Thomas.will: Neue Seite (Kurs Linux - Samba)

2026-10-18T16:51:26Z

Neue Seite (Kurs Linux - Samba)

Neue Seite

[[Kategorie:Samba]]

{| class="wikitable"
! Kurs !! Lab !! Rechner !! Domäne
|-
| [[Linux - Samba]] || [[Linux - Samba Lab]] || sdc1, win11 mit RSAT || samba.it2XX.int
|}

=Einfach erklärt=
*Eine Samba-Domäne verwaltet man auf zwei Wegen: auf dem DC mit '''samba-tool''' oder von Windows aus mit den '''RSAT'''-Werkzeugen.
*Beide arbeiten auf demselben Verzeichnis. Was man auf einem Weg anlegt, sieht man auf dem anderen sofort.
*'''OUs''' ordnen das Verzeichnis, '''Gruppenrichtlinien''' (GPOs) hängen an OUs und steuern Windows-Rechner.
*samba-tool ist gut für Skripte und Massenänderungen, RSAT für alles, was es nur grafisch gibt, vor allem Gruppenrichtlinien.

=Benutzer=
{| class="wikitable"
! Befehl !! Wirkung
|-
| samba-tool user create max --given-name=Max --surname=Muster --userou=OU=Benutzer,OU=Firma || anlegen, fragt nach dem Passwort
|-
| samba-tool user list || alle Benutzer
|-
| samba-tool user show max || alle Attribute
|-
| samba-tool user setpassword max || Passwort setzen
|-
| samba-tool user disable max / enable max || sperren, entsperren
|-
| samba-tool user setexpiry max --days=30 || Konto läuft ab
|-
| samba-tool user move max OU=Ehemalige,OU=Firma || verschieben
|-
| samba-tool user delete max || löschen
|}
*'''--userou''' wird relativ zur Domäne angegeben, ohne DC=…
*Unix-Werte für Linux-Rechner mit idmap ad: '''samba-tool user addunixattrs max 20001 --gid-number=20000 --login-shell=/bin/bash'''

=Gruppen=
{| class="wikitable"
! Befehl !! Wirkung
|-
| samba-tool group add verwaltung --groupou=OU=Gruppen,OU=Firma || anlegen
|-
| samba-tool group addmembers verwaltung max,erika || Mitglieder hinzufügen
|-
| samba-tool group removemembers verwaltung erika || Mitglied entfernen
|-
| samba-tool group listmembers verwaltung || Mitglieder
|-
| samba-tool group list || alle Gruppen
|}

=OUs und Rechner=
<pre>
samba-tool ou create OU=Firma
samba-tool ou create OU=Benutzer,OU=Firma
samba-tool ou create OU=Gruppen,OU=Firma
samba-tool ou create OU=Rechner,OU=Firma
samba-tool ou list
samba-tool computer list
samba-tool computer move WIN11 OU=Rechner,OU=Firma
</pre>

=Passwortregeln=
<pre>
samba-tool domain passwordsettings show
samba-tool domain passwordsettings set --min-pwd-length=10
samba-tool domain passwordsettings set --account-lockout-threshold=5 --account-lockout-duration=30
</pre>
*Andere Regeln für einzelne Gruppen, z.B. strenger für Admins: '''Password Settings Objects'''
<pre>
samba-tool domain passwordsettings pso create admins-streng 1 --min-pwd-length=16 --complexity=on
samba-tool domain passwordsettings pso apply admins-streng "Domain Admins"
samba-tool domain passwordsettings pso list
</pre>
*'''Im Lab''' kann man die Regeln lockern. Das gehört nie in eine echte Domäne.

=Gruppenrichtlinien=
*Gruppenrichtlinien bearbeitet man auf win11 mit der '''Gruppenrichtlinienverwaltung''' (gpmc.msc). Gespeichert werden sie in sysvol auf dem DC.
*Die Vorlagen (ADMX) für aktuelle Windows-Versionen einmal zentral ablegen, im '''Central Store''': auf win11 den Ordner C:\Windows\PolicyDefinitions nach '''\\sdc1\sysvol\samba.it201.int\Policies\PolicyDefinitions''' kopieren.
*Die Vorlagen von Samba selbst, für Richtlinien an Linux-Clients, lädt:
<pre>
samba-tool gpo admxload -U administrator
</pre>
*Auf dem DC ansehen:
<pre>
samba-tool gpo listall
samba-tool gpo listcontainers {GUID} -U administrator
samba-tool gpo getlink OU=Rechner,OU=Firma -U administrator
</pre>
*Auf dem Client: '''gpupdate /force''' und '''gpresult /r'''
*Typische Übungs-GPOs: Hintergrundbild, Laufwerk zuordnen, Proxy und Intranet-Zone für [[Squid mit Kerberos]], Kennwort für den Bildschirmschoner.

=DNS verwalten=
<pre>
samba-tool dns query sdc1 samba.it201.int @ ALL -U administrator
samba-tool dns add sdc1 samba.it201.int intranet A 10.201.1.32 -U administrator
samba-tool dns add sdc1 samba.it201.int www CNAME sdc1.samba.it201.int -U administrator
samba-tool dns delete sdc1 samba.it201.int intranet A 10.201.1.32 -U administrator
</pre>
*Von Windows aus: DNS-Manager aus RSAT, Verbindung zu sdc1.

=Stolperfallen=
*'''--userou mit DC=…''': samba-tool hängt die Domäne selbst an. Doppelt angegeben gibt es einen Fehler.
*'''GPO in RSAT angelegt, Client bekommt sie nicht''': Die GPO ist nicht mit einer OU verknüpft, oder der Rechner liegt in einer anderen OU.
*'''Zwei DCs, sysvol nicht abgeglichen''': Die GPO existiert nur auf einem DC. Siehe [[Zweiter Samba-DC]].
*'''Passwortregel greift nicht''': Gilt nur bei der nächsten Änderung, nicht für bestehende Passwörter.

=Übungen=
==Grundübungen==
#Legen Sie mit samba-tool die OU-Struktur Firma an: Benutzer, Gruppen, Rechner.
#Legen Sie fünf Benutzer und zwei Gruppen an und verteilen Sie die Benutzer.
#Verschieben Sie win11 in die OU Rechner.
#Legen Sie in RSAT einen Benutzer an und prüfen Sie ihn mit samba-tool user show.
#Erstellen Sie eine GPO, die auf allen Rechnern der OU Rechner ein Laufwerk Z: auf \\fs\daten verbindet.
#Setzen Sie die Mindestlänge für Passwörter auf 10 und eine Kontosperre nach 5 Fehlversuchen.
==Vertiefung==
#Legen Sie 50 Benutzer per Skript aus einer CSV-Datei an.
#Erstellen Sie ein PSO für Domain Admins mit 16 Zeichen Mindestlänge.
#Legen Sie den Central Store mit den ADMX-Vorlagen von win11 an und laden Sie zusätzlich die Samba-Vorlagen mit admxload. Was liegt danach in PolicyDefinitions?
#Lassen Sie Linux-Clients Gruppenrichtlinien anwenden: apply group policies = yes und samba-gpupdate
==Fehlersuche==
;1. win11 bekommt die neue GPO nicht
<div class="mw-collapsible mw-collapsed">
Die GPO ist nicht verknüpft, der Rechner liegt in einer anderen OU, oder die Sicherheitsfilterung schließt ihn aus. gpresult /r zeigt, welche GPOs angewendet und welche gefiltert wurden.
</div>
;2. samba-tool user create meldet: Constraint violation … password
<div class="mw-collapsible mw-collapsed">
Das Passwort erfüllt die Passwortregeln nicht. samba-tool domain passwordsettings show
</div>
;3. Ein Benutzer ist gesperrt, obwohl er das richtige Passwort eingibt
<div class="mw-collapsible mw-collapsed">
Die Kontosperre hat nach Fehlversuchen gegriffen, oft durch ein altes Passwort in einem gespeicherten Laufwerk oder Dienst. samba-tool user show max zeigt badPwdCount und lockoutTime. Entsperren mit samba-tool user unlock max
</div>

=Vertiefung=
*[[Samba Verwaltung]] · [[Samba Verwaltung Linux]] · [[Samba Verwaltung Windows]]
*[[Samba-tool user]] · [[Samba-tool group]] · [[Samba-tool dns]] · [[Samba-tool gpo]] · [[Samba-tool domain]]

=Weiter=
*[[Zweiter Samba-DC]]
*[[Linux - Samba|Zurück zur Kursseite]]

Samba-Domäne verwalten - Versionsgeschichte

Thomas.will: Neue Seite (Kurs Linux - Samba)