Доменный администратор astra linux

Содержание

Astra Linux Special Edition 1.5 ⬝ Ввод в домен Windows AD и настройка SSO
Ввод Astra Linux в домен Windows
Разблокирование суперпользователя (root)
Настройка сети
Установка требуемых пакетов
Настройка конфигурационных файлов
Настройка Apache и Postgresql на работу с Kerberos
sudo и Администраторы домена, Windows
OIvanov
vic-tor
3d3
vic-tor
3d3
vic-tor
3d3
vic-tor

Astra Linux Special Edition 1.5 ⬝ Ввод в домен Windows AD и настройка SSO

Описание процесса настройки Astra Linux для ввода в домен Windows. Настройка SAMBA, Winbind, Apache и Postgresql.

Данная статья применима к:

Напоминаем о том, что перед вводом клиента в AD или ALD необходимо корректно настроить сеть.

Внимание! Если в дальнейшем будет изменятся конфигурационный файл samba, будет выполнено повторное введение в AD или возникнет затруднение, то обязательно потребуется очистка каталогов /var/cache/samba/* и /var/lib/samba/*

Ввод Astra Linux в домен Windows

Исходные данные:

Имя — dc
Домен – dev.local
ОС — Windows Server 2008 R2. Настроен как контроллер домена
ip — 192.168.1.1

Имя – ws3
ОС — Astra Linux 1.5 SE. Установлена без ALD и без режима киоска. Из дополнительного ПО на этапе установки выбрано: базовые средства, рабочий стол Fly, средства работы в сети, сетевые сервисы, СУБД.
ip — 192.168.1.3

Разблокирование суперпользователя (root)

Для более удобной работы разблокируем учётную запись root:

root разблокирован. Можно использовать su или перезайти root-ом. Можно не использовать учётную запись root, а команды выполнять с использованием sudo.

По завершении настроек учётную запись root необходимо заблокировать!

Настройка сети

В начало файла /etc/hosts добавить строки:

192.168.1.3 ws3.dev.local ws3 127.0.0.1 localhost

Строку с 127.0.1.1 ws3 удалить.

Убедиться, что в файле /etc/hostname правильно указано имя машины:

Назначим статический ip-адрес. В файл /etc/network/interfaces добавить строки:

auto eth0 iface eth0 inet static address 192.168.1.3 gateway 192.168.1.1 netmask 255.255.255.0

Создать файл /etc/resolv.conf и добавить строки:

domain dev.local search dev.local nameserver 192.168.1.1

Перезапустим сетевую службу:

Установка требуемых пакетов

Проверить установлены ли samba, winbind, ntp, apache2 и postgresql:

apt-get install nscd nslcd libpam-winbind libpam-krb5 libapache2-mod-auth-kerb php5 php5-pgsql php5-sybase php5-ldap libsasl2-modules-ldap libsasl2-modules-gssapi-mit krb5-user

Настройка конфигурационных файлов

Редактируем файл /etc/krb5.conf и добавляем недостающую информацию в соответствующие разделы:

[libdefaults] default_realm = DEV.LOCAL krb4_config = /etc/krb.conf krb4_realms = /etc/krb.realms kdc_timesync = 1 ccache_type = 4 forwardable = true proxiable = true v4_instance_resolve = false v4_name_convert = < host = < rcmd = host ftp = ftp >plain = < something = something-else >> fcc-mit-ticketflags = true [realms] DEV.LOCAL = < kdc = dc.dev.local admin_server = dc.dev.local default_domain = dev.local >[domain_realm] .dev.local = DEV.LOCAL dev.local = DEV.LOCAL [login] krb4_convert = true krb4_get_tickets = false

Редактируем файл /etc/samba/smb.conf. Если каких-то параметров нет, то добавляем:

[global] workgroup = DEV realm = DEV.LOCAL os level = 0 invalid users = root load printers = no show add printer wizard = no printcap name = /dev/null disable spoolss = yes dns proxy = no security = ads kerberos method = secrets and keytab dedicated keytab file = /etc/krb5.keytab encrypt passwords = true domain logons = no socket options = TCP_NODELAY local master = no domain master = no preferred master = no idmap config * : range = 10000-20000 idmap config * : backend = tdb template shell = /bin/bash template homedir = /home/%D/%U winbind enum groups = yes winbind enum users = yes winbind use default domain = yes winbind offline logon = yes winbind refresh tickets = yes

Если в дальнейшем будет изменятся конфигурационный файл samba, обязательно требуется очистка каталогов /var/cache/samba/* и /var/lib/samba/*

Проверим, нет ли ошибок в конфигурации samba, выполнив команду:

Редактируем файл /etc/security/limits.conf. Добавляем в конец:

* - nofile 65536 root - nofile 65536

passwd: compat winbind group: compat winbind shadow: compat hosts: files dns networks: files protocols: db files services: db files ethers: db files rpc: db files netgroup: nis

Редактируем файл /etc/pam.d/common-session. Добавляем в конец:

session optional pam_mkhomedir.so skel=/etc/skel/ umask=0077

service samba restart
service winbind restart
service ntp restart
service nscd restart
service nslcd restart

В результате успешного выполнения предыдущей команды должен появиться файл /etc/krb5.keytab. Просмотреть список принципалов в этом файле можно командой:

service samba status
service winbind status
service nscd status
service nslcd status
service apache2 status
service postgresql status

Настройка Apache и Postgresql на работу с Kerberos

Редактируем файл /etc/apache2/sites-available/default. Настраиваем директорию на использование Kerberos:

 AuthType Kerberos KrbServiceName host/ws3.dev.local@DEV.LOCAL Krb5Keytab /etc/krb5.keytab KrbMethodK5Passwd off KrbLocalUserMapping on KrbSaveCredentials on Require valid-user

Принципал, задаваемый параметром KrbServiceName, должен быть в файле таблицы ключей /etc/krb5.keytab. Проверить можно командой:

Назначим права для пользователя www-data, от имени которого работает Apache, для доступа к macdb и к файлу таблицы ключей:

usermod -a -G shadow www-data
setfacl -d -m u:www-data:r /etc/parsec/macdb
setfacl -R -m u:www-data:r /etc/parsec/macdb
setfacl -m u:www-data:rx /etc/parsec/macdb
setfacl -m u:www-data:r /etc/krb5.keytab

Всем доменным пользователям, которым требуется доступ к веб-серверу, необходимо назначить метки безопасности и уровни:

listen_addresses = '*' krb_server_keyfile = '/etc/krb5.keytab' krb_caseins_users = off

Редактируем файл /etc/postgresql/9.4/main/pg_hba.conf:

local all all peer host all all 192.168.1.0/24 gss

Назначим права для пользователя postgres, от имени которого работает Postgresql, для доступа к macdb и к файлу таблицы ключей:

usermod -a -G shadow postgres
setfacl -d -m u:postgres:r /etc/parsec/macdb
setfacl -R -m u:postgres:r /etc/parsec/macdb
setfacl -m u:postgres:rx /etc/parsec/macdb
setfacl -m u:postgres:r /etc/krb5.keytab

На контроллере домена dc нужно добавить принципала к учётной записи машины ws3, для чего выполнить команду от имени администратора:

Источник

Читайте также: Amd gpu settings linux

sudo и Администраторы домена, Windows

Доброго времени суток,
Рассматриваю вариант интеграции Astra linux на предприятии.
Ввел в домен под управлением Windows Server, без проблем.
Попытался получить sudo под пользователем из группы «Администраторы домена», система сообщила, что этого пользователя нет в фале sudoers. Перекопал интернет, решений много, но результатов не дало.
Прошу помощи с настройкой выдачи прав sudo пользователям, этой группы.

Также есть ряд вопросов.
.Сейчас использую RAdmin, есть ли аналог для Astra linux, с возможностью смены пользователя (тоесть осуществить выход из системы одним пользователей и вход под другим, удаленно)
.Есть принтеры и МФУ, HP, Samsung, Konika Minolta, Xerox, от старых моделей (10 летней давности) до современных. Подключенных как локальной сети на прямую, так и «расшарены» в сеть через подключение к компьютеру.
.Подозреваю, будет потребность работы Wine

Все ли это удастся реализовать?

OIvanov

New member

Все ли это удастся реализовать?

А зачем всем пользователям админские права? Права sudo можно получать командой su username (с привилегиями astra-admin)

В качестве RAdmin не подойдёт ли xrdp? Удалённый рабочий стол виндовый.

vic-tor

New member

А зачем всем пользователям админские права? Права sudo можно получать командой su username (с привилегиями astra-admin)

В качестве RAdmin не подойдёт ли xrdp? Удалённый рабочий стол виндовый.

Не всем пользователям, а только членам группы «Администраторы домена». Хотя рассмотрю этот вариант. Но все же хочу понять как это реализовать.

xrdp — позволяет совместно с пользователем компьютера работать?

3d3

New member

Разработчик крайне негативно относятся к этим виндузятникам так что забудьте!

Часть функций администрирования не работает, вы не увидите действия пользователя. У меня завелся x11vnc для того чтобы видеть рабочий стол пользователя и его действия.

vic-tor

New member

3d3

New member

Хреново, есть софт, которого под linux нет

x11vnc — можно подключится чтобы ввесли логин и пароль на экране входа пользователя?

У меня отваливается соединение при выходе из пользователя, но после пере подключения можно заходить под другим пользователем.
https://forum.astralinux.ru/threads/1086/post-5607

vic-tor

New member

Скажите, у вас есть опыт интеграции сего дистрибутива, в предприятиях?. Хотелось бы опыт узнать

3d3

New member

Опыта нет. Обучения нет, Опыт работы с линкус небольшой, но его больше чем у коллег. Сейчаc сам пытаюсь отработать разворачивания небольшого бизнес центра на десяток машин с принтерами hp и xerox. Поставленные задачи не большие — это полный удаленный контроль, доступ в интернет и возможность печати из чего то напоминающего православный микрософт оффис, есть желание поставить МойОфис но пока себя сдерживаю . Начальство подкидывает идеи типа скайпа (с вопросами решена), оригинальный акробатридер (не решена и похоже не будет решена), запуск программ через вайн (не решена и похоже не будет решена) но это второстепенные задачи и моя позиция пусть мажеры мучаются, так как в описании бизнес центра будет упоминание что используется отечественное программное обеспечение во всей своей «первозданной дикой необъезженной красоте».

vic-tor

New member

Опыта нет. Обучения нет, Опыт работы с линкус небольшой, но его больше чем у коллег. Сейчасм сам пытаюсь отработать разворачивания небольшого бизнес центра на десяток машин с принтерами hp и xerox. Поставленные задачи не большие — это полный удаленный контроль, доступ в интернет и возможность печати из чего то напоминающего православный микрософт оффис, есть желание поставить МойОфис но пока себя сдерживаю . Начальство подкидывает идеи типа скайпа (с вопросами решена), оригинальный акробатридер (не решена и похоже не будет решена), запуск программ через вайн (не решена и похоже не будет решена) но это второстепенные задачи и моя позиция пусть мажеры мучаются, так как в описании бизнес центра будет упоминание что используется отечественное программное обеспечение во всей своей «первозданной дикой необъезженной красоте».

Хочется говорить на исконно русском, но воспитание не позволяет, да и админы будут не в восторге.

Мне вот, организация на 3 000 людей светит. Windows AD, PROXY, сеть 3 уровня. Полный привет.

Поставлена цель найти Linux решение, и началось . .

Сейчас ищу подходящую систему, по обертке Astra вроде порадовала, а как распаковал, посыпался вопросами.

Источник