Tutorial de Migração Samba3 ( Com ou sem base ldap ) Para samba4

Tutorial de Migração samba3(com ou sem Ldap ) para samba4

Objetivo:
Neste tutorial tenho como objetivo externar minha experiencia ao fazer a migração do meu ambiente de autenticação ( Em media 800 Usuários, 50 Grupos, e 600 maquinas ) e servir como um guia para outras pessoas.

Antes de começarmos o Tutorial:
Recomendo fazer exaustivos teste em um ambiente virtual antes de fazer a migração no ambiente de produção

Para isso utilizei o seguinte ambiente de teste

Maquinas Virtuais ( Caso queira os testes podem ser feitos com maquinas reais sem problema somente tome cuidado de coloca-las em uma rede apartada para os testes )
Criei 3 Maquinas virtuais
Sendo 2 maquinas virtuais com clientes

uma Windows XP e uma com Windows 7
Para ter um ambiente de teste confiável apos criar as maquinas Virtuais ingressei as duas no meu domínio antigo em produção ( Samba3+ldap) e me loguei em cada uma delas com pelo menos 4 usuários do domínio, diferente em cada maquina Totalizando 7 ( Um usuário em comum nas duas maquina para teste )
*Obs1 o procedimento acima e de grande importância para que sejam feitos teste de login e verificação de dados
*Obs2 não vou aborda como instalar maquinas Windows XP ou 7 e nem como coloca-los no domínio ( Samba3 ) Pois pressuponho que saibam como fazer isso tendo em vista já terem um domínio samba3 em operação.

Cenário anterior ( servidor em produção )
Servidor Suse
Samba3 + Ldap ( Banco bdb e Tls )
servidor dns bind

Cenário Novo ( servidor Teste para a Migração )
Servidor Debian 7
Samba4+bind9 como backend

Dicas Importantes para a migração caso seu servidor antigo utilize Autenticação Ldap
LDAP ( Openldap )
Como meu servidor antigo era um servidor Suse,  e o novo e um servidor Debian tive que ficar atento a localização de alguns diretórios do servidor ldap que são diferentes no suse e no Debian

	Debian	SUSE
pasta com os arquivos de Configuração	/etc/ldap	/etc/openldap
Nome do serviço	/etc/init.d/slapd	/etc/init.d/ldap
A pasta de Módulos do ldap	/usr/lib/ldap	/usr/lib/openldap/modules
A Pasta com schemas	etc/ldap/schema/	/etc/openldap/schema/

Fazendo copia dos arquivos necessário do servidor Samba3
*obs. somente relembrando o meu servidor samba3 esta instalado numa maquina suse

Agora vamos Começar

Acesse seu servidor samba3
Nele vamos fazer Backup de algumas Pastas e Arquivos de Configurações que serão necessários Para a migração

Criar Pasta Backup
# mkdir -p /root/backup/var/lib/
# mkdir -p /root/backup/etc/

Parando o servidor ldap ( em um servidor suse ) para fazer backup
# /etc/init.d/ldap stop
* no Suse o serviço do openldap se chama ldap

Fazendo Backup do servidor ldap
# slapcat > /root/backup/backup.ldif

Iniciando o servidor Ldap ( Para que seus usuários possam voltar a logar )
# /etc/init.d/ldap start

Copiar arquivo as pastas do samba
# cp -r /etc/samba/ /root/backup/etc/
# cp -r /var/lib/samba /root/backup/var/lib/

Copiando pasta de configuração do ldap
# cp -r /etc/openldap /root/backup/etc/
*Obs. relembrando novamente que no meu caso o servidor suse usa a pasta openldap diferente do Debian que usa ldap

No meu caso o ldap usar conexão segura TLS por isso precisei dos certificados também
para facilitar copiei toda as pasta /etc/ssl
# cp -r /etc/ssl /root/backup/etc/

Copiar a pasta Backup do servidor samba3 para o servidor samba4
# scp -r /root/backup root@servidorsamba4:/root/
* Ligue as duas maquinas em rede ( Smab3 e samba4 ) somente para fazer essa copia pois recomendo que o teste de migração sejam feito numa rede apartada simulando um cenário real ( aonde o servidor samba4 tem o mesmo ip do antigo samba3 )

caso queira pode copiar essa pasta para uma media removível e colar no samba4

Agora Vamos Para O Servidor Samba4

Instalação do Servidor openldap ( sera usado temporariamente no processo de migração de contas apos isso ira ser removido pois o samba4 já conta com um servidor ldap interno ), Serei o mais direto Possível nesse tópico ( instalação do servidor ldap ) pois pressuponho que já tenha esse conhecimento

Caso queira uma Tutorial Mais aprofundado de como Instalar um servidor ldap
http://www.mundotibrasil.com.br/primeira-configuracao-ldap/

Antes de Instalar o ldap e fazer o dump dos usuários aconselho a verificar os seguintes itens abaixo:

1 Verificar se existem usuários com sid duplicado ( Ver no final do tutorial como resolver isso )
2 Verificar se existem grupos que tenho o mesmo nome que o de usuários ( Ver no final do tutorial como resolver isso )

Instalar servidor ldap
# apt-get install libldap-2.4-2 slapd ldap-utils
* Quando for solicitado senha pode deixar em branco

Parar o servidor ldap
# service slapd stop
*Obs. no Debian o Servidor do openldap se chama slapd

Fazer copia da Pasta Padrão do servidor ldap ( Criada na instalação do servidor ldap )
# mv /etc/ldap /etc/ldap.padrao

Copiar a pasta do servidor ldap antigo ( Samba3 ) que foi backupeada para o novo servidor ldap ( Temporário )
# cp -r /root/backup/etc/openldap /etc/ldap
*Obs. lembrando novamente o meu backup contem a pasta openldap pois o servidor antigo era um suse caso fosse um Debian seria ldap

Mudando Permissões na pasta ldap
# chmod 777 -R /etc/ldap

Agora precisamos editar o arquivo /etc/ldap/slapd.conf

Editando o arquivo /etc/ldap/slapd.conf
Meu arquivo slapd.conf

##########################################################
#
# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/yast.schema
include /etc/openldap/schema/samba.schema

pidfile /var/run/slapd/slapd.pid
argsfile /var/run/slapd/slapd.args

modulepath /usr/lib/openldap/modules

access to attrs=SambaLMPassword,SambaNTPassword
by dn="cn=Administrator,dc=empresa,dc=casa" write
by * none

access to dn.base=""
by * read

access to dn.base="cn=Subschema"
by * read

access to attrs=userPassword,userPKCS12
by self write
by * auth

access to attrs=shadowLastChange
by self write
by * read

access to *
by * read

#######################################################################
# BDB database definitions
#######################################################################
allow bind_v2

loglevel 1024
TLSCertificateFile /etc/ssl/servercerts/servercert.pem
TLSCACertificatePath /etc/ssl/certs/
TLSCertificateKeyFile /etc/ssl/servercerts/serverkey.pem
database bdb
suffix "dc=empresa,dc=casa,"
rootdn "cn=Administrator,dc=empresa,dc=casa"
###################################################

directory /var/lib/ldap
checkpoint 1024 5
cachesize 10000
index objectClass,uidNumber,gidNumber eq
index member,mail eq,pres
index cn,displayname,uid,sn,givenname sub,eq,pres
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq

#############################################################################

Como Podemos ver no meu slapd.conf ( de um servidor suse ) vamos adapta-lo para um servidor Debian temos que mudar as seguintes linhas.

DE

include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/yast.schema
include /etc/openldap/schema/samba.schema

Vamos mudar de /etc/openldap para /etc/ldap que e como Debian trabalha
PARA

include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/yast.schema
include /etc/ldap/schema/samba.schema

Como Podemos ver no meu slapd.conf ( de um servidor suse ) ele chama os módulos
em: /usr/lib/openldap/modules

modulepath /usr/lib/openldap/modules

Vamos mudar para /usr/lib/ldap ( padrão do Debian )

modulepath /usr/lib/ldap

* Por padrão o openldap no Debian trabalha com banco tdb como o meu e bdb precisei adicionar a linha abaixo no meu
moduleload back_bdb.la

Apos fazermos as modificações necessárias salvamos o arquivo

como podemos ver acima meu servidor ldap usa conexão segura TLS com isso temos que copiar os certificados.

copiar pasta certificados
#cp -r /root/backup/etc/ssl /etc/

Permissão na pasta ssl
#chmod 777 -R /etc/ssl/

Adicionando a base ldap
# slapadd -l /root/backup.ldif

Inciando o servidor ldap
# service slapd start

Testando o Servidor ldap
# ldapsearch -x -h 127.0.0.1

Pronto já temos um servidor ldap com nossa base de usuários
*Lembre-se que o samba4 já tem um servidor ldap interno só estamos usando esse servidor ldap temporariamente para que possamos migrar as contas de usuários do samba3 ( que usava ldap )para o samba4

INSTALANDO O SAMBA4

Estou usando como base o começo do tutorial
http://www.mundotibrasil.com.br/samba-4-compilar-instalar-e-provisionar/

Instalação dos pacotes necessários para o samba:
# apt-get install libreadline-dev git build-essential libattr1-dev libblkid-dev libgnutls-dev autoconf python-dev python-dnspython libacl1-dev gdb pkg-config libpopt-dev libldap2-dev dnsutils acl attr libbsd-dev docbook-xsl libcups2-dev aptitude vim krb5-user

*Obs Quando for perguntado pelo Kerberos e só dar enter ( Em branco mesmo ) pois iremos usar o arquivo que o servidor  samba ira criar

Vamos aos preparativos
vim /etc/fstab

*caso tenha somente o / fazer o procedimento somente nele, o que fizemos foi basicamente adicionar ,acl,user_xattr,barrier=1

 /dev/sda1    /    ext4    errors=remount-ro,acl,user_xattr,barrier=1    0   1

/dev/sda2    /home    ext4   defaults,acl,user_xattr,barrier=1    0   1

# mount -o remount /
# mount -o remount /home

Download do código fonte do samba 4:

# cd /usr/src
# wget http://www.samba.org/samba/ftp/stable/samba-4.0.5.tar.gz
# tar -xzvf samba-4.0.5.tar.gz
# cd samba-4.0.5
# ./configure –prefix=/opt/samba
# make
# make install

*Obs. fique atento que após ./configure são 2 traços juntos

Adicionar o diretório bin e sbin do samba ao Path
Dessa forma sera setado para todos os usuários
# echo -e “PATH=”/opt/samba/bin:/opt/samba/sbin:\${PATH}” \n export PATH” >> /etc/profile

Somente root
# echo -e “PATH=”/opt/samba/bin:/opt/samba/sbin:\${PATH}” \n export PATH” >> /root/.profile

Essas conf acimas só serão validadas na próximo login para que o path seja exportado nessa sessão atual execute o comando abaixo
#export PATH=$PATH:”/opt/samba/bin:/opt/samba/sbin”

Fazendo a Migração em si
#  /opt/samba/bin/samba-tool domain classicupgrade –dbdir=root/backup/var/lib/samba/ –use-xattrs=yes –dns-backend=BIND9_DLZ –realm=empresa /root/backup/etc/samba/smb.conf

*Entendo um Pouco o faz cada opção

–dbdir: caminho para o diretório que contém os arquivos de banco de dados tdb.
–use-xattr: usar o suporte ao sistema de arquivos subjacente para atributos estendidos
–realm Você pode especificar o domínio na linha de comando, se ele já não estiver especificado no arquivo smb.conf Samba3
no final adicionamos a localização do arquivo smb.conf

Opções adicionar
DNS Backend: Por default Samba é configurado com o servidor DNS interno. Se você quiser usar Bind como backend, add – dns-backend = BIND9_DLZ ou – dns-backend = BIND9_FLATFILE. Bind como backend é recomendado se você pretende criar uma configuração de DNS complexante, que o Samba 4 interno DNS permite atualmente. Encontre informações sobre como instalar e configurar Bind como backend,

Apos migrar o domínio tive um problema na senha do meu usuário administrator com isso tive que setar a senha do mesmo

# samba-tool user setpassword Administrator

Removendo o Servidor ldap
# aptitude purge slapd ldap-utils -y

Instalar servidor bind9
# apt-get install bind9 bind9utils

Parando o Bind
# service bind9 stop

Permissão na pasta dns do samba
# chmod 777 -R /opt/samba/private/dns

Agora Vamos editar alguns arquivos do bind
no Debian eles foram subdivididos
as conf ficam em /etc/bind/named.conf.options

Editando o arquivo /etc/bind/named.conf.options

fiz as seguintes alterações

dnssec-validation auto;
Mudei para
dnssec-validation no;

Comentei a linha sobre ipv6 por não utilizar
// listen-on-v6 { any; };

Adicionei a linha referente ao arquivo keytab criado pelo samba
Essa linha é responsável pelo dinamic dns
tkey-gssapi-keytab “/opt/samba/private/dns.keytab”;

adicionei o forwaders de dns para o Samba ( para que ele consulte outro dns caso não saiba o nome consultado na minha rede temos esse dns acima do meu por isso adicionei ele caso não saiba qual colocar coloque o Google 8.8.8.8 )
forwarders { 10.205.144.6; };

Editar o Arquivo /etc/bind/name.conf

Adcionar a linha include \”/opt/samba/private/named.conf\”; no arquivo /etc/bind/name.conf
echo “include \”/opt/samba/private/named.conf\”;” >> /etc/bind/name.conf

Editar o Arquivo /etc/default/bind9
Como não uso ipv6 na minha rede forcei o bind a usar somente ipv4
no arquivo /etc/default/bind9 estava a linha
OPTIONS=”-u bind”
mudei para
OPTIONS=”-4 -u bind”

Iniciando o Bind
# service bind9 start

Alguns teste do bind

Listar Zonas do DNS
# samba-tool dns zonelist 127.0.0.1 -U Administrator

Informação sobre uma Zona especifica
# samba-tool dns zoneinfo 127.0.0.1 empresa.casa -U Administrator

Kerberos

copiando arquivos de configuração
# cp /opt/samba/private/krb5.conf /etc/

* Obs. tive um problema que o Kerberos não era inicializado estava sem ip na interface, após setar o ip e restart o samba o mesmo funcionou

~Testando o Kerberos

# kinit administrator@EMPRESA.CASA
Digite a senha do Administrador do domínio
Password for administrator@EMPRESA.CASA:
Sera exibida uma msg parecida com a abaixo
Warning: Your password will expire in 35 days on Wed Feb 6 19:58:59 2013

# klist
Sera exibida uma mensagem parecida com a abaixo

Ticket cache: FILE:/tmp/krb5cc_0
Default principal: administrator@EMPRESA.CASA
Valid starting Expires Service principal
01/02/13 15:34:04 01/03/13 01:34:04 krbtgt/EMPRESA.CASA@EMPRESA.CASA
renew until 01/03/13 15:34:00

Teste do samba

# samba -i -M single
-i – Modo interativo (O normal é o daemon)
-M single – Apenas um processo (sem filhos)
Se não houve nenhuma mensagem de erro podemos cancelar o teste, para isso utilize a combinação de teclas CTRL+C para encerrar o processo.

# sbin/samba -V

Version 4.0.5
Agora vamos iniciar o Samba4
# sbin/samba

Outro pequeno teste
# bin/smbclient -L localhost -U%

Domain=[EMPRESA] OS=[Unix] Server[Samba 4.0.5]
Sharename        Type        Comment
--------- ---- -------
netlogon Disk
sysvol Disk
IPC$ IPC IPC Service (Samba 4.0.5)
Domain=[EMPRESA] OS=[Unix] Server=[Samba 4.0.5]

Server Comment
--------- -------

Workgroup Master
--------- -------

Pronto seu servidor samba4 esta ativo e com todos os usuários e grupos do seu servidor samba3

Criando arquivo de inicialização do samba
Agora precisamos de um script para iniciar e parar o Samba4.
# vi /etc/init.d/samba

#! /bin/bash

### BEGIN INIT INFO
# Provides: samba
# Required-Start: $network $local_fs $remote_fs
# Required-Stop: $network $local_fs $remote_fs
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: start Samba daemons
### END INIT INFO

#
# Start/stops the Samba daemon (samba).
# Adapted from the Samba 3 packages.
#

SAMBAPID=/opt/samba/var/run/samba.pid

# clear conflicting settings from the environment
unset TMPDIR

# See if the daemon and the config file are there
test -x /opt/samba/sbin -a -r /opt/samba/etc/ || exit 0

. /lib/lsb/init-functions

case "$1" in
start)
log_daemon_msg "Starting Samba 4 daemon" "samba"

if ! start-stop-daemon --start --quiet --oknodo --exec /opt/samba/sbin/samba -- -D; then
log_end_msg 1
exit 1
fi

log_end_msg 0
;;
stop)
log_daemon_msg "Stopping Samba 4 daemon" "samba"

start-stop-daemon --stop --quiet --name samba $SAMBAPID
# Wait a little and remove stale PID file
sleep 1
if [ -f $SAMBAPID ] && ! ps h `cat $SAMBAPID` > /dev/null
then
# Stale PID file (samba was succesfully stopped),
# remove it (should be removed by samba itself IMHO.)
rm -f $SAMBAPID
fi

log_end_msg 0

;;
restart|force-reload)
$0 stop
sleep 1
$0 start
;;
*)
echo "Usage: /etc/init.d/samba {start|stop|restart|force-reload}"
exit 1
;;
esac

exit 0

Dê permissão de execução ao script.
# chmod +x /etc/init.d/samba

Agora precisamos que o script inicie nos níveis de execução 2345 e pare em 016.
# update-rc.d samba defaults

Vamos atualizar o resolv.conf.
# vi /etc/resolv.conf

search empresa.casa
nameserver 127.0.0.1

RESOLVENDO PROBLEMAS
Tive alguns Problemas após executar o comando
# /opt/samba/bin/samba-tool domain classicupgrade –dbdir=root/backup/var/lib/samba/ –use-xattrs=yes –dns-backend=BIND9_DLZ –realm=empresa /root/backup/etc/samba/smb.conf

SID DUPLICADO

Tive problemas de SID duplicado
na pagina do samba tem esse script para verificar e remover esses sids duplicados
Como podem ver ele verifica os sid duplicados usando o slapcat ( Com isso você deve fazer o dump dos usuários para o ov ldap para só depois tentar remover os Sid duplicados )

###################################################################
#!/usr/bin/python
# A quick and dirty python script that checks for duplicat SID's using slapcat.
import os

data = os.popen("slapcat | grep sambaSID", 'r')
line = []

def anydup(thelist):
dups = list(set([x for x in thelist if thelist.count(x) > 1]))
for i in dups:
print "Duplicate id: ", i

for each_line in data:
line.append(each_line.strip())

anydup(line)
########################################################################

Comigo esse script não funcionou dessa forma usei o comando abaixo
Com isso antes de fazer o dump dos usuários executei o seguinte comando

cat /root/backup/backup.ldif | grep sambaSID | sort | uniq -d

Com isso fiquei sabendo quais eram os sid duplicados e os removi na mão no meu arquivo de backup /root/backup/backup.ldif
*Obs. você deve remover todo o usuário com o sid duplicado

Exemplo

ao executar o comando cat /root/backup/backup.ldif | grep sambaSID | sort | uniq -d
verifique que o sid abaixo estava duplicado

sambaSID: S-1-5-21-2538661941-1374352465-460999318-3266

Com isso removi um dos usuários que tem o mesmo sid removendo todas as linhas referentes a ele como no exemplo abaixo

dn: uid=usuario-teste,ou=Users,dc=empresa,dc=casa
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
objectClass: sambaSamAccount
uidNumber: 1133
structuralObjectClass: inetOrgPerson
entryUUID: 238fd2da-131c-102f-9a3d-675e93413251
creatorsName: cn=Administrator,dc=empresa,dc=casa
createTimestamp: 20100623140535Z
sambaSID: S-1-5-21-2538661941-1374352465-460999318-3266
loginShell: /bin/false
sambaLogonScript: logon_admin.bat
gidNumber: 512
sambaPrimaryGroupSID: S-1-5-21-2538661941-1374352465-460999318-512
sambaPwdCanChange: 1316016264
sambaPwdMustChange: 1328372822
shadowMax: 30
sambaAcctFlags: [U ]
givenName: FCNM
employeeNumber: 52001273
sambaDomainName: EMPRESA.CASA
sambaBadPasswordCount: 0
sambaBadPasswordTime: 0
sambaNTPassword: 6862D880221F70365C01BBD3C3FF664F
sambaPasswordHistory: 00000000000000000000000000000000000000000000000000000000
00000000
homeDirectory: /home/usuario-teste
description: usuario-teste
uid: usuario-teste
sambaPwdLastSet: 1342618479
shadowLastChange: 15539
userPassword:: e1NTSEF9ZWI3eHpaV1FBOHN6L2pJRUxaOE1MRmxWMFBqZDQ1SFo=
cn: Jose Roberto
telephoneNumber: 3185
sn: Jose
title:: VGVjLiBkZSBJbmZvcm3DoXRpY2E=
departmentNumber:: QXNzZXNzb3JpYSBkZSBUZWNub2xvZ2lhIGRhIEluZm9ybWHDp8OjbyAoIEF
USSAp
o: Jose Roberto Bastos de Oliveira
entryCSN: 20130429164709Z#000000#00#000000
modifiersName: cn=Administrator,dc=empresa,dc=casa
modifyTimestamp: 20130429164709Z

não esqueça de remover ele dos grupos ao qual ele pertence removendo o campo memberUid: usuario-teste

Agora que não existem usuário duplicados pode segui normalmente o tutorial

Caso já tenha feito o dump dos usuários

pode usar o comando

slapcat | grep sambaSID | sort | uniq -d

e usar um interface gráfica para remover usuários do ldap ( ldap-acount-manager (LAM ) ou phpldapadmin )