdbedit -a stefano
*Per avere la lista degli utenti Samba:
pdbedit -L -v
Unix username:        stefano
NT username:
Account Flags:        [U          ]
User SID:             S-1-5-21-3219995980-3111989300-1300046870-1013
Primary Group SID:    S-1-5-21-3219995980-3111989300-1300046870-512
Full Name:            stefano,,,
Home Directory:       \\serverlinux\stefano
HomeDir Drive:        H:
Logon Script:         scripts/logon.bat
Profile Path:         \\SERVERLINUX\profile\stefano
Domain:               LINUXTSTDM
Account desc:
Workstations:
Munged dial:
Logon time:           0
Logoff time:          mar, 19 gen 2038 04:14:07 CET
Kickoff time:         mar, 19 gen 2038 04:14:07 CET
Password last set:    mar, 22 mag 2007 23:28:57 CEST
Password can change:  mar, 22 mag 2007 23:28:57 CEST
Password must change: mer, 23 mag 2007 02:15:37 CEST
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
****************FINE MIEI APPUNTI***************************************
Se guardi il Primary Group SID noterai che finisce per 512, ad indicare 
che nel sistema Microsoft equivale ad un utente del gruppo Administrators.
Mentre i miei utenti normali finiscono per 513 e sono del gruppo Users.
In questi appunti di viaggio...ho tralasciato i problemi di sicurezza 
ecc... perchč stavo facendo delle prove, ovviamente in una situazione 
reale bisogna sistemare per bene i permessi e i gruppi, non č sano far 
appartenere degli utenti Administrators direttamente al gruppo root, 
sarebbe buona cosa creare un gruppo apposta per loro, ma ripeto erano 
solo prove che stavo facendo io.
C'č solo un problema che non sono riuscito a risolvere, ovvero quello di 
cambiare il Primary group SID ad un utente dopo che č stato creato, le 
ho provate tutte, ma non si riesce, l'unica soluzione č quella di 
cancellare e ricreare l'utente da zero, perň č una schifezza perchč si 
perde tutto ogni volta per quello che riguarda quell'utente...per il 
resto funziona tutto correttamente!

 resto funziona tutto correttamente!
grazie a tutti per le risposte. francamente ho davvero sottovalutato il 
tutto. pensavo che fosse molto meno laborioso un dominio.
mi occorre mettere mano alle guide di samba che -sinceramente- non ho
guardato.


 Domain Admins (S-1-5-21-3219995980-3111989300-1300046870-512) -> root
]zac[
Ma in questo modo l'utente diventa amministratore del dominio e non (solo)
amministratore del proprio sistema (come da richiesta)?
Da quel che mi risulta per evitarlo bisogna usare i privilegi (presumo) di
samba (vedi post precedenti) o impostare il tipo di utente localmente nel
client windows (soluzione tipica).

 client windows (soluzione tipica).
Esattamente, in questa maniera l'utente diventa amministratore sia 
locale della propria macchina, che del dominio.
Infatti questo tipo di permessi NON va dato agli utenti normali, nella 
realtà dove sono andato ad installare il PDC Samba, essendoci un ragazzo 
che sa il fatto suo e che è stato "designato" pseudo amministratore 
della rete (diciamo che i suoi superiori gli hanno rifilato "la bazza" 
perchè era quello che ne capiva di piu), gli ho attribuito i permessi di 
amministratore di dominio, così può permettere ai vari client di fare la 
join al dominio stesso, lui può decidere quali utenti possono essere 
amministratori locali delle proprie macchine e quali no, ovviamente 
agendo il locale sui singoli client.
Diciamo che ci sono vari tipi di stragegie, che bisogna adottare a 
seconda delle esigenze, e con chi si ha di fronte. In certe realtà dove 
non c'è nessuno che si prende carico di tenere sotto controllo la 
situazione, non si danno diritti amministrativi ne di dominio e ne 
locali (salvo esigenze particolari) per evitare danni!