Der LDAP ldapsam-Code wurde unter Verwendung der OpenLDAP 2.0 und 2.1 Server- und Client-Libraries entwickelt und getestet. Derselbe Code sollte mit Netscapes Directory Server und Client SDK arbeiten. Jedoch gibt es Compile-Fehler und Bugs. Diese sollten nicht schwierig zu beheben sein. Bitte senden Sie uns Fixes mit dem in Reporting Bugs beschriebenen Vorgehen.

Samba-3.0 enthält die notwendige Schema-Datei für OpenLDAP 2.0 in examples/LDAP/samba.schema. Die sambaSamAccount-Objekt-Klasse sehen Sie hier:

objectclass (1.3.6.1.4.1.7165.2.2.6 NAME 'sambaSamAccount' SUP top AUXILIARY
    DESC 'Samba-3.0 Auxiliary SAM Account'
    MUST ( uid $ sambaSID )
    MAY  ( cn $ sambaLMPassword $ sambaNTPassword $ sambaPwdLastSet $
          sambaLogonTime $ sambaLogoffTime $ sambaKickoffTime $
          sambaPwdCanChange $ sambaPwdMustChange $ sambaAcctFlags $
          displayName $ sambaHomePath $ sambaHomeDrive $ sambaLogonScript $
          sambaProfilePath $ description $ sambaUserWorkstations $
          sambaPrimaryGroupSID $ sambaDomainName ))

Die Datei samba.schema wurde für OpenLDAP 2.0/2.1 formatiert. Das Samba-Team besitzt den OID-Space, der vom obigen Schema benutzt wird, und empfiehlt dessen Verwendung. Wenn Sie das Schema für die Verwendung mit Netscape-DS übersetzen, senden Sie die modifzierte Schema-Datei bitte als Patch an jerry@samba.org.

Genauso wie die Datei smbpasswd zum Speichern von Informationen gedacht ist, die über die in der Datei /etc/passwd gespeicherten Informationen hinausgehen, ist das Objekt sambaSamAccount zur Ergänzung der UNIX-Benutzerkonten-Information gedacht. Ein sambaSamAccount ist eine AUXILIARY-Objektklasse, so dass sie zur Erweiterung existierender Benutzer-Konten-Information im LDAP-Verzeichnis verwendet werden kann. Es gibt jedoch einige Felder (z.B. uid), die mit der posixAccount-Objektklasse überlappen, die in RFC2307 beschrieben wird. Dies ist vom Design her so vorgesehen.

Um die gesamte Benutzer-Konten-Information (UNIX und Samba) in dem Verzeichnis speichern zu können, ist es notwendig, die beiden Objektklassen sambaSamAccount und posixAccount in Kombination zu verwenden. Jedoch wird smbd die Benutzer-Konten-Information nach wie vor über die Standard-C-Bibliotheksaufrufe beziehen (z.B. getpwnam() und andere). Das bedeutet, dass der Samba-Server auch die LDAP-NSS-Bibliothek installiert haben muss und diese korrekt funktionieren muss. Diese Trennung von Informationen macht es möglich, alle Samba-Informationen in LDAP zu speichern, aber weiterhin die UNIX-Konten-Informationen in NIS zu verwalten, während das Netzwerk in eine vollständige LDAP-Infrastruktur überführt wird.

Um Unterstützung für das Objekt sambaSamAccount in einem OpenLDAP-Verzeichnis zu einzubinden, kopieren Sie als Erstes die Datei samba.schema in das Konfigurationsverzeichnis von slapd. Die Datei samba.schema kann im Verzeichnis examples/LDAP in der Samba-Quelldistribution gefunden werden.

root# cp samba.schema /etc/openldap/schema/

Als Nächstes binden Sie die Datei samba.schema in slapd.conf ein. Das Objekt sambaSamAccount enthält zwei Attribute, die auf anderen Schema-Dateien basieren. Das Attribut uid wird in cosine.schema definiert und das Attribut displayName in der Datei inetorgperson.schema. Beide müssen vor der Datei samba.schema eingebunden werden.

## /etc/openldap/slapd.conf

## schema files (core.schema is required by default)
include	           /etc/openldap/schema/core.schema

## needed for sambaSamAccount
include            /etc/openldap/schema/cosine.schema
include            /etc/openldap/schema/inetorgperson.schema
include            /etc/openldap/schema/nis.schema
include            /etc/openldap/schema/samba.schema
....

Es wird empfohlen, dass Sie einige Indizes von den wichtigsten Attributen pflegen, um Suchen nach sambaSamAccount-Objektklassen zu beschleunigen (und eventuell auch posixAccount und posixGroup). Zum Beispiel:

## Zu pflegende Indizes 
## von LDAP benötigt
index objectclass             eq

index cn                      pres,sub,eq
index sn                      pres,sub,eq
## zur Unterstützung von pdb_getsampwnam
index uid                     pres,sub,eq
## zur Unterstützung von pdb_getsambapwrid()
index displayName             pres,sub,eq

## entfernen Sie hier die Kommentarzeichen, 
## wenn Sie auch posixAccount- und
## posixGroup-Einträge im Verzeichnis verwalten
##index uidNumber               eq
##index gidNumber               eq
##index memberUid               eq

index   sambaSID              eq
index   sambaPrimaryGroupSID  eq
index   sambaDomainName       eq
index   default               sub

Legen Sie den neuen Index an, indem Sie dies ausführen:

root# ./sbin/slapindex -f slapd.conf

Vergessen Sie nicht, slapd nach diesen Änderungen neu zu starten:

root# /etc/init.d/slapd restart

Bevor Sie Konten der LDAP-Datenbank hinzufügen können, müssen Sie die Konten-Container anlegen, in denen diese gespeichert werden sollen. Die folgende LDIF-Datei sollte so editiert werden, dass sie Ihrem Bedarf entspricht (DNS-Einträge usw.):

# Organisation fuer Samba-Basis
dn: dc=quenya,dc=org
objectclass: dcObject
objectclass: organization
dc: quenya
o: Quenya Org Netzwerk
description: Das Samba-3 Netzwerk LDAP Beispiel 

# Organisatorische Rolle fuer Verzeichnisverwaltung
dn: cn=Manager,dc=quenya,dc=org
objectclass: organizationalRole
cn: Manager
description: Verzeichnis Manager

# Einrichten des Benutzer-Containers
dn: ou=People,dc=quenya,dc=org
objectclass: top
objectclass: organizationalUnit
ou: People

# Einrichten des Administrators fuer die People-OU
dn: cn=admin,ou=People,dc=quenya,dc=org
cn: admin
objectclass: top
objectclass: organizationalRole
objectclass: simpleSecurityObject
userPassword: {SSHA}c3ZM9tBaBo9autm1dL3waDS21+JSfQVz

# Einrichten des Gruppen-Containers
dn: ou=Groups,dc=quenya,dc=org
objectclass: top
objectclass: organizationalUnit
ou: Groups

# Einrichten des Administrators fuer die Gruppen-OU
dn: cn=admin,ou=Groups,dc=quenya,dc=org
cn: admin
objectclass: top
objectclass: organizationalRole
objectclass: simpleSecurityObject
userPassword: {SSHA}c3ZM9tBaBo9autm1dL3waDS21+JSfQVz

# Einrichten des Computer-Containers
dn: ou=Computers,dc=quenya,dc=org
objectclass: top
objectclass: organizationalUnit
ou: Computers

# Einrichten des Administrators fuer die Computer-OU
dn: cn=admin,ou=Computers,dc=quenya,dc=org
cn: admin
objectclass: top
objectclass: organizationalRole
objectclass: simpleSecurityObject
userPassword: {SSHA}c3ZM9tBaBo9autm1dL3waDS21+JSfQVz

Das oben gezeigte userPassword sollte mittels slappasswd generiert werden.

Der folgende Befehl lädt dann den Inhalt der LDIF-Datei in die LDAP-Datenbank:

$ slapadd -v -l initldap.dif

Vergessen Sie nicht, Ihren LDAP-Server sowohl mit einer adäquaten ACL zu versehen als auch mit einem Administrator-Passwort.

root# smbpasswd -w secret

Folgende Parameter sind nur dann in smb.conf verfügbar, wenn Ihre Version von Samba mit LDAP-Unterstützung kompiliert worden ist. Samba wird automatisch so konfiguriert, wenn die LDAP-Bibliotheken vorgefunden werden.

LDAP-bezogene smb.conf-Optionen sind: passdb backend = ldapsam:url, ldap admin dn, ldap delete dn, ldap filter, ldap group suffix, ldap idmap suffix, ldap machine suffix, ldap passwd sync, ldap ssl, ldap suffix und ldap user suffix.

Diese Parameter werden in der Manpage zu smb.conf beschrieben, dies wird hier nicht wiederholt. Wir zeigen jedoch eine Beispieldatei smb.conf für die Verwendung mit einem LDAP-Verzeichnis.

Da Benutzerkonten mit der sambaSamAccount-Objektklasse verwaltet werden, sollten Sie Ihre bereits existierenden Administrationswerkzeuge so modifizieren, dass sie mit sambaSamAccount-Attributen umgehen können.

Maschinenkonten werden mit der sambaSamAccount-Objektklasse verwaltet, genauso wie Benutzerkonten. Es ist jedoch Ihnen überlassen, diese Konten in einem anderen Zweig Ihres LDAP-Namensraums zu speichern. Sie sollten „ou=Groups,dc=quenya,dc=org“ zum Speichern von Gruppen und „ou=People,dc=quenya,dc=org“ zum Speichern von Benutzern verwenden. Konfigurieren Sie nur Ihr NSS und PAM dementsprechend (üblicherweise in der Datei /etc/openldap/sldap.conf).

In Samba-3 basiert die Gruppenverwaltung auf den POSIX-Gruppen. Das bedeutet, dass Samba die posixGroup-Objektklasse verwendet. Derzeit gibt es keine NT-artige Gruppenverwaltung (globale und lokale Gruppen). Samba-3 kennt nur Domänen-Gruppen, und unterstützt, im Unterschied zu MS Windows 2000 und Active Directory, keine verschachtelten Gruppen.

Es gibt zwei wichtige Punkte, an die man sich erinnern sollte, wenn man die Sicherheit von sambaSamAccount-Einträgen im Verzeichnis diskutiert:

Diese Passwort-Hashes sind Klartext-Äquivalente und können dazu verwendet werden, den Benutzer zu verkörpern, ohne die originalen Klartext-Strings zu beziehen. Lesen Sie den Abschnitt Die Account-Datenbank, um mehr Informationen und Details zu LM/NT Passwort-Hashes zu erhalten.

Um die erste Angelegenheit zu bereinigen, ist der voreingestellte Wert für den smb.conf-Parameter ldap ssl so, dass eine verschlüsselte Sitzung erforderlich ist (ldap ssl = on), die den Standard-Port 636 verwendet, wenn man den Verzeichnis-Server kontaktiert. Bei Verwendung eines OpenLDAP-Servers ist es möglich, die erweiterte LDAP-Operation StartTLS anstelle von LDAPS zu verwenden. Seien Sie auf jeden Fall davor gewarnt, diese Sicherheitsoption auszuschalten (ldap ssl = off).

Beachten Sie, dass das LDAPS-Protokoll veraltet ist, es wurde durch die erweiterte LDAPv3-Operation StartTLS ersetzt. Die OpenLDAP-Bibliothek bietet jedoch nach wie vor Unterstützung für die ältere Methode zur Absicherung der Client-Server-Kommunikation.

Die zweite Sicherheitsmaßnahme besteht darin, Benutzer ohne Administrator-Rechte davon abzuhalten, Passwort-Hashes aus dem Verzeichnis abzufragen. Dies kann durch folgende ACL in slapd.conf erfolgen:

## erlaube der "ldap admin dn" Zugriff, aber lehne alle anderen Zugriffe ab
access to attrs=sambaLMPassword,sambaNTPassword
     by dn="cn=Samba Admin,ou=People,dc=quenya,dc=org" write
     by * none

Die Objektklasse sambaSamAccount besteht aus den Komponenten, die in den folgenden Tabellen gezeigt werden: Teil A und Teil B.

Der Großteil dieser Parameter wird nur benötigt, wenn Samba als PDC einer Domäne arbeitet (sehen Sie dazu Domänen-Verwaltung). Die folgenden vier Attribute werden nur mit dem sambaSamAccount-Eintrag verspeichert, wenn ihre Werte nicht gleich den Standard-Werten sind:

Nehmen wir zum Beispiel an, dass MORIA als PDC konfiguriert wurde und dass logon home = \\%L\%u in dessen Datei smb.conf definiert wurde. Wenn ein Benutzer namens „becky“ sich an der Domäne anmeldet, wird der String logon home auf \\MORIA\becky erweitert. Wenn das Attribut smbHome im Eintrag „uid=becky,ou=People,dc=samba,dc=org“ existiert, wird dessen Wert verwendet. Existiert dieses Attribut nicht, wird stattdessen der Wert des Parameters logon home verwendet. Samba schreibt den Attributwert nur dann in den Verzeichniseintrag, wenn der Wert vom Standardwert abweicht (z.B. \\MOBY\becky).

Das folgende Beispiel ist ein funktionierendes LDIF, das die Verwendung der SambaSamAccount-Objektklasse zeigt:

	dn: uid=guest2, ou=People,dc=quenya,dc=org
	sambaLMPassword: 878D8014606CDA29677A44EFA1353FC7
	sambaPwdMustChange: 2147483647
	sambaPrimaryGroupSID: S-1-5-21-2447931902-1787058256-3961074038-513
	sambaNTPassword: 552902031BEDE9EFAAD3B435B51404EE
	sambaPwdLastSet: 1010179124
	sambaLogonTime: 0
	objectClass: sambaSamAccount
	uid: guest2
	sambaKickoffTime: 2147483647
	sambaAcctFlags: [UX         ]
	sambaLogoffTime: 2147483647
	sambaSID: S-1-5-21-2447931902-1787058256-3961074038-5006
	sambaPwdCanChange: 0
	

Hier sehen Sie einen LDIF-Eintrag zur gemeinsamen Verwendung der Objektklassen sambaSamAccount und posixAccount:

	dn: uid=gcarter, ou=People,dc=quenya,dc=org
	sambaLogonTime: 0
	displayName: Gerald Carter
	sambaLMPassword: 552902031BEDE9EFAAD3B435B51404EE
	sambaPrimaryGroupSID: S-1-5-21-2447931902-1787058256-3961074038-1201
	objectClass: posixAccount
	objectClass: sambaSamAccount
	sambaAcctFlags: [UX         ]
	userPassword: {crypt}BpM2ej8Rkzogo
	uid: gcarter
	uidNumber: 9000
	cn: Gerald Carter
	loginShell: /bin/bash
	logoffTime: 2147483647
	gidNumber: 100
	sambaKickoffTime: 2147483647
	sambaPwdLastSet: 1010179230
	sambaSID: S-1-5-21-2447931902-1787058256-3961074038-5004
	homeDirectory: /home/moria/gcarter
	sambaPwdCanChange: 0
	sambaPwdMustChange: 2147483647
	sambaNTPassword: 878D8014606CDA29677A44EFA1353FC7

Samba-3 und spätere Versionen können das Nicht-Samba-(LDAP-)Passwort ändern, das für ein Konto gespeichert wurde. Bei der Verwendung von pam_ldap erlaubt dies das gleichzeitige Ändern von UNIX- und Windows-Passwörtern.

Die Option ldap passwd sync kann die in der nächsten Tabelle gezeigten Werte annehmen.

Mehr Informationen dazu finden Sie in der Manpage zu smb.conf.

Sie können Ihre eigene Tabelle anlegen und deren Feldnamen für pdb_mysql angeben (sehen Sie weiter unten nach den Spaltennamen) oder die Standard-Tabelle verwenden. Die Datei examples/pdb/mysql/mysql.dump enthält die korrekten Abfragen, um die erforderlichen Tabellen anzulegen. Verwenden Sie den Befehl:

$ mysql -uusername -hhostname -ppassword \
	databasename < /path/to/samba/examples/pdb/mysql/mysql.dump

Diesem Plugin fehlt eine gute Dokumentation, aber hier ist etwas Kurz-Information. Fügen Sie Folgendes der Variable passdb backend in Ihrer smb.conf hinzu:

Der Identifier kann jeder beliebige String sein, solange er nicht mit den Identifiern anderer Plugins oder denen anderer pdb_mysql-Instanzen kollidiert. Wenn Sie mehrere pdb_mysql.so Einträge in passdb backend angeben, müssen Sie auch verschiedene Identifier angeben.

Zusätzliche Optionen können im Abschnitt [global] der Datei smb.conf angegeben werden. Sehen Sie sich die folgende Tabelle an.

Die Spaltenbezeichnungen werden in der nächsten Tabelle angegeben. Die Standard-Spaltenbezeichnungen können dem Beispieltabellen-Dump entnommen werden.

Sie können einen Doppelpunkt (:) nach dem Namen jeder Spalte angeben, der ein Update der Spalte beim Update der Tabelle auslöst. Sie können auch nichts nach dem Spaltennamen angeben; dann werden die Felddaten nicht aktualisiert. Das Setzen eines Spaltennamens auf NULL bedeutet, dass dieses Feld nicht verwendet werden soll.

Eine Beispielkonfiguration sieht so aus:

Ich rate entschieden von der Verwendung von Klartext-Passwörtern ab; Sie können diese jedoch verwenden.

Wenn Sie Klartext-Passwörter verwenden wollen, setzen Sie `identifier:lanman pass column' und `identifier:nt pass column' auf `NULL' (ohne die Hochkommas) und `identifier:plain pass column' auf den Namen der Spalte, die die Klartext-Passwörter enthält.

Wenn Sie verschlüsselte Passwörter verwenden, setzen Sie 'identifier:plain pass column' auf `NULL' (ohne die Hochkommas). Dies ist die Voreinstellung.

Es ist möglich, durch Verwendung einer 'Konstanten' nicht alle Daten in der Datenbank zu halten.

Zum Beispiel können Sie 'identifier:fullname column' auf etwas wie CONCAT(Firstname,' ',Surname) setzen.

Oder `identifier:workstations column' auf: NULL

Lesen Sie die MySQL-Dokumentation für mehr Informationen zu den Sprachkonstrukten.