[LDAP - SAMBA] Conseils mise en place et interaction

X-Guardian

Salut,

Je cherche à mettre en place pour mon asso une authentification sécurisée leurs permettant d'accéder à leurs comptes depuis n'importe quel ordinateur, quel que soit le système.
De même, j'aimerais que les applications qu'ils utilisent puissent vérifier leur droit à partir d'un annuaire. (Si l'appli le permet bien sur

)

Quels sont vos idées pour la mise en place, comment vous y prendriez-vous ?

Voici ce que j'ai fait pour le moment (qui a dit pas grand chose :p) :

J'ai 2 serveurs de disponible.

* L'un a OpenLDAP et BIND installés dessus (Plus de ldapdns dans portage), ainsi que postgreSQL avec sa BDD pour plus tard :
On l'appellera SERVEUR_LDAP,

* L'autre SAMBA avec smbldap, et aura plus tard d'autres outils/logiciels comme jabberd, ClamAV, postfix, ... :
Idem, son nom sera SERVEUR_SAMBA,

Cela marche plus ou moins.
En fait pas terrible

Mais j'arrive à faire quelques trucs

1) Sur le SERVEUR_SAMBA, je crée des comptes/groupes unix/windows en passant par les outils smbldap.
Ils sont bien enregistrés dans l'annuaire sur SERVEUR_LDAP.
Par contre, les comptes unix ne marchent pas, même si les répertoires persos se créent sur SERVEUR_SAMBA.
Je dois donc avoir un problème du coté de l'identification unix (pam_ldap et nss_ldap sont installés, mes fichiers de conf de /etc/pam.d/ sont surement mal adaptés ^^ )
(Je ne sais pas d'où cela provient, j'ai retourné tous mes fichiers de conf, mais pour l'authentification Unix, il cherche toujours le serveur LDAP sur localhost ...)

2) Je n'arrive pas à faire enregistrer une machine sur le domaine, un message m'avertit que l'admin ou son mot de passe ne sont pas valide.

Je vous posterai dès que je le peux les fichiers de conf, ainsi que les messages d'erreur que j'obtiens.
Ce qui m'intéresse le plus c'est de savoir comment vous auriez organisé les serveurs et si vous connaissez une autre méthode que les outils smbldap pour faire les liens entre SAMBA et OpenLDAP.

Merci,
@+,
Guile.

X-Guardian · Posted: Thu Mar 01, 2007 10:21 am Post subject:

Fichiers de conf du Serveur LDAP

Leander256 · l33t Joined: 05 Jul 2003 Posts: 910 Location: Singapour

Il se fait tard (ou tôt), alors je n'ai pas de solution miracle à te proposer. Autant que je sache il n'y a que les outils smbldap fournis par idealx pour gérer un serveur Samba avec OpenLDAP, et je suppose que tu t'es basé sur leur Howto pour mettre en place tes serveurs.

Pour ton premier problème, est-ce que lors de la création du compte utilisateur tu fais bien un smbldap-useradd -a -c monutilisateur. Mais il est en effet plus probable que NSS ait un problème. As-tu précisé l'adresse IP du serveur grâce à la variable host du fichier /etc/ldap.conf?

Pour ton deuxième problème là ça se complique, il faudrait les logs (si possible détaillés, il y a plusieurs niveaux de "verbosité" pour Samba et OpenLDAP) pour savoir plus précisément lequel se plaint de quoi.

Voilà j'ai franchement pas l'impression d'aider beaucoup, mais je crois qu'il va falloir plus d'informations, c'est-à-dire tous les fichiers de config complets (mets-les dans des balises code si possible) et les logs de Samba et OpenLDAP pour que l'on puisse vraiment t'aider. Et pour avoir bataillé des semaines contre une telle config pour la faire marcher comme je le voulais, je te souhaite bon courage :wink:

(n'aies pas peur, je dois être tout simplement pas doué

)

X-Guardian · Posted: Fri Mar 02, 2007 8:00 am Post subject:

Salut,

Ne t'en fait pas, j'ai pas peur, cela va faire un mois que je suis dessus ... heu ... pas à temps plein hein ... et je n'ai pas eu de net pendant 3 semaines

(Merci FT/Orange au passage pour faire passer les gens en 8Mb/s sans vérifier si leur ligne peut supporter, et ne rien faire ensuite en pretextant àprès des expertises bidons que cela est de la faute du client ...)

Bon, je m'en vais chercher mes fichiers de conf et mes logs sur le serveur

@+,
Guile.

X-Guardian · Posted: Fri Mar 02, 2007 8:12 am Post subject:

Fichiers de conf du Serveur SAMBA

X-Guardian · Posted: Fri Mar 02, 2007 8:20 am Post subject:

X-Guardian · Posted: Fri Mar 02, 2007 8:31 am Post subject:

X-Guardian · Posted: Fri Mar 02, 2007 8:37 am Post subject:

X-Guardian · Posted: Fri Mar 02, 2007 8:45 am Post subject:

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

As-tu modifié la base des registres des postes windows pour joindre ton PDC samba ?
_________________
La seule certitude que j'ai, c'est d'être dans le doute ! P. Desproges

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

Et sur les postes linux, est-ce que les commandes "ldapsearch" et "getent passwd" semblent fonctionner ?
_________________
La seule certitude que j'ai, c'est d'être dans le doute ! P. Desproges

X-Guardian · Posted: Fri Mar 16, 2007 9:02 am Post subject:

Salut,

J'ai fait quelques modifications :
- Pour les postes sous XP, j'ai changé l'une des valeurs indiqués, mais je n'arrive toujours pas à me connecter : "le chemin réseau est introuvable" ou quelque chose dans le genre.
- Pour les postes sous Linux, "getent passwd root" ne me donne qu'une seule ligne, et "ldapsearch" marche si je lui donne tous les paramètres de recherche.

Sinon, comment avez-vous mis en place votre mécanisme d'authentification ?

@+,
Guile.

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

X-Guardian · Posted: Tue Mar 20, 2007 9:39 am Post subject:

Salut,

Désolé pour la réponse tardive ... toujours autant de problème avec notre ligne adsl ...

Bon, j'ai réussi à connecter les clients sur mon domaine.
Mon erreur était assez simple, ne pas mettre de "." pour le WORKGROUP ...

Pour le moment, c'est encore inutilisable, je n'arrive pas à créer de profil itinérant pour les utilisateurs.
- Soit le client m'indique que le profil existant n'est pas sécurisé.
Pourtant, le profil est créé à partir du poste client, avec les droits de l'utilisateur cible.
Le tout est déposé sur un partage du serveur, dont le repertoire est créé avec les droits de cet utilisateur.
- Soit, pour un nouvel utilisateur, il me répond qu'il ne peux accéder au partage (problème de droit), mais me créait bien le dossier utilisateur dans le partage, et je peux en tant que cet utilisateur créer/supprimer/modifier ...

Concernant ldapsearch :
Sans activer le SSL, il me répond :

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

Pour les certificats SSL c'est bon.
As-tu remplacé tes fichiers de configuration par ceux que je t'es suggéré ?

EDIT : quelles sont les droits sur les certificats ?
_________________
La seule certitude que j'ai, c'est d'être dans le doute ! P. Desproges

X-Guardian · Posted: Tue Mar 20, 2007 2:17 pm Post subject:

Salut,

Les fichiers de conf me semblent bon.
(Heu ... En fait, je voulais éviter de mettre le vrai domaine, c'est pour cela que j'avais mis "NOMDOMAIN" dans les exemples ... désolé)

Les certificats sont en mode lecture/écriture pour root, et lecture pour les autres.

Voilà.
@+,
Guile.

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

X-Guardian · Posted: Tue Mar 27, 2007 7:40 am Post subject:

Salut,

Heu ... zarb, il me semblait avoir répondu il y a déjà quelques jours ... zut, j'ai du oublier "d'envoyer" et j'ai fais autre chose ensuite ...

Enfin ...

Tony Clifton -> J'ai modifié pas mal les fichiers de conf depuis lors (en fait, je ne fais que cela ^^)

Je galère pas mal avec ssl, même si je ne vois pas toujours pourquoi ...

Les "ldapsearch" marchent très bien sur toutes les machines.

Par contre, Samba/smbldap ralent toujours autant pour la connexion due au SSL/TLS.
Pas de soucis dès que je désactive la fonction des 2 cotés. (Mais ce n'est pas le but non plus)

Je vais voir pour poster logs/messages d'erreur/fichiers de conf dans la journée. Si on m'en laisse le temps ...

Edit : Voilà à titre d'exemple l'erreur que me retourne smbldap-populate :

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

As-tu bien mis : "passdb backend = ldapsam:ldaps://"IP_SERVEUR_LDAP"/"
Vérifie que tu as bien compilé samba avec ldapsam (normalement oui puisqu'il marche sans SSL, mais j'avais eu des soucis avec certains ebuilds qui ne proposaient plus ce flag).
Et dernière vérif, as-tu bien fait le "smbpasswd -w passwd" ?
_________________
La seule certitude que j'ai, c'est d'être dans le doute ! P. Desproges

X-Guardian · Posted: Tue Mar 27, 2007 8:35 am Post subject:

Salut,

Exact, je n'avais pas mis le "s".

Seulement maintenant Samaba refuse de redémarrer, il n'arrive pas à correspondre avec LDAP :

X-Guardian · Posted: Tue Mar 27, 2007 8:55 am Post subject:

Re,

Bon, en fait Samba démarre un peu comme il veut, mais continue tout le temps a me mettre la même ereur dans les logs :

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

Leander256 · l33t Joined: 05 Jul 2003 Posts: 910 Location: Singapour

Jute une petite remarque, de mémoire il me semble qu'on peut aussi établir une connexion sécurisée par le port 389 en utilisant TLS, ce qui fait qu'en fonction des capacités du client, le serveur utilisera ou non l'encryption sur la communication.

Tony Clifton · l33t Joined: 07 Jul 2004 Posts: 686 Location: Rennes

J'ai jamais essayé, mais oui ça doit effectivement être possible (comme sur un serveur mail)
_________________
La seule certitude que j'ai, c'est d'être dans le doute ! P. Desproges

X-Guardian · Posted: Wed Mar 28, 2007 8:04 am Post subject:

Salut,

Merci de vos réponses

Je vous envoie tout cela dès que possible.

J'ai envie de finir ce projet, même si je compte bientôt quitter mon emploi :/

@+,
Guile.