Добавление рабочей станции в домен на Samba

ОС: Debian Buster

Установка Samba.

Настройка входа в систему с учёткой из домена.

Установка Samba

Вход с учёткой из домена

Делаю примерно по инструкции с wiki.samba.org

Установка Samba

Установить samba:

apt install samba winbind libpam-winbind libnss-winbind libpam-krb5 krb5-user

Останавливаем сервисы samba:

service smbd stop
service nmbd stop
service winbind stop

Проверяем, чтоб не осталось запущенных сервисов:

ps ax | egrep "samba|smbd|nmbd|winbindd"

Правим /etc/resolv.conf. Должно быть примерно следующее:

nameserver 10.99.0.1
search samdom.example.com

Удаляем существующий конфиг samba — /etc/samba/smb.conf

Удаляем файлы базы samba — *.tdb и *.ldb. Чтобы посмотреть пути к файлам базы выполните:

# smbd -b | egrep "LOCKDIR|STATEDIR|CACHEDIR|PRIVATE_DIR"
LOCKDIR: /var/run/samba 
STATEDIR: /var/lib/samba
CACHEDIR: /var/cache/samba
PRIVATE_DIR: /var/lib/samba/private

Удаляем существующий /etc/krb5.conf.

Создаем /etc/krb5.conf примерно следующего содержания:

[libdefaults]
    default_realm = SAMDOM.EXAMPLE.COM
    dns_lookup_realm = false
    dns_lookup_kdc = true

Проверяем /etc/hosts. Должно быть примерно следующее:

127.0.0.1 localhost
10.99.0.5 M1.samdom.example.com    M1

Создаём файл /etc/samba/smb.conf следующего содержания:

[global]
workgroup = SAMDOM
security = ADS
realm = SAMDOM.EXAMPLE.COM

winbind refresh tickets = Yes
vfs objects = acl_xattr
map acl inherit = Yes
store dos attributes = Yes

dedicated keytab file = /etc/krb5.keytab
kerberos method = secrets and keytab

winbind use default domain = yes

winbind enum users = yes
winbind enum groups = yes

idmap_ldb:use rfc2307 = yes
template shell = /bin/bash
template homedir = /home/%U
idmap config * : range = 10000-20000
idmap config * : backend = tdb

Вводим рабочую станцию в домен:

net ads join -U administrator

Запускаем сервисы:

service smbd start
service nmbd start
service winbind start

Вход с учёткой из домена

Для входа с учёткой из домена правим /etc/nsswitch.conf — к passwd и group добавляем winbind:

passwd: files systemd winbind
group: files systemd winbind

В файле /etc/pam.d/common-session-noninteractive добавляем:

session required pam_mkhomedir.so skel=/etc/skel umask=0077

Перезагружаемся и проверяем.