Hide navigation sidebar
Hide table of contents sidebar
Skip to content
SAMBA 4.24
Back to top
View this page
Toggle table of contents sidebar

# Installer et configurer Samba-AD sur Debian

Avertissement

Si ce n’est pas encore fait, suivre la page précédente pour préparer votre serveur Debian et configurer le réseau et le nom de machine de votre nouvelle machine.

## Récupérer les paquets nécessaires

Les DEB de Tranquil IT sont actuellement validés pour Debian 12 & 13.

Les paquets de la dernière version validés par l’équipe d’ingénieurs Tranquil IT peuvent être téléchargés depuis l’url samba-4.24.

Quand il faudra migrer vers la version suivante de Samba, il suffira de changer l’url du dépôt comme par exemple redhat-samba-4.25 .

Pour plus de confort, vous pouvez définir un dépôt apt et rajouter notre clé publique GPG :

    wget -qO- https://samba.tranquil.it/tissamba-pubkey.gpg | tee /usr/share/keyrings/tissamba.gpg > /dev/null
    sha256sum /usr/share/keyrings/tissamba.gpg
      95ab9a408a3e94564f5a9bfb6e82c9dc371f32e92004ee98acbf64b431c93e81  /usr/share/keyrings/tissamba.gpg
    echo "deb [signed-by=/usr/share/keyrings/tissamba.gpg] https://samba.tranquil.it/debian/samba-4.24/ $(lsb_release -c -s) main" > /etc/apt/sources.list.d/tissamba.list

Avertissement

Pour les versions de samba inférieur à 4.22.8, merci d’utiliser cette GPG

    wget -qO- https://samba.tranquil.it/tissamba-pubkey-2017.gpg | tee /usr/share/keyrings/tissamba.gpg > /dev/null

## Installer les paquets

    export DEBIAN_FRONTEND=noninteractive
    apt-get update
    apt-get install samba samba-ad-dc winbind libnss-winbind krb5-user smbclient ldb-tools python3-cryptography
    unset DEBIAN_FRONTEND

## Instancier le domaine Active Directory Samba

### Configurer Kerberos

- Modifier le fichier `/etc/krb5.conf` et remplacer tout son contenu par les 4 lignes suivantes en précisant le domaine Active Directory de votre organisation (ici MYDOMAIN.LAN).

Attention

Le `default_realm` doit absolument être écrit en lettres MAJUSCULES !!

    [libdefaults]
      default_realm = MYDOMAIN.LAN
      dns_lookup_kdc = true
      dns_lookup_realm = false

#### Configurer Samba

- Effacer le fichier `/etc/samba/smb.conf` s’il a déjà été généré (il sera régénéré par la commande d’instanciation) :

      rm -f /etc/samba/smb.conf

- Sur Debian, nous devons arrêter tous les services type serveur de fichiers :

      systemctl stop samba winbind nmbd smbd

- Configurer Samba avec le rôle de contrôleur de domaine. Dans la ligne qui suit, vous penserez à changer à la fois le nom du royaume kerberos, et le nom court du domaine (nom netbios) :

      samba-tool domain provision --realm=MYDOMAIN.LAN --domain MYDOMAIN --server-role=dc

- Ré-initialiser le mot de passe administrator :

      samba-tool user setpassword administrator

- Vérifier la ligne `dns forwarder = xxx.xxx.xxx.xxx` dans votre fichier `/etc/samba/smb.conf`. Elle doit pointer vers un serveur DNS valide, par ex. :

      dns forwarder = 1.1.1.1

- Reconfigurer la résolution DNS pour la machine locale. Dans le fichier `/etc/resolv.conf` de l’interface réseau, remplacer la ligne suivante :

      search mydomain.lan
      nameserver 127.0.0.1
      nameserver 1.1.1.1

- Le script de création de domaine Samba crée un fichier `/var/lib/samba/private/krb5.conf` inutile. Il faut le supprimer et le remplacer par un lien symbolique vers le fichier `/etc/krb5.conf` :

      rm -f /var/lib/samba/private/krb5.conf
      ln -s /etc/krb5.conf /var/lib/samba/private/krb5.conf

- Activer Samba pour qu’il démarre automatiquement au prochain reboot :

      systemctl disable samba winbind nmbd smbd
      systemctl mask samba winbind nmbd smbd
      systemctl unmask samba-ad-dc
      systemctl enable samba-ad-dc

- Redémarrer la machine avec un reboot pour vérifier que Samba redémarre bien :

- Après redémarrage, tester que le kerberos est bien configuré et que vous obtenez bien un TGT :

  Attention

  L’Administrateur par défaut est administrator en anglais (taper le mot de passe du compte administrator, si ça ne renvoie rien ou que vous obtenez un message concernant l’expiration du mot de passe, c’est que c’est bon).

      kinit administrator
      klist

- Tester les DNS :

      dig @localhost google.fr
      dig @localhost srvads.mydomain.lan
      dig -t SRV @localhost _ldap._tcp.mydomain.lan

## Valider la nouvelle installation avec un client Windows

- Joindre une machine au domaine.

- A partir de cette machine, vérifier l’accès aux partages système `\mydomain.lan\sysvol` et `\mydomain.lan\netlogon`.

Pour gérer votre nouveau domaine, il faut installer les interfaces de management sur un poste Windows. La ligne de commande Samba est efficace pour de nombreuses tâches d’administration, mais certaines tâches seront plus simples à réaliser avec l’outil graphique RSAT.

Vous trouverez par vous-même votre équilibre optimal entre la ligne de commande et RSAT avec l’expérience d’exploitation de votre Samba.

- Installer RSAT sur votre machine de management.

Une fois RSAT installé :

- Créer et supprimer un enregistrement DNS à partir de la console DNS Active Directory.

- Créer et supprimer un compte utilisateur ou un compte machine à partir de la console Utilisateurs et Ordinateurs Active Directory.

Super, si vous êtes parvenu jusqu’à cette étape, c’est que tout se passe bien et que vous avez un nouveau domaine Samba-AD opérationnel.

Maintenant, nous allons configurer le service DNS en mode hybride Samba/Bind pour améliorer les performances de votre Samba-AD.