Newsgroup: it.comp.os.linux.software
Titolo: Samba + Windows NT Workstation: netlogin

Ciao a tutti,
Qualcuno per caso mi sa indicare della buona documentazione su come
impostare una macchina Linux con il software Samba in modo che
funzioni come Dominio NT per macchine Windows NT Workstation 4.0?
Su questo argomento ho una gran confusione in testa, a causa della
documentazione molto povera riguardo... Non conosco neanche una
persona che abbia fatto funzionare un sistema con tale configurazione:
Tra di voi c'è qualche "pazzo" che ha fatto una cosa del genere?
Ciao.

funzioni come Dominio NT per macchine Windows NT Workstation 4.0?
nome nt4 = NT4WS
In modo molto breve:
1) smb.conf
encrypt passwords = yes
preferred master = yes
os level = 34
domain master = yes
domain logons = yes
logon home = \\%L\%U
logon path = \\%L\profiles\%U
[netlogon]
comment = Network Logon Service
path = /home/netlogon
browseable = no
guest ok = no
writable = no
share modes = no
2)
# useradd NT4WS$
# smbpasswd -a -m NT4WS$
3) 
da nt, rete, "dominio" ...
Leggi DOMAIN.txt
www.samba.org
 -> docs -> samba ntdom faq
-- 
giu...@pobox.com

 writes:
N> Ciao a tutti,
Cia, scrittore dal futuro :-) (ossia: regola l'orologio del PC, che dev'es-
sere avanti...).
N> Qualcuno per caso mi sa indicare della buona documentazione su come
N> impostare una macchina Linux con il software Samba in modo che
N> funzioni come Dominio NT per macchine Windows NT Workstation 4.0?
Quella che viene con Samba stesso (in particolare NTDOM.txt e dintorni).
N> Su questo argomento ho una gran confusione in testa, a causa della
N> documentazione molto povera riguardo... Non conosco neanche una
N> persona che abbia fatto funzionare un sistema con tale configurazione:
N> Tra di voi c'è qualche "pazzo" che ha fatto una cosa del genere?
Eccomi qua...  mi sono guardato allo  specchio, pero`, e non  c'ho mica un'
aria cosi` stralunata, anche se e` lunedi`...
Tornando seri: per  far fare da PDC a Samba  occorre procurarsi la versione
2.1prealpha, o CVS che dir si voglia, disponibile via CVS da 
samba.org
.
Questo significa che ti puoi comunque ritrovare con una versione instabile:
io me ne  sono procurata una tempo  fa, e non l'ho piu`  toccata, visto che
funziona (almeno  per quel che deve  fare); spero sempre in  una rapida re-
lease della 2.1 definitiva.
Una volta che  sei riuscito a compilarla ed  installarla, devi impostare il
tutto piu` o  meno come un Domain Controller per Win95/98,  piu` un paio di
parametri utili  per NT,  piu` le  password *cifrate* (o  ti scordi  che NT
faccia il logon e gestisca Policy e Roaming Profile vari).
Devi poi  creare il  file smbpasswd (permessi  0600!)  e popolarlo  con gli
utenti e  le relative  password: non e`  possibile ricavare le  password da
/etc/passwd, per cui o le hai in  chiaro da qualche parte, o dovrai fare in
modo che gli utenti le reinseriscano prima di accedere al dominio.
Un modo (che presuppone molta  fiducia negli utenti) e` di creare l'account
senza password ma con l'obbligo di cambiarla subito. Un altro modo puo` es-
sere quello di non attivare subito le funzioni di PDC, ma di fare da server
"semplice" con le  password in chiaro (encrypt passwords  = No) e l'opzione
"update encrypted  = Yes": in tal  modo ci sara` un  periodo transitorio in
cui  le password "migreranno"  da /etc/passwd  a smbpasswd;  trascorso tale
periodo si potra` attivare  la funzionalita` PDC (password cifrate: ricorda
che occorre intervenire anche sul registry di NT e 95/98) e autenticare gli
utenti solo  con smbpasswd (volendo lo  si puo` fare  anche con UNIX/Linux,
usando il modulo pam_smb: cosi` non si devono mantenere due password in due
diverse tabelle, anche se /etc/passwd rimane necessario a causa degli altri
campi).
Infine, devi  aggiungere gli account macchina  per i vari client  NT sia in
/etc/passwd che  in smbpasswd. Ad  es. in /etc/passwd (ed  eventualmente in
/etc/shadow) aggiungi degli "utenti" tipo
     LAB00$:x:50000:10000:Samba machine account:/tmp:/bin/false
     LAB01$:x:50001:10000:Samba machine account:/tmp:/bin/false
     ...
(NOTA il "$" alla fine del nome!)  e poi crei il trust account in smbpasswd
con "smbpasswd -a -m LAB00" (SENZA il "$" finale) e cosi` via.
Sul lato  NT, poi, da  Pannello di Controllo  --> Rete, apri la  pagina con
nome e  dominio/workgroup della macchina,  e cambi opportunamente  i valori
(NON marcare  la casella che  dice piu` o  meno "Crea account  macchina sul
server"). Se  tutto e` OK, avrai  come ricompensa il  messaggio di conferma
del "join" al dominio.
Sempre su NT, ti conviene puntare  al server Samba anche per cose tipo WINS
Server & Co.
Questo e` il  mio setup, "snellito" di opzioni  non direttamente pertinenti
al ruolo di PDC:
[global]
        workgroup = LABINF
        netbios name = LABSERV
        server string = Il piu` bel server del mondo
        os level = 65
        domain logons = Yes
        logon path = \\%L\profiles\%U
        logon drive = H:
        logon script = labsetup.bat
        encrypt passwords = Yes
	smb passwd file = /...../samba/private/smbpasswd
        time server = Yes
        preferred master = Yes
        domain master = Yes
	wins support = Yes
	...
[netlogon]
        comment = NETLOGON share for logon scripts
        path = /...../samba/netlogon
        locking = no
        public = no
        write ok = no
        browseable = yes
[profiles]
        comment = User profiles
        path = /...../samba/profiles
        browseable = no
        write ok = yes
[homes]
	(la solita roba)
[printers]
	(idem come sopra)
....
Direi che con tutta 'sta roba, per un po' sei a  posto: al limite prova con
un Maalox o un Alka Seltzer se hai problemi di digestione... :-)
Saluti,
Luca Polo.
P.S.: Hint: insegna agli utenti a  NON salvare troppa roba sul desktop: sul
server si riempie la directory con  i profili (anziche' le home degli uten-
ti: NON  mettere i  profili sotto  le home, pero`:  c'e` un  bug di  NT che
potrebbe causare problemi se lo  fai) e gli utenti vedono allungarsi parec-
chio i tempi di logon/logoff...
-- 
Luca...@gest.unipd.it
 --- 
http://www.gest.unipd.it/~jake
----------------------------------------------------------
One Ping to rule them all. One Ping to find them.
One Ping to bring down them all.
And in the darkness crash them.         [The Lord of the Pings (of Death)]

per caso hai anche settato l'administrator di dominio?
mi piacerebbe molto usarlo con samba :-)
purtroppo non ci sono riuscito...
thanks
                            Stef

 writes:
SB> per caso hai anche settato l'administrator di dominio?
SB> mi piacerebbe molto usarlo con samba :-)
Che intendi  di preciso  ? se e`  "solo" per autenticare  "administrator" e
dargli i  privilegi di "root"  sotto UNIX, basta usare  l'opzione "username
map = /path/name/di/users.map" in [global].
Poi, users.map conterra` righe del tipo
	root = administrator
Se invece  intendi che vuoi poter usare  tool come lo User  Manager for Do-
main, ci  sono poi dei parametri  SPERIMENTALI (di cui non  e` garantita la
sopravvivenza nelle future release) nelle  ultime CVS, ma non ho ben capito
come funzionino (in particolare la  "builtin group map": le altre due imma-
gino siano analoghe alla "username map"):
    domain group map  = /path/name/di/domaingroup.map
    builtin group map = /path/name/di/builtingroup.map
    domain user map   = /path/name/di/domainuser.map
Invece i  parametri "domain admin  group" e "domain admin  users", presenti
nella 2.0.x sono spariti (oltretutto non si sapeva nemmeno come usarli...).
Non mi sono  aggiornato di recente, per  cui non so anche fino  a che punto
siano arrivati con la compatibilita` con lo UMD (mi pareva che si riuscisse
a gestire gli utenti con lo UMD). 
Ti diro` che  non mi sono preoccupato piu` di tanto  della cosa, anche per-
che' la mia  ultima "passione" (piu` in senso  evangelico che altro... <g>)
e` la gestione remota e in automatico di NT, *senza* dover pagare milioni a
MS o altri per tool tipo  SMS & Co. (che ti chiudono qualunque possibilita`
di usare  altri sistemi che non siano  NT Server).
Ri-esplorero` altre potenzialita` di Samba quando avro` un po' di tempo e/o
uscira` la 2.1 (a seconda di cosa accade per primo).
Saluti,
Luca Polo.


thanks,
UMD era quello che volevo sapere, ho poi chiesto anche ad altri, che mi hann
pero' scoraggiato dicendo
che per arrivare a quello bisognerà attendere le prossime release...
chi vivrà vedrà!
Grazie ancora                            Stef