Lähdekoodi sivulle Linux AD liitos

<languages/>
<translate>
<!--T:1-->
Tässä oppaassa neuvomme sinua kuinka liität linux tietokoneen osaksi Windows Serverin Active Directory Domain Serviceä.

<!--T:2-->
:Esimerkissämme käytössämme on verkkoavaruus 192.168.0.0/24
:Oletusyhdyskäytävänä (Default Gateway) on verkon ensimmäinen osoite eli 192.168.0.1.
:Windows-palvelimen ip-osoite on 192.168.0.2 ja nimi WIN.
:Linux-tietokone käyttää ip-osoitetta 192.168.0.3 ja nimeä LNX.
:Toimialueen nimi on firma.local.
:Linux tietokone käyttää debianin versiota 7.1.0

<!--T:3-->
'''Jos on kirjoitettu ISOLLA KIRJAIMILLA tai pienellä, laita niin. Linux on tarkka oikeinkirjoituksista. Jos ei toimi, tarkista konfiguroinnit tarkkaan!''' 

== Palveluiden asennus == <!--T:4-->

<!--T:5-->
Jotta voit liittää linux tietokoneen osaksi AD:ta, sinun tarvitsee asentaa muutama ohjelmisto.

 <!--T:6-->
[[aptitude]] install samba winbind krb5-user ntp

<!--T:7-->
NTP on vapaaehtoinen, mutta suosittelemme asentamista. Kerberos vaatii että aikaero on enintään 5 minuuttia. NTP paketti päivittää automaattisesti kellon oikeaan aikaan.

== Konfigurointi == <!--T:8-->

=== Verkko / DNS === <!--T:9-->

<!--T:10-->
Ensimmäiseksi määritellään linuxin verkkoasetukset oikein, jotta liitos saadaan tehtyä onnistuneesti. Linuxin pitää saada yhteys DC-palvelimeen (Domain Controller), joten ''/etc/network/interfaces'' tiedosto pitää määritellä niin, että yhteys luonnistuu. 

 <!--T:11-->
[[nano]] /etc/network/interfaces

 <!--T:12-->
auto eth0
 iface eth0 inet static
        address 192.168.0.3
        netmask 255.255.255.0
        gateway 192.168.0.1

<!--T:13-->
Toimialueen ohjauskone (DC) hoitaa luonnollisesti myös nimipalvelimen (DNS) tehtäviä eli myös ''/etc/resolv.conf'' tiedostoa pitää muokata niin, että linux tietokone ymmärtää tehdä nimikyselyt DC:n kautta. ''/etc/resolv.conf'' tiedostoon määritellään myös mitä toimialuetta tietokone käyttää.

 <!--T:14-->
[[nano]] /etc/resolv.conf

 <!--T:15-->
search firma.local
 nameserver 192.168.0.2

<!--T:16-->
'''Tarkista että nimipalvelut toimivat molempiin suuntiin nslookupin avulla!'''

  <!--T:17-->
nslookup win.firma.local

  <!--T:18-->
nslookup 192.168.0.2

<!--T:19-->
> Kun kysyt win.firma.local sen pitäisi vastata 192.168.0.2

<!--T:20-->
> Kun kysyt 192.168.0.2 sen pitäisi vastata win.firma.local

<!--T:21-->
Suositeltaa on pingata palvelimeen Linuxista Windowssiin IP-osoitteella ja DNS nimellä.

=== Samba === <!--T:22-->

<!--T:23-->
Seuraavaksi konfiguroimme samban. Samba on mainio ohjelmisto linuxin windows-integraatiointiin, yleisimmin se tunnetaan ehkä tiedostopalvelimena. Samban avulla voi AD-liitoksen lisäksi tehdä jopa linux-palvelimesta itsenäisen DC:n, mutta meille riittää pelkkä liitos.

 <!--T:24-->
[[nano]] /etc/samba/smb.conf

<!--T:25-->
Samba tiedostosta tarvii löytyä ainakin seuraavat kohdat [Global] kohdan alta. Tarpeen mukaan siis lisää, tai muokkaa tiedostoa niin että sieltä löytyy nämä.

 <!--T:26-->
workgroup = FIRMA
 realm = FIRMA.LOCAL
 security = ads
 idmap gid = 10000-20000
 idmap uid = 10000-20000
 template shell = /bin/bash
 domain master = no
 winbind enum users = yes 
 winbind enum groups = yes 
 winbind use default domain = yes
 winbind nested groups = yes
 encrypt passwords = yes 
 log level = 5 
 log file = /var/log/samba/%m 
 max log size = 1000 


<!--T:27-->
Tämän jälkeen samba ja winbind pitää käynnistää uudelleen

 <!--T:28-->
service samba  restart

 <!--T:29-->
service winbind restart

<!--T:30-->
Nyt liitoksen pitäisi onnistua komennolla

 <!--T:31-->
net ads join -U administrator

<!--T:32-->
Jos tulee virhe '''No DNS domain configured for debian. Unable to perform DNS Update''', niin muokkaa seuraava tiedosto:

  <!--T:33-->
[[nano]] /etc/hosts

<!--T:34-->
Seuraavanlaiseksi:

  <!--T:35-->
127.0.0.1 hostname.domain.local hostname.domain.com hostname

<!--T:36-->
Nyt kirjautuminen pitäisi onnistua toimialueen tunnuksilla. Kuitenkaan integraatio ei ole vielä kovin syvällinen. ''/etc/pam.d/'' hakemiston alta löytyy kirjautumiseen vaikuttavia asetustiedostoja. Nyt käymme lisäämässä yhden rivin ''common-session'' tiedostoon, jotta linuxiin syntyisi käyttäjille kotikansiot sisäänkirjautuessa.

 <!--T:37-->
[[nano]] /etc/pam.d/common-session

<!--T:38-->
Lisää tämä rivi konfiguraatiotiedoston alkuun:

 session required          pam_mkhomedir.so umask=0077 skel=/etc/skel/
=== Kerberos === <!--T:39-->

<!--T:40-->
Asennusohjelma kysyy seuraavia:

<!--T:41-->
Workgroup/domain -> firma.local

<!--T:42-->
Kerberos servers for your realm -> win.firma.local 

<!--T:43-->
Administrative server for your Kerberos realm -> win.firma.local

<!--T:44-->
Avaa seuraava tiedosto ja tarkista että on määritetty oikein
 
  [[nano]] /etc/krb5.conf

  <!--T:45-->
[realms]
      SKILLS.LOCAL = {
      kdc = win.firma.local
      admin_server = win.firma.local
      default_domain = firma.local
      }

      <!--T:46-->
[domain_realm]
       .firma.local = FIRMA.LOCAL
      firma.local = FIRMA.LOCAL

=== Nsswitch === <!--T:47-->

<!--T:48-->
Nsswitch.conffista voimme määritellä mitä tiedostoja linux käyttää ensisijaisesti käyttäjien kohdalla. Käymme siis muokkaamassa nsswitch.conf tiedostoa niin että linux käyttää ensisijaisesti winbindiä käyttäjätiedostoja hakiessa.

 <!--T:49-->
[[nano]] /etc/nsswitch.conf

 <!--T:50-->
passwd:        files winbind
 group:         files winbind
 shadow:        compat

=== NTP - Kello === <!--T:51--> 

<!--T:52-->
On hyödyllistä käydä muuttamassa ''/etc/ntp/ntp.conf'' tiedostoa niin, että linux käyttää DC:tä aikapalvelimenaan. Liitos voi kuitenkin onnistua vaikka tätä ei tekisi, mutta jos DC ja clientti (asiakastietokone) jostain syystä joskus joutuvat eri aikaan, niin integraatio ei toimi kunnolla.

 <!--T:53-->
[[nano]] /etc/ntp.conf

<!--T:54-->
Käy asettamassa windows-palvelimen ip-osoite kohtaan jossa on muitakin servereitä lueteltuna.

 <!--T:55-->
server 192.168.0.2

<!--T:56-->
Jos et asentanut NTP aikapalvelinta, laita palvelimesi oikeaan aikaan seuraavalla komennolla

  <!--T:57-->
date --set 1998-11-02 

  <!--T:58-->
date --set 21:08:00

<!--T:59-->
'''HUOM!!'''
Jos käytät graafista linuxia, niin ''avahi-daemon''ista voi koitua harmia. 
Poista se tarvittaessa komennolla

 <!--T:60-->
aptitude purge remove avahi-daemon

== Testaus == <!--T:61-->

<!--T:62-->
Muista testata palvelun toimivuus seuraavilla komennoilla

=== Winbind testaus === <!--T:63-->

<!--T:64-->
Käyttäjätilien testaus:

  <!--T:65-->
wbinfo -u

<!--T:66-->
Käyttäjäryhmien testaus:

  <!--T:67-->
wbinfo -g

<!--T:92-->
Tarkista onko toimialueen ohjauskone saatavilla

<!--T:93-->
<pre>
root@debian:# wbinfo --ping-dc
checking the NETLOGON dc connection succeeded
</pre>

<!--T:94-->
Testaa kirjautuminen winbind:

<!--T:95-->
<pre>
root@debian:#wbinfo --pam-logon=DOMAIN\\user
Enter DOMAIN\user's password:
plaintext password authentication succeeded
</pre>

<!--T:96-->
* NT_STATUS_WRONG_PASSWORD = Virheellinen salasana
* NT_STATUS_NO_SUCH_USER = Tuntematon käyttäjä

=== Testaan Nsswitch === <!--T:68-->

  <!--T:69-->
getent passwd


  <!--T:70-->
getent group

=== kerberoksen testaus === <!--T:71-->

  <!--T:72-->
kinit administrator@FIRMA.LOCAL

== Samban jaon oikeudet AD:ssa == <!--T:73-->

<!--T:74-->
Jakojen oikeudet voidaan määritellä valid users ja write list-parametrien avulla. Parametrit hyväksyvät sekä käyttäjiä että ryhmiä. Ryhmät täytyy merkitä @-merkillä. 

  <!--T:75-->
[SHARE]
       path = /home/share
       valid users = @domain.local+"powerusers", domain.local+bill
       write list = @domain.local+"admins"

== Kirjautumisrajoitukset == <!--T:76-->
PAM voidaan konfiguroida sallimaan vain tietyn käyttäjäryhmän kirjautumiset: 

  <!--T:77-->
/etc/pam.d/common-auth 

  <!--T:78-->
auth sufficient pam_unix.so nullok_secure 
  auth required pam_succeedif.so user ingroup admins

== Hallinta == <!--T:79-->

<!--T:80-->
Windowssin AD ja Linuxin liitos hallinta on erilaista kuin Windows työasemien. Eikä tämä liitos ole edes täydellinen, joten tässä hieman ohjeita.

<!--T:81-->
Useita AD hallintaan liittyvät löytyy tälläisen komennon alta:

  <!--T:82-->
net ads

<!--T:83-->
Tämän komennon alta näet AD:n tilan

  <!--T:84-->
net ads status

== Linuxin poistaminen AD:sta == <!--T:85-->

  <!--T:86-->
net ads leave -U Administrator

<!--T:87-->
Tämän jälkeen muutat konfiguroinnit alkuperäiseen.

== Ongelmanratkaisu == <!--T:97-->

  <!--T:98-->
Error looking up domain users

<!--T:99-->
-> Käynnistä winbind uudelleen

== Aiheeseen liittyvää == <!--T:88-->

<!--T:89-->
[http://helenius.dy.fi/taisto/index.php/Apache2#Apache2_.2B_PAM_autentikointi Apache + PAM Autentikointi]

== Muita hyödyllisiä linkkejä == <!--T:90-->

<!--T:91-->
http://www.heikkiniemi.fi/files/Linux-AD-integrointi.pdf

</translate>

[[Category:Linux]]
[[Category:Active Directory]]