Active Directory - Muutoshistoria

Eojl: /* Linuxin liittäminen Active Directory -verkkoon */ Lisätty välilyönti.

2017-08-08T13:22:07Z

Linuxin liittäminen Active Directory -verkkoon: Lisätty välilyönti.

← Vanhempi versio		Versio 8. elokuuta 2017 kello 16.22
Rivi 122:		Rivi 122:
	session required pam_mkhomedir.so		session required pam_mkhomedir.so

	Tähän liittyen luodaan vielä ~~lopuksiAD~~:n käyttäjien kotihakemistoille hakemisto <tt>/home/AD</tt>:		Tähän liittyen luodaan vielä lopuksi AD:n käyttäjien kotihakemistoille hakemisto <tt>/home/AD</tt>:
	mkdir /home/AD		mkdir /home/AD

88.192.141.141 (23. maaliskuuta 2016 kello 13.36)

2016-03-23T13:36:25Z

← Vanhempi versio		Versio 23. maaliskuuta 2016 kello 16.36
Rivi 1:		Rivi 1:
	'''Active Directory''' (AD) on käyttäjätietokanta ja hakemistopalvelu, jolla hallitaan verkon käyttäjiä, tietokoneita ja eri resursseja. Se mahdollistaa keskitetyn resurssien jakamisen käyttäjille ja sovelluksille ja tarjoaa myös tavan nimetä, kuvata, paikallistaa, hallita ja suojata verkon resursseja.		'''Active Directory''' (AD) on käyttäjätietokanta ja hakemistopalvelu, jolla hallitaan verkon käyttäjiä, tietokoneita ja eri resursseja. Se mahdollistaa keskitetyn resurssien jakamisen käyttäjille ja sovelluksille ja tarjoaa myös tavan nimetä, kuvata, paikallistaa, hallita ja suojata verkon resursseja.

	Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu Realmd:n tai [[Samba]]n avulla. Windows-puolella Windows Server 2000 ja 2003 sisältävät Active Directory -palvelimen.		Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu Realmd:n tai [[Samba]]n avulla. Windows-puolella Windows Server 2000, 2003, 2008 sekä 2012 sisältävät Active Directory -palvelimen.

	==Realmd==		==Realmd==

Lahtis: fix

2015-10-26T18:33:16Z

fix

Mkaysi: /* ntp */ kirjoita loppuun

2014-09-02T10:06:02Z

ntp: kirjoita loppuun

← Vanhempi versio		Versio 2. syyskuuta 2014 kello 13.06
Rivi 25:		Rivi 25:
	===ntp===		===ntp===

	Viimeiseksi NTP pitäisi asettaa synkronoimaan aika Windows-palvelimelta.		Viimeiseksi NTP pitäisi asettaa synkronoimaan aika Windows-palvelimelta. Aloita asentamalla paketti <tt>ntp</tt> ja muokkaa tiedostoa <tt>/etc/ntp.conf</tt>. Kommentoi ulos kaikki rivit, jotka alkavat server ja lisää sinne rivi <tt>server WINDOWSIN_IP</tt>. Tallenna ja käynnistä ntp uudelleen

			service ntp restart

	==Samba==		==Samba==

Mkaysi: /* Realmd */ muotoilun korjaus

2014-09-02T09:23:57Z

Realmd: muotoilun korjaus

← Vanhempi versio		Versio 2. syyskuuta 2014 kello 12.23
Rivi 9:		Rivi 9:
	Varmista, <tt>nslookup</tt> komennolla, että DNS löytää Windows-palvelimen. Liitä kone domainiin komennolla <tt>sudo realm --verbose join domaini.lo -u Administrator</tt>. Administrator voidaan korvata myös muulla käyttäjällä, jolla on oikeus liittää koneita domainiin.		Varmista, <tt>nslookup</tt> komennolla, että DNS löytää Windows-palvelimen. Liitä kone domainiin komennolla <tt>sudo realm --verbose join domaini.lo -u Administrator</tt>. Administrator voidaan korvata myös muulla käyttäjällä, jolla on oikeus liittää koneita domainiin.

	Kokeile toiminta komennolla <tt>getent passwd 'DOMAINI\Administrator'</tt>. Administratorin voi korvata millä tahansa käyttäjällä. Vastaukseksi pitäisi tulla passwd-rivi muodossa ~~<tt>käyttäjä@domain.lo:*:numeroita:numeroita:käyttäjä:/home/domain/käyttäjä:/bin/bash</tt>~~		Kokeile toiminta komennolla <tt>getent passwd 'DOMAINI\Administrator'</tt>. Administratorin voi korvata millä tahansa käyttäjällä. Vastaukseksi pitäisi tulla passwd-rivi muodossa

	Seuraavaksi lightdm:n asetuksissa pitää sallia sisäänkirjautuminen muillekin, kuin käyttäjäluettelossa oleville käyttäjille. Muokataan tiedostoa <tt>/usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf<tt> (14.04:ää vanhemmilla eri tiedosto, jonka nimi pitäisi mainita myös.)		käyttäjä@domain.lo:*:numeroita:numeroita:käyttäjä:/home/domain/käyttäjä:/bin/bash

			Seuraavaksi lightdm:n asetuksissa pitää sallia sisäänkirjautuminen muillekin, kuin käyttäjäluettelossa oleville käyttäjille. Muokataan tiedostoa <tt>/usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf</tt> (14.04:ää vanhemmilla eri tiedosto, jonka nimi pitäisi mainita myös.)

	greeter-show-manual-login=true		greeter-show-manual-login=true
Rivi 21:		Rivi 23:
	Käynnistä uudelleen ja sisäänkirjautumisruudussa pitäisi olla uusi vaihtoehto "login". Anna sinne käyttäjätunnukseksi käyttäjä@domain.lo ja sisäänkirjautumisen pitäisi onnistua.		Käynnistä uudelleen ja sisäänkirjautumisruudussa pitäisi olla uusi vaihtoehto "login". Anna sinne käyttäjätunnukseksi käyttäjä@domain.lo ja sisäänkirjautumisen pitäisi onnistua.

	===ntp====		===ntp===

	Viimeiseksi NTP pitäisi asettaa synkronoimaan aika Windows-palvelimelta.		Viimeiseksi NTP pitäisi asettaa synkronoimaan aika Windows-palvelimelta.



	==Samba==		==Samba==

Mkaysi: Aloita realmd-ohje

2014-09-02T09:22:33Z

Aloita realmd-ohje

@@ Rivi 1: / Rivi 1: @@
 Active Directory (AD) on käyttäjätietokanta ja hakemistopalvelu, jolla hallitaan verkon käyttäjiä, tietokoneita ja eri resursseja. Se mahdollistaa keskitetyn resurssien jakamisen käyttäjille ja sovelluksille ja tarjoaa myös tavan nimetä, kuvata, paikallistaa, hallita ja suojata verkon resursseja.
-Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu [[Samba]]n avulla. Windows-puolella Windows Server 2000 ja 2003 sisältävät Active Directory -palvelimen.
+Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu Realmd:n tai [[Samba]]n avulla. Windows-puolella Windows Server 2000 ja 2003 sisältävät Active Directory -palvelimen.
-== Linuxin liittäminen Active Directory -verkkoon ==
+==Realmd==
 Seuraavassa toimialueeena (''domain'') palvelinta <tt>ad.firma.fi</tt> ja toimialueen ohjauskoneena (''domain controller'') toimii Windows-palvelin nimeältään <tt>server1</tt>.

Jarkko: /* Linuxin liittäminen Active Directory -verkkoon */ pilkun siirto

2009-02-04T22:24:40Z

Linuxin liittäminen Active Directory -verkkoon: pilkun siirto

← Vanhempi versio		Versio 5. helmikuuta 2009 kello 01.24
Rivi 6:		Rivi 6:
	Seuraavassa toimialueeena (''domain'') palvelinta <tt>ad.firma.fi</tt> ja toimialueen ohjauskoneena (''domain controller'') toimii Windows-palvelin nimeältään <tt>server1</tt>.		Seuraavassa toimialueeena (''domain'') palvelinta <tt>ad.firma.fi</tt> ja toimialueen ohjauskoneena (''domain controller'') toimii Windows-palvelin nimeältään <tt>server1</tt>.

	Huomaa, että asetustiedostoissa tekstin koolla on ~~väli~~,ä eli jos mallissa joku asetus on kirjoitettu isolla, se tulee kirjoittaa asetustiedostoon isoilla kirjaimilla		Huomaa, että asetustiedostoissa tekstin koolla on väliä, eli jos mallissa joku asetus on kirjoitettu isolla, se tulee kirjoittaa asetustiedostoon isoilla kirjaimilla

	Aluksi on asennettava tarvittavat ohjelmat. [[Debian]]-pohjaisissa järjestelmissä on asennettava paketit <tt>krb5-user winbind samba ntpdate</tt> ja <tt>libpam-modules</tt>. Muista jakeluista löytynee paketit suunnilleen samoilla nimillä. Lisätietoja pakettien asentamisesta löytyy artikkelista [[Ohjelmien asentaminen]].		Aluksi on asennettava tarvittavat ohjelmat. [[Debian]]-pohjaisissa järjestelmissä on asennettava paketit <tt>krb5-user winbind samba ntpdate</tt> ja <tt>libpam-modules</tt>. Muista jakeluista löytynee paketit suunnilleen samoilla nimillä. Lisätietoja pakettien asentamisesta löytyy artikkelista [[Ohjelmien asentaminen]].

Heikki: ohje ubuntu suomen foorumilta

2008-09-20T20:34:45Z

ohje ubuntu suomen foorumilta

Uusi sivu

Active Directory (AD) on käyttäjätietokanta ja hakemistopalvelu, jolla hallitaan verkon käyttäjiä, tietokoneita ja eri resursseja. Se mahdollistaa keskitetyn resurssien jakamisen käyttäjille ja sovelluksille ja tarjoaa myös tavan nimetä, kuvata, paikallistaa, hallita ja suojata verkon resursseja.

Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu [[Samba]]n avulla. Windows-puolella Windows Server 2000 ja 2003 sisältävät Active Directory -palvelimen.

== Linuxin liittäminen Active Directory -verkkoon ==
Seuraavassa toimialueeena (''domain'') palvelinta <tt>ad.firma.fi</tt> ja toimialueen ohjauskoneena (''domain controller'') toimii Windows-palvelin nimeältään <tt>server1</tt>.

Huomaa, että asetustiedostoissa tekstin koolla on väli,ä eli jos mallissa joku asetus on kirjoitettu isolla, se tulee kirjoittaa asetustiedostoon isoilla kirjaimilla

Aluksi on asennettava tarvittavat ohjelmat. [[Debian]]-pohjaisissa järjestelmissä on asennettava paketit <tt>krb5-user winbind samba ntpdate</tt> ja <tt>libpam-modules</tt>. Muista jakeluista löytynee paketit suunnilleen samoilla nimillä. Lisätietoja pakettien asentamisesta löytyy artikkelista [[Ohjelmien asentaminen]].

Seuraavaksi tarkistetaan verkon toimivuus testaamalla, että [[DNS]]-kyselyt toimivat molempiin suuntiin (nimestä IP-osoitteeksi ja päinvastoin) komentamalla
nslookup server1.ad.firma.fi
Tuloksen pitäisi näyttää jotakuinkin tältä:
<pre>Server: 10.0.0.10
Address: 10.0.0.10#53

Name: server1.ad.firma.fi
Address: 10.0.0.10
</pre>
AD käyttää DNS:ää nimien selvitykseen ja toimiva DNS palvelin on AD:n elinehto.

AD-verkon koneella on oltava sama kellonaika kun AD-palvelimella ongelmien välttämiseksi. Tämä varmistetaan asettamalla Linux päivittämään kellonaika AD-palvelimelta esimerkiksi viiden minuutin välein. Tämä tapahtuu lisäämällä [[ajoitetut tehtävät|ajoitetun tehtävän]] [[cron]]ille komentamalla pääkäyttäjänä
crontab -e
ja lisäämällä aukeavassa [[tekstieditori]]ssa tiedostoon rivin
*/5 * * * * root ntpdate server1.ad.firma.fi

Tehdään seuraavaksi Kerbos5-järjestelmän asetukset lisäämällä tiedostoon <tt>/etc/krb5.conf</tt> rivit:
<pre>
[libdefaults]
default_realm = AD.FIRMA.FI

[realms]
AD.FIRMA.FI = {
kdc = server1.ad.firma.fi
admin_server = server1.ad.firma.fi
default_domain = ad.firma.fi
}

[domain_realm]
.ad.firma.fi = AD.FIRMA.FI
ad.firma.fi = AD.FIRMA.FI
</pre>
AD:ssä oikeuksien välitys tietokoneesta toiseen hoidetaan Kerberoksen avulla. Siitä johtuen myös Linux-kone tulee asentaa käyttämään Kerberossia.
Jos olet kiinnostunut siitä, mikä kerberos tarkemmin sanottuna on ja mitä se tekee, niin kannattaa lukea tämä seminaarityö: http://www.it.lut.fi/kurssit/01-02/010628000/semmat/Kerberos.pdf

Kerberosin toiminta voidaan testata komennolla:
kinit administrator@AD.FIRMA.FI

Kerberos pyytää tämän jälkeen verkon pääkäyttäjän (Administratorin) salasanaa ja jos sen syöttämisen jälkeen ei tule virheilmoituksia, niin Kerberoksen tunnistautuminen onnistui ja voidaan jatkaa eteenpäin.

Seuraavaksi tehdään [[Samba]]n ja [[Winbind]]in asetukset tiedostoon <tt>/etc/samba/smb.conf</tt>:
<pre>
[global]
security = ads
realm = AD.FIRMA.FI
workgroup = AD
idmap uid = 10000-20000
idmap gid = 10000-20000
winbind use default domain = yes
domain master = no
template shell = /bin/bash
</pre>
AD käyttää sisäisesti [[LDAP]]:ta käyttäjätietojen hallintaan. Käyttäjätietojen hakeminen AD:stä on mahdollista myös LDAP:in avulla, mutta koska sen käyttöönotto on hyvin monimutkaista on Sambaan kehitetty winbind-lisäosa, joka on tarkoitettu AD-verkkoon liittymiseen.

Ylläoleva asetustiedosto sallii winbind (AD) -tunnusten käyttämisen Linuxin palveluille eikä jaa automaattisesti mitään tiedostoja tai resursseja Samban avulla. Samalla asetukset kuitenkin mahdollistavat resurssien jakamisen Samballa niin, että AD käyttäjät voivat niitä käyttää.

Samban asetusten toimivuus testataan komennolla:
testparm
Jos se ei anna virheilmoituksia on Samballa toimivat asetukset. Samba ja Winbind on käynnistettävä uudelleen, jotta asetukset tulisivat voimaan:
/etc/init.d/samba restart
/etc/init.d/winbind restart

Seuraavaksi voidaan liittyä AD-verkkoon komennolla
net ads join -U administrator@AD.FIRMA.FI

Nyt Winbindin toiminta voidaan testata komennoilla
wbinfo -u
ja
wbinfo -g
joiden pitäisi näyttää AD:n käyttäjät ja ryhmät.

Mahdollistetaan seuraavaksi se, että järjestelmä voi tarkistaa käyttäjät ja ryhmät Winbindin avulla: lisätään tiedostoon <tt>/etc/nsswitch.conf</tt> kahdelle ensimmäiselle riville winbind-sanat siten, että nuo rivit näyttävät tältä:
<pre>
passwd: compat winbind
group: compat winbind
</pre>

Nyt voidaan mahdollistaa sisäänkirjautuminen AD-tunnuksilla lisäämällä kirjautumishallinta [[PAM]]:in asetuksiin tiedoston <tt>/etc/pam.d/common-auth</tt> alkuun rivi
auth sufficient pam_winbind.so
ja tieodoston <tt>/etc/pam.d/common-account</tt> alkuun rivi
account sufficient pam_winbind.so

Vielä on sallittava AD:n käyttäjien kotihakemistojen luominen lisäämällä tiedoston <tt>/etc/pam.d/common-session</tt> alkuun rivi:
session required pam_mkhomedir.so

Tähän liittyen luodaan vielä lopuksiAD:n käyttäjien kotihakemistoille hakemisto <tt>/home/AD</tt>:
mkdir /home/AD

Linux käyttää PAM:ia erilaisten tunnistamismenetelmien liittämiseksi palveluihin. Eli PAM:in avulla voidaan määrittää mitä tapaa käyttäjän tunnistamiseen mikäkin palvelu käyttää. Jos olet kiinnostunut tietämään tarkemmin mikä PAM on ja miten se toimii kannattaa lukea tämä seminaarityö aiheesta: http://www.it.lut.fi/kurssit/01-02/010628000/semmat/pam.pdf

Nyt koneen pitäisi olla liitetty AD-verkkoon ja sisäänkirjautumisen pitäisi onnistua AD-verkon tunnuksilla.

[[Luokka:Verkko]]

← Vanhempi versio		Versio 26. lokakuuta 2015 kello 21.33
Rivi 1:		Rivi 1:
	Active Directory (AD) on käyttäjätietokanta ja hakemistopalvelu, jolla hallitaan verkon käyttäjiä, tietokoneita ja eri resursseja. Se mahdollistaa keskitetyn resurssien jakamisen käyttäjille ja sovelluksille ja tarjoaa myös tavan nimetä, kuvata, paikallistaa, hallita ja suojata verkon resursseja.		'''Active Directory''' (AD) on käyttäjätietokanta ja hakemistopalvelu, jolla hallitaan verkon käyttäjiä, tietokoneita ja eri resursseja. Se mahdollistaa keskitetyn resurssien jakamisen käyttäjille ja sovelluksille ja tarjoaa myös tavan nimetä, kuvata, paikallistaa, hallita ja suojata verkon resursseja.

	Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu Realmd:n tai [[Samba]]n avulla. Windows-puolella Windows Server 2000 ja 2003 sisältävät Active Directory -palvelimen.		Active Directoryä käytetään etenkin monissa yrityksissä. Linuxissa Active Directoryn käyttö onnistuu Realmd:n tai [[Samba]]n avulla. Windows-puolella Windows Server 2000 ja 2003 sisältävät Active Directory -palvelimen.
Rivi 5:		Rivi 5:
	==Realmd==		==Realmd==

	Realmd mahdollistaa Linux-koneen liittämisen AD:seen helposti. Aloitetaan asentamalla realmd ja muut tarvittavat paketit, jotka ovat Ubuntulla (ainakin 14.04) <tt>realmd samba-common-bin sssd-tools ssd libnss-sss libpam-sss</tt>.		Realmd mahdollistaa Linux-koneen liittämisen AD:seen helposti. Aloitetaan asentamalla <tt>realmd</tt> ja muut tarvittavat paketit, jotka ovat Ubuntulla (ainakin 14.04) <tt>realmd samba-common-bin sssd-tools ssd libnss-sss libpam-sss</tt>.

	Varmista, <tt>nslookup</tt> komennolla, että DNS löytää Windows-palvelimen. Liitä kone domainiin komennolla <tt>sudo realm --verbose join domaini.lo -u Administrator</tt>. Administrator voidaan korvata myös muulla käyttäjällä, jolla on oikeus liittää koneita domainiin.		Varmista, <tt>nslookup</tt> komennolla, että DNS löytää Windows-palvelimen. Liitä kone domainiin komennolla <tt>sudo realm --verbose join domaini.lo -u Administrator</tt>. Administrator voidaan korvata myös muulla käyttäjällä, jolla on oikeus liittää koneita domainiin.
Rivi 33:		Rivi 33:
	Seuraavassa toimialueeena (''domain'') palvelinta <tt>ad.firma.fi</tt> ja toimialueen ohjauskoneena (''domain controller'') toimii Windows-palvelin nimeältään <tt>server1</tt>.		Seuraavassa toimialueeena (''domain'') palvelinta <tt>ad.firma.fi</tt> ja toimialueen ohjauskoneena (''domain controller'') toimii Windows-palvelin nimeältään <tt>server1</tt>.

	Huomaa, että asetustiedostoissa tekstin koolla on väliä, eli jos mallissa joku asetus on kirjoitettu isolla, se tulee kirjoittaa asetustiedostoon isoilla kirjaimilla		Huomaa, että asetustiedostoissa tekstin koolla on väliä, eli jos mallissa joku asetus on kirjoitettu isolla, se tulee kirjoittaa asetustiedostoon isoilla kirjaimilla.

	Aluksi on asennettava tarvittavat ohjelmat. [[Debian]]-pohjaisissa järjestelmissä on asennettava paketit <tt>krb5-user winbind samba ntpdate</tt> ja <tt>libpam-modules</tt>. Muista jakeluista löytynee paketit suunnilleen samoilla nimillä. Lisätietoja pakettien asentamisesta löytyy artikkelista [[Ohjelmien asentaminen]].		Aluksi on asennettava tarvittavat ohjelmat. [[Debian]]-pohjaisissa järjestelmissä on asennettava paketit <tt>krb5-user winbind samba ntpdate</tt> ja <tt>libpam-modules</tt>. Muista jakeluista löytynee paketit suunnilleen samoilla nimillä. Lisätietoja pakettien asentamisesta löytyy artikkelista [[Ohjelmien asentaminen]].

	Seuraavaksi tarkistetaan verkon toimivuus testaamalla, että [[DNS]]-kyselyt toimivat molempiin suuntiin (nimestä IP-osoitteeksi ja päinvastoin) komentamalla		Seuraavaksi tarkistetaan verkon toimivuus testaamalla, että [[DNS]]-kyselyt toimivat molempiin suuntiin (nimestä IP-osoitteeksi ja päinvastoin) komentamalla:
	nslookup server1.ad.firma.fi		nslookup server1.ad.firma.fi
	Tuloksen pitäisi näyttää jotakuinkin tältä:		Tuloksen pitäisi näyttää jotakuinkin tältä:
Rivi 48:		Rivi 48:
	AD käyttää DNS:ää nimien selvitykseen ja toimiva DNS palvelin on AD:n elinehto.		AD käyttää DNS:ää nimien selvitykseen ja toimiva DNS palvelin on AD:n elinehto.

	AD-verkon koneella on oltava sama kellonaika kun AD-palvelimella ongelmien välttämiseksi. Tämä varmistetaan asettamalla Linux päivittämään kellonaika AD-palvelimelta esimerkiksi viiden minuutin välein. Tämä tapahtuu lisäämällä [[ajoitetut tehtävät\|ajoitetun tehtävän]] [[cron]]ille komentamalla pääkäyttäjänä		AD-verkon koneella on oltava sama kellonaika kun AD-palvelimella ongelmien välttämiseksi. Tämä varmistetaan asettamalla Linux päivittämään kellonaika AD-palvelimelta esimerkiksi viiden minuutin välein. Tämä tapahtuu lisäämällä [[ajoitetut tehtävät\|ajoitetun tehtävän]] [[cron]]ille komentamalla pääkäyttäjänä:
	crontab -e		crontab -e
	ja lisäämällä aukeavassa [[tekstieditori]]ssa tiedostoon rivin		ja lisäämällä aukeavassa [[tekstieditori]]ssa tiedostoon rivin