Configurando administradores de domínio no Samba

ragnarök

Muitas pessoas possuem dúvidas sobre como configurar o PDC Samba de forma que um usuário tenha privilégios administrativos nas estações Windows do domínio. Este artigo explica a "maneira correta" de se fazer isto, fazendo-se mapeamentos entre grupos Windows e *NIX.

[ Hits: 142.027 ]

Por: Daniel Carmo Olops em 25/01/2005

1 0

Denuncie Favoritos Indicar Impressora

Configuração do SaMBa

Este é o último passo =). Como este passo varia de acordo com a versão do Samba, então verifique antes a versão que você está rodando, com o comando:

$ smbd -V

Samba 2.x

Edite o arquivo smb.conf e acrescente a seguinte linha na seção [global]:

domain admin group = god

Onde "god" é o nome de seu grupo Linux de usuários, definido no passo anterior.

Feita a alteração, reinicie o servidor Samba para ativar a alteração.

OBS: O Samba 2.x não tem recursos para mapear os grupos Domain Users e Domain Guests. Logo, o único mapeamento possível é o do Domain Admins.

Samba 3.x

Você deve usar o subcomando GROUPMAP do comando net, conforme segue:

# net groupmap modify ntgroup="Domain Admins" unixgroup=god

Substitua o god pelo que você tiver definido no passo anterior.

Feita a alteração, o Samba já deverá reconhecer o mapeamento e, desta forma, permitir que estes usuários tenham privilégios administrativos no Windows.

Repita o passo acima com os grupos NT "Domain Users" e "Domain Guests", mapeando-os para seus grupos Linux correspondentes.

OBS: Caso o Samba 3.x esteja configurado para autenticar via LDAP, o comando acima deve sofrer uma pequena alteração: no lugar de "modify", use "add", para ADICIONAR os grupos. Isto ocorre pois, em modo LDAP, os grupos NT não são criados por padrão!

Caso tenha dúvidas neste artigo, entre em contato pelo e-mail danielolops at yahoo.com.br.

Abraços!

Página anterior

Páginas do artigo

   1. Preliminares
   2. Configuração do Linux
   3. Configuração do SaMBa

Outros artigos deste autor

Administrando seu servidor Samba com o User Manager

Configuração automática (mesmo) de proxy com WPAD

Leitura recomendada

HOWTO Samba

Servidor de arquivos integrado com Active Directory (AD) e quota de usuário/grupo

Servidor Samba como PDC

Enrolado para configurar o Samba? Chame o SWAT

Samba + DHCP + Webmin em 3 distribuições Linux

Comentários

[1] Comentário enviado por fabio em 25/01/2005 - 01:12h

Nem sabia que existia esse recurso no Samba. Na verdade acho que nunca imaginei isso por nunca ter sido usuário ou administrador de uma rede Windows.

Achei muito bacana esse recurso, se eu soubesse disso antes teria usado numa instalação que fiz no mês passado :)

Parabéns pelo artigo Daniel. Ah, e parabéns pelo português empregado também.

[]'s

0 0

[2] Comentário enviado por gelemeurer em 25/01/2005 - 15:55h

Legal, vai pros favoritos!

[]s

GM

0 0

[3] Comentário enviado por removido em 14/03/2005 - 23:21h

Olá amigo!

Primeiramente parabens pela exelente qualidade do artigo!.

Amigo só uma duvida esses direitos de administrador, seria por exemplo o usuario alterar, deletar e inserir arquivos em qualquer pasta?.

0 0

[4] Comentário enviado por Ragnarök em 15/03/2005 - 11:17h

Isso mesmo. Ao dar permissões de administrador para algum usuário no domínio, ele poderá alterar arquivos alheios e configurações de sistema em qualquer máquina da rede 8-) Ou seja, ele adquire as permissões da conta Administrador, só que em qualquer máquina do domínio.

[]s

0 0

[5] Comentário enviado por pr02nl em 14/06/2006 - 14:36h

Olá amigo, primeiramente parabens pelo artigo!
Gostaria de saber como eu faço para dar a todos os usuarios do meu dominio o privilegio de usuario avançado do windows!
Quando adiciono um novo usuario no samba automaticamente ele é um usuario comum do windows, mais eu queria que ele fosse um usuario avançado, como faço isso?

0 0

[6] Comentário enviado por Ragnarök em 16/06/2006 - 09:31h

Isto é possível, mas dá um pouquinho de trabalho... Dê uma olhada neste link (em Inglês, não conheço tradução dele para o Português):

http://us1.samba.org/samba/docs/man/Samba-HOWTO-Collection/NetCommand.html#autopoweruserscript

[]s

0 0

[7] Comentário enviado por pr02nl em 16/06/2006 - 15:14h

Eu fiz a mesma coisa que vc fez no seu tutorial, trocando apenas ntgroup="Domain Admins" por ntgroup="Power Users", parece que funcionou!
Valeu!

0 0

[8] Comentário enviado por nissieloin em 10/08/2006 - 09:26h

Muito bom mesmo este artigo, achei interessante e vai ajudar muito no meu dia-a-dia... Já tá no favoritos.

0 0

[9] Comentário enviado por coffani em 22/09/2006 - 09:15h

Kra eu estava procurando por isso ja faz mais de uma semana, meu chefe ta querendo isso...

Valeu pelo tutorial, parabéns ficou muito bom, simples e bem explicado.. Parabéns mesmo.

0 0

[10] Comentário enviado por Yrrak em 16/08/2007 - 10:04h

?comentario= Bom dia,
Estou com um problema aqui, achei que seu artigo me ajudaria mas não deu certo mas ainda teimo que meu probema tem relação a sua solução.

Tenho 2 usuários cadastrados no meu domínio (root e kurumin) o root está definido como administrador (admin users = root) e o kurumin faz parte do grupo de usuários administradores (domain admin group = @god). Mas quando logo num cliente com um desses 2 usuários eu não consigo instalar programas. Alguém sabe como resolvo este problema?

Obrigado

0 0

[11] Comentário enviado por israel_miranda em 30/11/2007 - 15:56h

Bem, a partir da versão 3.023 do samba, os grupos de domínio não são mais automaticamente criados. O que provavelmente está acontecendo é que a sua versão de samba é 3.023 ou superior, e esses grupos não existem. Crie o grupo "Domain Admins" no samba primeiro, para depois associa-lo a um grupo do linux, e adicione a esse grupo do linux os usuários que você deseja usar para administrar domínios.

http://us1.samba.org/samba/docs/man/Samba-HOWTO-Collection/NetCommand.html#id363412

0 0

[12] Comentário enviado por Ragnarök em 18/03/2008 - 19:47h

Atualizando o artigo:

Como o israel_miranda disse, a partir da versão 3.0.23, os grupos não são criados automaticamente, portanto o comando net deve ser usado com esta sintaxe:

- Administradores:
net groupmap add ntgroup="Domain Admins" unixgroup=god rid=512
- Usuários:
net groupmap add ntgroup="Domain Users" unixgroup=ntuser rid=513
- Convidados:
net groupmap add ntgroup="Domain Guests" unixgroup=ntguest rid=514

Obs.: o que vai no parâmetro unixgroup varia de acordo com a sua configuração, ou você pode criar o seu padrão. Hoje em dia, eu uso "ntadmin" para administradores, "ntuser" para usuários e "ntguest" para convidados. Claro que estes grupos precisam existir antes, e para que o privilégio adequado funcione, o usuário precisa ter um destes grupos como o seu primário.

[]s

0 0

[13] Comentário enviado por israel_miranda em 19/03/2008 - 11:02h

Ragnarök, o usuário não precisa ter um destes grupos como primário.
Ao menos na rede que eu administro, o usuário administrador do domínio tem outro grupo primário que não está mapeado no samba, e executo todas as operações de administração com esse usuário normalmente.

0 0

[14] Comentário enviado por Ragnarök em 19/03/2008 - 14:19h

Israel, creio que a questão aqui é mais de boas práticas mesmo =) O que você falou deve funcionar mesmo (não testei), mas o ideal é que:
- Todos os grupos dos quais os usuários fazem parte estejam mapeados para o Samba, e não apenas os 3 principais;
- O grupo primário do usuário seja um dos 3: Domain Admins, Domain Users ou Domain Guests.

[]s

0 0

[15] Comentário enviado por israel_miranda em 19/03/2008 - 18:18h

A questão seria mais de necessidade.
Eu prefiro separar o grupo de domínio do samba do grupo do unix, por que o usuário adminstrador do domínio, é o mesmo usuário que uso para administrar o servidor, e prefiro ter o grupo com o mesmo nome do usuário, para que caso algum dia, eu delegue o direito de administrar domínios a um usuário do samba, ele não ganhe direito de "administrar"/modificar os arquivos do usuário administrador da máquina linux. Isso é muito relativo e depende da organização e hierarquia de usuários da rede.
Mas se você quer que todos os adminstradores de domínio também administrem a máquina do samba, se a máquina for exclusiva para isso pode ser uma boa. Não faço isso porque no meu caso essa mesma máquina tem outros serviços que eu restrinjo o direito de administração, por isso separo os grupos.

[]'s

0 0

[16] Comentário enviado por israel_miranda em 19/03/2008 - 18:20h

Esqueci de comentar, é mais porque o sudo está ligado para esse usuário, eu particularmente não uso sudo, mas meu chefe usa e pediu que eu instalasse, e eu configurei o sudo para o grupo administradores do qual o usuário dele faz parte também.

0 0

[17] Comentário enviado por Ragnarök em 20/03/2008 - 09:07h

Na verdade, com o esquema que sugeri, o administrador Windows não pode acessar os arquivos dos outros ou administrar o servidor. Isto só é possível se de alguma forma ele tiver permissão aos arquivos alheios, se eu usar a diretiva "admin users" ou se ele tiver UID=0. Mas como você disse, organização é muito relativo.

[]s

0 0

[18] Comentário enviado por israel_miranda em 20/03/2008 - 10:24h

Sim, mas acho que você não entendeu o meu caso.
No meu caso, o mesmo servidor que tem o samba, os usuários tem acesso ssh ao servidor para fazer algumas operaçoes. No meu caso, uso o grupo administrador para delegar direitos administrativos ao servidor, pois algumas configurações estão atreladas a esse grupo, por isso eu tenho outro grupo para administrar somente o domínio do samba.

Ragnarök, você usa alguma ferramenta para administrar o samba?
como o swat, o tal do gadmin-samba, ou alguma outra? Administro na mão mesmo, e as vezes sinto falta de uma ferramenta decente, mas todas essas que eu já usei não me satisfez muito, a melhorzinha que achei foi gadmin-samba.
[]'s

0 0

[19] Comentário enviado por Ragnarök em 20/03/2008 - 16:32h

Neste caso, você mapearia este outro grupo só de administração do domínio para Domain Admins, e o outro você criaria um mapeamento comum mesmo (sem especificar RID, e usando um nome de sua preferência), ou até deixaria de mapeá-lo.

Sobre a ferramenta, eu costumo administrar no braço mesmo. Quando muito, eu uso alguns scripts que eu montei aqui que automatizam a inclusão, alteração e exclusão. Mas uma ferramenta legal é o User Manager - inclusive, eu escrevi um artigo sobre ela:
http://www.vivaolinux.com.br/artigos/verArtigo.php?codigo=5444&pagina=1

[]s

0 0

[20] Comentário enviado por mcabral em 27/03/2008 - 15:38h

Meus Parabéns pelo artigo MUITO BOM !!!

Tenho o samba 3.0.23 rodando no OpenSuse 10.1 e funcionou beleza, só tem um pequeno problema (acho que deve ser fichinha, porém não consegui resolver), segue:

- Ao executar o USRMGR na máquina Windows, aparece os usuários do meu samba e abaixo deveria aparecer os grupos do meu samba, porém aparecem apenas os Domains Admins, Guests e Users que mapiei com o comando net groupmap passado no artigo. Minha dúvida é: Como faço para aparecer os outros grupos existentes no meu samba ? E outra: Quando crio um novo usuario ao clicar em OK para finalizar a criação ele emite uma mensagem de erro que diz "the following error occurred creating the user .." "não foi possível localizar o nome de grupo" ... Esse erro acredito estar relacionado ao não aparecimento dos grupos existentes no meu samba. Como devo proceder ?

Muito Obrigado e mais uma vez PARABÉNS PELO ARTTIGO !

0 0

[21] Comentário enviado por Ragnarök em 27/03/2008 - 17:42h

Valeu, mcabral =)

Como você disse, é bem provável que estes erros estão ocorrendo pelo fato dos demais grupos não estarem mapeados. Você pode mapeá-los com o net também, bastando apenas não especificar o RID, como hoje é feito com os "Domain *" da vida.

Aliás, eu tenho um artigo aqui que fala sobre o User Manager, não sei se você viu. O link é:
http://www.vivaolinux.com.br/artigos/verArtigo.php?codigo=5444&pagina=3

[]s

0 0

[22] Comentário enviado por mcabral em 28/03/2008 - 11:28h

Olá amigão ...

Lí o artigo sim e na verdade essa dúvida era pra ser lançada lá... Bem, pelo que entendi, me corrija se estiver errado, devo fazer o seguinte:

Já mapiei os grupos "Domains Admins " com o grupo "gerente" que possuo; o "Domains Users" com o grupo "om" que são todos os meus usuários com privilégios comuns de todos e o "Domains Guest" não usei. Gostaria de que me ajudasse no seguinte exemplo: tenho três grupos chamados: adm, inf e sec que são com direitos específicos nos seus respectivos grupos; Como devo mapeà-los ? Por favor me de um único exemplo. Eu posso mapear novamente um grupo que tenho no samba ao "Domains Users" ? como exemplo o meu grupo "adm" mapeà-lo ao "Domains Users" ? Essa é a dúvida.

RS ... Bem tomara que tenha entendido ... RS e agradeço mais uma vez pela atenção.

0 0

[23] Comentário enviado por Ragnarök em 28/03/2008 - 15:09h

Na verdade, é só fazer algo como:

net groupmap add ntgroup="Administracao" unixgroup=adm

Um grupo chamado "Administracao" surgirá no Windows, que está vinculado ao "adm" do Linux.

[]s

0 0

[24] Comentário enviado por mcabral em 28/03/2008 - 15:47h

Valeu Ragnarôk !!!

Ta funcionando que é uma beleza ... Mais uma vez Parabéns pelo Bom Trabalho.

Obrigado

0 0

[25] Comentário enviado por rosnei em 10/07/2008 - 21:28h

Muito bom o artigo e acabei achando mais sites que falam sobre o assunto deixo o link pra quem precisar

http://tetrixbr.blogspot.com/2007/09/mapeamento-de-grupos-unix-para-grupos.html

0 0