Error the idmap range for the domain tdb overlaps with the range of domain rid

• Attention, TrueNAS Community Members.

  General Help has now been set to read-only mode.

  To make sure you can easily find what you’re looking for, we’ve relocated all relevant categories under their respective version. This change will simplify searching for information and minimize any confusion about where to post.

ERROR: The idmap range for the domain * (tdb) overlaps with the range of OCONNICICH (rid)!

idmap config oconnicich: range = 20000-9000000000
idmap config oconnicich: backend = rid
idmap config *: range = 90000001-100000000
idmap config * : backend = tdb

Проверка конфигурационного файла

Конфигурационный файл Samba можно проверить с помощью утилиты testparm. Данная утилита обнаруживает неверные параметры, значения, а также неправильные настройки. Если testparm сообщает, что проблем нет, службы Samba успешно загрузят файл конфигурации. Обратите внимание, что данной утилитой невозможно проверить доступность или работу настроенных служб.

Внимание: Рекомендуется проверять файл /etc/samba/smb.conf с помощью testparm после каждой правки файла.

Выполнение проверки

Запустите утилиту testparm как root-пользователь:

# testparm

Если утилита выдаст сообщение наподобие:

# testparm
Load smb config files from /etc/samba/smb.conf
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
Unknown parameter encountered: "log levell"
Processing section "[example_share]"
Loaded services file OK.
ERROR: The idmap range for the domain * (tdb) overlaps with the range of DOMAIN (ad)!

Server role: ROLE_DOMAIN_MEMBER

Press enter to see a dump of your service definitions

# Global parameters
[global]
	...

[example_share]
	...

Значит, конфигурационный файл содержит ошибки. В данном примере сообщается о несуществующем параметре и неправильной конфигурации сопоставления идентификаторов.

Если testparm выдает неверные параметры, значения или другие ошибки в конфигурации, устраните проблему и снова запустите утилиту.

Если ошибок нет, вы получите такое сообщение:

# testparm
Load smb config files from /etc/samba/smb.conf
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER

Press enter to see a dump of your service definitions

Страницы: [1] 2  Все   Вниз

0 Пользователей и 1 Гость просматривают эту тему.

Страницы: [1] 2  Все   Вверх

Блок сообщений сервера (SMB)

Протокол Server Message Block (SMB) реализует сетевой протокол прикладного уровня для доступа к ресурсам на сервере (таким как общий доступ к файлам и общие принтеры). В Microsoft Windows SMB реализован по умолчанию. Если вы используете Red Hat Enterprise Linux, используйте Samba для предоставления общих ресурсов SMB и используйтеcifs-utilsУтилита монтирует общий ресурс SMB с удаленного сервера.

Пометки

В контексте SMB вы иногда читаете протокол Common Internet File System (CIFS), который является диалектом SMB. Поддерживаются протоколы SMB и CIFS, а модули и утилиты ядра, участвующие в совместном использовании имен монтирования SMB и CIFS, используют именаcifs。

1. Использование SAMBA

1. Обеспечить совместное использование SMB

Видеть«Руководство системного администратора Red Hat»В разделе Самба.

2. Смонтируйте общий ресурс SMB

В Red Hat Enterprise Linux ядроcifs.koМодуль файловой системы обеспечивает поддержку протокола SMB. Однако, чтобы смонтировать и использовать общий ресурс SMB, он также должен быть установленcifs-utilsПакет программного обеспечения:

# yum install cifs-utils

Пакет утилит cifs предоставляет утилиты для:

• Монтировать SMB и CIFS акции

• Управление учетными данными NT Lan Manager (NTLM) в кольце ключей ядра

• Установите и отобразите список контроля доступа (ACL) в дескрипторе безопасности, совместно используемом SMB и CIFS

2.1 Поддерживаемая версия протокола SMB

cifs.koМодуль ядра поддерживает следующие версии протокола SMB:

• SMB 1
• SMB 2.0
• SMB 2.1
• SMB 3.0

Пометки

Согласно версии протокола, не все функции SMB реализованы.

2.1.1 Расширенная поддержка UNIX

Samba использует функциональный бит CAP_UNIX в протоколе SMB для обеспечения функций расширения UNIX. Эти расширения также поддерживаются модулем ядра cifs. Однако модули Samba и ядра поддерживают только расширения UNIX в протоколе SMB 1.

Чтобы использовать расширения UNIX:

• В ** / etc / samba / smb.confВ файле[global]Часть будетserver min protocolВарианты установлены вNT1 **. Это настройка по умолчанию для сервера Samba.

• Если не установленоvers = protocol_version Опция монтирования, затем используйте протокол SMB 1 для монтирования общего ресурса по умолчанию.

Чтобы убедиться, что расширение UNIX включено, покажите опцию монтирования общего ресурса:

# mount
...
//server/share on /mnt type cifs (...,unix,...)

в случаеUNIXЗапись отображается в списке параметров загрузки, затем включаются расширения UNIX.

2.1.2 Монтирование общего ресурса SMB вручную

Чтобы вручную смонтировать общий ресурс SMB, используйте утилиту монтирования с параметром -t cifs:

# mount -t cifs -o username=user_name //server_name/share_name /mnt/
Password for [email protected]//server_name/share_name:

в-o вариантыВ параметре вы можете указать параметры, которые будут использоваться для подключения общего ресурса. Для получения дополнительной информации см. Раздел 2.2.6 «Общие параметры монтирования» и раздел «ОПЦИИ» на справочной странице mount.cifs (8).

Пример 1 Использование зашифрованного общего ресурса подключения SMB 3.0

Для того, чтобы использоватьDOMAINAdministratorИдентификационные данные пользователя и зашифрованное соединение SMB 3.0 будут ** \ server example Поделиться сВ каталоге / mnt / **:

# mount -t cifs -o username=DOMAINAdministrator,seal,vers=3.0 //server/example /mnt/
Password for [email protected]//server_name/share_name: ********

2.2.3 SMB-ресурс автоматически монтируется при загрузке системы

Чтобы автоматически смонтировать общий ресурс SMB при загрузке системы, добавьте запись общего ресурса в файл ** / etc / fstab **. Например:

//server_name/share_name /mnt cifs credentials=/root/smb.cred 0 0

нота

Чтобы система смонтировала общий ресурс автоматически, вы должны сохранить имя пользователя, пароль и имя домена в файле сертификата. Подробнее см. В разделе 2.2.4 «Использование учетных файлов для аутентификации общих ресурсов SMB».

В четвертом поле файла / etc / fstab укажите параметры монтирования, например, путь к файлу учетных данных. Для получения дополнительной информации см. Раздел 2.2.6 «Общие параметры монтирования» и раздел «ОПЦИИ» на справочной странице mount.cifs (8).

Чтобы убедиться, что общий ресурс успешно смонтирован, введите:

# mount /mnt/

2.2.4 Использование файла учетных данных для аутентификации общего ресурса SMB

В некоторых случаях администратор хочет смонтировать общий ресурс без ввода имени пользователя и пароля. Для этого создайте файл учетных данных. Например:

Процедура 1 Создайте файл учетных данных

1. Создайте файл, например ~ / smb.cred, и укажите имя пользователя, пароль и доменное имя файла:

   username=user_name
   password=password
   domain=domain_name
   

2. Установите разрешения, чтобы разрешить владельцу доступ к файлу:

   # chown user_name ~/smb.cred
   # chmod 600 ~/smb.cred
   

Теперь вы можете передать параметр монтирования credentials = file_name утилите монтирования или использовать ее в файле / etc / fstab для монтирования общего ресурса, не запрашивая у вас имя пользователя и пароль.

2.2.5 Выполнение многопользовательского монтирования SMB

Учетные данные, которые вы предоставляете для монтирования общего ресурса, по умолчанию определяют права доступа к точке монтирования. Например, если вы используетеDOMAINexampleПользователь, все операции с общим ресурсом будут выполняться как этот пользователь, независимо от того, какой пользователь выполняет локальную операцию.

Однако в некоторых случаях администраторы хотят автоматически подключать общий ресурс при загрузке системы, но пользователи должны использовать свои собственные учетные данные для выполнения действий с общим содержимым.multiuserОпция монтирования позволяет вам настроить этот сценарий.

нота

нужно использоватьmultiuser, Вы должны такжеsec = security_type Опция монтирования поддерживает тип безопасности, который предоставляет сертификаты неинтерактивным способом, напримерkrb5Или с документомntlmsspОпции. См. Раздел «Доступ к общим ресурсам как пользователь».

rootИспользование пользователяmultipuserПараметры и учетная запись с минимальным доступом к общему контенту для монтирования общего ресурса. Тогда обычные пользователи могут использоватьcifscredsУтилита предоставляет свое имя пользователя и пароль для набора ключей ядра текущего сеанса. Если пользователь получает доступ к содержимому смонтированного общего ресурса, ядро ​​будет использовать учетные данные из набора ключей ядра вместо учетных данных, которые первоначально использовались для подключения общего ресурса.

Используйте многопользовательскую опцию для монтирования общего ресурса

Используется во время загрузки системыmultiuserВозможность автоматического монтирования общего ресурса:

Процедура 2 Создайте запись в файле / etc / fstab с многопользовательской опцией

1. Создайте общую запись в файле ** / etc / fstab **. Например:

   //server_name/share_name /mnt cifs multiuser,sec=ntlmssp,credentials=/root/smb.cred 0 0
   

2. Смонтировать акцию:

   # mount /mnt/
   

Если вы не хотите автоматически монтировать общий ресурс при загрузке системы, введите ** — o multiuser, sec = security_typeПерейти кКоманда mount ** монтирует его вручную. Для получения дополнительной информации о монтировании общих ресурсов SMB вручную см. Раздел 2.2.2, «Монтирование общих ресурсов SMB вручную».

Убедитесь, что общий ресурс SMB смонтирован с использованием многопользовательской опции.

Чтобы проверить, использовать лиmultiuserВозможность монтировать общий ресурс:

# mount
...
//server_name/share_name on /mnt type cifs (sec=ntlmssp,multiuser,...)

Доступ поделиться как пользователь

При использованииmultiuserС возможностью монтирования общего ресурса SMB пользователи могут предоставить учетные данные своего сервера для набора ключей ядра:

# cifscreds add -u SMB_user_name server_name
Password: ********

Теперь, когда пользователь выполняет операцию в каталоге, который содержит смонтированный общий ресурс SMB, сервер будет применять к пользователю разрешения файловой системы вместо тех разрешений, которые первоначально использовались при монтировании общего ресурса.

Пометки

Несколько пользователей могут использовать свои собственные учетные данные для одновременного выполнения операций с подключенным общим ресурсом.

2.2.5 Общие варианты монтажа

При подключении общего ресурса SMB параметры монтирования определяют:

• Как установить соединение с сервером. Например, какую версию протокола SMB использовать при подключении к серверу.
• Как смонтировать значение общего файла в локальную файловую систему. Например, если система переопределяет права доступа к удаленным файлам и каталогам, чтобы разрешить нескольким локальным пользователям доступ к содержимому на сервере.

В ** / etc / fstabЧетвертое поле файла илиmountЗаказал-oУстановите несколько параметров в параметре, используйте запятые для их разделения. Например, см. Процедуру 2.2 «ИспользованиеПараметр multiuser ** создает записи в файле / etc / fstab «.

Следующий список дает обзор часто используемых вариантов монтажа:

Таблица 1 Общие варианты монтажа

Полный список см. В разделе «ОПЦИИ» справочной страницы mount.cifs (8).

Во-вторых, конфигурация SAMBA

Samba реализует протокол блока сообщений сервера (SMB) в Red Hat Enterprise Linux. Протокол SMB используется для доступа к ресурсам на сервере, таким как общий доступ к файлам и общие принтеры. Кроме того, Samba также реализует протокол удаленного вызова процедур (DCE RPC) распределенной вычислительной среды, используемой Microsoft Windows.

Вы можете запустить Samba как:

• Active Directory (AD) или члены домена NT4
• Автономный сервер
• Основной контроллер домена NT4 (PDC) или резервный контроллер домена (BDC)

Пометки

Red Hat поддерживает эти режимы только в существующих установках версий Windows, которые поддерживают домены NT4. Red Hat не рекомендует создавать новый домен Samba NT4, поскольку операционные системы Microsoft после Windows 7 и Windows Server 2008 R2 не поддерживают домены NT4.

Независимо от режима установки вы можете выбрать общий доступ к каталогам и принтерам. Это позволяет Samba действовать как файл и сервер печати.

Пометки

Red Hat не поддерживает запуск Samba в качестве контроллера домена AD (DC).

1. Самба Сервис

Samba предоставляет следующие услуги:

smbd

Эта служба использует протокол SMB для предоставления услуг обмена файлами и печати. Кроме того, сервис отвечает за блокировку ресурсов и аутентификацию подключенных пользователей.smb systemdСервис запускается и останавливаетсяsmbdDaemon.

нужно использоватьsmbdУслуги, пожалуйста, установите пакет samba.

nmbd

Эта служба использует протокол NetBIOS через IP для предоставления имени хоста и разрешения IP. В дополнение к разрешению имен,nmbdСлужба также может просматривать сеть SMB для поиска доменов, рабочих групп, хостов, общих файловых ресурсов и принтеров. Для этого служба либо сообщает эту информацию непосредственно широковещательному клиенту, либо перенаправляет ее в локальный или главный браузер.nmb systemdСервис запускается и останавливаетсяnmbdDaemon.

Обратите внимание, что современные сети SMB используют DNS для разрешения клиентских и IP-адресов.

нужно использоватьnmbdУслуги, пожалуйста, установите пакет samba.

winbindd

winbinddСлужба предоставляет интерфейс для обмена службами имен (NSS) для использования пользователей и групп домена AD или NT4 в локальной системе. Например, это позволяет пользователям домена проходить проверку подлинности для служб, размещенных на сервере Samba, или других локальных служб.winbind systemdСервис запускается и останавливаетсяwinbinddDaemon.

нужно использоватьwinbinddСервис, пожалуйста, установите пакет samba-winbind.

2. Используйте утилиту testparm для проверки файла smb

testparmПроверка полезности /etc/samba/smb.confКорректна ли конфигурация Samba в файле? Утилита обнаружит недопустимые параметры и значения, но также обнаружит неправильные настройки, такие как сопоставление идентификаторов. в случаеtestparmО проблемах не сообщается, служба Samba успешно загрузит файл ** / etc / samba / smb.conf **. предостерегают,testparmНевозможно проверить, что настроенная служба доступна или работает должным образом.

нота

Red Hat рекомендует использовать его каждый раз, когда вы изменяете этот файлtestparmПроверьте файл ** / etc / samba / smb.conf **.

Для проверки ** / etc / samba / smb.confФайл, пожалуйста, запустите от имени пользователя roottestparmУтилита. в случаеtestparm ** сообщает о неверных параметрах, значениях или других ошибках в конфигурации, пожалуйста, устраните проблему и снова запустите утилиту.

Пример 1 с использованием тестпарма

Следующий вывод сообщает о несуществующих параметрах и неправильной конфигурации сопоставления идентификаторов:

~]# testparm
Load smb config files from /etc/samba/smb.conf
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
Unknown parameter encountered: "log levell"
Processing section "[example_share]"
Loaded services file OK.
ERROR: The idmap range for the domain * (tdb) overlaps with the range of DOMAIN (ad)!
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions
# Global parameters
[global]
...
[example_share]
...

3. Понять модель безопасности Samba

/etc/samba/smb.confФайл ** [глобальный]ЧастьПараметр security ** управляет тем, как Samba аутентифицирует пользователей, подключенных к сервису. В зависимости от режима, в котором вы устанавливаете Samba, параметры должны быть установлены на разные значения:

• В качестве члена домена AD, установитеsecurity = ads。

  В этом режиме Samba использует Kerberos для аутентификации пользователей AD.

  Подробнее о настройке Samba в качестве члена домена см. Раздел 5 «Настройка Samba в качестве члена домена».

• В качестве автономного сервера установитеsecurity = user。

В этом режиме Samba использует локальную базу данных для аутентификации подключенных пользователей.

Подробнее о настройке Samba в качестве автономного сервера см. Раздел 4 «Настройка Samba в качестве автономного сервера».

• Как NT4 PDC или BDC, установитеsecurity = user。

  В этом режиме Samba аутентифицирует пользователя в локальной базе данных или базе данных LDAP.

• В качестве члена домена NT4 установитеsecurity = domain。

  В этом режиме Samba аутентифицирует подключающегося пользователя к NT4 PDC или BDC. Вы не можете использовать этот режим на членах домена AD.

  Подробнее о настройке Samba в качестве члена домена см. Раздел 5 «Настройка Samba в качестве члена домена».

Для получения более подробной информации, пожалуйста, обратитесь к справочной странице smb.conf (5)securityОписание параметров.

4. Установите Samba в качестве автономного сервера.

В некоторых случаях администраторы хотят настроить серверы Samba, которые не являются членами домена. В этом режиме установки Samba аутентифицирует пользователя в локальной базе данных, а не в центральном контроллере домена. Кроме того, вы можете включить гостевой доступ, чтобы пользователи могли подключаться к одной или нескольким службам без аутентификации.

4.1 Настройка конфигурации сервера для автономных серверов

Шаги по настройке Samba в качестве автономного сервера:

Процедура 1 Настройте Samba в качестве автономного сервера

1. Установите пакет samba:

   ~]# yum install samba
   

2. редактировать/etc/samba/smb.confФайл и установите следующие параметры:

[global]
workgroup = Example-WG
netbios name = Server
security = user
log file = /var/log/samba/%m.log
log level = 1

КонфигурацияExample-WGРабочая группа им.ServerАвтономный сервер. Кроме того, эта конфигурация может быть на самом низком уровне (1) В журнале и файл журнала будет храниться в ** / var / log / samba /Справочник. Самба будетМакрос файла *% в параметре * log file *** расширяется до имени NetBIOS подключенного клиента. Это позволяет отдельный файл журнала для каждого клиента.

Для получения более подробной информации, пожалуйста, обратитесь к описаниям параметров на справочной странице smb.conf (5).

Файл конфигурации или общий доступ к принтеру. Посмотри пожалуйста:

• Раздел 7 «Настройка общего доступа к файлам на сервере Samba»
• Раздел 8 «Настройка сервера печати Samba»

Проверьте файл ** / etc / samba / smb.conf **:

~]# testparm

Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

Если вы настроили общий ресурс, который требует аутентификации, создайте учетную запись пользователя. Для получения подробной информации, пожалуйста, обратитесь к

Раздел 4.2, «Создание и включение учетных записей локальных пользователей».

Откройте необходимые порты и используйте утилиту firewall-cmd для перезагрузки конфигурации брандмауэра:

~]# firewall-cmd --permanent --add-port={139/tcp,445/tcp}
~]# firewall-cmd --reload

запускатьsmbслужба:

~]# systemctl start smb

(Необязательно) включается при запуске системыsmbСервис запускается автоматически:

~]# systemctl enable smb

4.2 Создание и включение локальных учетных записей пользователей

Чтобы пользователи могли проходить аутентификацию при подключении к общему ресурсу, необходимо создать учетную запись на хосте Samba в операционной системе и базе данных Samba. Samba требуется учетная запись операционной системы для проверки списка контроля доступа (ACL) для объекта файловой системы и учетная запись Samba для проверки подключенного пользователя.

Если вы используетеpassdb backend = tdbsamПо умолчанию Samba хранит учетные записи пользователей в базе данных ** / var / lib / samba / private / passdb.tdb **.

Например, создать пользователя Sambaexample:

Процедура 2 Создайте пользователя Samba

1. Создайте учетную запись операционной системы:

   ~]# useradd -M -s /sbin/nologin example
   

   Последняя команда добавленаexampleАккаунт без создания домашнего каталога. Если учетная запись используется только для аутентификации в Samba, пожалуйста, назначьте команду / sbin / nologin в качестве оболочки, чтобы предотвратить вход в учетную запись локально.

2. Установите пароль для учетной записи операционной системы, чтобы включить его:

   ~]# passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully
   

   Samba не использует пароль, установленный в учетной записи операционной системы, для аутентификации. Однако вам нужно установить пароль для включения учетной записи. Если учетная запись отключена, Samba запретит доступ, если пользователь подключится.

3. Добавьте пользователя в базу данных Samba и установите пароль для учетной записи:

   ~]# smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.
   

   Используйте этот пароль для аутентификации при использовании этой учетной записи для подключения к общему ресурсу Samba.

4. Включить учетную запись Samba:

   ~]# smbpasswd -e example
   Enabled user example.
   

5. Установите Samba в качестве члена домена

Администраторы, использующие домены AD или NT4, обычно хотят использовать Samba для присоединения своего сервера Red Hat Enterprise Linux в качестве члена к домену. Это позволяет вам:

• Доступ к ресурсам домена других членов домена
• Для местных служб (таких какsshd) Проверьте личность пользователей домена
• Совместное использование каталогов и принтеров, размещенных на сервере, для работы в качестве файловых серверов и серверов печати.

5.1 Присоединение к домену

Чтобы присоединить систему Red Hat Enterprise Linux к домену:

Процедура 3 Присоедините систему Red Hat Enterprise Linux к домену

1. Установите следующие пакеты:

   ~]# yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients samba-winbind samba-common-tools
   

2. Если вы присоединяетесь к AD, пожалуйста, дополнительно установите пакет samba-winbind-krb5-locator:

~]# yum install samba-winbind-krb5-locator

Этот плагин позволяет Kerberos определять местонахождение Центра распространения ключей (KDC) на основе сайта AD с использованием записей службы DNS.

1. (Необязательно) Переименуйте существующий ** / etc / samba / smb.conf ** файл конфигурации Samba:

~]# mv /etc/samba/smb.conf /etc/samba/smb.conf.old

1. Присоединяйтесь к домену. Например, добавление доменного имениad.example.comДомен:

   ~]# realm join --client-software=winbind ad.example.com
   

   Используйте предыдущую команду,realmУтилита автоматически:

   • заad.example.comЧлены домена создают файл ** / etc / samba / smb.conf **
   • Будет использоваться для поиска пользователей и группwinbindДобавить модуль в файл ** / etc / nsswitch.conf **
   • Настройте клиент Kerberos в файле ** / etc / krb5.conf **, чтобы получить членство в AD
   • Обновите файл конфигурации подключаемого модуля аутентификации (PAM) в каталоге /**etc/pam.d/**.
   • Запустите сервис winbind и запустите сервис при загрузке системы

связанные сrealmДля получения более подробной информации об утилите, пожалуйста, обратитесь к справочной странице field (8) и «Red Hat Windows Руководство по интеграции».

1. (Необязательно) Задайте параметры резервного копирования и сопоставления идентификаторов в файле ** / etc / samba / smb.conf **. Для получения дополнительной информации см. Раздел 5.3 «Общие сведения о сопоставлении идентификаторов».

2. (Необязательно) Проверьте конфигурацию. См. Раздел 5.2, «Убедитесь, что Samba правильно добавлен в качестве члена домена».

5.2 Убедитесь, что Samba правильно добавлен в качестве члена домена

После добавления Red Hat Enterprise Linux в качестве члена домена в среду вы можете запустить различные тесты, чтобы убедиться, что соединение установлено успешно. Смотрите также:

• Раздел «Убедитесь, что операционная система может получать учетные записи и группы пользователей домена»
• Раздел «Убедитесь, что пользователи домена AD могут получить учетные данные Kerberos»
• Раздел «Список доступных доменов»

Убедитесь, что операционная система может получать учетные записи и группы пользователей домена.

использованиеgetentУтилита проверяет, может ли операционная система извлечь пользователей и группы домена. Например:

• Чтобы узнатьADВ доменеadministratorСчет:

  ~]# getent passwd “AD\administrator”
  ADadministrator:*:10000:10000::/home/[email protected]:/bin/bash
  

• Чтобы узнатьADВ доменеDomain UsersУчастники группы:

  ~]# getent group "AD\Domain Users"
  ADdomain users:x:10000:user
  

  Если команда работает правильно, убедитесь, что пользователи и группы домена могут использоваться при настройке разрешений для файлов и каталогов. Например, чтобы конвертировать ** / srv / samba / example.txtВладелец файла установлен вадминистратор ** и установите владельца группы наDomain Admins：

~]# chown administrator:"Domain Admins" /srv/samba/example.txt

Убедитесь, что пользователи домена AD могут получить учетные данные Kerberos

В среде AD пользователи могут получать учетные данные Kerberos из DC. Например, чтобы проверитьadministratorМогут ли пользователи получить учетные данные Kerberos:

Пометки

нужно использоватьkinitсklistУтилита, пожалуйста, установите на членов домена Sambakrb5-workstationПакет программного обеспечения.

Процедура 4 Получение учетных данных Kerberos

1. получать[email protected]Учетные данные субъекта:

   ~]# kinit [email protected]
   

2. Показать кэшированные учетные данные Kerberos:

   ~]# klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: [email protected]
   Valid starting Expires Service principal
   11.09.2017 14:46:21 12.09.2017 00:46:21
   krbtgt/[email protected]
   renew until 18.09.2017 14:46:19
   

Список доступных доменов

Перечислить черезwinbinddДля всех доменов, где доступна услуга, введите:

~]# wbinfo --all-domains
BUILTIN
SAMBA-SERVER
AD

5.3 Понимание сопоставления идентификаторов

Домены Windows различают пользователей и группы по уникальным идентификаторам безопасности (SID). Однако Linux требует, чтобы каждый пользователь и группа имели уникальный UID и GID. Если вы запускаете Samba в качестве члена домена, тогдаwinbinddСлужба будет нести ответственность за предоставление информации о пользователях и группах домена для операционной системы домена.

ДелатьwinbinddСлужба предоставляет пользователям и группам уникальные идентификаторы для Linux. Необходимо настроить сопоставление идентификаторов для следующих элементов в файле ** / etc / samba / smb.conf **:

• Локальная база данных (домен по умолчанию)
• Домен AD или NT4, к которому принадлежит сервер Samba
• Каждый пользователь в доверенном домене должен иметь доступ к ресурсам на этом сервере Samba.

5.3.1 Планирование диапазона идентификаторов

Сохраняете ли вы UID и GID Linux в AD или настраиваете Samba для их генерации, для каждой конфигурации домена требуется уникальный диапазон идентификаторов, которыйМожет нетЛюбые другие поля перекрываются.

предостережение

Если установлены перекрывающиеся диапазоны идентификаторов, Samba не будет работать должным образом.

Пример 3 Диапазон уникальных идентификаторов

Ниже показано значение по умолчанию (*),AD-DOMсTRUST-DOMОбласть отображения перекрывающихся идентификаторов домена.

[global]
...
idmap config * : backend = tdb
idmap config * : range = 10000-999999
idmap config AD-DOM:backend = rid
idmap config AD-DOM:range = 2000000-2999999
idmap config TRUST-DOM:backend = rid
idmap config TRUST-DOM:range = 4000000-4999999

нота

Для каждого домена может быть назначен только один диапазон. Поэтому оставьте достаточно места между доменами. Это позволяет расширить область действия по мере роста домена.

Если впоследствии вы назначите домену разные домены, владение файлами и каталогами, ранее созданными этими пользователями и группами, будет утрачено.

5.3.2 * домен по умолчанию

В среде домена добавьте конфигурацию сопоставления идентификаторов для каждого из следующего:

• Домен, к которому относится сервер Samba
• Должен иметь доступ к каждому доверенному домену сервера Samba

Однако для всех остальных объектов Samba назначит идентификатор из домена по умолчанию. Это включает в себя:

• Локальные пользователи и группы Samba
• Например, встроенные учетные записи и группы SambaBUILTINAdministrators

​ нота

Домен по умолчанию должен быть настроен в соответствии с инструкциями в этом разделе, чтобы Samba могла нормально работать.

Бэкэнд домена по умолчанию должен быть доступен для записи, чтобы навсегда сохранить назначенный идентификатор.

Для домена по умолчанию вы можете использовать один из следующих бэкэндов:

tdb

При настройке домена по умолчанию для использованияtdbВ качестве бэк-энда, пожалуйста, установите достаточно большой диапазон идентификаторов, чтобы содержать объекты, созданные в будущем, а не часть определенной конфигурации сопоставления идентификаторов домена.

Например, в ** / etc / samba / smb.confДокументальныйВ разделе [global] ** установите следующее:

idmap config * : backend = tdb
idmap config * : range = 10000-999999

Для более подробной информации, пожалуйста, обратитесь к Разделу 5.4.1 «Использованиеtdb Идентификационный бэкэнд «.

autorid

При настройке домена по умолчанию для использованияautoridС другой стороны, добавление других конфигураций сопоставления идентификаторов в домен необязательно.

Например, в ** / etc / samba / smb.confДокументальныйВ разделе [global] ** установите следующее:

idmap config * : backend = autorid
idmap config * : range = 10000-999999

Для получения более подробной информации см. Раздел 5.4.4.2 «Конфигурацияautoridзадняя часть».

5.4 Различные бэкэнды для отображения идентификаторов

Samba предоставляет различные бэкэнды для отображения идентификаторов для определенных конфигураций. Наиболее часто используемые бэкэнды:

Таблица 1 Общий идентификатор сопоставления серверной части

В следующих разделах описываются преимущества использования серверной части, рекомендуемое решение и способы его настройки.

5.4.1 Отображение бэкэнда с использованием идентификатора tdb

по умолчанию, winbindd Использование службы доступно для записиtdb Во внутреннем интерфейсе сопоставления идентификаторов хранятся таблицы сопоставления идентификатора безопасности (SID), UID и GID. Это включает в себя локальных пользователей, группы и встроенные принципалы.

Используйте этот бэкэнд только для * доменов по умолчанию. Например:

idmap config * : backend = tdb
idmap config * : range = 10000-999999

Подробнее о * домене по умолчанию см. В разделе 5.3.2 «* Домен по умолчанию».

5.4.2 Использование идентификатора объявления для сопоставления бэкэнда

ad Бэкэнд отображения идентификаторов реализует API только для чтения для чтения информации об учетной записи и группе из рекламы. Это обеспечивает следующие преимущества:

• Все настройки пользователей и групп хранятся централизованно в AD.
• На всех серверах Samba, использующих этот бэкэнд, идентификаторы пользователя и группы совпадают
• Эти идентификаторы не хранятся в локальной базе данных, которая может быть повреждена, поэтому право собственности на файл не теряется.

ad Бэкэнд читает следующие атрибуты из объявления:

Свойства таблицы 2, считанные из пользовательских и групповых объектов по бэкэнду рекламы

[a] Если вы установитеidmap config DOMAIN：unix_nss_info = yesЗатем Самба читает этот атрибут.

[б] Если вы установитеidmap config DOMAIN:unix_primary_group = yesЗатем Самба читает этот атрибут.

5.4.2.1 Предварительные условия для рекламного бэкенда

нужно использоватьad Бэкэнд для отображения идентификаторов:

• И пользователи, и группы должны устанавливать уникальный идентификатор в AD, и этот идентификатор должен находиться в пределах диапазона, настроенного в файле ** / etc / samba / smb.conf **. Объекты на сервере Samba, чей ID не находится в этом диапазоне, будут недоступны.
• Пользователи и группы должны иметь все обязательные атрибуты, установленные в AD. Если необходимые атрибуты отсутствуют, пользователь или группа будут недоступны на сервере Samba. Обязательные атрибуты зависят от вашей конфигурации. См. Таблицу 2 «Атрибуты, считанные из пользовательских и групповых объектов бэкэндом рекламы».

5.4.2.2 Настройка рекламного бэкенда

Чтобы настроить членов Samba AD на использованиеad Бэкэнд для отображения идентификаторов:

Процедура 5 Настройка рекламного бэкенда для членов домена

1. Редактирование ** / и т.д. / Samba / smb.confВ файле[Глобальный] ** Часть:

   А. Если домен по умолчанию (*) не существует, добавьте конфигурацию сопоставления идентификаторов. Например:

   idmap config * : backend = tdb
   idmap config * : range = 10000-999999
   

   Подробнее о конфигурации домена по умолчанию см. В разделе 5.3.2 «* Домен по умолчанию».

   б) включить для домена ADad Бэкэнд для отображения идентификаторов:

   idmap config DOMAIN : backend = ad
   

   c) Установите диапазон идентификаторов, назначаемых пользователям и группам в домене AD. Например:

   idmap config DOMAIN : range = 2000000-2999999
   

      **Запись**
   
        Этот диапазон не должен перекрываться с любой другой конфигурацией домена на этом сервере. Кроме того, диапазон должен быть достаточно большим, чтобы содержать все идентификаторы, назначенные в будущем. Для получения дополнительной информации см. Раздел 5.3.1 «Диапазон идентификаторов планирования».
   

   г. Установите Samba для использования при чтении атрибутов в ADRFC 2307 Программа:

   idmap config DOMAIN : schema_mode = rfc2307
   

   д. Чтобы Samba могла читать оболочку входа и путь к домашнему каталогу пользователя из соответствующих атрибутов AD, установите:

   idmap config DOMAIN : unix_nss_info = yes
   

   Кроме того, вы можете установить единый для всего домена путь к домашнему каталогу и оболочку входа в систему, которые будут применяться ко всем пользователям. Например:

   template shell = /bin/bash
   template homedir = /home/%U
   

   Для получения дополнительной информации о подстановке переменных см. Раздел VARIABLE SUBSTITUTIONS на справочной странице smb.conf (5).

   е. по умолчанию Samba использует объект пользователяprimaryGroupIDАтрибут служит основной группой в Linux пользователя. Кроме того, вы можете настроить Samba для использованияgidNumberЗначение, установленное в свойстве:

   idmap config DOMAIN : unix_primary_group = yes
   

   1. Проверьте файл ** / etc / samba / smb.conf **:

      ~]# testparm
      

      Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

   2. Перезагрузите конфигурацию Samba:

      ~]# smbcontrol all reload-config
      

   3. Убедитесь, что настройки работают должным образом. См. Раздел «Убедитесь, что операционная система может получать учетные записи и группы пользователей домена».

   Для получения дополнительной информации см. Справочные страницы smb.conf (5) и idmap_ad (8).

5.4.3 Использование Rid ID для сопоставления бэкэнда

Samba может использовать относительный идентификатор (RID) SID Windows для создания идентификатора в Red Hat Enterprise Linux.

Пометки

RID является последней частью SID. Например, если SID пользователяS-1-5-21- 5421822485-1151247151-421485315-30014, Затем30014Является ли соответствующий МПОГ. Подробнее о том, как Samba рассчитывает локальный идентификатор, см. Справочную страницу idmap_rid (8).

rid Бэкэнд сопоставления идентификаторов реализует API только для чтения для вычисления информации об учетной записи и группе на основе схемы сопоставления алгоритмов доменов AD и NT4. При настройке бэкэнда вы должныidmap config DOMAIN:rangeУстановите минимальный и максимальный RID в параметре. Samba не будет отображать пользователей или группы с более низким или более высоким RID, чем установлено в этом параметре.

нота

В качестве только для чтения,ridВы не можете назначить новый идентификатор, например, группу BUILTIN. Поэтому не используйте этот бэкэнд для * домена по умолчанию.

5.4.3.1 Преимущества и недостатки использования RED Backend

преимущество

• Все пользователи домена и группы с RID в пределах диапазона конфигурации могут автоматически использоваться членами домена.
• Вам не нужно вручную присваивать ID, домашний каталог и оболочку входа.

Недостатки

• Всем пользователям домена назначается одинаковая оболочка входа и домашний каталог. Тем не менее, вы можете использовать переменные.
• Если все члены домена Samba используют один и тот же параметр диапазона идентификаторовridС другой стороны, идентификаторы пользователя и группы одинаковы среди членов домена Samba.
• Вы не можете исключить отдельных пользователей или группы из доступных на членах домена. Только пользователи и группы за пределами диапазона конфигурации исключаются.
• Согласно формуле, используемой службой winbindd для вычисления идентификаторов, если объекты в разных доменах имеют одинаковый RID, в многодоменной среде могут появиться повторяющиеся идентификаторы.

5.4.3.2 Настройка RED Backend

Настроить членов домена Samba для использованияrid Бэкэнд для отображения идентификаторов:

Процедура 6 Сконфигурируйте rid backend для членов домена

1. Редактирование ** / и т.д. / Samba / smb.confВ файле[Глобальный] ** Часть:

   А. Если домен по умолчанию (*) не существует, добавьте конфигурацию сопоставления идентификаторов. Например:

   idmap config * : backend = tdb
   idmap config * : range = 10000-999999
   

   Подробнее о конфигурации домена по умолчанию см. В разделе 5.3.2 «* Домен по умолчанию».

   б. включить для доменаrid Бэкэнд для отображения идентификаторов:

   idmap config DOMAIN : backend = rid
   

   c) Установите достаточно большой диапазон, чтобы включить все RID, назначенные в будущем. Например:

   idmap config DOMAIN : range = 2000000-2999999
   

   Samba игнорирует пользователей и группы в этом домене, RID которых не находится в пределах досягаемости.

   нота

   Этот диапазон не должен перекрываться с любой другой конфигурацией домена на этом сервере. Для получения дополнительной информации см. Раздел 5.3.1 «Диапазон идентификаторов планирования».

   г. Установите пути оболочки и домашнего каталога, которые будут назначены всем сопоставленным пользователям. Например:

   template shell = /bin/bash
   template homedir = /home/%U
   

   Для получения дополнительной информации о подстановке переменных см. Раздел VARIABLE SUBSTITUTIONS на справочной странице smb.conf (5).

   1. Проверьте файл ** / etc / samba / smb.conf **:

      ~]# testparm
      

      Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

   2. Перезагрузите конфигурацию Samba:

      ~]# smbcontrol all reload-config
      

   3. Убедитесь, что настройки работают должным образом. См. Раздел «Убедитесь, что операционная система может получать учетные записи и группы пользователей домена».

5.4.4 Использование идентификатора авторизации для сопоставления серверной части [2]

autoridРоль серверной части похожа наrid Сервер сопоставления идентификаторов, но может автоматически назначать идентификаторы для разных доменов. Это позволяет использовать в следующих ситуацияхautoridзадняя часть:

• Используется только для * домена по умолчанию.
• Для домена * по умолчанию и других доменов нет необходимости создавать конфигурацию сопоставления идентификаторов для каждого дополнительного домена.
• Только для конкретных доменов.

5.4.4.1 Преимущества и недостатки использования autorid backend

преимущество

• Все пользователи и группы домена, чьи рассчитанные UID и GID находятся в пределах диапазона конфигурации, будут автоматически использоваться членами домена.
• Вам не нужно вручную присваивать ID, домашний каталог и оболочку входа.
• Даже если несколько объектов в многодоменной среде имеют одинаковый RID, повторных идентификаторов не будет.

Недостатки

• Между членами домена Samba идентификаторы пользователей и групп отличаются.
• Все пользователи домена получают одинаковую оболочку входа и назначенный домашний каталог. Тем не менее, вы можете использовать переменные.
• Вы не можете исключить отдельных пользователей или группы из доступных на членах домена. Исключаются только пользователи и группы, чей рассчитанный UID или GID превышает диапазон конфигурации.

5.4.4.2 Настройка бэкэнда autorid

Чтобы настроить членов домена Samba для использования домена по умолчаниюautorid Бэкэнд для отображения идентификаторов:

Пометки

Если вы используете autorid для домена по умолчанию, добавление других конфигураций сопоставления идентификаторов для домена не является обязательным.

Процедура 7 Сконфигурируйте autorid backend для членов домена

1. редактировать/etc/samba/smb.conf** [глобальная] ** часть файла:

   А. Включите бэкэнд сопоставления идентификаторов авторизации для * домена по умолчанию:

   idmap config * : backend = autorid
   

   Б. Установите достаточно большой диапазон, чтобы назначить идентификаторы всем существующим и будущим объектам. Например:

   idmap config * : range = 10000-999999
   

   Samba игнорирует пользователей и группы, чей расчетный идентификатор в этом домене находится вне этого диапазона. Дополнительную информацию о расчете внутреннего идентификатора см. В разделе формулы отображения на справочной странице idmap_autorid (8).

   предостережение

   После установки диапазона Samba начала использовать его и могла только увеличивать верхний предел диапазона. Любые другие изменения в этом диапазоне могут привести к новым назначениям идентификаторов, что приведет к потере права собственности на файл.

   c. (Необязательно) Установите размер диапазона. Например:

   idmap config * : rangesize = 200000
   

   Samba присваивает это количество последовательных идентификаторов объектам в каждом домене доidmap config *：rangeВсе идентификаторы в диапазоне, установленном в параметре, принимаются. Для получения более подробной информации смотрите r на странице руководства idmap_autorid (8)angesizeОписание параметров.

   г. Установите путь оболочки и домашнего каталога, который будет назначен всем сопоставленным пользователям. Например:

   template shell = /bin/bash
   template homedir = /home/%U
   

   Для получения дополнительной информации о подстановке переменных см. Раздел VARIABLE SUBSTITUTIONS на справочной странице smb.conf (5).

   e. (Необязательно) Добавьте другие конфигурации сопоставления идентификаторов для домена. Если нет единой конфигурации домена, Samba будет использовать ранее настроенный * домен по умолчаниюautoridБэкэнд установлен для расчета идентификатора.

нота

Если вы настраиваете другие серверные части для каждого домена, область действия всех конфигураций сопоставления идентификаторов не должна перекрываться. Для получения дополнительной информации см. Раздел 5.3.1 «Диапазон идентификаторов планирования».

Проверьте файл ** / etc / samba / smb.conf **:

~]# testparm

Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

Перезагрузите конфигурацию Samba:

~]# smbcontrol all reload-config

Убедитесь, что настройки работают должным образом. См. Раздел «Убедитесь, что операционная система может получать учетные записи и группы пользователей домена».

6. Интегрировать файловый сервер Samba в домен IdM.

Если вы используете Red Hat Identity Management (IdM) и Samba в своей среде, вы можете настроить сервер Samba на использование Kerberos для аутентификации пользователей IdM при доступе к общему ресурсу.

Для получения дополнительной информации см. «Red Hat Windows Руководство по интеграции».

7. Настройте общий доступ к файлам на сервере Samba.

Чтобы использовать Samba в качестве файлового сервера, добавьте общий ресурс в файл /etc/samba/smb.conf, настроенный отдельным доменом или членом домена.

Вы можете использовать любой из следующих методов для добавления общих ресурсов:

• POSIX ACL. См. Раздел 7.1, «Настройка для совместного использования с помощью POSIX ACL».
• Мелкозернистый Windows ACL. Пожалуйста, обратитесь к Разделу 7.2, «Настройка для совместного использования с помощью Windows ACL».

7.1 Настройка общего доступа с использованием POSIX ACL [3]

Как служба Linux, Samba поддерживает совместное использование с использованием POSIX ACL. Они позволяют использовать такие утилиты, как chmod, для локального управления разрешениями на сервере Samba. Если общий ресурс хранится в файловой системе, которая поддерживает расширенные атрибуты, вы можете использовать несколько пользователей и групп для определения ACL.

Пометки

Если вам нужно использовать детализированный Windows ACL, обратитесь к Разделу 7.2, «Настройка общего доступа с Windows ACL»

Перед добавлением общего ресурса настройте Samba. Посмотри пожалуйста:

• Раздел 4 «Настройка Samba в качестве автономного сервера»
• Раздел 5 «Установить Samba в качестве члена домена»

7.1.1 Добавление общего доступа с использованием POSIX ACL

Чтобы создать файл с именемexampleShare, он предоставляет содержимое каталога ** / srv / samba / example / ** и использует POSIX ACL:

Процедура 8 Добавьте общий ресурс с помощью POSIX ACL

1. (Необязательно) Если папка не существует, создайте ее. Например:

   ~]# mkdir -p /srv/samba/example/
   

2. Если вы беретеenforcingРежим запуска SELinux, пожалуйста, установите в каталогеsamba_share_tКонтекст:

   ~]# semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   ~]# restorecon -Rv /srv/samba/example/
   

3. Установите ACL файловой системы на каталог. Для получения дополнительной информации см. Раздел 7.1.2 «Настройка ACL».

4. будуexampleОбщий ресурс добавляется в файл ** / etc / samba / smb.conf **. Например, чтобы добавить общий ресурс и включить разрешения на запись:

   [example]
   path = /srv/samba/example/
   read only = no
   

   Пометки

   Независимо от ACL файловой системы, если вы не установилиread only = no, Samba разделяет каталог в режиме только для чтения.

5. проверка /etc/samba/smb.confфайл:

   ~]# testparm
   

   Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

6. Откройте нужный порт и используйтеfirewall-cmdУтилита перезагрузит конфигурацию брандмауэра:

   ~]# firewall-cmd --permanent --add-service=samba
   ~]# firewall-cmd --reload
   

7. перезагрузкаsmbслужба:

   ~]# systemctl restart smb
   

8. (Необязательно) включитьsmbСервис запускается автоматически при запуске:

   ~]# systemctl enable smb
   

7.1.2 Настройка ACL

Совместное использование поддержки с использованием POSIX ACL:

• Стандартный Linux ACL. Для получения дополнительной информации см. Раздел 7.1.2.1 «Настройка стандартного ACL для Linux».
• Разверните ACL. Для получения дополнительной информации см. Раздел 7.1.2.2 «Настройка расширенного ACL».

7.1.2.1 Настройка стандартного Linux ACL

Стандартный ACL в Linux поддерживает настройку разрешений для владельца, группы и всех других неопределенных пользователей. ты можешь использовать этоchown，chgrpсchmodУтилита для обновления ACL. Если вам нужен точный контроль, используйте более сложный POSIX ACL, см. Раздел 7.1.2.2 «Настройка расширенного ACL».

Например, изменить ** / srv / samba / example /Владелец каталога настроен наrootПользователи, чтобыГруппа «Пользователи домена **» предоставляет разрешения на чтение и запись и запрещает доступ всем остальным пользователям:

~]# chown root:"Domain Users" /srv/samba/example/
~]# chmod 2770 /srv/samba/example/

Пометки

Включение бита set-group-ID (SGID) для каталога автоматически установит группу по умолчанию для всех новых файлов и подкаталогов в группу по умолчанию для группы каталогов, вместо того, чтобы устанавливать ее как обычное поведение основной группы пользователя, создавшего новую запись каталога. ,

Для получения более подробной информации о разрешениях см. Справочные страницы chown (1) и chmod (1).

7.1.2.2 Установка расширенного ACL

Если файловая система, в которой находится общий каталог, поддерживает расширенные списки ACL, вы можете использовать их для установки сложных разрешений. Расширенные ACL-списки могут содержать разрешения для нескольких пользователей и групп.

Расширенный ACL POSIX позволяет вам настраивать сложные ACL для нескольких пользователей и групп. Однако вы можете установить только следующие разрешения:

• Нет доступа
• Доступ для чтения
• Доступ для записи
• полностью контролировать

Если вам нужны детальные разрешения Windows (например,Создать папку / добавить данные), настройте общий ресурс для использования Windows ACL. Пожалуйста, обратитесь к Разделу 7.2, «Настройка для совместного использования с помощью Windows ACL».

Чтобы использовать расширенный POSIX ACL для общего ресурса:

Процедура 9 Включите расширенный POSIX ACL на общем ресурсе

1. Включите следующие параметры в разделе share файла ** / etc / samba / smb.conf **, чтобы включить наследование ACL для расширенных ACL:

   inherit acls = yes
   

   Подробности смотрите в описании параметров на справочной странице smb.conf (5).

2. перезагрузкаsmbслужба:

   ~]# systemctl restart smb
   

3. (Необязательно) Включите службу smb и запустите ее автоматически при запуске:

   ~]# systemctl enable smb
   

4. Установите ACL на каталог. Для получения дополнительной информации об использовании расширенных ACL, пожалуйста, обратитесь к Главе 5Список контроля доступа。

Пример 4 Настройка расширенного ACL

Следующий процессDomain AdminsГруппа устанавливает права на чтение, запись и выполнение дляDomain UsersГруппа устанавливает разрешения на чтение и выполнение и запрещает другим доступ к каталогу ** / srv / samba / example / **.

Процедура 10 Установите расширенный ACL

1. Отключите автоматическое предоставление разрешений основной группе учетных записей пользователей:

   ~]# setfacl -m group::--- /srv/samba/example/
   ~]# setfacl -m default:group::--- /srv/samba/example/
   

   Основная группа каталогов также отображается на динамическийCREATOR GROUPосновной корпус. Когда вы используете расширенный POSIX ACL на общем ресурсе Samba, участник автоматически добавляется и не может быть удален.

2. Установите права доступа к каталогу:

   А. Предоставьте разрешения на чтение, запись и выполнение группе администраторов домена:

   ~]# setfacl -m group:"DOMAINDomain Admins":rwx /srv/samba/example/
   

   б) предоставить права на чтение и выполнение группе пользователей домена:

   ~]# setfacl -m group:"DOMAINDomain Users":r-x /srv/samba/example/
   

   с. дляother Записи ACL устанавливают разрешения для отказа в доступе пользователям, которые не соответствуют другим записям ACL:

   ~]# setfacl -R -m other::--- /srv/samba/example/
   

   Эти настройки применяются только к этому каталогу. В Windows эти ACL сопоставлены сОтносится только к этой папкеРежим.

3. Чтобы разрешить наследование разрешений, установленных на предыдущем шаге, новыми объектами файловой системы, созданными в этом каталоге, выполните следующие действия:

   ~]# setfacl -m default:group:"DOMAINDomain Admins":rwx /srv/samba/example/
   ~]# setfacl -m default:group:"DOMAINDomain Users":r-x /srv/samba/example/
   ~]# setfacl -m default:other::--- /srv/samba/example/
   

   С этими настройками субъектТолько эта папкаРежим теперь установлен наЭта папка, подпапки и файлы。

   Samba сопоставляет ранее установленные разрешения со следующим списком контроля доступа Windows:

   основной корпус	Орган власти	Применить к
   DOMAINDomain Admins	полностью контролировать	Эта папка, подпапки и файлы
   DOMAINDomain Users	Читать и выполнить	Эта папка, подпапки и файлы
   Everyone [a]	Отказываться	Эта папка, подпапки и файлы
   owner (Unix Userowner) [b]	полностью контролировать	Только эта папка
   primary_group (Unix Userprimary_group) [c]	Отказываться	Только эта папка
   CREATOR OWNER [d] и [e]	полностью контролировать	Только подпапки и файлы
   CREATOR GROUP [f] и [e]	Отказываться	Только подпапки и файлы

   [a] Samba сопоставляет разрешения этого принципала с другими записями ACL.
    [b] Samba сопоставляет владельца каталога с этой записью.
    [c] Samba отображает основную группу каталогов на эту запись.
    [d] В новом объекте файловой системы создатель автоматически наследует разрешения участника.
    [e] Конфигурация или удаление этих участников в ACL не поддерживается на общих ресурсах, использующих POSIX ACL.
    [f] В новом объекте файловой системы основная группа создателя автоматически наследует разрешения этого участника.
   

7.1.3 Установка разрешений для общего ресурса

(Необязательно) Чтобы ограничить или предоставить доступ к общему ресурсу Samba, вы можете установить определенные параметры в разделе общего доступа к файлу ** / etc / samba / smb.conf **.

Пометки

Управление пользователями, группами или хостами на основе общих разрешений для доступа к общему ресурсу. Эти настройки не влияют на ACL файловой системы.

Используйте настройки на основе общего ресурса, чтобы ограничить доступ к общим ресурсам. Например, отказ в доступе с определенного хоста.

7.1.3.1 Настройка общего доступа на основе пользователей и групп

Управление доступом на основе пользователей и групп позволяет предоставлять или запрещать доступ к общим ресурсам для определенных пользователей и групп. Например, чтобы разрешитьDomain UsersВсе члены группы получают доступ к общему ресурсу, при этом отказывая в доступе к учетной записи пользователя, добавьте следующие параметры в общую конфигурацию:

valid users = +DOMAIN"Domain Users"
invalid users = DOMAINuser

invalid usersПриоритет параметра выше чемvalid usersпараметр. Например, еслиuserУчетная записьDomain Users«Члены группы, когда вы используете приведенный выше пример, доступ к учетной записи будет отказано.

Для получения более подробной информации, пожалуйста, обратитесь к описаниям параметров на справочной странице smb.conf (5).

7.1.3.2 Настройка общего доступа на основе хоста

Управление доступом на основе хоста позволяет вам предоставлять или запрещать доступ к общим ресурсам на основе имени хоста, IP-адреса или диапазона IP-адресов клиента.

Например, чтобы включить127.0.0.1 Айпи адрес,192.0.2.0/24 Диапазон IP иclient1.example.comХост, чтобы получить доступ к общему ресурсу, и в противном случае отказатьсяclient2.example.comДля доступа к хосту, пожалуйста, сделайте следующее:

Процедура 11 Настройте общий доступ на основе хоста

1. Добавьте следующие параметры в общую конфигурацию в /etc/samba/smb.conf:

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com
   

2. Перезагрузить конфигурацию Samba

   ~]# smbcontrol all reload-config
   

*** хосты отрицают *** соотношение параметров **hosts allowИмеет высокий приоритет Например, еслиclient2.example.comРазрешает IP-адрес, указанный в параметре *** hosts allow ***, затем запрещает доступ к этому хосту.

Для получения более подробной информации, пожалуйста, обратитесь к описаниям параметров на справочной странице smb.conf (5).

7.2 Настройка общего доступа с помощью Windows ACL [4]

Samba поддерживает настройку списков ACL Windows для объектов общего доступа и файловой системы. Это позволяет вам:

• Используйте мелкозернистый Windows ACL
• Использование Windows для управления разрешениями общего ресурса и списками управления доступом файловой системы

Кроме того, вы можете настроить общий ресурс для использования POSIX ACL. Для получения дополнительной информации см. Раздел 7.1, «Настройка общего доступа с использованием POSIX ACL».

7.2.1 Предоставление разрешения SeDiskOperatorPrivilege

Только предоставленныйSeDiskOperatorPrivilegeТолько пользователи и группы с разрешениями могут настраивать разрешения для общего доступа с помощью Windows ACL. Например, чтобы предоставить разрешенияDOMAINDomain Adminsгруппа:

~]# net rpc rights grant "DOMAINDomain Admins" SeDiskOperatorPrivilege -U "DOMAINadministrator"
Enter DOMAINadministrator's password:
Successfully granted rights.

Пометки

В среде домена изменитеSeDiskOperatorPrivilegeПредоставьте доменную группу. Это позволяет централизованно управлять разрешениями, обновляя членство пользователя в группе.

К списку предоставленныхSeDiskOperatorPrivilegeВсе пользователи и группы:

~]# net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAINadministrator"
Enter administrator's password:
SeDiskOperatorPrivilege:
BUILTINAdministrators
DOMAINDomain Admins

7.2.2 Включить поддержку Windows ACL

Чтобы настроить общий доступ, который поддерживает Windows ACL, вы должны включить эту функцию в Samba. Чтобы включить все общие ресурсы, добавьте следующие параметры в ** / etc / samba / smb.confДокументальный[Глобальный] ** Часть:

vfs objects = acl_xattr
map acl inherit = yes
store dos attributes = yes

Кроме того, вы можете включить поддержку Windows ACL для одного общего ресурса, добавив те же параметры в раздел общего доступа.

7.2.3 Добавление общего доступа с помощью Windows ACL

Чтобы создать файл с именемexampleРазделяемый, он разделяет содержимое каталога ** / srv / samb / example / ** и использует Windows ACL:

Процедура 12 Добавление общего ресурса с помощью Windows ACL

1. (Необязательно) Если папка не существует, создайте ее. Например:

   ~]# mkdir -p /srv/samba/example/
   

2. Если вы беретеenforcingРежим запуска SELinux, пожалуйста, установите в каталогеsamba_share_tКонтекст:

   ~]# semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   ~]# restorecon -Rv /srv/samba/example/
   

3. будуexampleОбщий ресурс добавляется в файл ** / etc / samba / smb.conf **. Например, чтобы добавить общий ресурс и включить запись:

[example]
path = /srv/samba/example/
read only = no

Пометки

Независимо от ACL файловой системы, если вы не установилиread only = no, Samba разделяет каталог в режиме только для чтения.

1. Если вы не в ** [глобальном]Частично включить поддержку Windows ACL для всех общих ресурсов, добавьте следующие параметры в[пример] ** раздел, чтобы включить эту функцию для этого ресурса:

vfs objects = acl_xattr
map acl inherit = yes
store dos attributes = yes

1. Проверьте файл ** / etc / samba / smb.conf **:

~]# testparm

Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

1. Откройте нужный порт и используйтеfirewall-cmdУтилита перезагрузит конфигурацию брандмауэра:

   ~]# firewall-cmd --permanent --add-service=samba
   ~]# firewall-cmd --reload
   

2. перезагрузкаsmbслужба:

   ~]# systemctl restart smb
   

3. (Необязательно) Включите службу smb и запустите ее автоматически при запуске:

   ~]# systemctl enable smb
   

7.2.4. Управление разрешениями общего доступа и списками управления доступом файловой системы для совместного использования с помощью списков управления доступом Windows

Чтобы управлять списком ACL для общего ресурса и файловой системы на общем ресурсе Samba с помощью Windows ACL, используйте приложение Windows, напримерКомпьютерное управление, Для получения дополнительной информации, пожалуйста, обратитесь к документации Windows.

(Необязательно) использоватьsmbcaclsУтилита для управления ACL. Для получения дополнительной информации см. Раздел 7.3 «Использование smbcacls для управления ACL на общих ресурсах SMB».

Пометки

Чтобы изменить разрешения файловой системы из Windows, необходимо использовать учетную запись с предоставленными разрешениями SeDiskOperatorPrivilege. Смотрите Раздел 7.2.1 «ГрантSeDiskOperatorPrivilegeПрава доступа».

7.3 Использование smbcacls для управления ACL на общих ресурсах SMB

smbcaclsУтилита может перечислять, устанавливать и удалять списки ACL файлов и каталогов, хранящихся на общем ресурсе SMB. ты можешь использовать этоsmbcaclsДля управления ACL файловой системы:

• На локальном или удаленном сервере Samba, используя расширенный ACL для Windows или POSIX ACL.
• Удаленное управление общими списками ACL, размещенными в Windows в Red Hat Enterprise Linux

7.3.1 Понимание записей контроля доступа

Каждая запись ACL объекта файловой системы содержит запись управления доступом (ACE) в следующем формате:

security_principal:access_right/inheritance_information/permissions

Пример 5 контроля доступа

в случаеADDomain UsersГруппа имеет Windows дляЭта папка，Подпапки и файлыиз»Modify«Разрешения, ACL содержит следующие ACE:

ADDomain Users:ALLOWED/OI|CI/CHANGE

Ниже описывается каждый ACE:

Security principal

Участник безопасности — это пользователь, группа или SID, к которым применяются разрешения в ACL.

Access right

Определяет, предоставляется ли доступ к объекту или нет. Значение может бытьALLOWEDилиDENIED。

Inheritance information

Существуют следующие значения:

Таблица 3 Настройки наследования

Кроме того, эти значения могут быть объединены следующим образом:

Таблица 4 Комбинация параметров наследования

Permissions

Значение может быть шестнадцатеричным значением, представляющим одно или несколько разрешений Windows, или оно может бытьsmbcaclsAlias:

• Шестнадцатеричное значение, представляющее одно или несколько разрешений Windows.

В следующей таблице приведены расширенные разрешения Windows и соответствующие значения в шестнадцатеричном формате:

Таблица 5 Разрешения Windows и соответствующие им значения smbcacls в шестнадцатеричном формате

Несколько разрешений могут использовать побитовыеORОперация объединяется в шестнадцатеричное значение. Для получения дополнительной информации см. Раздел 7.3.3, «Расчет маски ACE».

• smbcaclsАлиас. В следующей таблице приведены доступные псевдонимы:

  Таблица 6 Существующие псевдонимы smbcacls и соответствующие разрешения Windows

  псевдоним	Соответствующие разрешения Windows
  R	Читать
  READ	Читать и выполнить
  W	Специальные включают в себя следующее: ♦ Создать файл / записать данные ♦ Создать папку / добавить данные ♦ Написать атрибуты ♦ Написать расширенные атрибуты ♦ Разрешения на чтение
  D	удалять
  P	Изменить разрешения
  O	Взять на себя ответственность
  X	Traversal / выполнение
  CHANGE	Modify
  FULL	полностью контролировать

  Пометки

  Вы можете комбинировать псевдонимы одной буквы при настройке разрешений. Например, вы можетеRDУстановить для применения разрешений Windows «Читать«с»удалятьMsgstr «. Однако вы не можете комбинировать несколько не однобуквенных псевдонимов, а также псевдонимы и шестнадцатеричные значения.

7.3.2 Использование smbcacls для отображения ACL

Если работаетsmbcaclsБез каких-либо рабочих параметров (например,-add), утилита отобразит ACL объекта файловой системы.

Например, чтобы вывести список ACL общего корневого каталога ** // server / example **:

~]# smbcacls //server/example / -U "DOMAINadministrator"
Enter DOMAINadministrator's password:
REVISION:1
CONTROL:SR|PD|DI|DP
OWNER:ADAdministrators
GROUP:ADDomain Users
ACL:ADAdministrator:ALLOWED/OI|CI/FULL
ACL:ADDomain Users:ALLOWED/OI|CI/CHANGE
ACL:ADDomain Guests:ALLOWED/OI|CI/0x00100021

Вывод этой команды показывает:

• ПЕРЕСМОТР: Внутренняя версия Windows NT ACL дескриптора безопасности
• КОНТРОЛЬ: Управление дескриптором безопасности
• Владелец (ВЛАДЕЛЕЦ): Имя или SID владельца дескриптора безопасности
• Группа (ГРУППА): Имя или SID группы дескрипторов безопасности
• ACL Записи. Для получения дополнительной информации см. Раздел 7.3.1 «Понимание записей контроля доступа».

7.3.3 Рассчитать маску АСЕ

В большинстве случаев, когда вы добавляете или обновляете ACE, вы можете использовать перечисленные в Таблице 6 «Существующие псевдонимы smbcacls и соответствующие им разрешения Windows».smbcaclsАлиас.

Однако если вы хотите установить расширенные разрешения Windows, перечисленные в таблице 5 «Разрешения Windows и их соответствующие значения в шестнадцатеричном формате», необходимо использовать побитовоеORОперация для вычисления правильного значения. Вы можете использовать следующую команду оболочки для вычисления значения:

~]# echo $(printf '0x%X' $(( hex_value_1 | hex_value_2 | ... )))

Пример 6 Расчет маски АСЕ

Вы хотите установить следующие разрешения:

• Переместить папку / выполнить файл (0x00100020)
• Список папок / чтение данных (0x00100001)
• Чтение атрибутов (0x00100080)

Чтобы вычислить шестнадцатеричное значение предыдущего полномочия, введите:

~]# echo $(printf '0x%X' $(( 0x00100020 | 0x00100001 | 0x00100080 )))
0x1000A1

Используйте возвращенное значение при установке или обновлении ACE.

7.3.4 Использование smbcacls для добавления, обновления и удаления ACL

Согласно тому, что вы передаетеsmbcaclsС помощью параметров утилиты вы можете добавлять, обновлять и удалять ACL из файлов или каталогов.

Добавить ACL

Чтобы добавить ACL к ** / server / exampleКорень доли, доля будетЭта папка **,вложеннаясфайлизCHANGEПредоставление властиADDomain Usersгруппа:

~]# smbcacls //server/example / -U "DOMAINadministrator 
--add ACL:"ADDomain Users":ALLOWED/OI|CI/CHANGE

Обновить ACL

Обновление ACL похоже на добавление нового ACL. Используя ** — изменить с существующими участниками безопасностиПараметр переопределяет ACL для обновления ACL. в случаеsmbcacls ** Если в списке ACL найден участник безопасности, утилита обновит разрешения. В противном случае команда завершится с ошибкой:

ACL for SID principal_name not found

Например, чтобы обновитьADDomain UsersСгруппируйте разрешения и установите ихREADЧитатьЭта папка，вложеннаясфайл：

~]# smbcacls //server/example / -U "DOMAINadministrator 
--modify ACL:"ADDomain Users":ALLOWED/OI|CI/READ

Удалить ACL

Чтобы удалить ACL, пожалуйста, удалите ** — удалить с точным ACLПерейти кутилита smbcacls **. Например

~]# smbcacls //server/example / -U "DOMAINadministrator 
--delete ACL:"ADDomain Users":ALLOWED/OI|CI/READ

7.4 Разрешить пользователям совместно использовать каталоги на сервере Samba

На сервере Samba вы можете настроить пользователей наrootДелитесь каталогами без разрешения.

7.4.1 Разрешить совместное использование пользователей

Прежде чем пользователи смогут делиться каталогами, администратор должен включить совместное использование пользователей в Samba. Например, чтобы разрешить создание общих ресурсов только для членов локальной группы примеров:

Процедура 13 Включение общего доступа пользователей

1. Создайте файл с именемexample‘Локальная группа (если она не существует):

   ~]# groupadd example
   

2. Подготовьте каталог Samba для хранения определений общих ресурсов пользователей и правильно установите их разрешения. Например:

   А. Создайте каталог:

   ~]# mkdir -p /var/lib/samba/usershares/
   

   б) дляexampleГруппа установила разрешение на запись:

   ~]# chgrp example /var/lib/samba/usershares/
   ~]# chmod 1770 /var/lib/samba/usershares/
   

   Установите бит закрепления, чтобы пользователи не могли переименовывать или удалять файлы, хранящиеся в этом каталоге другими пользователями.

3. Редактирование ** / и т.д. / Samba / smb.confФайл и добавьте следующее[Глобальный] ** Часть:

   А. Установите путь, сконфигурированный для хранения каталога, определенного пользовательским общим ресурсом. Например:

   usershare path = /var/lib/samba/usershares/
   

   Б. Установите количество пользовательских ресурсов, которые Samba позволяет создавать на этом сервере. Например:

   usershare max shares = 100
   

   Если ты правusershare max sharesИспользуйте значения по умолчанию для параметров0, Совместное использование пользователя отключено.

   c. (Необязательно) Установите список абсолютных путей к каталогам. Например, чтобы настроить Samba только для совместного использования ** / данныхсПодкаталоги каталога / srv **, пожалуйста, установите:

   usershare prefix allow list = /data /srv
   

   Пожалуйста, обратитесь к разделу USERSHARES справочной страницы smb.conf (5) для получения списка других параметров, относящихся к совместному использованию, которые могут быть установлены.

4. Проверьте файл ** / etc / samba / smb.conf **:

   ~]# testparm
   

   Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

5. Перезагрузите конфигурацию Samba:

   ~]# smbcontrol all reload-config
   

Пользователи теперь могут создавать общие ресурсы пользователей. Для получения дополнительной информации см. Раздел 7.4.2, «Добавление пользовательских ресурсов».

7.4.2 Добавление обмена пользователями

После настройки Samba в соответствии с разделом 7.4.1 «Включение общего доступа пользователей» пользователи могут запускатьnet usershare addКоманда для совместного использования каталога на сервере Samba без прав root.

net usershare addВведение в команду:

net usershare add Путь к общему имени [[Комментарий] | [ACL]] [guest_ok = y | n]

нота

Если вы устанавливаете ACL при создании общего ресурса пользователя, вы должны указать параметр комментария перед ACL. Чтобы установить пустой комментарий, используйте пустую строку в двойных кавычках.

Обратите внимание, что если администратор находится в файле ** / etc / samba / smb.confиз[global]Установить в разделеusershare allow guest = yes **, пользователь может включить только гостевой доступ для общего ресурса пользователя.

Пример 7 Увеличение доли пользователей

Пользователь хочет поделиться на сервере samba ** / srv / samba /оглавление. Доля названаНапример, ** не имеет наборов комментариев и должен быть доступен для гостевых пользователей. Кроме того, для разрешений общего доступа должны быть установлены разрешения полного доступа для группы AD Domain Users и разрешения на чтение для других пользователей. Чтобы добавить этот общий ресурс, запустите как пользователь:

~]$ net usershare add example /srv/samba/ "" 
"ADDomain Users":F,Everyone:R guest_ok=yes

7.4.3 Обновление общих настроек пользователя

Если вы хотите обновить общедоступные настройки пользователя, используйте тот же с общим именем и новыми настройкамиnet usershare addКоманда отменяет совместное использование. Пожалуйста, обратитесь к разделу 7.4.2 «Добавить пользовательский ресурс».

7.4.4 Отображение информации, которой поделились существующие пользователи

Пользователь может войти на сервер Sambanet usershare infoКоманда для отображения пользовательских ресурсов и их настроек.

Для отображения всех пользовательских ресурсов, созданных любым пользователем:

~]$ net usershare info -l
[share_1]
path=/srv/samba/
comment=
usershare_acl=Everyone:R,host_nameuser:F,
guest_ok=y
...

Чтобы получить список только общих ресурсов, созданных пользователем, запустившим команду, пропустите параметр ** — l **.

Чтобы отобразить только информацию о конкретном общем ресурсе, передайте имя общего ресурса или подстановочный знак команде. Например, чтобы отобразить его имя сshare_ В начале обмена информацией, пожалуйста, сделайте следующее:

~]$ net usershare info -l share_*

7.4.5 Список пользовательских акций

Если вы просто хотите перечислить доступные общие ресурсы пользователя, которые не настроены на сервере Samba, используйтеnet usershare listкоманда.

Чтобы вывести список акций, созданных любым пользователем:

~]$ net usershare list -l
share_1
share_2
...

Чтобы получить список только общих ресурсов, созданных пользователем, запустившим команду, пропустите параметр ** — l **.

Чтобы отобразить только информацию о конкретном общем ресурсе, передайте имя общего ресурса или подстановочный знак команде. Например, чтобы отобразить его имя сshare_ В начале обмена информацией, пожалуйста, сделайте следующее:

~]$ net usershare list -l share_*

7.4.6 Удалить пользовательский ресурс

Чтобы удалить общий ресурс пользователя, либо как пользователь, который создал общий ресурс, либо какrootПользовательский ввод:

~]$ net usershare delete share_name

7.5 Включение совместного доступа гостевого доступа

В некоторых случаях вы хотите предоставить общий доступ к каталогу, к которому пользователи могут подключаться без аутентификации. Настройте это, чтобы разрешить гостевой доступ к общему ресурсу.

предостережение

Совместное использование, которое не требует аутентификации, может представлять угрозу безопасности

Если на общем ресурсе включен гостевой доступ, Samba сопоставит гостевые соединения сguest accountУчетная запись операционной системы, указанная в параметре. Гостевые пользователи могут получить доступ к этим файлам, если выполнено хотя бы одно из следующих условий:

• Учетная запись указана в ACL файловой системы
• Разрешения POSIX других пользователей позволяют это

Пример 8 Разрешения на совместное использование гостя

Если вы настроите Samba для сопоставления гостевой учетной записи сnobody(По умолчанию), ACL в следующем примере:

• Разрешить гостевым пользователям читать file1.txt
• Разрешить гостевым пользователям читать и изменять file2.txt
• Запретить гостевым пользователям читать или изменять file3.txt

-rw-r--r--. 1 root root 1024 1. Sep 10:00 file1.txt
-rw-r-----. 1 nobody root 1024 1. Sep 10:00 file2.txt
-rw-r-----. 1 root root 1024 1. Sep 10:00 file3.txt

Например, чтобы включить гостевой доступ для существующего общего ресурса ** [example] **:

Процедура 14 Настройка гостевого обмена

1. Отредактируйте файл ** / etc / samba / smb.conf **:

   А. Если это первая гостевая папка, которую вы настроили на сервере:

**В ** [глобальный]Часть будетmap to guest = Bad User**：

[global]
...
map to guest = Bad User

С этим параметром Samba отклоняет попытки входа в систему с неверными паролями, если имя пользователя не существует. Если указанное имя пользователя не существует и гостевой доступ включен на общем ресурсе, Samba рассматривает соединение как гостевой логин.

② По умолчанию Samba сопоставляет гостевые учетные записи с учетными записями в Red Hat Enterprise Linux.nobodyСчет. Или вы можете создать другую учетную запись. Например:

[global]
...
guest account = user_name

Учетная запись, заданная в этом параметре, должна существовать локально на сервере Samba. В целях безопасности Red Hat рекомендует использовать учетную запись без назначенной действительной оболочки.

б.guest ok = yesНастройки добавлены в раздел *** [пример] ***:

[example]
...
guest ok = yes

1. Проверьте файл ** / etc / samba / smb.conf **:

   ~]# testparm
   

   Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

2. Перезагрузите конфигурацию Samba:

   ~]# smbcontrol all reload-config
   

8. Оптимизация производительности сервера Samba

В этом разделе описывается, какие настройки могут улучшить производительность Samba при определенных обстоятельствах, а также какие настройки могут негативно повлиять на производительность.

8.1 Установить версию протокола SMB

Каждая новая версия SMB добавляет функциональность и улучшает производительность протокола. Новейшие операционные системы Windows и Windows Server всегда поддерживают последнюю версию протокола. Если Samba также использует последнюю версию протокола, клиент Windows, подключенный к Samba, выиграет от повышения производительности. В самбеserver max protocolЗначением по умолчанию является последняя поддерживаемая стабильная версия протокола SMB.

Чтобы всегда включать последнюю стабильную версию протокола SMB, не устанавливайтеserver max protocol, Если вы устанавливаете параметры вручную, вам нужно изменить настройки, используя каждую новую версию протокола SMB, чтобы включить последнюю версию протокола.

Чтобы отменить настройку, выберите ** / etc / samba / smb.confДокументальный[global]Частично удаленмаксимальный протокол сервера ** параметр.

8.2 Оптимизировать совместное использование каталогов, содержащих большое количество файлов

Чтобы повысить производительность совместного использования каталогов, содержащих более 100 000 файлов, выполните следующие действия:

Процесс 20 оптимизирует совместное использование каталогов, содержащих большое количество файлов

1. Переименуйте все файлы на общем ресурсе в нижний регистр.

   Пометки

   При настройке этого процесса файлы, имена которых не являются строчными, больше не будут отображаться.

2. Установите следующие параметры в разделе общего доступа:

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no
   

   Для получения дополнительной информации об этих параметрах, пожалуйста, обратитесь к инструкциям на справочной странице smb.conf (5).

3. Перезагрузите конфигурацию Samba:

   ~]# smbcontrol all reload-config
   

После применения этих настроек имена всех вновь созданных файлов на этом ресурсе будут использовать строчные буквы. Из-за этих настроек Samba больше не нужно сканировать прописные и строчные буквы в каталоге, что может повысить производительность.

8.3 Настройки, которые могут негативно повлиять на производительность

По умолчанию ядро ​​в Red Hat Enterprise Linux настроено на высокую производительность сети. Например, ядро ​​использует механизм автоматической настройки размера буфера. В ** / etc / samba / smb.confУстановить в файлеПараметры сокета ** параметры будут переопределять эти настройки ядра. Поэтому установка этого параметра в большинстве случаев приведет к снижению производительности сети Samba.

Чтобы использовать оптимизированные настройки в ядре, выберите ** / etc / samba / smb.confсредний[global]Частично удаленпараметры сокета ** параметры.

9. Обычно используемые утилиты командной строки Samba

В этом разделе представлены часто используемые команды при использовании сервера Samba.

9.1 Использование утилиты net

netУтилита позволяет выполнять несколько задач управления на сервере Samba. Этот раздел представляетnetНаиболее часто используемые подкоманды утилит.

Для получения дополнительной информации см. Справочную страницу net (8).

9.1.1 Используйте команды net ads join и net rpc join

использованиеnetУтилитаjoinПодкоманда, вы можете подключить Samba к домену AD или NT4. Чтобы присоединиться к домену, вы должны вручную создать файл ** / etc / samba / smb.conf ** и при необходимости обновить другие конфигурации, такие как PAM.

нота

Red Hat рекомендуетсяrealmУтилита для присоединения к домену.realmУтилита автоматически обновляет все файлы конфигурации. Для получения дополнительной информации см. Раздел 5.1 «Присоединение к домену».

использованиеnetКоманда для присоединения к домену:

Процедура 21 Используйте команду net для присоединения к домену

1. Вручную создайте файл /etc/samba/smb.conf со следующими настройками:

   • Для членов домена AD:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM
     

   • Для членов домена NT4:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam
     

2. Добавьте конфигурацию сопоставления идентификаторов для * домена по умолчанию и домена, который будет добавлен в раздел [global] файла /etc/samba/smb.conf. Для получения дополнительной информации см. Раздел 5.3 «Общие сведения о сопоставлении идентификаторов».

3. Проверьте файл ** / etc / samba / smb.conf **:

   ~]# testparm
   

   Для получения дополнительной информации см. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

4. Присоединитесь к домену как администратор домена:

   • Присоединиться к домену AD

     ~]# net ads join -U "DOMAINadministrator"
     

   • Присоединиться к домену NT4:

     ~]# net rpc join -U "DOMAINadministrator"
     

5. будуwinbindИсточник добавлен в ** / etc / nsswitch.confВ файлеpasswdсВ группе ** запись базы данных:

   passwd: files winbind
   group: files winbind
   

6. Включите и запустите службу winbind:

   ~]# systemctl enable winbind
   ~]# systemctl start winbind
   

7. (Необязательно) Используйте утилиту authconf для настройки PAM.

Для получения дополнительной информации см. «Руководство по аутентификации на уровне системы Red Hat«В разделе« Использовать сменный модуль аутентификации (PAM) ».

1. (Необязательно) Для среды AD настройте клиент Kerberos.

Для получения дополнительной информации см. «Руководство по аутентификации на уровне системы Red Hat«В разделе« Настройка клиента Kerberos ».

9.1.2 Используйте команду net rpc rights

В Windows вы можете назначать разрешения учетным записям и группам для выполнения специальных операций, таких как установка списков ACL для общего ресурса или загрузка драйверов принтера. На сервере Samba вы можете использоватьnet rpc rightsКоманды для управления разрешениями.

Список разрешений

Чтобы просмотреть все доступные разрешения и их владельцев, используйтеnet rpc rights listкоманда. Например:

~]# net rpc rights list -U "DOMAINadministrator"
Enter DOMAINadministrator's password:
SeMachineAccountPrivilege Add machines to domain
SeTakeOwnershipPrivilege Take ownership of files or other objects
SeBackupPrivilege Back up files and directories
SeRestorePrivilege Restore files and directories
SeRemoteShutdownPrivilege Force shutdown from a remote system
SePrintOperatorPrivilege Manage printers
SeAddUsersPrivilege Add users and groups to the domain
SeDiskOperatorPrivilege Manage disk shares
SeSecurityPrivilege System security

Предоставлено разрешение

Чтобы предоставить разрешения учетной записи или группе, используйтеnet rpc rights grantкоманда.

Например,SePrintOperatorPrivilegeПредоставление властиDOMAINprintadminгруппа:

~]# net rpc rights grant "DOMAINprintadmin" SePrintOperatorPrivilege -U "DOMAINadministrator"
Enter DOMAINadministrator's password:
Successfully granted rights.

Отозвать власть

Чтобы отменить разрешения учетной записи или группы, используйтеnet rpc rights revokeкоманда.

Например, чтобы отменитьDOMAINprintadminВ группеSePrintOperatorPrivilegeРазрешение:

~]# net rpc rights remoke "DOMAINprintadmin" SePrintOperatorPrivilege -U "DOMAINadministrator"
Enter DOMAINadministrator's password:
Successfully revoked rights.

9.1.3 Используйте команду net rpc share

net rpc shareКоманда предоставляет функции перечисления, добавления и удаления общих ресурсов на локальном или удаленном сервере Samba или Windows.

Список акций

Чтобы вывести список общих ресурсов на SMB-сервер, используйтеnet rpc share listкоманда. В качестве альтернативы, передайте параметр ** — S server_name ** этой команде, чтобы получить список общих ресурсов удаленного сервера. Например:

~]# net rpc share list -U "DOMAINadministrator" -S example
Enter DOMAINadministrator's password:
IPC$
share_1
share_2
...

Пометки

Размещено на сервере Samba в /etc/samba/smb.confЧасть файла имеетbrowseable = noЗаданная доля не отображается на выходе.

Добавить долю

net rpc share addКоманда позволяет добавить общий ресурс на SMB-сервер.

Например, удаленный сервер совместно использует каталог C: example . Чтобы добавить этот каталог в качестве примера общего ресурса:

~]# net rpc share add example="C:example" -U "DOMAINadministrator" -S server

Пометки

При указании имени каталога Windows конечная косая черта в пути должна быть опущена.

Чтобы использовать эту команду для добавления общего ресурса на сервер Samba, выполните следующие действия:

• В ** — UПользователь, указанный в параметре, должен иметь предоставленныйSeDiskOperatorPrivilege ** разрешения.
• Вы должны написать скрипт для добавления разделяемой части в ** / etc / samba / smb.confФайл и перезагрузите Samba. Сценарий должен быть/etc/samba/smb.confиз[global]частьadd share commandУстановите в параметрах. Для получения более подробной информации, пожалуйста, обратитесь к справочной странице smb.conf (5)Добавить команду Поделиться ** описание.

Удалить долю

net rpc share deleteКоманда позволяет удалить общий ресурс с сервера SMB.

Например, чтобы удалить файл с именемexampleДелится:

~]# net rpc share delete example -U "DOMAINadministrator" -S server

Чтобы использовать эту команду для удаления общего ресурса с сервера Samba:

• В ** — UПользователь, указанный в параметре, должен иметь предоставленныйSeDiskOperatorPrivilege ** разрешения.
• Вы должны написать скрипт для добавления разделяемой части в ** / etc / samba / smb.confФайл и перезагрузите Samba. Сценарий должен быть/etc/samba/smb.confиз[global]частьdelete share commandУстановите в параметрах. Для получения более подробной информации, пожалуйста, обратитесь к справочной странице smb.conf (5)удалить поделиться командой ** описание.

9.1.4 Использование команды net user

net userКоманда позволяет выполнять следующие операции на AD DC или NT4 PDC:

• Список всех учетных записей пользователей
• Добавить пользователя
• удалить пользователей

Вам нужно указывать способ подключения только при перечислении учетных записей пользователей домена, например *** ads *** в домене AD или *** rpc *** в домене NT4. Другие пользовательские подкоманды могут автоматически определять способ подключения.

Передайте параметр ** — U user_name ** этой команде, чтобы указать пользователей, которым разрешено выполнять запрошенную операцию.

Список учетных записей пользователей домена

Список всех пользователей в домене AD:

~]# net ads user -U "DOMAINadministrator"

Список всех пользователей в домене NT4:

~]# net rpc user -U "DOMAINadministrator"

Добавить учетную запись пользователя в домен

На членах домена Samba вы можете использоватьnet user addКоманда добавляет учетную запись пользователя в домен.

Например,userАккаунт добавлен в домен:

Процедура 22 Добавление учетных записей пользователей в домен

1. Добавить аккаунт:

   ~]# net user add user password -U "DOMAINadministrator"
   User user added
   

2. (Необязательно) Используйте оболочку удаленного вызова процедур (RPC), чтобы включить учетную запись на AD DC или NT4 PDC. Например:

   ~]# net rpc shell -U DOMAINadministrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   net rpc> user edit disabled user no
   Set user's disabled flag from [yes] to [no]
   net rpc> exit
   

Удалить учетную запись пользователя из домена

На членах домена Samba вы можете использоватьnet user deleteКоманда удаляет учетную запись пользователя из домена.

Например, удалить из доменаuserСчет:

~]# net user delete user -U "DOMAINadministrator"
User user deleted

9.1.5 Используйте команду net usershare

См. Раздел 7.4 «Предоставление пользователям общего доступа к каталогам на сервере Samba».

9.2 Использование утилиты rpcclient

rpcclientУтилита позволяет вручную выполнять функции удаленного вызова процедур (MS-RPC) на стороне клиента на локальном или удаленном SMB-сервере. Однако большинство функций интегрированы в отдельную утилиту, предоставляемую Samba. Использовать толькоrpcclientДля проверки функции MS-PRC.

Например, вы можете использовать эту утилиту для:

• Управление подсистемой буферизации принтера (SPOOLSS).

  Пример 9 Назначение драйвера для принтера

  ~]# rpcclient server_name -U "DOMAINadministrator" 
  -c 'setdriver "printer_name" "driver_name"'
  Enter DOMAINadministrators password:
  Successfully set printer_name to driver driver_name.
  

• Получить информацию о сервере SMB.

  Пример 10 Список всех общих файловых и общих принтеров

  ~]# rpcclient server_name -U "DOMAINadministrator" -c 'netshareenum'
  Enter DOMAINadministrators password:
  netname: Example_Share
  remark:
  path: C:srvsambaexample_share
  password:
  netname: Example_Printer
  remark:
  path: C:varspoolsamba
  password:
  

• Используйте протокол удаленного управления учетными записями безопасности (SAMR) для выполнения операций.

  Пример 11 Список пользователей на SMB-сервере

  ~]# rpcclient server_name -U "DOMAINadministrator" -c 'enumdomusers'
  Enter DOMAINadministrators password:
  user:[user1] rid:[0x3e8]
  user:[user2] rid:[0x3e9]
  

  Если вы запустите эту команду для автономного сервера или члена домена, пользователи в локальной базе данных будут перечислены. Выполнение этой команды для AD DC или NT4 PDC выводит список пользователей домена.

Полный список поддерживаемых подкоманд см. В разделе «КОМАНДЫ» справочной страницы rpcclient (1).

9.3 Использование приложения samba-regedit

Некоторые настройки (например, конфигурация принтера) хранятся в реестре сервера Samba. Вы можете использовать ncurses-basedsamba-regeditПриложение для редактирования реестра сервера Samba.

Чтобы запустить приложение, введите:

~]# samba-regedit

Используйте следующие ключи:

• Курсор вверх и курсор вниз: просмотр дерева реестра и значений.
• ENTER: Открыть ключ или отредактировать значение
• TAB:в»ключ«с»ценность«Pane
• Ctrl+C: Закройте приложение.

9.4 Использование утилиты smbcacls

См. Раздел 7.3 «Использование smbcacls для управления ACL на общих ресурсах SMB».

9.5 Использование утилиты smbclient

использованиеsmbclientУтилита может получить доступ к общим файлам на SMB-сервере, аналогично FTP-клиенту командной строки. Например, вы можете использовать его для загрузки и скачивания общих файлов.

Например, использоватьDOMAINuserАккаунт аутентифицирует *** пример *** общего ресурса, размещенного на *** сервере ***, пожалуйста, сделайте следующее:

~]# smbclient -U "DOMAINuser" //server/example
Enter domainuser's password:
Domain=[SERVER] OS=[Windows 6.1] Server=[Samba 4.6.2]
smb: >

вsmbclientПосле успешного подключения к общему ресурсу утилита переходит в интерактивный режим и отображает следующее приглашение:

smb: >

Чтобы отобразить все доступные команды в интерактивной оболочке, введите:

smb: > help

Чтобы вывести справку по конкретной команде, введите:

smb: > help command_name

Для получения более подробной информации и инструкций по командам, доступным в интерактивной оболочке, см. Справочную страницу smbclient (1).

9.5.1. Использование smbclient в интерактивном режиме

Если вы используете без ** — спараметрическийsmbclient **, утилита перейдет в интерактивный режим.

Следующая процедура показывает, как подключиться к SMB и загрузить файлы из подкаталогов:

Процедура 23 Используйте smbclient для загрузки файлов с общего ресурса SMB

1. Подключитесь, чтобы поделиться:

   ~]# smbclient -U "DOMAINuser_name" //server_name/share_name
   

2. Перейдите в каталог ** / example / **:

   smb: > cd /example/
   

3. Список файлов в каталоге:

   smb: example> ls
   . D 0 Mon Sep 1 10:00:00 2017
   .. D 0 Mon Sep 1 10:00:00 2017
   example.txt N 1048576 Mon Sep 1 10:00:00 2017
   9950208 blocks of size 1024. 8247144 blocks available
   

4. Загрузите файл example.txt:

   smb: example> get example.txt
   getting file directorysubdirectoryexample.txt of size 1048576 as
   example.txt (511975,0 KiloBytes/sec) (average 170666,7
   KiloBytes/sec)
   

5. Отключиться от обмена:

   smb: example> exit
   

9.5.2 Использование smbclient в режиме сценария

Если ** — c командыПараметр доsmbclient **, вы можете автоматически выполнять команды на удаленном SMB-ресурсе. Это позволяет использовать в скриптеsmbclient。

Следующая команда показывает, как подключиться к общему ресурсу SMB и загрузить файлы из подкаталогов:

~]# smbclient -U DOMAINuser_name //server_name/share_name 
-c "cd /example/ ; get example.txt ; exit"

9.6 Использование утилиты smbcontrol

smbcontrolУтилита позволяет отправлять командные сообщенияsmbd，nmbd，winbinddИли все эти услуги. Эти управляющие сообщения инструктируют службу, например, перезагрузить ее конфигурацию.

Пример 12. Перегрузка конфигурации служб smbd, nmbd и winbindd.

Например, перезагрузитьsmbd，nmbd，winbinddКонфигурация, пожалуйстаreload-configТип сообщения отправленallцели:

~]# smbcontrol all reload-config

Для получения дополнительной информации и списков доступных типов командных сообщений см. Справочную страницу smbcontrol (1).

9.7 Использование утилиты smbpasswd

smbpasswdУтилита управляет учетными записями пользователей и паролями в локальной базе данных Samba.

Если вы запустите команду как пользователь, тоsmbpasswdИзменит пароль пользователя Samba. Например:

[[email protected] ~]$ smbpasswd
New SMB password:
Retype new SMB password:

ЕслиrootЗапуск от имени пользователяsmbpasswdВы можете использовать утилиту, чтобы сделать следующее:

• Создать нового пользователя:

[[email protected] ~]# smbpasswd -a user_name
New SMB password:
Retype new SMB password:
Added user user_name.

Пометки

Перед добавлением пользователей в базу данных Samba необходимо создать учетную запись в локальной операционной системе. Смотрите раздел 4.3.1 «Добавить нового пользователя”

• Включить пользователей Samba:

  [[email protected] ~]# smbpasswd -e user_name
  Enabled user user_name.
  

• Отключить пользователей Samba:

  [[email protected] ~]# smbpasswd -d user_name
  Disabled user user_name.
  

• удалить пользователей:

  [[email protected] ~]# smbpasswd -x user_name
  Deleted user user_name.
  

Для получения дополнительной информации см. Справочную страницу smbpasswd (8).

9.8 Использование утилиты smbstatus

smbstatusСервисный отчет:

• Каждый подключен к серверу SambasmbdPID демона. Этот отчет включает имя пользователя, основную группу, версию протокола SMB, информацию о шифровании и подписи.
• Количество подключений, разделяемых каждой Samba. Этот отчет содержитsmbdPID демона, IP-адрес подключенного компьютера, отметка времени установления соединения, информация о шифровании и подписи.
• Список заблокированных файлов. Запись отчета содержит более подробную информацию, такую ​​как тип условной блокировки (oplock).

Пример 13: вывод утилиты smbstatus

~]# smbstatus
Samba version 4.6.2
PID Username Group Machine
Protocol Version Encryption Signing
--------------------------------------------------------------------
---------------------------------------------------------
963 DOMAINadministrator DOMAINdomain users client-pc
(ipv4:192.0.2.1:57786) SMB3_02 - AES-128-CMAC
Service pid Machine Connected at Encryption
Signing:
--------------------------------------------------------------------
-----------
example 969 192.0.2.1 Mo Sep 1 10:00:00 2017 CEST - AES-
128-CMAC
Locked files:
Pid Uid DenyMode Access R/W Oplock SharePath
Name Time
--------------------------------------------------------------------
----------------------------------------
969 10000 DENY_WRITE 0x120089 RDONLY LEASE(RWH) /srv/samba/example
file.txt Mon Sep 1 10:00:00 2017

Для получения дополнительной информации см. Справочную страницу smbstatus (1).

9.9 Использование утилиты smbtar

smbtarУтилита выполняет резервное копирование содержимого общего ресурса SMB или его подкаталогов и сохраняет содержимое в архивном файле tar. Кроме того, вы можете записать содержимое на ленточное устройство.

Например, для резервного копирования ** / сервер / пример / поделитьсянаdemoСодержимое каталога и хранить содержимое в/root/example.tar** в архиве:

~]# smbtar -s server -x example -u user_name -p password -t /root/example.tar

Для получения дополнительной информации см. Справочную страницу smbtar (1).

9.10 Использование утилиты testparm

См. Раздел 2 «Проверка файла smb.conf с помощью утилиты testparm».

9.11 Использование утилиты wbinfo

wbinfoУтилита запрашивает и возвращаетwinbinddИнформация о создании и использовании услуг.

Пометки

winbinddСлужба должна быть настроена и запущена для использованияwbinfo。

Например, вы можете использоватьwbinfoПриходить:

• Список пользователей домена:

~]# wbinfo -u
ADadministrator
ADguest
...

• Список групп домена:

  ~]# wbinfo -g
  ADdomain computers
  ADdomain admins
  ADdomain users
  ...
  

• Показать SID пользователя:

  ~]# wbinfo --name-to-sid="ADadministrator"
  S-1-5-21-1762709870-351891212-3141221786-500 SID_USER (1)
  

• Показать информацию о доменах и трастах:

  ~]# wbinfo --trusted-domains --verbose
  Domain Name DNS Domain Trust Type Transitive In
  Out
  BUILTIN None Yes Yes
  Yes
  server None Yes Yes
  Yes
  DOMAIN1 domain1.example.com None Yes Yes
  Yes
  DOMAIN2 domain2.example.com External No Yes
  Yes
  

Для получения более подробной информации см. Справочную страницу wbinfo (1).

10. Другие ресурсы

• Пакет Red Hat Samba содержит справочные страницы для всех команд Samba и файлов конфигурации, используемых для установки пакета. Например, чтобы отобразить справочную страницу файла ** / etc / samba / smb.conf **, указав все параметры конфигурации, которые вы можете установить в этом файле:

~]# man 5 smb.conf

• /usr/share/docs/samba-version/Содержит общие документы, предоставленные проектом Samba, примеры сценариев и файлы режима LDAP.

• “Руководство по управлению хранилищем Red Hat Cluster»: Предоставить информацию о настройке Samba и Cluster Simple Database (CDTB) для совместного использования каталогов, хранящихся на томе GlusterFS.

• “Руководство по управлению кластером Red Hat Enterprise Linux 6В разделе «Конфигурация кластера Samba» в разделе «» описано, как настроить установку высокой доступности Samba.

  Этот документ в настоящее время не применяется к последней версии Red Hat Enterprise Linux.

• Для получения дополнительной информации о монтировании общих ресурсов SMB в Red Hat Enterprise Linux см. «Руководство по управлению хранением Red Hat Enterprise Linux».