Exibir código-fonte para SAMBA - DC

== Introdução ==

A partir da versão 4.0, Samba é capaz de executar como um controlador de domínio do Active Directory (DC - AD). Se você estiver instalando Samba em um ambiente de produção, é recomendado para executar dois ou mais DCs por razões de failover. Esta documentação descrevendo como instalar e configurar SAMBA4 como o primeiro DC para construir uma nova floresta AD.

Com fins de organização e fácil compreendimento vou dividir esse tutorial em três partes.

;Informações básicas
* Sistema utilizado: Debian9 (Stretch) 64x

== Preparando o Sistema ==

* Instalação limpa do debian9 (netinstall) somente com servidor ssh.

* Edite os arquivos de host. Onde os mesmos devem conter o nome de domínio totalmente qualificado (FQDN) e o nome do host curto para o endereço IP da LAN da DC. 

<code>/etc/hosts</code>:
<pre>127.0.0.1 localhost localhost.localdomain
192.168.1.1 DC1.dcserver.net DC1</pre>

Nota: DC1 (antes do .) tem que ser o nome da maquina.

<code>/etc/hostname</code>:

<pre>DC1</pre>

* Edite o arquivo o de interfaces para configurações estáticas. O ideal é que o servidor não sofra com modificações de DHCP.

<code>/etc/network/interfaces</code>:

<pre>iface eth0 inet static
	address 192.168.1.1
	netmask 255.255.255.0
	gateway 192.168.1.254</pre>

* Edite o arquivo de resolução de nome contendo apenas o nome do domínio e seu IP e um DNS valido.

<code>/etc/resolv.conf</code>:

<pre>domain dcserver.net
nameserver 192.168.1.1
nameserver 8.8.8.8</pre>

* Instale os seguintes pacotes:
<code># apt install samba smbclient krb5-user winbind ntp libpam-winbind libnss-winbind</code>


== Configuração e Provisionamento ==

* Apoś concluir os passos acima, efetuar reboot paras configurações de hostname e IP entrarem em vigor. Verificar se todas as configurações anteriores estejam corretas para não haver problemas com o provisionamento.

* Remova os arquivos defult de configuração do Samba e Kerberos:
<code># rm /etc/samba/smb.conf</code>

<code># rm /etc/krb5.conf</code>

* Execute o provisionamento Samba:

<code># samba-tool domain provision --use-rfc2307 --interactive</code>

Onde:
<pre>Realm: DCSERVER.NET
Domain: DCSERVER
Server Role (dc, member, standalone) [dc]: dc
DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: SAMBA_INTERNAL
DNS forwarder IP address (write 'none' to disa	ble forwarding) [192.168.1.1]: 8.8.8.8
Administrator password: Passw0rd
Retype password: Passw0rd</pre>

* No provisionamento foi criado um arquivo de configuração Kerberos no /var/lib/samba/private/krb5.conf, crie uma copia para /etc/krb5.conf.
<code># cp /var/lib/samba/private/krb5.conf /etc/</code>

* Kerberos requer um tempo sincronizado em todos os membros do domínio.

:: Mude as permissões das pastas:

<code># ls -ld /var/lib/samba/ntp_signd/</code>
<pre>Resultando antes da modificação:
drwxr-x--- 2 root root 4096 mai 24 11:21 /var/lib/samba/ntp_signd/</pre>

<code># chown -R root:ntp /var/lib/samba/ntp_signd/</code>

<code># ls -ld /var/lib/samba/ntp_signd/</code>

<pre>Resultando depois da modificação
drwxr-x--- 2 root ntp 4096 mai 24 11:21 /var/lib/samba/ntp_signd/</pre>

:: Edite o arquivo <code>/etc/ntpd.conf</code>

<pre># Local clock. Note that is not the "localhost" address!
server 127.127.1.0
fudge  127.127.1.0 stratum 10

# Where to retrieve the time from
server 0.pool.ntp.org     iburst prefer
server 1.pool.ntp.org     iburst prefer
server 2.pool.ntp.org     iburst prefer

driftfile       /var/lib/ntp/ntp.drift
logfile         /var/log/ntp
ntpsigndsocket  /var/lib/samba/ntp_signd/

# Access control
# Default restriction: Allow clients only to query the time
restrict default kod nomodify notrap nopeer mssntp

# No restrictions for "localhost"
restrict 127.0.0.1

# Enable the time sources to only provide time to this host
restrict 0.pool.ntp.org   mask 255.255.255.255    nomodify notrap nopeer noquery
restrict 1.pool.ntp.org   mask 255.255.255.255    nomodify notrap nopeer noquery
restrict 2.pool.ntp.org   mask 255.255.255.255    nomodify notrap nopeer noquery</pre>

* Configurando o Winbindd para autenticação.

:: Edite o arquivo <code>/etc/samba/smb.conf</code> acrescentando na seção [global].

 <pre>template shell = /bin/bash
template homedir = /home/%U</pre>

* Habilite a biblioteca de chave de serviço de nome (NSS) para tornar usuários e grupos de domínio disponíveis para o sistema local:

:: Edite o arquivo <code>/etc/nsswitch.conf</code> somente nos bancos de dados descritos abaixo.

<pre>passwd: files winbind
group:  files winbind</pre>

* Verifique se o link das bibliotecas foram devidamente criados.

:: PAM_WINBIND
<code>/lib/x86_64-linux-gnu/security/pam_winbind.so</code>

:: LIBNSS_WINBIND
<code># ln -s /lib/x86_64-linux-gnu/libnss_winbind.so.2 /lib/x86_64-linux-gnu/libnss_winbind.so</code>
<code># ldconfig</code>



== Teste de Funcionameto ==

Reinicie os serviços ou reboot na maquina. O samba não inicia juntamente com o sistema. "Chame" o <code>samba</code> antes de efetuar os testes. Os resultados dos testes devem ser semelhantes ao mostrados abaixo.

* Teste se o DC esta funcionando:
<code># smbclient -L localhost -U%</code>

Resultado:
<pre>Domain=[DCSERVER] OS=[Windows 6.1] Server=[Samba 4.5.8-Debian]

	Sharename       Type      Comment
	---------       ----      -------
	netlogon        Disk      
	sysvol          Disk      
	IPC$            IPC       IPC Service (Samba 4.5.8-Debian)
Domain=[DCSERVER] OS=[Windows 6.1] Server=[Samba 4.5.8-Debian]

	Server               Comment
	---------            -------

	Workgroup            Master
	---------            -------
	WORKGROUP            DEVAPP</pre>

* Teste a autenticação DC:
<code># smbclient //localhost/netlogon -UAdministrator -c 'ls'</code>

Resultado:
<pre>Enter Administrator's password: 
Domain=[DCSERVER] OS=[Windows 6.1] Server=[Samba 4.5.8-Debian]
  .                                   D        0  Wed May 24 10:51:37 2017
  ..                                  D        0  Wed May 24 10:51:45 2017

		15415240 blocks of size 1024. 13580456 blocks available</pre>

* Teste se a configuração DNS do Active Directory (AD) funcionam corretamente, consulte alguns registros DNS:
<code># host -t SRV _ldap._tcp.dcserver.net.</code>

Resultado:
<pre>_ldap._tcp.dcserver.net has SRV record 0 100 389 dc1.dcserver.net.</pre>

* Teste o registro de recurso _kerberos SRV baseado no udp no domínio:
<code># host -t SRV _kerberos._udp.dcserver.net.</code>

Resultado:
<pre>_kerberos._udp.dcserver.net has SRV record 0 100 88 dc1.dcserver.net</pre>

* Teste  o registro A do controlador de domínio:
<code># host -t A dcserver.net</code>

Resultado:
<pre>dcserver.net has address 192.168.1.1</pre>

* Teste Kerberos, conta domain administrator.
<code># kinit administrator</code>

Resultado:
<pre>Password for administrator@DCSERVER.NET: 
Warning: Your password will expire in 41 days on qua 05 jul 2017 10:51:46 -03</pre>

* Teste liste os tickets em cache do Kerberos:
<code># klist</code>

Resultado:
<pre>Ticket cache: FILE:/tmp/krb5cc_0
Default principal: administrator@DCSERVERPMP.NET

Valid starting       Expires              Service principal
24-05-2017 11:39:08  24-05-2017 21:39:08  krbtgt/DCSERVERPMP.NET@DCSERVERPMP.NET
	renew until 25-05-2017 11:39:03</pre>



SHOW!