Truedoc

h1. Come installare OpenPrivacy

Le seguenti istruzioni sono obsolete, non verranno aggiornate, e fanno riferimento ad Debian Sarge; restano come _percorso manuale_ per l'installazione, dal Maggio 2006 infatti è disponibile un pacchetto Debian realizzato appositamente per automatizzare tutta la procedura. Si tenga presente però che il pacchetto è stato sviluppato per Debian Sarge e non è aggiornato né funziona sulle versioni successive.

Infine l'uso dei due pacchetti truelite-fileserver e truelite-proxyserver (vedi http://labs.truelite.it/packages) permette di riottenere sostanzialmente le stesse funzionalità, i pacchetti sono aggiornati e funzionano su Etch (ma non su Sarge), inoltre dovrebbero essere in grado di funzionare anche su Ubuntu.

h2. Il sistema base

Tralasciamo ovviamente le istruzioni per installare una Debian Sarge; si presuppone di poter disporre di un computer con un sistema minimale già installato. La lista degli ulteriori pacchetti necessari viene fornita con l'archivio delle configurazioni di [[OpenPrivacy]], per cui basterà installarla con:

<pre>

dpkg --set-selections < listapacchetti.txt

apt-get dselect-upgrade

</pre>

Alle varie domande di _debconf_ si può rispondere come si vuole (ad esempio accettando i default), in quanto poi le configurazioni di base le rifaremo da zero usando quelle distribuite con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy. L'unica eccezione è per le domande relative alla installazione del demone di LDAP (@slapd@).

Una volta installati i pacchetti è opportuno di predisporre l'uso delle ACL sul filesystem, per permetterne l'utilizzo diretto da parte di Samba e per avere uniformità in un eventuale accesso fatto da Linux; per questo rimonteremo gli opportuni filesystem utilizzando l'opzione _acl_, un esempio potrebbe essere una riga del tipo:

<pre>

/dev/sda6       /      ext3    defaults,errors=remount-ro,acl 0     0      

</pre>

in @/etc/fstab@. Fatto questo cambiamento occorrerà rimontare il filesystem (si abbia premura di usare un filesystem che supporta le ACL, cioè ext3, reiser o XFS).

h2. La configurazione di LDAP

Nella configurazione iniziale di slapd le informazioni inserite con _debconf_ vengono usate per creare l'infrastruttura di base del database ed impostare la relativa password di amministratore. Se non si sono inseriti dei valori validi conviene cancellare tutto (@apt-get remove --purge slapd; rm -f /var/lib/ldap/*@) e reinstallare il pacchetto da capo.

La radice del database LDAP distribuita di default con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy usa il dominio @azienda.local@, questo andrà modificato a seconda delle proprie esigenze. In generale quello che deve essere fatto è inserire nelle schermate di configurazione il dominio voluto (la radice dell'albero LDAP sarà creata di conseguenza), in nome della organizzazione e la password dell'amministratore di LDAP. Alle altre domande si può rispondere con i valori di default.

Per verificare l'installazione iniziale dell'infrastruttura del database si possono usare i comandi del pacchetto ldap-utils, questi usano le configurazioni standard della libreria client @libldap@ che stanno in @/etc/ldap.conf@. Le due righe da modificare sono le seguenti:

<pre>

BASE    dc=azienda, dc=local

URI     ldap://127.0.0.1/

</pre>

a questo punto con @ldapsearch -x@ si dovrebbero ottenere i dati presenti nel database (in sostanza solo la voce per l'utente di amministrazione di LDAP).

Il secondo passo è predisporre la configurazione di LDAP, che sarà posto in ascolto solo sul _localhost_; per questo motivo occorre anzitutto copiare lo schema fornito con Samba che è necessario per la configurazione, con:

<pre>

zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > \

/etc/ldap/schema/samba.schema

</pre>

Il secondo passo è utilizzare la configurazione distribuita con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy, copiando il relativo @/etc/ldap/slapd.conf@; questo prevede una serie di modifiche relative all'aggiunta di indici e permessi di accesso ai vari attributi usati da Samba e per l'autenticazione.

Inoltre occorre modificare _/etc/default/slapd_ (la versione distribuita con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy contiene la modifica) per lanciare LDAP in ascolto solo su _localhost_, questo richiede l'inseremento della riga:

<pre>

SLAPD_SERVICES="ldap://127.0.0.1"

</pre>

ed il riavvio del server.

h2. La configurazione di PAM e NSS per l'autenticazione Unix

Anzitutto si devono installare i due pacchetti @libpam-ldap@ e @libnss-ldap@, che contengono il supporto per il Pluggable Authentication Method e per il Name Service Switch su LDAP.

Il primo passo è configurare il Name Service Switch, in questo caso si può prendere il file @libnss-ldap.conf@ dalla distribuzione di _OpenPrivacy_, ma nelle ultime versioni debconf genera di suo un file corretto all'installazione di @libnss-ldap@, chiedendo i dati locali (il dominio). Tutto quello che serve in effetti è una riga del tipo:

<pre>

base dc=azienda,dc=local

</pre>

per velocizzare l'accesso locale ai dati si può anche installare il demone @nscd@.

Occorrerà poi modificare anche il file @/etc/nsswitch.conf@ per inserire la consultazione dei dati su LDAP, la versione distribuita con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy contiene le modifiche necessarie.

Se era precedentemente installato si abbia cura di riavviare il demone @nscd@ e verificare il funzionamento del sistema con @getent passwd@, @getent group@, verificando la presenza degli eventuali utenti messi su LDAP.

Il secondo passo è configurare PAM; in questo caso occorre copiare i vari file @common-*@ forniti con _OpenPrivacy_ nella directory @/etc/pam.d@, questi sono utilizzati dai vari servizi, e contengono le modifiche necessarie a far sì che le informazioni di autenticazione vengano richiesta su LDAP.

A questi si aggiunge il file @pam_ldap.conf@ (che sta direttamente sotto @/etc@), che contiene le informazioni di accesso al database. Di nuovo in questo caso occorrerà modificare la versione distribuita per utilizzare i dati del proprio database, in sostanza le due righe righe:

<pre>

...

base dc=azienda,dc=local

...

rootbinddn cn=admin,dc=azienda,dc=local

</pre>

h2. La configurazione di Samba

Anzitutto occorre copiare la configurazione fornita su @/etc/samba/smb.conf@, di nuovo occorrerà modificare i dati relativi alla radice dell'albero LDAP adattandoli alla propria realtà e poi riavviare il servizio; le righe interessate sono le seguenti:

<pre>

...

workgroup = OPENPRIVACY

...

ldap admin dn = cn=admin,dc=azienda,dc=local

ldap suffix = dc=azienda,dc=local

</pre>

Per poter poi utilizzare l'accesso a LDAP è necessario istruire Samba riguardo la password dell'utente di amministrazione dello stesso, con:

<pre>

smbpasswd -w password_segreta

</pre>

(la password specificata sarà visibile sullo schermo).

Fatto questo si può procedere a creare l'infrastruttura per Samba, per questo c'è uno script apposito distribuito con i file di "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy, che crea le directory sotto @/home@ per i profili ed il netlogon, ed imposta i valori relativi alla massima durata delle password ed al numero di password precedenti tenute in memoria che non possono essere riutilizzate. Lo script è @setsamba.sh@ e prende due argomenti; ad esempio con:

<pre>

./setsamba.sh 175 3

</pre>

si imposta una durata delle password di 175 giorni ed uno storico di tre password.

La configurazione di base di "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy prevede la presenza di due cartelle condivise (amministrazione e commerciale); non è invece previsto l'uso di cartelle personali degli utenti, dei quali verranno utilizzati solo i dati di autenticazione ed i permessi.

Una volta completata la configurazione base si possono usare gli script di gestione del pacchetto smbldap, questo prevede l'uso di due file di configurazione sotto @/etc/smbldap/@, forniti con OpenPrivacy, ma che devono comunque essere adattati alle proprie esigenze.

In particolare in @smbldap_bind.conf@ deve contenere i propri dati per il collegamento al server LDAP (utente e password dell'amministratore, e base dell'albero LDAP), mentre @smbldap.conf@ contiene una serie di valori di configurazione per la strutturazione degli account che saranno inseriti nell'albero attraverso gli script del pacchetto.

Di nuovo deve essere specificata la radice dell'albero LDAP, il valore della durata delle password, il dominio di riferimento per il campo che identifica la e-mail dell'utente, ma soprattutto il valore del SID.

Quest'ultimo è fondamentale per il funzionamento di Samba, e variando da macchina a macchina deve essere ottenuto interrogando direttamente il server Samba una volta che questo è attivo; questo si fa usando il comando:

<pre>

net getlocalsid

</pre>

che darà luogo ad un risultato del tipo:

<pre>

ellington:~# net getlocalsid

SID for domain ELLINGTON is: S-1-5-21-3844212382-3281708373-568733493

</pre>

ed in questo caso si dovrà copiare @S-1-5-21-3844212382-3281708373-568733493@ come valore della variabile di configurazione SID di @smbldap.conf@. Un esempio delle righe da modificare è il seguente:

<pre>

...

SID="S-1-5-21-3844212382-3281708373-568733493"

...

suffix="dc=azienda,dc=local"

...

defaultMaxPasswordAge="175"

...

userSmbHome="\\ELLINGTON\homes"

userProfile="\\ELLINGTON\profiles\%U"

mailDomain="azienda.local"

</pre>

Una volta fatto questo si potrà creare l'infrastruttura iniziale del database di LDAP per l'uso di Samba come PDC usando lo script @smbldap-populate@:

<pre>

ellington:~# smbldap-populate

Using workgroup name from sambaUnixIdPooldn (smbldap.conf): 

sambaDomainName=OPENPRIVACY

Using builtin directory structure

entry dc=azienda,dc=local already exist.

adding new entry: ou=Users,dc=azienda,dc=local

adding new entry: ou=Groups,dc=azienda,dc=local

adding new entry: ou=Computers,dc=azienda,dc=local

adding new entry: ou=Idmap,dc=azienda,dc=local

adding new entry: uid=Administrator,ou=Users,dc=azienda,dc=local

adding new entry: uid=nobody,ou=Users,dc=azienda,dc=local

adding new entry: cn=Domain Admins,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Domain Users,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Domain Guests,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Domain Computers,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Administrators,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Print Operators,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Backup Operators,ou=Groups,dc=azienda,dc=local

adding new entry: cn=Replicators,ou=Groups,dc=azienda,dc=local

</pre>

A questo punto occorre anche impostare la password per l'utente di amministrazione del dominio, cioè administrator, questo si fa direttamente con con il comando fornito dagli script di smbldap:

<pre>

ellington:~# smbldap-passwd administrator

Changing password for administrator

New password :

Retype new password :

</pre>

A questo punto si potranno inserire degli utenti con gli script di amministrazione; ad esempio si potrà creare un utente con:

<pre>

smbldap-useradd -m -a prova

</pre>

ed impostarne la password con:

<pre>

smbldap-passwd prova

</pre>

E si potrà verificare se il meccanismo funziona eseguendo un login sia Unix ssh prova@ellington che Windows @smbclient //ELLINGTON/amministrazione -U prova@.

L'assegnazione di nuovi utenti viene controllata dal valore che viene memorizzato all'interno dell'albero stesso, nello speciale dominio SMB3, che contiene solo due attributi, _gidNumber_ e _uidNumber_ che dichiarano rispettivamente il primo _group-ID_ e _user-ID_ disponibili (questi valori vengono solo incrementati, per cui gli ID non verranno riciclati se si cancella un utente).

Per modificare il valore di default, che su Debian è di 1000, si può usare un qualunque programma di accesso all'albero (come gq) per sovrascriverne i valori.

h2. La configurazione delle interfacce di gestione via web

La prima interfaccia che si può utilizzare è LAM (LDAP Account Manager), che viene distribuita direttamente come pacchetto Debian con ldap-account-manager. La configurazione di default sta sotto @/etc/ldap-account-manager/@, e prevede un unico profilo di nome lam e password lam.

La configurazione di LDAP Account Manager si effettua interamente dalla interfaccia web, che è disponibile direttamente come:

<pre>

http://localhost/lam

</pre>

e si otterrà la schermata di login.

In genere la prima cosa da fare è creare un proprio profilo, per questo si deve usare utilizzare il link in alto a destra _Configuration Login_ e collegarsi con il profilo e la password predefinita. Saranno così disponibili i due collegamenti _Manage profiles_ e _Configuration wizard_.

L'uso di _Manage profiles_ consente di creare un nuovo profilo ed cambiare la password, e di cancellare il vecchio. E' sempre opportuno definire il proprio e cambiare la password master. Inoltre è opportuno pure rimuovere il profilo di default. Questo però causerà dei problemi al rientro nella schermata di login, che fa riferimento ad esso. Per questo conviene, una volta creato il poprio profile, modificare direttamente a mano la configurazione in @/etc/ldap-account-manager/config.cfg@, mettendo le due righe:

<pre>

# password to add/delete/rename configuration profiles

password: miapassword

# default profile, without ".conf"

default: mioprofilo

</pre>

L'uso di Configuration wizard permette di creare la configurazione per l'accesso ai dati, i valori di default usati per le varie ou dei dati dell'albero sono diversi rispetto a quelli creati da @smbldap-populate@ e dagli script di IDEALX, per cui occorrerà modificare i default.

Inoltre nel caso di @smbldap-populate@ non esiste una unità operativa destinata ai domini, per cui questi vengono registrati direttamente sotto la base, e così dovranno essere specificati anche con LDAP Account Manager.

NOTA:

quando si usa @ldapsam:trusted = yes@ si deve avere cura che il gruppo primario dell'utente Administrator (o quello che si usa come amministratore di dominio) sia definito su LDAP, in genere il gruppo 0, creato di default da @smbldap-populate@, non lo è per cui occorre o cambiare o creare un gruppo con quel valore di GID su LDAP.