Я пытаюсь настроить общие файловые ресурсы Samba в системе Ubuntu 19.04, используя существующий LDAP-сервер в качестве бэкэнда аутентификации.
Что у меня есть: Полностью рабочий сервер OpenLDAP, содержащий всю информацию о пользователях и группах.
Что мне нужно: совместное использование файлов Samba, использующее эти данные для аутентификации пользователей и предоставления групповых разрешений для (общих) общих файловых ресурсов.
Если я правильно понял (например, на основе этот ответ), Samba не может выполнить привязку аутентификации, как это предлагает большинство приложений в качестве опции. Поэтому мне понадобится PAM, чтобы использовать мой сервер LDAP в качестве бэкэнда, а затем использовать PAM для аутентификации Samba.
Я пытался следовать Учебник Ubuntu, но не смог настроить профиль LDAP для NSS, потому что auth-client-config команда не может быть найдена; хотя я установил ldap-auth-config пакет.
Почему нет способа заставить Samba выполнить привязку аутентификации, просто попытавшись войти в систему, как и любой другой сервис? Я хоть отдаленно на правильном пути? И если Samba использует NTLM-Hash, хранящийся в sambaNTPassword-Атрибут, разве это не снизит мою безопасность по сравнению с солёным SHA2-хешем, который я использую в userPassword атрибут?
Редактировать: Мне нужно, чтобы Samba действовала как файловый сервер, а не как активный каталог.
Мои пользователи должны иметь возможность входить на общий файловый / сетевой диск только с учетными данными, которые в настоящее время хранятся в каталоге LDAP (uid и userPassword), если возможно.
на это ответили несколько раз. Samba 4 в режиме AD не может использовать LDAP как серверную часть:
https://wiki.samba.org/index.php/Samba4/LDAP_Backend
есть некоторые части службы Windows, которые нельзя эмулировать с помощью стандартного LDAP, поэтому разработчики Samba реализовали собственное решение LDAP.
однако вы можете настроить его как PDC, но это устаревший вариант, и его сложно обслуживать и администрировать с помощью текущих клиентов Windows:
https://wiki.samba.org/index.php/Required_Settings_for_Samba_NT4_Domains
есть также другие проекты, такие как UCS, которые пытаются синхронизировать оба LDAP:
но они требуют использования всего решения, я бы хотел, чтобы у них был соединитель, который можно было бы настроить с любым сервером.
поэтому вам нужно решить, какое решение лучше всего подходит для вашей среды.