Samba-Domäne verwalten

Kurs	Lab	Rechner	Domäne
Linux - Samba	Linux - Samba Lab	sdc1, win11 mit RSAT	samba.it2XX.int

Einfach erklärt

• Eine Samba-Domäne verwaltet man auf zwei Wegen: auf dem DC mit samba-tool oder von Windows aus mit den RSAT-Werkzeugen.
• Beide arbeiten auf demselben Verzeichnis. Was man auf einem Weg anlegt, sieht man auf dem anderen sofort.
• OUs ordnen das Verzeichnis, Gruppenrichtlinien (GPOs) hängen an OUs und steuern Windows-Rechner.
• samba-tool ist gut für Skripte und Massenänderungen, RSAT für alles, was es nur grafisch gibt, vor allem Gruppenrichtlinien.

Benutzer

Befehl	Wirkung
samba-tool user create max --given-name=Max --surname=Muster --userou=OU=Benutzer,OU=Firma	anlegen, fragt nach dem Passwort
samba-tool user list	alle Benutzer
samba-tool user show max	alle Attribute
samba-tool user setpassword max	Passwort setzen
samba-tool user disable max / enable max	sperren, entsperren
samba-tool user setexpiry max --days=30	Konto läuft ab
samba-tool user move max OU=Ehemalige,OU=Firma	verschieben
samba-tool user delete max	löschen

• --userou wird relativ zur Domäne angegeben, ohne DC=…
• Unix-Werte für Linux-Rechner mit idmap ad: samba-tool user addunixattrs max 20001 --gid-number=20000 --login-shell=/bin/bash

Gruppen

Befehl	Wirkung
samba-tool group add verwaltung --groupou=OU=Gruppen,OU=Firma	anlegen
samba-tool group addmembers verwaltung max,erika	Mitglieder hinzufügen
samba-tool group removemembers verwaltung erika	Mitglied entfernen
samba-tool group listmembers verwaltung	Mitglieder
samba-tool group list	alle Gruppen

OUs und Rechner

samba-tool ou create OU=Firma
samba-tool ou create OU=Benutzer,OU=Firma
samba-tool ou create OU=Gruppen,OU=Firma
samba-tool ou create OU=Rechner,OU=Firma
samba-tool ou list
samba-tool computer list
samba-tool computer move WIN11 OU=Rechner,OU=Firma

Passwortregeln

samba-tool domain passwordsettings show
samba-tool domain passwordsettings set --min-pwd-length=10
samba-tool domain passwordsettings set --account-lockout-threshold=5 --account-lockout-duration=30

• Andere Regeln für einzelne Gruppen, z.B. strenger für Admins: Password Settings Objects

samba-tool domain passwordsettings pso create admins-streng 1 --min-pwd-length=16 --complexity=on
samba-tool domain passwordsettings pso apply admins-streng "Domain Admins"
samba-tool domain passwordsettings pso list

• Im Lab kann man die Regeln lockern. Das gehört nie in eine echte Domäne.

Gruppenrichtlinien

• Gruppenrichtlinien bearbeitet man auf win11 mit der Gruppenrichtlinienverwaltung (gpmc.msc). Gespeichert werden sie in sysvol auf dem DC.
• Die Vorlagen (ADMX) für aktuelle Windows-Versionen einmal zentral ablegen, im Central Store: auf win11 den Ordner C:\Windows\PolicyDefinitions nach \\sdc1\sysvol\samba.it201.int\Policies\PolicyDefinitions kopieren.
• Die Vorlagen von Samba selbst, für Richtlinien an Linux-Clients, lädt:

samba-tool gpo admxload -U administrator

• Auf dem DC ansehen:

samba-tool gpo listall
samba-tool gpo listcontainers {GUID} -U administrator
samba-tool gpo getlink OU=Rechner,OU=Firma -U administrator

• Auf dem Client: gpupdate /force und gpresult /r
• Typische Übungs-GPOs: Hintergrundbild, Laufwerk zuordnen, Proxy und Intranet-Zone für Squid mit Kerberos, Kennwort für den Bildschirmschoner.

DNS verwalten

samba-tool dns query sdc1 samba.it201.int @ ALL -U administrator
samba-tool dns add sdc1 samba.it201.int intranet A 10.201.1.32 -U administrator
samba-tool dns add sdc1 samba.it201.int www CNAME sdc1.samba.it201.int -U administrator
samba-tool dns delete sdc1 samba.it201.int intranet A 10.201.1.32 -U administrator

• Von Windows aus: DNS-Manager aus RSAT, Verbindung zu sdc1.

Stolperfallen

• --userou mit DC=…: samba-tool hängt die Domäne selbst an. Doppelt angegeben gibt es einen Fehler.
• GPO in RSAT angelegt, Client bekommt sie nicht: Die GPO ist nicht mit einer OU verknüpft, oder der Rechner liegt in einer anderen OU.
• Zwei DCs, sysvol nicht abgeglichen: Die GPO existiert nur auf einem DC. Siehe Zweiter Samba-DC.
• Passwortregel greift nicht: Gilt nur bei der nächsten Änderung, nicht für bestehende Passwörter.

Übungen

Grundübungen

1. Legen Sie mit samba-tool die OU-Struktur Firma an: Benutzer, Gruppen, Rechner.
2. Legen Sie fünf Benutzer und zwei Gruppen an und verteilen Sie die Benutzer.
3. Verschieben Sie win11 in die OU Rechner.
4. Legen Sie in RSAT einen Benutzer an und prüfen Sie ihn mit samba-tool user show.
5. Erstellen Sie eine GPO, die auf allen Rechnern der OU Rechner ein Laufwerk Z: auf \\fs\daten verbindet.
6. Setzen Sie die Mindestlänge für Passwörter auf 10 und eine Kontosperre nach 5 Fehlversuchen.

Vertiefung

1. Legen Sie 50 Benutzer per Skript aus einer CSV-Datei an.
2. Erstellen Sie ein PSO für Domain Admins mit 16 Zeichen Mindestlänge.
3. Legen Sie den Central Store mit den ADMX-Vorlagen von win11 an und laden Sie zusätzlich die Samba-Vorlagen mit admxload. Was liegt danach in PolicyDefinitions?
4. Lassen Sie Linux-Clients Gruppenrichtlinien anwenden: apply group policies = yes und samba-gpupdate

Fehlersuche

1. win11 bekommt die neue GPO nicht

Die GPO ist nicht verknüpft, der Rechner liegt in einer anderen OU, oder die Sicherheitsfilterung schließt ihn aus. gpresult /r zeigt, welche GPOs angewendet und welche gefiltert wurden.

2. samba-tool user create meldet

Constraint violation … password

Das Passwort erfüllt die Passwortregeln nicht. samba-tool domain passwordsettings show

3. Ein Benutzer ist gesperrt, obwohl er das richtige Passwort eingibt

Die Kontosperre hat nach Fehlversuchen gegriffen, oft durch ein altes Passwort in einem gespeicherten Laufwerk oder Dienst. samba-tool user show max zeigt badPwdCount und lockoutTime. Entsperren mit samba-tool user unlock max

Vertiefung

• Samba Verwaltung · Samba Verwaltung Linux · Samba Verwaltung Windows
• Samba-tool user · Samba-tool group · Samba-tool dns · Samba-tool gpo · Samba-tool domain

Weiter

• Zweiter Samba-DC
• Zurück zur Kursseite