SAMBA 4 - Servidor de Arquivos Utilizando ACLs Windows (Domínio)

Gostaria de utilizar esse espaço para compartilhar com a comunidade uma necessidade que tive que implantar na minha empresa e como não achei muita documentação voltada para essa necessidade, pelo menos não de forma centralizada, resolvi reunir todos os fragmentos que me levaram ao sucesso em um só documento.

brigamont

Por Bruno Rigamont em 12/04/2017

Hits: 74.551 Categoria: Linux Subcategoria: Samba

Parte 5: Configurando o SAMBA 4 como Servidor de Arquivos

SUPORTE xattr SISTEMA DE ARQUIVOS

Sistemas de arquivos XFS já possuem nativamente suporte ao xattr.

Orientações sobre como habilitar o xattr em outros Sistemas de Arquivos (EXT3, EXT4), veja o link: File System Support - SambaWiki

CONCEDER O PRIVILÉGIO DE SeDiskOperatorPrivilege

Somente usuários e grupos com o privilégio SeDiskOperatorPrivilege concedido podem configurar permissões de compartilhamento.

Para conceder o privilégio ao grupo Administradores de Domínio, digite:

# /usr/local/samba/bin/net rpc rights grant "TESTE\Domain Admins" SeDiskOperatorPrivilege -U "TESTE\administrador"

Retorno:

Enter SAMDOM\administrator's password: DIGITE A SENHA DO ADMINISTRADOR
Successfully granted rights.

Listar todos usuários e grupos que tem privilégio ao SeDiskOperatorPrivilege.

# /usr/local/samba/bin/net rpc rights list privileges SeDiskOperatorPrivilege -U "TESTE\administrador"

Retorno:

Enter administrator's password: DIGITE A SENHA DO ADMINISTRADOR
SeDiskOperatorPrivilege:
BUILTIN\Administrators
SAMDOM\Domain Admins

CONFIGURANDO O NAME SERVICE SWITCH

Edite o arquivo /etc/nsswitch.conf, localize as linhas abaixo e altere-os da mesma forma.

# vi /etc/nsswitch.conf

passwd: compat winbind
group: compat winbind
shadow: compat winbind

CRIANDO O COMPARTILHAMENTO

Para compartilhar o diretório /dados/Deptos, usando o nome de compartilhamento Deptos.

Primeiro crie o diretório:

# mkdir -p /dados/Deptos

Altere a permissão do novo diretório para todos:

# chmod 777 /dados/Deptos

Adicione a seção de compartilhamento [Deptos] no arquivo smb.conf.

# vi /usr/local/samba/etc/smb.conf

Adicione após a seção [Global] a nova seção, conforme abaixo.

[Deptos]
path = /dados/Deptos
read only = no

Pode ser adicionada a função de Access Based Enumeration tanto no compartilhamento, quanto no nível global, adicionando as linhas abaixo.

hide unreadable = yes
hide unwriteable files = yes

Recarregue as configurações do SAMBA:

# /usr/local/samba/bin/smbcontrol all reload-config

Utilizando seu computador, acesse o servidor e verifique se é exibido o mapeamento Deptos.

Iniciar > Executar: \\FILESERVER01

Ou através do Windows Explorer, digite no campo caminho o endereço acima.

Será exibido o compartilhamento Deptos, com permissão para todos.

Agora basta configurar as permissões de compartilhamento NTFS e segurança (ACLs), através de um servidor Windows, ou até mesmo de um Desktop, utilizando o Gerenciamento de Pastas Compartilhadas em:

Iniciar > Ferramentas Administrativas > Gerenciador do Computador

Em Gerenciamento do Computador clique em Ação e clique em Conectar em outro Computador, conecte no servidor FILESERVER01.

Após conectar navegue ainda em Gerenciamento do Computador:

Ferramentas do Sistema > Pastas Compartilhadas > Compartilhamentos

No lado direito será exibido o compartilhamento Deptos, cliquei com o botão direito e customize as Permissões de Compartilhamento e Segurança conforme sua necessidade.

A Segurança das pastas dentro do compartilhamento podem ser configurada diretamente pelo Windows Explorer.

Vale ressaltar que esses passos devem ser executados de um Computador ou Servidor Ingressado ao domínio e o usuário logado deve pertencer ao grupo "Domain Admins".

Permissões NTFS: Como funciona a arquitetura de permissão do Windows | mundotibrasil.com.br

Fontes

Infelizmente não anotei e nem consigo lembrar de onde eu peguei todos os fragmentos de informação, mas os que eu mais utilizei foram:

Wiki SAMBA 4:

Youtube - Canal do Crystian Geovani Dorabiatto:

Páginas do artigo

   1. Introdução
   2. Instalação do SAMBA 4
   3. Ingressando o Servidor no Domínio
   4. Inicializando os Serviços
   5. Configurando o SAMBA 4 como Servidor de Arquivos

Outros artigos deste autor

Nenhum artigo encontrado.

Leitura recomendada

Samba 4 - Instalação e configuração

Samba como controlador de domínio no Ubuntu

Compartilhamento do Samba autenticando no AD

Inicialização do Linux

OpenLDAP e Samba (redundância)

Comentários

#1 Comentário enviado por removido em 12/04/2017 - 13:06h

#2 Comentário enviado por rengaf1 em 19/04/2017 - 09:59h

as vantagens são inúmeras...

É possível criar um AD Completo com SAMBA 4
É possível criar um controlador de domínio Principal
É possível criar um Controlador de domínio somente leitura (RODC)
É possível criar um Controlador de domínio Adicional
Pode ser administrado usando interface Gráfica do próprio Windows , como Usuários e computadores do Active Directory.
Posso Migrar de forma fácil de AD Windows para um AD Linux e vice versa.
É possível trabalhar com perfil móvel
Trabalhar com Pasta Base
Lixeira de Servidor de Arquivos ( Tipo copia de Sombra)
Auditoria de Acesso
Trabalhar com permissões como a do Windows
Trabalhar com GPO
Fazer replicação de Servidores ( TIPO DFS)
Trabalhar com dados em camadas
Triagem de Arquivos (Proibir gravação de arquivos pela extensão)
É software Livre não precisa de licença
Não precisa de CALs de acesso para as estações
Posso fazer o SAMBA 4 trabalhar como controlador de domínio adicional do Windows server e vice versa.
Já vem com DNS , kerberos, LDAP integrado.
Posso fazer a integração do SAMBA 4 com o proxy Squid, pfSense e etc

Você pode usar o Samba 4 como um servidor Único sendo Domain Controller e Servidor arquivos em um mesmo servidor .
Você pode usar o samba 4 como apenas um controlador de Domínio Principal abrigando apenas essa função.
Você pode usar o samba 4 como servidor de arquivo totalmente dedicado para essa carga de trabalho
Você pode usar o samba 4 como um servidor de arquivos em ambiente que você já tenha um Domain Controller Windows Server e gostaria de servidores de arquivos adicionais , para balancear a carga ,sem preocupar com custo com licenças .
Você pode usar o samba 4 como Domain Controllers adicionais e para outro Samba 4 ou Windows Server .
Você pode usar o samba 4 como Servidores de arquivos para namespace DFS Windows.
Você pode usar o samba 4 como como Domain Controller Somente leitura para as filiais que não tem a mesma segurança física e logica que você tem na matriz .

sem contar no uso de recursos fisicos do servidor que são incontestavelmente menores.

#3 Comentário enviado por rengaf1 em 19/04/2017 - 10:08h

fala bruno... aderiu o CentOS né parabens!!!!

#4 Comentário enviado por andrefreire em 24/04/2017 - 21:39h

Meia Noite,
A maioria dos erros que você relatou no seu POST são relativos aos Samba 3 pois ainda utiliza o conceito de PDC. O Samba 4, assim como o Windows Server desde a versão 2000 utiliza o conceito de mestres múltiplos e não mais PDC/BDC. Os erros apresentados são na verdade erros de conceitos e consequentemente erros de configuração. Utilizo o Samba 4 como controlador de domínio em 42 empresas sem ocorrências desde 2013. O sistema é extremamente seguro e se assemelha muito ao Windows 2008R2. A partir da versão 4.6 já está iniciando a compatibilidade com o Windows Server 2012R2. Com o Samba 4 como controlador de domínio consigo autenticar o Microsoft SQLServer, o Microsoft Exchange, o Microsoft Hyper V, o Office 365 todos sem problemas. Atualmente as empresas estão migrando os clientes para Windows 10 sem nenhuma incompatibilidade com o Samba4. Uma limitação do Samba 4 é a questão de relação de confiança entre domínios que ainda não funciona porém este ambiente é incomum na maioria das empresas.
Utilizo a dupla Debian/Samba 4 sem nenhum problema operacional, nenhum chamado, nenhuma ocorrência a mais de 3 anos. Acho que falta é um pouco mais de conhecimento de conceitos para implantar a ferramenta.
Se o Administrador não conhece bem LDAP, Kerberos, DNS, KCC, FSMO, etc... com certeza pode ter problemas e isso não significa que a ferramenta tem problemas.

#5 Comentário enviado por Mc.Eagle em 30/04/2017 - 13:24h

Excelente texto! #CentOsNaVeia

#6 Comentário enviado por thiago304 em 04/05/2017 - 16:17h

Boa Tarde,

Vou fazer um comentário aqui, testei o samba há alguns meses atrás e implementei autenticação direto no dominio para 300 estações e pude concluir que ainda não esta maturo para dizer que se equipara ao AD-Windows, devido a vários bugs inclusive informados até no site oficial do samba.

Existem alguns bugs, alguns problemas de replicações problemas de registro de dns no LDAP entre outros que podem ser consultados no site do samba4.

Att,

Tiago Eduardo Zacarias
LPIC-2

#7 Comentário enviado por juniorribeiro-ti em 24/09/2017 - 10:58h

Ola bom dia,

Gostaria de saber se e possível deixar um login do samba que acesse todas as pastar privados dos usuário do samba?

Tipo hoje na minha empresa usamos o samba 4 e temos umas pasta Publico e cada colaborador tem sua basta privada. Quero que no meu login de usuário ver também todas as pastar dos colaboradores. isto e possível com o samba 4?

Desde já agradeço.

Att.
Junior Ribeiro.

#8 Comentário enviado por EFN em 14/04/2018 - 12:09h

Olá boa tarde,

Como faço para adicionar o reload no serviço do samba?

Obrigado....

#9 Comentário enviado por LeoVilano em 22/11/2019 - 08:59h

Ola a todos

Para quem esta utilizando esse guia agora em 2019 usando Centos 8 e Samba 4.11.2 existe um erro de comunicação do Samba com o AD que impossibilita a replicação das informações de usuários e grupos, com isso você não consegue acessar o mesmo pelo WIndows Explorer. Para solucionar esse problema basta instalar o pacote bind-utils "sudo yum -y install bind-utils

Att