Winbind zielt auf Organisationen ab, die eine existierende, auf NT-Domänen basierende Infrastruktur haben, in die sie UNIX-Maschinen integrieren wollen. Winbind erlaubt diesen Organisationen, UNIX-Maschinen einzusetzen, ohne eine separate Struktur für deren Konten aufrechterhalten zu müssen. Dies vereinfacht den administrativen Overhead der Integration von UNIX in einer NT-basierenden Organisation.

Eine weitere interessante Art, in der wir erwarten, dass Winbind eingesetzt wird, ist Winbind als zentraler Teil von UNIX-basierenden Geräten. Solche Geräte, die Datei- und Druck-Dienste für MS-basierende Netzwerke anbieten, können Winbind einsetzen, um eine nahtlose Integration in die Domäne zu erreichen.

In den letzten paar Jahren wurden von verschiedenen Samba-Team-Mitgliedern Anstrengungen unternommen, die verschiedenen Aspekte des Systems „Microsoft Remote Procedure Call“ (MSRPC) zu entschlüsseln. Dieses System wird für die meisten netzwerkbasierenden Operationen zwischen Windows NT-Maschinen verwendet, inklusive Fernwartung, Benutzer-Authentifikation und Druck-Spooling. Obwohl diese Arbeit ursprünglich zur Unterstützung der Funktionalitäten primären Domänencontroller (PDC) in Samba geleistet wurde, hat sie auch eine Menge Code hervorgebracht, die für andere Zwecke eingesetzt werden kann.

Winbind verwendet verschiedene MSRPC-Aufrufe, um Domänen-Benutzer und -Gruppen aufzuzählen und detaillierte Informationen über einzelne Benutzer oder Gruppen zu beziehen. Andere MSRPC-Aufrufe können zur Authentifikation von NT-Domänen-Benutzern verwendet werden und zum Ändern von Benutzer-Passwörtern. Durch direktes Abfragen eines Windows-PDCs stellt Winbind die Zuordnung von NT-Konteninformationen zu UNIX-Benutzer- und Gruppen-Namen her.

Seit Ende 2001 hat Samba die Fähigkeiten, mit Microsoft Windows 2000 über dessen „Native Mode“-Protokolle zusammenzuarbeiten statt über die NT4-RPC-Dienste. Unter Verwendung von LDAP und Kerberos kann ein Domänen-Mitglied, das Winbind ausführt, Benutzer und Gruppen genau in derselben Art aufzählen, wie es ein Windows 200x-Client tun würde, und schafft damit eine viel effizientere und effektivere Winbind-Implementation.

Der Name Service Switch (NSS) ist eine Funktionalität, die in vielen UNIX-Betriebssystemen vorhanden ist. Er erlaubt das Auflösen von System-Informationen, wie Hostnamen, Mail-Aliases oder Benutzerinformationen unter Verwendung verschiedener Quellen. Zum Beispiel kann eine Standalone-UNIX-Workstation ihre Systeminformationen aus einer Reihe von einfachen Dateien im lokalen Dateisystem beziehen. Eine vernetzte Workstation könnte zuerst versuchen, die Systeminformationen aus den lokalen Dateien zu beziehen und dann eine NIS-Datenbank oder einen DNS-Server nach Informationen zu Hostnamen befragen.

Die NSS-API erlaubt es Winbind, sich selbst als Quelle für Systeminformationen anzubieten, wenn UNIX-Benutzer- und Gruppen-Namen aufgelöst werden sollen. Winbind verwendet dieses Interface und Informationen, die mit MSRPC-Aufrufen von einem Windows NT-Server bezogen wurden, um eine neue Informationsquelle zur Verfügung zu stellen. Unter Verwendung von Standard-UNIX-Bibliotheksaufrufen kann man die Benutzer und Gruppen auf einer UNIX-Maschine, die Winbind ausführt, auflisten und alle Benutzer und Gruppen in einer NT-Domäne plus diejenigen jeglicher Vertrauensdomänen so sehen, als ob sie lokale Benutzer und Gruppen wären.

Die primäre Steuerdatei für NSS ist /etc/nsswitch.conf. Wenn eine UNIX-Applikation eine Anfrage stellt, durchsucht die C-Library /etc/nsswitch.conf nach einer Zeile, die dem erfragten Dienst entspricht, z.B. dem Dienst „passwd“, der verwendet wird, wenn nach Benutzer- oder Gruppen-Namen gesucht wird. Diese Konfigurationszeile gibt an, welche Implementation dieses Diensts in welcher Reihenfolge versucht werden soll. Wenn die Zeile

		passwd: files example
		

lautet, dann wird die C-Library zuerst ein Modul namens /lib/libnss_files.so laden, gefolgt vom Modul /lib/libnss_example.so. Die C-Library wird dynamisch jedes dieser Module der Reihe nach laden und die Auflösungsfunktionen innerhalb jedes Moduls ausführen, um zu versuchen, die Anfrage aufzulösen. Sobald dies geschehen ist, gibt die C-Library das Ergebnis an die Anwendung zurück.

Dieses NSS-Interface bietet eine einfache Möglichkeit, Winbind in das Betriebssystem einzuhängen. Sie müssen nur libnss_winbind.so in /lib/ platzieren und dann „winbind“ an der richtigen Stelle in /etc/nsswitch.conf hinzufügen. Die C-Library wird dann Winbind zur Namensauflösung aufrufen.

Pluggable Authentication Modules, auch als PAM bekannt, sind ein System zum Abstrahieren von Authentifikations- und Autorisationstechnologien. Mit einem PAM-Modul ist es möglich, verschiedene Authentifikationsmethoden für verschiedene Systemanwendungen zu spezifizieren, ohne diese Anwendungen neu kompilieren zu müssen. PAM ist außerdem beim Implementieren einer speziellen Richtlinie für die Autorisierung hilfreich. Zum Beispiel könnte ein System-Administrator Konsolen-Logins nur den Benutzern erlauben, die in der lokalen Passwort-Datei gespeichert sind, und Netzwerk-Logins nur dem Benutzern, die in einer NIS-Datenbank gespeichert sind.

Winbind nutzt das Authentifikationsmanagement- und Passwort-Management-PAM-Interface, um Windows-NT-Benutzer in ein UNIX-System zu integrieren. Das erlaubt es Windows-NT-Benutzern, sich an einer UNIX-Maschine anzumelden und durch einen passenden PDC authentifiziert zu werden. Diese Benutzer können außerdem ihre Passwörter ändern, und diese Veränderung findet direkt auf dem PDC statt.

PAM wird dadurch konfiguriert, dass im Verzeichnis /etc/pam.d/ Steuerdateien für jeden Dienst bereitgestellt werden, der Authentifikation benötigt. Wenn eine Authentifikationsanfrage von einer Anwendung gestellt wird, liest der PAM-Code in der C-Library aus dieser Steuerdatei, welche Module in welcher Reihenfolge für diese Authentifikation geladen werden müssen. Das Interface vereinfacht das Hinzufügen neuer Authentifikationsdienste zu Winbind. Sie müssen lediglich das Modul pam_winbind.so in das Verzeichnis /lib/security/ kopieren und die Steuerdateien der relevanten Dienste aktualisieren, um eine Authentifikation via Winbind zu erlauben. Lesen Sie die PAM-Dokumentation in ??? für mehr Informationen dazu.

Wenn ein Benutzer oder eine Gruppe unter Windows NT/200x angelegt wird, wird ihm bzw. ihr ein „numerical relative identifier“ (RID) zugeordnet. Das ist etwas anders als in UNIX, das einen Nummernbereich für Benutzer und denselben Nummernbereich für Gruppen hat. Es ist die Aufgabe von Winbind, die RIDs in UNIX-IDs zu konvertieren und vice versa. Wenn Winbind konfiguriert wird, wird ihm ein Teil des UNIX-Benutzer-ID-Namensraums und ein Teil des UNIX-Gruppen-ID-Namensraums zugewiesen, um darin die Windows NT-Benutzer und -Gruppen zu speichern. Wenn ein Windows NT-Benutzer zum ersten Mal aufgelöst werden soll, wird ihm die nächste freie UNIX-ID aus dem Bereich zugewiesen. Derselbe Prozess wird für Windows NT-Gruppen angewendet. Im Laufe der Zeit hat Winbind dann alle Windows NT-Benutzer und -Gruppen entsprechenden UNIX-Benutzern und -Gruppen zugewiesen.

Die Ergebnisse dieser Zuordnung werden dauerhaft in einer ID-Zuordnungsdatenbank abgelegt (gespeichert in einer tdb-Datenbank). Das gewährleistet die konsistente Zuordnung von RIDs zu UNIX-IDs.

Ein aktives System kann sehr viele Anfragen nach Benutzer- und Gruppen-Namen generieren. Um die Netzwerklast dieser Anfragen zu reduzieren, verwendet Winbind ein Caching-Schema, das auf der SAM-Sequenznummer beruht, die von NT-Domänencontrollern zur Verfügung gestellt wird. Benutzer- oder Gruppen-Informationen, die von einem PDC zurückgegeben werden, werden von Winbind gemeinsam mit einer auch vom PDC vergebenen Sequenznummer gepuffert. Diese Sequenznummer wird immer dann von Windows NT erhöht, wenn irgendeine Benutzer- und Gruppen-Information verändert wird. Wenn ein gepufferter Eintrag veraltet ist, wird die Sequenznummer vom PDC abgefragt und mit der Sequenznummer des Cache-Eintrags verglichen. Stimmen die beiden nicht überein, wird die gepufferte Information verworfen und die aktuelle Information direkt vom PDC abgefragt.

Dieser Abschnitt beschreibt die Abläufe, die notwendig sind, um Winbind in Betrieb zu nehmen. Winbind kann eine Zugriffs- und Authentifikationsverwaltung für Windows-Domänen-Benutzer zur Verfügung stellen, indem es einen Windows NT- oder Windows 200x-PDC sowohl für normale Dienste wie telnet und ftp als auch für Samba zur Verfügung stellt.

Wenn Sie eine Samba-Konfigurationsdatei haben, die Sie momentan benutzen, SICHERN SIE DIE DATEI! Wenn Ihr System bereits PAM verwendet, SICHERN SIE die Inhalte des Verzeichnisses /etc/pam.d! Wenn Sie noch keine Bootdiskette angelegt haben, ERSTELLEN SIE JETZT EINE!

Das Herumbasteln an den PAM-Konfigurationsdateien kann es nahezu unmöglich machen, sich an Ihrer Maschine anzumelden. Sie müssen imstande sein, im „single user mode“ Ihre Maschine neu zu booten und Ihr Verzeichnis /etc/pam.d in den Urzustand zu versetzen, wenn Sie von Ihren Fortschritten irgendwie frustriert sein sollten.

Die letzte Version von Samba-3 beinhaltet einen funktionierenden Winbind-Daemon. Bitte besuchen Sie die Samba-Website, oder - noch besser - Ihren nächsten Samba-Mirror, um Anleitungen zum Download des Quellcodes zu erhalten.

Um Domänen-Benutzern die Fähigkeit zu verleihen, auf Samba-Freigaben und -Dateien zuzugreifen, wie auch auf möglicherweise andere von Ihrer Samba-Maschine angebotene Dienste, muss PAM auf dieser Maschine ordnungsgemäß eingerichtet sein. Um die Winbind-Module zu kompilieren, sollten Sie zumindest die PAM-Entwickler-Bibliotheken auf Ihrem System installiert haben. Bitte sehen Sie sich dazu auch die PAM-Website http://www.kernel.org/pub/linux/libs/pam/ an.

Bevor Sie beginnen, ist es möglicherweise das Beste, all die Samba-bezogenen Daemons zu killen, die auf Ihrem Server laufen. Killen Sie all die smbd-, nmbd- und winbindd -Prozesse, die da laufen. Um PAM zu verwenden, stellen Sie sicher, dass Sie das Standard-PAM-Paket haben, das die Verzeichnis-Struktur /etc/pam.d unterstützt, und die PAM-Module enthält, die von PAM-fähigen Diensten verwendet werden, sowie einige PAM-Bibliotheken, und die Einträge für PAM in /usr/doc und /usr/man. Winbind kann besser in Samba kompiliert werden, wenn auch das Paket „pam-devel“ installiert ist. Dieses Paket beinhaltet die Header-Dateien, die zum Kompilieren PAM-fähiger Anwendungen benötigt werden.

root# cp ../samba/source/nsswitch/libnss_winbind.so /lib

root# ln -s /usr/lib/libnss_winbind.so /usr/lib/libnss_winbind.so.1
root# ln -s /usr/lib/libnss_winbind.so /usr/lib/nss_winbind.so.1
root# ln -s /usr/lib/libnss_winbind.so /usr/lib/nss_winbind.so.2

	passwd:     files winbind
	shadow:     files 
	group:      files winbind

WINBIND:
        program = /usr/lib/security/WINBIND
        options = authonly

3025 ?        00:00:00 winbindd

	CEO+Administrator
	CEO+burdell
	CEO+Guest
	CEO+jt-ad
	CEO+krbtgt
	CEO+TsInternetUser

root# /usr/local/samba/bin/wbinfo -g
	CEO+Domain Admins
	CEO+Domain Users
	CEO+Domain Guests
	CEO+Domain Computers
	CEO+Domain Controllers
	CEO+Cert Publishers
	CEO+Schema Admins
	CEO+Enterprise Admins
	CEO+Group Policy Creator Owners

start() {
        KIND="SMB"
        echo -n $"Start des Diensts $KIND: "
        daemon /usr/local/samba/bin/smbd $SMBDOPTIONS
        RETVAL=$?
        echo
        KIND="NMB"
        echo -n $"Start des Diensts $KIND: "
        daemon /usr/local/samba/bin/nmbd $NMBDOPTIONS
        RETVAL2=$?
        echo
        KIND="Winbind"
        echo -n $"Start des Diensts $KIND: "
        daemon /usr/local/samba/bin/winbindd
        RETVAL3=$?
        echo
        [ $RETVAL -eq 0 -a $RETVAL2 -eq 0 -a $RETVAL3 -eq 0 ] && \
		touch /var/lock/subsys/smb || RETVAL=1
        return $RETVAL
}

        daemon /usr/local/samba/bin/winbindd

        daemon /usr/local/samba/bin/winbindd -B

stop() {
        KIND="SMB"
        echo -n $"Stoppen des Diensts $KIND: "
        killproc smbd
        RETVAL=$?
        echo
        KIND="NMB"
        echo -n $"Stoppen des Diensts $KIND: "
        killproc nmbd
        RETVAL2=$?
        echo
        KIND="Winbind"
        echo -n $"Stoppen des Diensts $KIND: "
        killproc winbindd
        RETVAL3=$?
        [ $RETVAL -eq 0 -a $RETVAL2 -eq 0 -a $RETVAL3 -eq 0 ] && \
		 rm -f /var/lock/subsys/smb
        echo ""
        return $RETVAL
}

	##
	## samba.server
	##

	if [ ! -d /usr/bin ]
	then                    # /usr nicht gemountet 
		exit
	fi

	killproc() {            # kill den/die angegebenen Prozess(e) 
		pid=`/usr/bin/ps -e |
		     /usr/bin/grep -w $1 |
		     /usr/bin/sed -e 's/^  *//' -e 's/ .*//'`
		[ "$pid" != "" ] && kill $pid
	}
	 
	# Starte/stoppe die für den Samba-Server erforderlichen Prozesse


	case "$1" in

	'start')
	#
	# Editieren Sie diese Zeilen passend zu Ihrer Installation 
	# (Pfade, Arbeitsgruppe, Host)
	#
	echo Starten von SMBD
	   /usr/local/samba/bin/smbd -D -s \
		/usr/local/samba/smb.conf

	echo Starten von NMBD
	   /usr/local/samba/bin/nmbd -D -l \
		/usr/local/samba/var/log -s /usr/local/samba/smb.conf

	echo Starten von WINBINDD
	   /usr/local/samba/bin/winbindd
	   ;;

	'stop')
	   killproc nmbd
	   killproc smbd
	   killproc winbindd
	   ;;

	*)
	   echo "Usage: /etc/init.d/samba.server { start | stop }"
	   ;;
	esac

	/usr/local/samba/bin/winbindd

	/usr/local/samba/bin/winbindd -B

	auth    required        /lib/security/pam_stack.so service=system-auth
	account required        /lib/security/pam_stack.so service=system-auth

	enable = no

	enable = yes

auth       required     /lib/security/pam_listfile.so item=user sense=deny \
	 file=/etc/ftpusers onerr=succeed
auth       sufficient   /lib/security/pam_winbind.so
auth       required     /lib/security/pam_stack.so service=system-auth
auth       required     /lib/security/pam_shells.so
account    sufficient   /lib/security/pam_winbind.so
account    required     /lib/security/pam_stack.so service=system-auth
session    required     /lib/security/pam_stack.so service=system-auth

auth       required     /lib/security/pam_securetty.so
auth       sufficient   /lib/security/pam_winbind.so
auth       sufficient   /lib/security/pam_UNIX.so use_first_pass
auth       required     /lib/security/pam_stack.so service=system-auth
auth       required     /lib/security/pam_nologin.so
account    sufficient   /lib/security/pam_winbind.so
account    required     /lib/security/pam_stack.so service=system-auth
password   required     /lib/security/pam_stack.so service=system-auth
session    required     /lib/security/pam_stack.so service=system-auth
session    optional     /lib/security/pam_console.so

auth sufficient /lib/security/pam_winbind.so

required pam_securetty.so

sufficient /lib/security/pam_unix.so use_first_pass

#
#ident "@(#)pam.conf 1.14 99/09/16 SMI"
#
# Copyright (c) 1996-1999, Sun Microsystems, Inc.
# All Rights Reserved.
#
# PAM configuration
#
# Authentication management
#
login   auth required   /usr/lib/security/pam_winbind.so
login auth required  /usr/lib/security/$ISA/pam_UNIX.so.1 try_first_pass 
login auth required  /usr/lib/security/$ISA/pam_dial_auth.so.1 try_first_pass 
#
rlogin  auth sufficient /usr/lib/security/pam_winbind.so
rlogin  auth sufficient /usr/lib/security/$ISA/pam_rhosts_auth.so.1
rlogin auth required  /usr/lib/security/$ISA/pam_UNIX.so.1 try_first_pass
#
dtlogin auth sufficient /usr/lib/security/pam_winbind.so
dtlogin auth required  /usr/lib/security/$ISA/pam_UNIX.so.1 try_first_pass
#
rsh auth required /usr/lib/security/$ISA/pam_rhosts_auth.so.1
other   auth sufficient /usr/lib/security/pam_winbind.so
other auth required /usr/lib/security/$ISA/pam_UNIX.so.1 try_first_pass
#
# Account management
#
login   account sufficient      /usr/lib/security/pam_winbind.so
login account requisite /usr/lib/security/$ISA/pam_roles.so.1 
login account required /usr/lib/security/$ISA/pam_UNIX.so.1 
#
dtlogin account sufficient      /usr/lib/security/pam_winbind.so
dtlogin account requisite /usr/lib/security/$ISA/pam_roles.so.1 
dtlogin account required /usr/lib/security/$ISA/pam_UNIX.so.1 
#
other   account sufficient      /usr/lib/security/pam_winbind.so
other account requisite /usr/lib/security/$ISA/pam_roles.so.1 
other account required /usr/lib/security/$ISA/pam_UNIX.so.1 
#
# Session management
#
other session required /usr/lib/security/$ISA/pam_UNIX.so.1 
#
# Password management
#
#other   password sufficient     /usr/lib/security/pam_winbind.so
other password required /usr/lib/security/$ISA/pam_UNIX.so.1 
dtsession auth required /usr/lib/security/$ISA/pam_UNIX.so.1
#
# Support for Kerberos V5 authentication (uncomment to use Kerberos)
#
#rlogin auth optional /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#login auth optional /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#dtlogin auth optional /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#other auth optional /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#dtlogin account optional /usr/lib/security/$ISA/pam_krb5.so.1
#other account optional /usr/lib/security/$ISA/pam_krb5.so.1
#other session optional /usr/lib/security/$ISA/pam_krb5.so.1
#other password optional /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass

Wenn nscd auf dem UNIX/Linux-System läuft, wird es selbst dann, wenn NSSWITCH korrekt konfiguriert ist, nicht möglich sein, die Namen von Domänen-Benutzern und -Gruppen aufzulösen.

„ Meine Datei smb.conf ist ordnungsgemäß konfiguriert. Ich habe idmap uid = 12000 und idmap gid = 3000-3500 angegeben, und winbind läuft. Wenn ich Folgendes tue, funktioniert es prächtig: “

root# wbinfo -u
MITTELERDE+maryo
MITTELERDE+jackb
MITTELERDE+ameds
...
MITTELERDE+root

root# wbinfo -g
MITTELERDE+Domain Users
MITTELERDE+Domain Admins
MITTELERDE+Domain Guests
...
MITTELERDE+Accounts

root# getent passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
...
maryo:x:15000:15003:Mary Orville:/home/MITTELERDE/maryo:/bin/false

„ Aber dieser Befehl schlägt fehl:

root# chown maryo a_file
chown: `maryo': invalid user

Das ist dasselbe Problem wie oben. Ihr System führt höchstwahrscheinlich nscd aus. Stoppen Sie diesen Dienst, und starten Sie ihn nicht mehr! Ihr Problem wird gelöst sein.