Netzwerk-Installationsanleitung für Kernel 2.4 und 2.6

8.0 Samba als Primärer Domäne Controller (PDC)

Kurzfassung

8.1 Einleitung

Der Aufbau eines großen Netzwerkes mit einer Arbeitsgruppe ist mit einem hohen Administrationsaufwand verbunden. Benutzer müssen in diesem Fall direkt an den Clients eingerichtet und mit entsprechenden Rechten versehen werden um auf Ressourcen im Netzwerk zuzugreifen zu können. Um die administrativen Dienste der Benutzerverwaltung zentral von einem Rechner steuern zu können, wurden Domänen entwickelt.

8.2 Unterschiede einer Domäne versus Arbeitsgruppe

Die Funktionsweise einer Windows Domäne (NeTBIOS-Domäne (Network Basic Input/Output System)) unterscheidet sich von der Domänenbezeichnung im Internet. Im world wide web steht die Bezeichnung Domäne für eine Gruppe von Computern. In einer NeTBIOS-Domäne hingegen wird die Zusammenfassung von Computern beschrieben, die sich einen Controller teilen. Dieser ist unter anderem für die Anmeldeprozedur im Netzwerk verantwortlich. Die Anmeldung an einem Computer erfolgt nicht mehr über lokale Sicherheitsrichtlinien sondern zentral über den Domäne-Controller. Benutzerdaten werden zentral auf dem Controller verwaltet. Das hat den Vorteil, dass lediglich der Controller einen Benutzer den Zugriff (engl. access) auf einem in der Domäne befindlichen Computer gewähren kann. Dies erspart Systemadministratoren in größeren Netzwerken viel Arbeit, da die gleichen Benutzer nicht an jedem PC anlegt werden müssen. Grundsätzlich ähnelt sich eine Domäne einer Arbeitsgruppe. Der Unterschied zwischen den beiden NeTBIOS-Typen besteht lediglich darin, dass die Domäne zentrale Dienste unterstützt. Am wichtigsten ist in diesem Zusammenhang die zentrale Anmeldung zu nennen.

8.3 Domänenunterstützung von Samba

8.4 Konfiguration der globalen Sektion (engl. global section)

Für den Betrieb als Primärer Domänen Controller (PDC) müssen in der 'global section' einige Optionen neu erstellt und deklariert werden. Die Optionen sind in Tabelle 1 mit den dazugehörigen Variablen aufgelistet. Alle anderen Einstellungen, die bis dahin Konfiguriert wurden, werden mit übernommen. Einige dieser Variablen sind nicht zwingend notwendig, erleichtern aber die Administration.

8.4.1 Variablen von Samba

8.5 Konfiguration 'profile' und 'netlogon'

Damit Sie Ihren PC an der Domäne anmelden können, müssen folgende Verzeichnisse angelegt und Samba bekannt gemacht werden. Dies erfolgt über die Konsole mit:

mkdir -p /server/domain/netlogon
mkdir /server/domain/profiles

Die Verzeichnisse müssen unter Samba mit folgenden Rechten vergeben werden. Die Einstellungen sind in Tabelle 4 und 5 aufgeleistet.

8.5.1 Konfiguration 'homes'

Damit die Ãœbersicht bei vielen Benutzern bewahrt bleibt und sich der Konfigurationsaufwand bei neuen Benutzern verringert, ist es sinnvoll, das Homeverzeichnis mit Variabeln zu bestimmen. Wie dieses Homeverzeichnis angelegt wird, wird in Tabelle 6 verdeutlicht.

Das '%H' in 'path' teilt dem SMB-Server mit, das Samba den Pfad des Homeverzeichnis des Linuxbenutzer folgen soll. Der Pfad für dieses Verzeichnis wird im Benutzerprofil des Linuxbenutzers angegeben. Das '%u' in 'admin users' steht für den Namen des angemeldeten Benutzers.

8.5.2 Anlegen des Maschinenzugangs (engl. machine account)

 

useradd -d /dev/null -s /bin/false -c "MACHINE ACCOUNT" client-1$

smbpasswd -a -m client-1

8.6. Besonderheit Windows XP

Mit dem Windows 2000 Nachfolger, führt Microsoft eine veränderte Verschlüsselung für Domänenanmeldungen ein. Das neu eingeführte Sicherheitskonzept wird derzeit vom Samba nicht unterstützt. Damit Windows XP kompatibel zu bereits bestehenden Servern ist, müssen Sicherheitsrichtlinien am Windows XP Client geändert werden.

Hinweis: Die Windows XP Home Edition unterstützt keine Domäneanmeldung.

8.6.1 Ändern des digitalen Schlüssels

Um Zugriff auf die Sicherheitsrichtlinien zubekommen, gehen Sie in der Taskleiste unter 'Start' und danach wählen sie 'Ausführen …' (vgl. Abbildung 1). Geben Sie in das erscheinende Kommandofeld:

gpedit.msc

ein. Nun erhalten Sie den 'Sicherheitsrichtlinien-Editor' (vgl. Abbildung 2).

Abbildung 1: Ausführen

Abbildung 2: Sicherheitsrichtlinien

Hier gehen Sie unter: Computerkonfiguration / Sicherheitseinstellungen / Lokale Richtlinien / Sicherheitsoptionen.
Die Sicherheitsoption: 'Domänenmitglied: Daten des gesicherten Kanals digital Verschlüsseln oder signieren (immer)', ändern Sie von 'aktiviert' auf 'deaktiviert'.

8.6.2 Ändern der Besitzrechte von servergespeicherten Profilen

Sie öffnen nach dem oben genannten Muster den 'Sicherheitsrichtlinien-Editor'.
Hier gehen Sie unter: Computerkonfiguration / Administrative Vorlagen / System / Benutzerprofile.
Die Sicherheitsoption: 'Besitzrechte von Ordnern servergespeicherter Profile nicht prüfen' ändern Sie von 'deaktiviert' auf 'aktiviert'.

Nach den Änderungen der Sicherheitsrichtlinien, kann dein Windows XP Client in eine bestehende Domäne aufgenommen werden.

8.7 Einbinden des Clients in die Domäne

Um den Client in die Domäne aufzunehmen, melden Sie sich mit Administratorrechten auf dem Client an. Öffnen Sie die 'Systemsteuerung' und folgen dort zur 'System und Netzwerkerkennung'.

Abbildung 3: Systemsteuerung

Abbildung 4: Systemeigenschaften

Nach dem Aufruf erhalten Sie die Eingabemasken die in den Abbildungen fünf bis zwölf aufgelistet sind. Die Abbildungen zeigen die anzugebenden Einstellungen, um den Computer in die Domäne aufzunehmen. Die hier angegebenen Benutzer werden sich von Ihren unterscheiden. In diesem Beispiel ist der Benutzer 'Bard' in der Administratorengruppe der Domäne und ist berechtig den Computer in die NeTBIOS-Domäne aufzunehmen.

Abbildung 5: Assistent für die Netzwerkanmeldung 1/8

Abbildung 6: Assistent für die Netzwerkanmeldung 2/8

Abbildung 7: Assistent für die Netzwerkanmeldung 3/8

Abbildung 8: Assistent für die Netzwerkanmeldung 4/8

Abbildung 9: Assistent für die Netzwerkanmeldung 5/8

Abbildung 10: Assistent für die Netzwerkanmeldung 6/8

Abbildung 11: Assistent für die Netzwerkanmeldung 7/8

Geben Sie hier den Benutzer an, der in der Domäne über Administratorenrechte verfügt. In diesem Beispiel ist der Benutzer 'bard' in der Gruppe 'admin' die in der 'global section' als Administratoren-Gruppe bestimmt worden ist.

Abbildung 12: Assistent für die Netzwerkanmeldung 8/8

Nach der erfolgreichen Aufnahme des Clients fragt Windows Sie, ob Sie einen weiteren Benutzer der Domäne hinzufügen wollen. Beantworten Sie die Frage mit 'nein', da Windows keine Benutzer der 'Samba Domäne' hinzufügen kann.

8.8 Lokale Benutzerprofile löschen

Wie in der 'global section' angegeben, lädt Windows nach erfolgreicher Aufnahme in die Domäne, die Benutzerprofile vom Server. Allerdings werden die Benutzerprofile des Clients ebenfalls lokal gespeichert. Das ist für den Gebrauch von Laptops auch zwingend notwendig, da die Domäne nicht immer verfügbar ist. Für einen fest eingebundenen PC hat dies aber zwei Nachteile. Wird ein PC von mehreren Benutzern benutzt, geht viel Speicherplatz auf der lokalen Festplatte verloren. Wechselt ein Benutzer seinen Arbeitsplatz, kann er nicht auf die aktuellste Version seines Benutzerprofils zurückgreifen, da Windows nicht bei jedem Abmelden das Benutzerprofil mit dem des Servers abgleicht.

Der Vorteil von lokalen Benutzerprofielen besteht in langsamen Netzen. Ist ein Netzwerk überlastet, kann es sehr lange dauern bis der Computer an- oder abgemeldet ist. Eine Einstellung unter Windows ermöglicht es, ein Benutzerprofil lokal zu laden oder zu speichern, wenn das Netzwerk ausgelastet ist.

Damit Windows keine lokalen Benutzerprofile mehr anlegen kann und so gezwungen ist, immer die serverseitigen Benutzerprofile zu laden, müssen in der 'registry' des Clients zwei Variablen neu angelegt werden. Um Zugriff zur 'registry' bekommen, gehen Sie in der Taskleiste unter 'Start' und danach wählen sie 'Ausführen …' (vgl. Abbildung 13). Geben Sie in das erscheinende Kommandofeld.

regedit

ein. Nun erhalten Sie den 'Registrierungs-Editor' (vgl. Abbildung 14).

Abbildung 13: Die Kommandozeile unter 'Start' 'Ausführen ...'

Abbildung 14: Der Registrierungseditor

Hier gehen Sie nun unter: HKEY_LACAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon

Abbildung 15: Der Registrierungseditor im Verzeichnis

In 'cachedlogonscount' ändern Sie den Wert von zehn auf fünf. Als nächstes fügen Sie ein REG_DWORD hinzu mit dem Namen 'DeleteRoamingCache' und setzen es auf eins (vgl. Abbildung 16).

Abbildung 16: REG_DWORD Anlegen

Die Einstellung im 'cachedlogonscount' bestimmt, ob ein Benutzerprofil lokal gespeichert werden soll oder nicht. Das hinzugefügte 'REG_DWORD' sagt aus, dass das Benutzerprofil nach dem abspeichern auf dem Server lokal gelöscht werden soll.

8.9 Gruppenrichtlinien über Samba erstellen

Die oben aufgeführte Konfiguration stellt einen stabilen Domänen Controller dar, der dem Original von Microsoft nichts nachsteht. Die Defizite werden einem aber offenbart, wenn Benutzergruppen verschiedene Rechte zugewiesen werden sollen. Samba stellt den Microsoft Clienten nur 2 Benutzergruppen zur Verfügung, 'Domain Admins' und 'Domain Users'. Die Administratoren werden in der Global Sektion unter 'domain admin group' angegeben. Alle anderen Benutzer der Domäne werden folglich unter 'Domain Users' bzw. 'Domain Guests' angeordnet.

Unter einem Windows 2000 Server funktioniert die Umsetzung der Benutzerrechte über so genannte 'Gruppenrichtlinienobjekte' (GPO), die in der 'Active Directory Services' (ADS) implementiert werden. Microsoft stellt hier dem Administrator zwei Standard-GPO's zu Verfügung.

1. Default Domain Policy (Standard Domänen Richtlinie)
2. Default Domain Controllers Policy (Standard Domänencontroller Richtlinie)

Weite GPO's können zusätzlich erstellt werden, die in der Domänenstruktur in einzelnen Bereichen ungesetzt werden können.

Die 'Active Directory Services' werden zurzeit von Samba nicht unterstützt. Bei der Release Vorstellung von Samba 2.2.0 wurde angedeutet, dass das 'ADS' ab Version 3.0 zur Verfügung stehen soll. Dementsprechend muss ein anderer Weg gefunden werden um mehrere Benutzergruppen mit verschiedenen Rechten zu definieren.

Eine Möglichkeit besteht darin Systemrichtlinien für Benutzer zu erstellen. Diese Systemrichtlinien wurde von Windows 98 und der NT Reihe benutzt und kann unter Windows 2000 aktiviert werden. Die Rechte von Benutzern und Gruppen werden über den Systemrichtlinieneditor (poledite) zugewiesen und sind Individuell konfigurierbar. Jedoch wird bei poledite ein globales Management unterbunden, da wiederum nur die zwei oben aufgeführten Benutzergruppen der Domäne auswählbar sind. Eine Möglichkeit nun doch zu einem globalen Management zu kommen, liegt in der Zusammenarbeit über das 'logon.cmd' Skript. Über dieses Skript lassen sich nicht nur die Clientenuhrzeit mit dem Server synchronisieren, sondern auch Registrierungseinträge ändern. Eine Registrierungsdatei wird über das Skript aufgerufen, welches dann die Rechte der Benutzer bestimmt. Mit der Registrierungsdatei wird das Verhalten der Systemrichtlinien nachempfunden. Dies ist am Anfang sehr zeitaufwändig, da die einzelnen Schlüssel aus der 'regestry' heraus gesucht werden müssen. Bei der Suche für die einzelnen Schlüssel hilft jedoch das Tool 'Registry System Wizard' welches unter www.winfaq.de zur Verfügung steht.

8.9.1 Benutzergruppen und deren Rechte

Im weiteren Verlauf werden vier Benutzergruppen verwendet, die jeweils unterschiedliche Rechte besitzen. Die 'Rechte' der Benutzergruppe 'user' sind über die Registrierungsdatei individuell einstellbar. Die Gruppe 'user2' sowie 'guest' können keine Registrierungsdateien ausführen, da diese bei den Benutzerprofilen von Windows unterbunden wird.

Die Benutzer müssen primär der Gruppenzugehörigkeit angeordnet werden. Unter dem GUI (Graphical User Interface) Tool 'userconf' wird dies mit 'Gruppe' gekennzeichnet, hier darf nur eine Gruppe stehen. Diese primäre Gruppe wird später ausgelesen und weist auf das dementsprechende 'logon.cmd' Skript. Bei der Änderung ist darauf zu achten, dass der Benutzer weiterhin in der Gruppe 'users' enthalten ist. Dies ist Notwendig damit die Benutzeranmeldung über einen Fernzugriff (z.B. SSH) oder direkt am Server ohne Fehlermeldung abgewickelt werden kann!

8.9.2 Erweiterung 'global section'

Wie in Tabelle 7 angegeben, muss die Gruppe 'user' in die 'domain admin group' und die Gruppe 'guest' in 'domain guest group' eingefügt werden.

8.9.3 Das 'netlogon' Verzeichnis

Damit jede Benutzergruppe ihr eigenes 'netlogon' Verzeichnis zugewiesen bekommt, muss folgende Variable in 'path' (vgl. Tabelle 9) hinzugefügt werden.

Die veränderte 'smb.conf' wird nicht neu eingelesen da erst die Skripte angelegt werden müssen!

8.9.4 Anlegen der neuen 'netlogon' Verzeichnisse

mkdir /etc/domain/netlogon/admin
mkdir /etc/domain/netlogon/user
mkdir /etc/domain/netlogon/user2
mkdir /etc/domain/netlogon/guest

oder über den Windows-Explorer.

8.9.5 Anlegen der 'logon.cmd' Skripte

Am sichersten ist es, die Skripte über Windows zu erstellen. Sie Wechseln dazu in das Verzeichnis 'netlogon/user' und legen eine Textdatei an. Hier ändern Sie die den Namen in 'logon' mit der Endung '.cmd'. Dabei ist zu beachten, dass die Endungen der Dateien im Explorer angezeigt werden. Der Inhalt des Skriptes wird im Folgenden aufgelistet.

regedit /s \\server\netlogon\user.reg
NET TIME \\192.168.99.1 /SET /YES

net use X: \\192.168.99.1\xxxxxxxx

Die weiteren Logonskripte werden wie am vorhergehenden Beispiel für die anderen Benutzergruppen angelegt. Der Eintrag für das Aufrufen der Registrierungsdate ist zu entfernen, da die Rechte für die Benutzer nicht ausreichen sind.

8.9.6 Anlegen des user.reg Skriptes

Mit dem Anlegen der Registrierungsdatei wird bereits erläutert begonnen. Hier ändern Sie jedoch den Namen in 'user' mit der Endung '.reg' ab. Der Inhalt des Beispielskriptes ist in Listing 2 aufgeführt.

Nachdem alle Skripte und die Registrierungsdatei angelegt sind, kann die 'smb.conf' über die Konsole mit

/etc/init.d/smb restart

oder über Swat (Samba web administration tool) im Menüpunkt 'Status'. neu eingelesen werden.

Zusammenfassung

Ihnen wurde gezeigt, wie Samba zu Konfigurieren ist, um einen NeTBIOS-Domänenbetrieb gewährleisten zu können. Aus der Abhandlung wurde ersichtlich, dass lediglich die Konfiguration auf Seiten des Linux-Servers sich von Windows betriebenen unterscheidet. In Verfügbarkeit und Performance steht dieser Controller dem Original von Microsoft nichts nach. Lediglich die Benutzerverwaltung hat einen negativen Beigeschmack, da Gruppenrechte nur bedingt über Umwege realisierbar sind.

Literatur

Wehrle, Pählke, Ritter, Müller Bechler, 2002, D Addison-Wesley Verlag - Linux Netzwerkarchitektur
Helmut Holz, Bernd Schmitt, Andreas Tikart, 2001, D Verlag moderne industrie Buch AG & Co.KG - Linux-Server
Roderick W. Smith, 2001, D SYBEX-Verlag - Linux Samba Server Administration

Wehrle, Pählke, Ritter, Müller Bechler, 2002, D Addison-Wesley Verlag - Linux Netzwerkarchitektur
Helmut Holz, Bernd Schmitt, Andreas Tikart, 2001, D Verlag moderne industrie Buch AG & Co.KG - Linux-Server
Roderick W. Smith, 2001, D SYBEX-Verlag - Linux Samba Server Administration

Über eventuelle Schäden übernimmt der Autor keine Haftung.