linux加入windows域之完美方案

1、linux加入windows域之完美方案筆者這幾天在研究samba服務(wù)通過(guò)ad域進(jìn)行用戶驗(yàn)證。在查資料的過(guò)程中發(fā)現(xiàn)。關(guān)于linux加入windows域，網(wǎng)上資料不少，但是按著網(wǎng)上的說(shuō)法做大多不成功，甚至很多人估計(jì)都不知道自己在說(shuō)什么，最后一個(gè)net ads join就認(rèn)為已經(jīng)成功加入到域了，可是然后呢？作為域內(nèi)的一個(gè)成員,普通的機(jī)器要可以提供域內(nèi)的用戶登陸；作為samba服務(wù)要把共享加入到目錄中，這樣才起到加入域的作用嘛。筆者經(jīng)過(guò)反復(fù)實(shí)驗(yàn)，終于把linux加入到windows域一些細(xì)節(jié)記錄下來(lái)，不敢獨(dú)享，特拿出。筆者用的linux為centos5.3。ad域?yàn)閣in2k3 sp2。域?yàn)?RWi

2、n2k3:Name:ad1Ip:41Dns:41Centos5.3:Name:FilesrvIp:46Dns:41Ok,lets go!1.samba服務(wù)器軟件需求krb5-workstation-1.2.7-19pam_krb5-1.70-1krb5-devel-1.2.7-19krb5-libs-1.2.7-19samba-3.0.5-2rootfilesrv CentOS# rpm -qa|grep krb5krb5-auth-dialog-0.7-1krb5-libs-1.6.1-25.el5krb

3、5-devel-1.6.1-25.el5pam_krb5-2.2.14-1krb5-workstation-1.6.1-25.el5rootfilesrv CentOS# rpm -qa|grep sambasamba-swat-3.0.28-0.el5.8samba-common-3.0.28-0.el5.8samba-client-3.0.28-0.el5.8samba-3.0.28-0.el5.8如果centos在安裝的時(shí)候沒(méi)有取消默認(rèn)選中的”Base”,則krb5的包是默認(rèn)全部安裝如果沒(méi)有選擇安裝samba可以這樣安裝rootfilesrv CentOS# rpm -ivh xinet

4、d-2.3.14-10.el5.i386.rpmrootfilesrv CentOS# rpm -ivh -aid samba*.rpm2.配置kerberos和samba因?yàn)楣P者用的系統(tǒng)為centos所以為保證一次成功的準(zhǔn)確率，這里就使用字符界面下的圖形工具來(lái)配置了。運(yùn)行setup工具認(rèn)證配置選擇：“use winbind”“use kerberos”“use winbind authertication”刪除admin server其余的改成真實(shí)情況Realm為域名,KDC為域服務(wù)器的ip配置winbindDomain為你的域的，左面第一個(gè)”.”前面的東東選擇”join domain”,提

5、示是否先保存配置信息，肯定是yes了。嘿嘿，看到這個(gè)畫面是不是想到了xp機(jī)器加入到域的情景？沒(méi)錯(cuò)就是那個(gè)！輸入ad域的管理員密碼吧J不出意外的話，你就到達(dá)了最后一個(gè)界面，肯定ok,然后退出了。一般來(lái)說(shuō)，只要兩臺(tái)機(jī)器的時(shí)間上下不差五分鐘，且項(xiàng)都配置正確的話，你就會(huì)看到下面這個(gè)圖片?？吹竭@個(gè)圖片說(shuō)明你的linux成功加入到ad域啦!OK,用圖形的好處就是方便快捷，但是這樣只適合rh系統(tǒng)。別的linux系統(tǒng)咋辦呢？別急。這個(gè)工具其實(shí)就是編輯以下三個(gè)配置文件：/etc/nsswitch.confpasswd:fileswinbind(就是先讀files然后再通過(guò)winbind認(rèn)證)shadow:fil

6、eswinbindgroup:fileswinbind/etc/krb5.confloggingdefault = FILE:/var/log/krb5libs.logkdc = FILE:/var/log/krb5kdc.logadmin_server = FILE:/var/log/kadmind.loglibdefaultsdefault_realm = RAINBIRD.NET(默認(rèn)的域名)dns_lookup_realm = falsedns_lookup_kdc = falseticket_lifetime = 24hforwardable = yesrealmsEXAMPLE.C

7、OM = kdc = :88admin_server = :749default_domain = RAINBIRD.NET = kdc = 41:88(域服務(wù)器)kdc = 41domain_realm = EXAMPLE.COM = EXAMPLE.COM = RAINBIRD.NET = RAINBIRD.NETappdefaultspam = debug = falseticket_lifetime = 36000renew_lifetime = 36000forwardable = truekrb4_convert = false/etc/

8、samba/smb.confworkgroup = RAINBIRD/域名password server = 41/域服務(wù)器realm = RAINBIRD.NETsecurity = ads/必須啟用idmap uid = 16777216-33554431idmap gid = 16777216-33554431template shell = /bin/bashwinbind use default domain = false(改成true)winbind offline logon = false(改成true)template homedir = /home/

9、%Uwinbind separator = /winbind enum users = Yeswinbind enum groups = Yes紅色部分就是工具自動(dòng)修改的了，但是smb.conf修改的不徹底，還不能滿足我們的要求，怎么辦呢？手動(dòng)把藍(lán)色部分加上，并把那兩個(gè)false改成ture,然后設(shè)置samba的開機(jī)自動(dòng)啟動(dòng)chkconfig smb on,service smb on啟動(dòng)服務(wù)，然后就是手工把linux加入到windows了rootfilesrv # net ads join -U administratorRAINBIRD.NETadministratorRAINBIRD.N

10、ETs password:The workgroup in /etc/samba/smb.conf does not match the shortdomain name obtained from the server.Using the name RAINBIRD from the server.You should set workgroup = RAINBIRD in /etc/samba/smb.conf.Using short domain name - RAINBIRDJoined FILESRV to realm RAINBIRD.NET提示“Joined”喲，不是這個(gè)提示就是

11、有問(wèn)題，再仔細(xì)檢查。OK,重啟linux，這時(shí)候用一個(gè)域用戶登陸linux如果提示用戶或密碼驗(yàn)證失敗，說(shuō)明你重啟之前的東西沒(méi)配置對(duì)。仔細(xì)檢查一下哪里不對(duì)呢？如果提示如下，那么恭喜你，可以繼續(xù)下一個(gè)話題了。3.自動(dòng)創(chuàng)建用戶目錄.用到的文件pam_mkhomedir.so在/etc/pam.d/sysconf-auth文件中的sesson部分添加一行sessionrequiredpam_mkhomedir.so silent skel=/etc/skel umask=0077silent不打印創(chuàng)建目錄信息skel告訴pam_mkhomedir.so拷貝/etc/skel里的文件到新創(chuàng)建的目錄里.u

12、mask是創(chuàng)建的目錄的權(quán)限創(chuàng)建哪個(gè)目錄是在smb.conf里的template homedir定義的如圖:保存退出,重啟一下X-window。再次用域用戶登陸，是不是成功看到了久違的linux桌面呢?Ok,到此為止,linux加入windows的故事就講完了。而samba服務(wù)器通過(guò)ad域認(rèn)證并實(shí)現(xiàn)每個(gè)用戶500M的共享空間，且當(dāng)用戶登陸windows域的時(shí)候自動(dòng)掛載已經(jīng)成型，近期放出，敬請(qǐng)期待。Linux加入windows ad域步驟詳解(winbindsamba方案)linux加入域中，一般都會(huì)想到加入LDAP中，這樣管理起來(lái)方便，不過(guò)在linux下LDAP配置起來(lái)可不是很容易的，在企業(yè)辦公

13、環(huán)境中一般windows AD域占據(jù)霸主地位，配置方便嘛，針對(duì)生產(chǎn)環(huán)境的linux集群機(jī)器才會(huì)選擇LDAP，不過(guò)有時(shí)候在辦公環(huán)境中也混雜了linux機(jī)器，為了規(guī)范管理，也是需要把linux機(jī)器加入window是 AD中的。linux加入windows AD中方便操作的有兩種方案(分為centos/ubuntu兩種情況)。都說(shuō)了是方便操作，那必然是懶人的首選方法了。1 likewise-open 在debian/ubuntu中使用，可以使用apt安裝，配置方便，但是由于likewise的公司被收購(gòu)，likewise的相關(guān)產(chǎn)品不再是開源產(chǎn)品，更杯具的是網(wǎng)上連以前的源碼包都找不到，還好ubuntu中

14、目前還是可以通過(guò)apt安裝的。2 winbind+samba在centos上使用，之前下載了一份ubuntu上的likewise的源碼在centos上編譯發(fā)現(xiàn)相關(guān)底層庫(kù)有些小問(wèn)題，顧在centos上采用winbind+samba方案。在ubuntu下使用likewise真是十分方便，apt安裝完后，兩條命令就可以把機(jī)器加入windows AD中，如下：復(fù)制代碼 代碼如下:domainjoin-cli join your-domain-name Administratorlwconfig AssumeDefaultDomain True所以，本文主要實(shí)驗(yàn)centos加入windows AD的情況

15、實(shí)驗(yàn)環(huán)境:centos6.4安裝相關(guān)依賴包復(fù)制代碼 代碼如下:yum install krb5-libs krb5-devel pam_krb5 krb5-workstation krb5-auth-dialogyum install samba-winbind samba samba-common samba-client samba-winbind-clients安裝完相關(guān)軟件后，可以使用authconfig-tui命令進(jìn)行圖像化配置，其實(shí)圖像化配置也就是修改幾個(gè)文件而已：復(fù)制代碼 代碼如下:nsswitch.conf#/etc/nsswitch.confpasswd: files win

16、bindshadow: files winbindgroup: files winbind以上配置的意思是先通過(guò)文件配置驗(yàn)證，然后再進(jìn)行winbind驗(yàn)證2 smb.conf復(fù)制代碼 代碼如下:#/etc/samba/smb.conf 域名一定得大寫 global workgroup = YOUR-DOMIAN password server = 0 realm = YOUR-DOMIAN security = ads idmap config * : range = 16777216-33554431 template shell = /bin/bash winbind

17、 use default domain = true winbind offline logon = true template homedir = /home/%U winbind separator = / winbind enum users = Yes winbind enum groups = Yes切記你的域名一定得大寫 3 krb5.conf復(fù)制代碼 代碼如下:#/etc/krb5.conf 域名必須得大寫 loggingdefault = FILE:/var/log/krb5libs.log kdc = FILE:/var/log/krb5kdc.log admin_serve

18、r = FILE:/var/log/kadmind.log libdefaults default_realm = YOUR-DOMIANdns_lookup_realm = falsedns_lookup_kdc = false ticket_lifetime = 24hrenew_lifetime = 7dforwardable = truerealms YOUR-DOMIAN = kdc = 0 #AD域服務(wù)器地址 domain_realmyour-domian = YOUR-DOMIAN .your-domian = YOUR-DOMIAN重啟相關(guān)服務(wù)復(fù)制代碼 代碼如下:/etc/init.d/smb restart/etc/init.d/winbind restart現(xiàn)在把機(jī)器加入AD域中：復(fù)制代碼 代碼如下:net ads join -U