Procedimiento

1. Instale el paquete mod_ssl:

   # dnf install mod_ssl

2. Edite el archivo /etc/httpd/conf.d/ssl.conf y añada la siguiente configuración a la directiva <VirtualHost _default_:443>:

   1. Establezca el nombre del servidor:

      Nombre del servidor example.com

      Importante

      El nombre del servidor debe coincidir con la entrada establecida en el campo Common Name del certificado.

   2. Opcional: Si el certificado contiene nombres de host adicionales en el campo Subject Alt Names (SAN), puede configurar mod_ssl para que proporcione cifrado TLS también para estos nombres de host. Para configurarlo, añada el parámetro ServerAliases con los nombres correspondientes:

      ServidorAlias www.example.com server.example.com

   3. Establezca las rutas de acceso a la clave privada, el certificado del servidor y el certificado de la CA:

      SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
      SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. Por razones de seguridad, configure que sólo el usuario root pueda acceder al archivo de la clave privada:

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   Aviso

   Si los usuarios no autorizados accedieron a la clave privada, revoque el certificado, cree una nueva clave privada y solicite un nuevo certificado. En caso contrario, la conexión TLS deja de ser segura.

4. Abra el puerto 443 en el firewall local:

   # firewall-cmd --permanent --add-port=443
   # firewall-cmd --reload

5. Reinicie el servicio httpd:

   # systemctl restart httpd

   Nota

   Si protegió el archivo de clave privada con una contraseña, deberá introducirla cada vez que se inicie el servicio httpd.

Procedimiento

1. Edite el archivo /etc/httpd/conf/httpd.conf y añada la siguiente configuración a la directiva <VirtualHost> para la que desea establecer la versión del protocolo TLS. Por ejemplo, para habilitar sólo el protocolo TLSv1.3:

   SSLProtocolo -Todo TLSv1.3

2. Reinicie el servicio httpd:

   # systemctl restart httpd

Pasos de verificación

1. Utilice el siguiente comando para verificar que el servidor soporta TLSv1.3:

   # openssl s_client -connect example.com:443 -tls1_3

2. Utilice el siguiente comando para verificar que el servidor no soporta TLSv1.2:

   # openssl s_client -connect example.com:443 -tls1_2

   Si el servidor no soporta el protocolo, el comando devuelve un error:

   140111600609088:error:1409442E:Rutinas SSL:ssl3_read_bytes:versión del protocolo de alerta tlsv1:ssl/record/rec_layer_s3.c:1543:Número de alerta SSL 70

3. Opcional: Repita el comando para otras versiones del protocolo TLS.

Procedimiento

1. Edite el archivo /etc/httpd/conf/httpd.conf y añada el parámetro SSLCipherSuite a la directiva <VirtualHost> para la que desea establecer los cifrados TLS:

   SSLCipherSuite \ "EECDH AESGCM:EDH AESGCM:AES256 EECDH:AES256 EDH:!SHA1:!SHA256"

   Este ejemplo activa sólo los cifrados EECDH AESGCM, EDH AESGCM, AES256 EECDH, y AES256 EDH y desactiva todos los cifrados que utilizan el código de autenticación de mensajes (MAC) SHA1 y SHA256.

2. Reinicie el servicio httpd:

   # systemctl restart httpd

Pasos de verificación

1. Para mostrar la lista de cifrados que soporta el servidor HTTP Apache:

   1. Instale el paquete nmap:

      # yum install nmap

   2. Utiliza la utilidad nmap para mostrar los cifrados soportados:

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

Procedimiento

1. Cree una copia del archivo /etc/samba/smb.conf:

   # cp /etc/samba/smb.conf /etc/samba/samba.conf.copy

2. Edite el archivo copiado y realice los cambios deseados.

3. Verifique la configuración en el /etc/samba/samba.conf.copy archivo:

   # testparm -s /etc/samba/samba.conf.copy

   Si testparm informa de errores, arréglelos y vuelva a ejecutar el comando.

4. Anule el archivo /etc/samba/smb.conf con la nueva configuración:

   # mv /etc/samba/samba.conf.copy /etc/samba/smb.conf

5. Espere a que los servicios Samba recarguen automáticamente su configuración o recargue manualmente la configuración:

   # smbcontrol all reload-config

Procedimiento

1. Ejecute la utilidad testparm como el usuario root:

   # testparm
   Load smb config files from /etc/samba/smb.conf
   rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
   Unknown parameter encountered: "log levell"
   Processing section "[example_share]"
   Loaded services file OK.
   ERROR: The idmap range for the domain * (tdb) overlaps with the range of DOMAIN (ad)!
   
   Server role: ROLE_DOMAIN_MEMBER
   
   Press enter to see a dump of your service definitions
   
   # Global parameters
   [global]
   	...
   
   [example_share]
   	...

   La salida del ejemplo anterior informa de un parámetro inexistente y de una configuración incorrecta del mapeo de ID.

2. Si testparm informa de parámetros o valores incorrectos, o de otros errores en la configuración, solucione el problema y vuelva a ejecutar la utilidad.

Procedimiento

1. Instale el paquete samba:

   # yum install samba

2. Edite el archivo /etc/samba/smb.conf y establezca los siguientes parámetros:

   [global]
   	workgroup = Example-WG
   	netbios name = Server
   	security = user
   
   	log file = /var/log/samba/%m.log
   	log level = 1

   Esta configuración define un servidor independiente llamado Server dentro del grupo de trabajo Example-WG. Además, esta configuración permite el registro en un nivel mínimo (1) y los archivos de registro se almacenarán en el directorio /var/log/samba/. Samba expandirá la macro %m en el parámetro log file al nombre NetBIOS de los clientes conectados. Esto permite archivos de registro individuales para cada cliente.

3. Opcionalmente, configure el uso compartido de archivos o impresoras. Ver:

   • Sección 3.7, “Configuración de un archivo compartido Samba que utiliza ACLs POSIX”
   • Sección 3.9, “Configuración de un recurso compartido que utiliza las ACL de Windows”
   • Sección 3.15, “Configuración de Samba como servidor de impresión”

4. Verifique el archivo /etc/samba/smb.conf:

   # testparm

5. Si configura recursos compartidos que requieren autenticación, cree las cuentas de usuario.

   Para más detalles, consulte Sección 3.3.2, “Creación y habilitación de cuentas de usuario locales”.

6. Abra los puertos necesarios y recargue la configuración del cortafuegos mediante la utilidad firewall-cmd:

   # firewall-cmd --permanent --add-port={139/tcp,445/tcp}
   # firewall-cmd --reload

7. Habilite e inicie el servicio smb:

   # systemctl enable --now smb

Procedimiento

1. Crear la cuenta del sistema operativo:

   # useradd -M -s /sbin/nologin example

   Este comando añade la cuenta example sin crear un directorio de inicio. Si la cuenta sólo se utiliza para autenticarse en Samba, asigne el comando /sbin/nologin como shell para evitar que la cuenta se registre localmente.

2. Establezca una contraseña a la cuenta del sistema operativo para habilitarla:

   # passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully

   Samba no utiliza la contraseña establecida en la cuenta del sistema operativo para autenticarse. Sin embargo, es necesario establecer una contraseña para habilitar la cuenta. Si una cuenta está deshabilitada, Samba deniega el acceso si este usuario se conecta.

3. Añade el usuario a la base de datos Samba y establece una contraseña para la cuenta:

   # smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.

   Utilice esta contraseña para autenticarse cuando utilice esta cuenta para conectarse a un recurso compartido de Samba.

4. Habilitar la cuenta Samba:

   # smbpasswd -e example
   Enabled user example.

Procedimiento

1. Edite la sección [global] en el archivo /etc/samba/smb.conf:

   1. Añada una configuración de asignación de ID para el dominio por defecto (*) si no existe. Por ejemplo:

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. Habilite el back end de asignación de ID de ad para el dominio de AD:

      idmap config DOMAIN: backend = ad

   3. Establezca el rango de IDs que se asigna a los usuarios y grupos en el dominio AD. Por ejemplo:

      idmap config DOMAIN: rango = 2000000-2999999

      Importante

      El rango no debe solaparse con ninguna otra configuración de dominio en este servidor. Además, el rango debe ser lo suficientemente grande como para incluir todos los IDs asignados en el futuro. Para más detalles, consulte Sección 3.4.1, “Planificación de rangos de ID de Samba”.

   4. Establezca que Samba utilice el esquema RFC 2307 cuando lea los atributos de AD:

      idmap config DOMAIN: schema_mode = rfc2307

   5. Para permitir que Samba lea el shell de inicio de sesión y la ruta de acceso al directorio personal de los usuarios desde el atributo AD correspondiente, establezca:

      idmap config DOMAIN: unix_nss_info = yes

      Como alternativa, puede establecer una ruta de directorio principal y un shell de inicio de sesión uniformes para todo el dominio que se apliquen a todos los usuarios. Por ejemplo:

      template shell = /bin/bash
      template homedir = /home/%U

   6. Por defecto, Samba utiliza el atributo primaryGroupID de un objeto de usuario como grupo principal del usuario en Linux. Como alternativa, puede configurar Samba para que utilice el valor establecido en el atributo gidNumber en su lugar:

      idmap config DOMAIN: unix_primary_group = yes

2. Verifique el archivo /etc/samba/smb.conf:

   # testparm

3. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Edite la sección [global] en el archivo /etc/samba/smb.conf:

   1. Añada una configuración de asignación de ID para el dominio por defecto (*) si no existe. Por ejemplo:

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. Habilite el back end de asignación de ID de rid para el dominio:

      idmap config DOMAIN: backend = rid

   3. Establezca un rango lo suficientemente grande como para incluir todos los RID que se asignarán en el futuro. Por ejemplo:

      idmap config DOMAIN: rango = 2000000-2999999

      Samba ignora a los usuarios y grupos cuyos RIDs en este dominio no están dentro del rango.

      Importante

      El rango no debe solaparse con ninguna otra configuración de dominio en este servidor. Para más detalles, consulte Sección 3.4.1, “Planificación de rangos de ID de Samba”.

   4. Establezca una ruta de acceso al shell y al directorio principal que se asignará a todos los usuarios asignados. Por ejemplo:

      template shell = /bin/bash
      template homedir = /home/%U

2. Verifique el archivo /etc/samba/smb.conf:

   # testparm

3. Recarga la configuración de Samba:

   # smbcontrol all reload-config

   Recursos adicionales

   • Sección 3.4.2, “The * default domain”
   • Para más detalles sobre la sustitución de variables, consulte la sección VARIABLE SUBSTITUTIONS en la página de manual smb.conf(5).
   • Para más detalles sobre cómo Samba calcula el ID local a partir de un RID, consulte la página man idmap_rid(8).

Procedimiento

1. Edite la sección [global] en el archivo /etc/samba/smb.conf:

   1. Habilite el back end de mapeo de ID de autorid para el dominio por defecto *:

      idmap config * : backend = autorid

   2. Establezca un rango lo suficientemente grande como para asignar IDs para todos los objetos existentes y futuros. Por ejemplo:

      idmap config * : range = 10000-999999

      Samba ignora a los usuarios y grupos cuyos IDs calculados en este dominio no están dentro del rango.

      Aviso

      Después de establecer el rango y de que Samba comience a utilizarlo, sólo puede aumentar el límite superior del rango. Cualquier otro cambio en el rango puede dar lugar a nuevas asignaciones de ID, y por lo tanto a la pérdida de la propiedad de los archivos.

   3. Opcionalmente, establezca un tamaño de rango. Por ejemplo:

      idmap config * : rangesize = 200000

      Samba assigns this number of continuous IDs for each domain’s object until all IDs from the range set in the idmap config * : range parameter are taken.

   4. Establezca una ruta de acceso al shell y al directorio principal que se asignará a todos los usuarios asignados. Por ejemplo:

      template shell = /bin/bash
      template homedir = /home/%U

   5. Opcionalmente, añada una configuración adicional de mapeo de ID para los dominios. Si no hay ninguna configuración para un dominio individual, Samba calcula el ID utilizando la configuración del back-end autorid en el dominio por defecto previamente configurado *.

      Importante

      Si se configuran extremos posteriores adicionales para dominios individuales, los rangos para toda la configuración de mapeo de ID no deben superponerse. Para más detalles, consulte Sección 3.4.1, “Planificación de rangos de ID de Samba”.

2. Verifique el archivo /etc/samba/smb.conf:

   # testparm

3. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Si su AD requiere el tipo de cifrado RC4 obsoleto para la autenticación Kerberos, habilite el soporte para estos cifrados en RHEL:

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. Instale los siguientes paquetes:

   # yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients \ samba-winbind samba-common-tools samba-winbind-krb5-locator

3. Para compartir directorios o impresoras en el miembro del dominio, instale el paquete samba:

   # yum install samba

4. Realice una copia de seguridad del archivo de configuración de Samba existente en /etc/samba/smb.conf:

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. Únase al dominio. Por ejemplo, para unirse a un dominio llamado ad.example.com:

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   Utilizando el comando anterior, la utilidad realm automáticamente:

   • Crea un archivo /etc/samba/smb.conf para un miembro del dominio ad.example.com
   • Añade el módulo winbind para la búsqueda de usuarios y grupos en el archivo /etc/nsswitch.conf
   • Actualiza los archivos de configuración del Pluggable Authentication Module (PAM) en el directorio /etc/pam.d/
   • Inicia el servicio winbind y permite que el servicio se inicie al arrancar el sistema
6. Opcionalmente, establezca un back end de mapeo de ID alternativo o ajustes de mapeo de ID personalizados en el archivo /etc/samba/smb.conf. Para más detalles, consulte Sección 3.4, “Comprender y configurar la asignación de ID de Samba”.

7. Compruebe que el servicio winbind está en funcionamiento:

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   Importante

   Para que Samba pueda consultar la información de los usuarios y grupos del dominio, el servicio winbind debe estar funcionando antes de iniciar smb.

8. Si ha instalado el paquete samba para compartir directorios e impresoras, active e inicie el servicio smb:

   # systemctl enable --now smb

9. Opcionalmente, si está autenticando inicios de sesión locales en Active Directory, habilite el complemento winbind_krb5_localauth. Véase Sección 3.5.2, “Uso del complemento de autorización local para MIT Kerberos”.

Pasos de verificación

1. Muestra los detalles de un usuario AD, como la cuenta de administrador AD en el dominio AD:

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. Consultar los miembros del grupo de usuarios del dominio en el dominio AD:

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. Opcionalmente, verifique que puede utilizar los usuarios y grupos del dominio cuando establezca los permisos de los archivos y directorios. Por ejemplo, para establecer el propietario del archivo /srv/samba/example.txt como AD\administrator y el grupo como AD\Domain Users:

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. Verifique que la autenticación Kerberos funciona como se espera:

   1. En el miembro del dominio AD, obtenga un ticket para la entidad de crédito administrator@AD.EXAMPLE.COM:

      # kinit administrator@AD.EXAMPLE.COM

   2. Muestra el ticket de Kerberos en caché:

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. Muestra los dominios disponibles:

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

Procedimiento

1. Instale los paquetes necesarios:

   [root@ipaserver ~]# yum install ipa-server ipa-server-trust-ad samba-client

2. Autenticarse como usuario administrativo de IdM:

   [root@ipaserver ~]# kinit admin

3. Ejecute la utilidad ipa-adtrust-install:

   [root@ipaserver ~]# ipa-adtrust-install

   Los registros de servicio DNS se crean automáticamente si IdM se ha instalado con un servidor DNS integrado.

   Si IdM se instaló sin un servidor DNS integrado, ipa-adtrust-install imprime una lista de registros de servicio que deben añadirse manualmente al DNS antes de poder continuar.

4. El script le indica que el /etc/samba/smb.conf ya existe y será reescrito:

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. El script le pide que configure el complemento slapi-nis, un complemento de compatibilidad que permite a los clientes de Linux más antiguos trabajar con usuarios de confianza:

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. Cuando se le solicite, introduzca el nombre NetBIOS del dominio IdM o pulse Enter para aceptar el nombre propuesto:

   Trust is configured but no NetBIOS domain name found, setting it now.
   Enter the NetBIOS name for the IPA domain.
   Only up to 15 uppercase ASCII letters, digits and dashes are allowed.
   Example: EXAMPLE.
   
   NetBIOS domain name [IDM]:

7. Se le pide que ejecute la tarea de generación de SID para crear un SID para cualquier usuario existente:

   ¿Desea ejecutar la tarea ipa-sidgen? [no] yes

   Cuando el directorio se instala por primera vez, existe al menos un usuario (el administrador de IdM) y como esta es una tarea que consume muchos recursos, si tienes un número elevado de usuarios, puedes ejecutarla en otro momento.

8. (Optional) Por defecto, el rango de puertos RPC dinámicos está definido como 49152-65535 para Windows Server 2008 y posteriores. Si necesita definir un rango de puertos RPC dinámicos diferente para su entorno, configure Samba para utilizar puertos diferentes y abra esos puertos en la configuración de su cortafuegos. El siguiente ejemplo establece el rango de puertos en 55000-65000.

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

9. Reinicie el servicio ipa:

   [root@ipaserver ~]# ipactl restart

10. Utilice la utilidad smbclient para verificar que Samba responde a la autenticación Kerberos desde el lado de IdM:

    [root@ipaserver ~]# smbclient -L server.idm.example.com -k
    lp_load_ex: changing to config backend registry
        Sharename       Type      Comment
        ---------       ----      -------
        IPC$            IPC       IPC Service (Samba 4.12.3)
    ...

Procedimiento

1. Abra la página web Group Policy Management Console.
2. Haga clic con el botón derecho del ratón en Default Domain Policy, y seleccione Edit. Se abre la página Group Policy Management Editor.
3. Navegue hasta Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options.
4. Haga doble clic en la política Network security: Configure encryption types allowed for Kerberos.
5. Seleccione AES256_HMAC_SHA1 y, opcionalmente, Future encryption types.
6. Haga clic en Aceptar.
7. Cierre la página Group Policy Management Editor.
8. Repita los pasos para el Default Domain Controller Policy.

9. Espere a que los controladores de dominio (DC) de Windows apliquen la política de grupo automáticamente. Como alternativa, para aplicar la GPO manualmente en un DC, introduzca el siguiente comando utilizando una cuenta que tenga permisos de administrador:

   C:\N> gpupdate /force /target:computer

Procedimiento

1. Instale el paquete ipa-client-samba:

   [root@idm_client]# yum install ipa-client-samba

2. Utilice la utilidad ipa-client-samba para preparar el cliente y crear una configuración inicial de Samba:

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. Por defecto, ipa-client-samba añade automáticamente la sección [homes] al archivo /etc/samba/smb.conf que comparte dinámicamente el directorio personal de un usuario cuando éste se conecta. Si los usuarios no tienen directorios personales en este servidor, o si no desea compartirlos, elimine las siguientes líneas de /etc/samba/smb.conf:

   [homes]
       read only = no

4. Compartir directorios e impresoras. Para más detalles, consulte:

   • Sección 3.7, “Configuración de un archivo compartido Samba que utiliza ACLs POSIX”
   • Sección 3.9, “Configuración de un recurso compartido que utiliza las ACL de Windows”
   • Sección 3.15, “Configuración de Samba como servidor de impresión”

5. Abra los puertos necesarios para un cliente Samba en el firewall local:

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. Habilite e inicie los servicios smb y winbind:

   [root@idm_client]# systemctl enable --now smb winbind

1. Autenticar y obtener un ticket de Kerberos:

   $ kinit example_user

2. Enumerar los recursos compartidos en el servidor Samba utilizando la autenticación Kerberos:

   $ smbclient -L idm_client.idm.example.com -k
   lp_load_ex: changing to config backend registry
   
       Sharename       Type      Comment
       ---------       ----      -------
       example         Disk
       IPC$            IPC       IPC Service (Samba 4.12.3)
   ...

Procedimiento

1. Autenticar usando el keytab del host:

   [root@idm_client]# kinit -k

2. Utilice el comando ipa idrange-find para mostrar tanto el ID base como el tamaño del rango de ID del nuevo dominio. Por ejemplo, el siguiente comando muestra los valores del dominio ad.example.com:

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Los valores de los atributos ipabaseid y ipaidrangesize son necesarios en los siguientes pasos.

3. Para calcular el ID utilizable más alto, utilice la siguiente fórmula:

   rango_máximo = ipabaseid ipaidrangesize - 1

   Con los valores del paso anterior, el mayor ID utilizable para el dominio ad.example.com es 1918599999 (1918400000 200000 - 1).

4. Edite el archivo /etc/samba/smb.conf y añada la configuración de la asignación de ID para el dominio en la sección [global]:

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   Especifique el valor del atributo ipabaseid como el más bajo y el valor calculado del paso anterior como el valor más alto del rango.

5. Reinicie los servicios smb y winbind:

   [root@idm_client]# systemctl restart smb winbind

Pasos de verificación

1. Autentifíquese como usuario del nuevo dominio y obtenga un ticket Kerberos:

   $ kinit example_user

2. Enumerar los recursos compartidos en el servidor Samba utilizando la autenticación Kerberos:

   $ smbclient -L idm_client.idm.example.com -k
   lp_load_ex: changing to config backend registry
   
       Sharename       Type      Comment
       ---------       ----      -------
       example         Disk
       IPC$            IPC       IPC Service (Samba 4.12.3)
   ...

Procedimiento

1. Cree la carpeta si no existe. Por ejemplo:

   # mkdir -p /srv/samba/example/

2. Si ejecuta SELinux en modo enforcing, establezca el contexto samba_share_t en el directorio:

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. Establezca las ACL del sistema de archivos en el directorio. Para más detalles, consulte:

   • Sección 3.7.2, “Establecer ACLs estándar de Linux en un recurso compartido de Samba que utiliza ACLs POSIX”
   • Sección 3.7.3, “Configuración de ACLs extendidas en un recurso compartido de Samba que utiliza ACLs POSIX”.

4. Añada el ejemplo de recurso compartido al archivo /etc/samba/smb.conf. Por ejemplo, para añadir el recurso compartido de escritura:

   [example]
   	path = /srv/samba/example/
   	read only = no

   Nota

   Independientemente de las ACL del sistema de archivos; si no se establece read only = no, Samba comparte el directorio en modo de sólo lectura.

5. Verifique el archivo /etc/samba/smb.conf:

   # testparm

6. Abra los puertos necesarios y recargue la configuración del cortafuegos mediante la utilidad firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. Reinicie el servicio smb:

   # systemctl restart smb

Procedimiento

1. Habilite el siguiente parámetro en la sección del recurso compartido en el archivo /etc/samba/smb.conf para habilitar la herencia de ACLs extendidas:

   heredar acls = si

   Para más detalles, consulte la descripción del parámetro en la página de manual smb.conf(5).

2. Reinicie el servicio smb:

   # systemctl restart smb

3. Establezca las ACL en el directorio. Por ejemplo:

   Ejemplo 3.2. Configuración de ACLs extendidas

   El siguiente procedimiento establece permisos de lectura, escritura y ejecución para el grupo Domain Admins, permisos de lectura y ejecución para el grupo Domain Users y deniega el acceso a todos los demás en el directorio /srv/samba/example/:

   1. Desactivar la concesión automática de permisos al grupo principal de cuentas de usuario:

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      El grupo primario del directorio se asigna adicionalmente a la entidad de seguridad dinámica CREATOR GROUP. Cuando se utilizan ACLs POSIX extendidas en un recurso compartido de Samba, esta entidad de seguridad se añade automáticamente y no se puede eliminar.

   2. Establezca los permisos del directorio:

      1. Conceda permisos de lectura, escritura y ejecución al grupo Domain Admins:

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. Concede permisos de lectura y ejecución al grupo Domain Users:

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. Establezca los permisos de la entrada ACL other para denegar el acceso a los usuarios que no coincidan con las demás entradas ACL:

         # setfacl -R -m other::--- /srv/samba/example/

      Estos ajustes se aplican sólo a este directorio. En Windows, estas ACL se asignan al modo This folder only.

   3. Para permitir que los permisos establecidos en el paso anterior sean heredados por los nuevos objetos del sistema de archivos creados en este directorio:

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      Con estos ajustes, el modo This folder only para los directores está ahora establecido en This folder, subfolders, and files.

   Samba asigna los permisos establecidos en el procedimiento a las siguientes ACL de Windows:

   Principal	Acceda a	Se aplica a
   Domain\N - Administradores de dominio	Control total	Esta carpeta, subcarpetas y archivos
   Domain\N - Usuarios del dominio	Leer & ejecutar	Esta carpeta, subcarpetas y archivos
   Everyone [a]	Ninguno	Esta carpeta, subcarpetas y archivos
   owner (Unix User\owner) [b]	Control total	Esta carpeta sólo
   primary_group (Unix User\primary_group) [c]	Ninguno	Esta carpeta sólo
   CREATOR OWNER [d] [e]	Control total	Sólo subcarpetas y archivos
   CREATOR GROUP [e] [f]	Ninguno	Sólo subcarpetas y archivos
   [a] Samba asigna los permisos para esta entidad de seguridad desde la entrada ACL de other. [b] Samba asigna el propietario del directorio a esta entrada. [c] Samba asigna el grupo primario del directorio a esta entrada. [d] En los nuevos objetos del sistema de archivos, el creador hereda automáticamente los permisos de este principal. [e] La configuración o la eliminación de estas entidades de seguridad de las ACL no es compatible con los recursos compartidos que utilizan ACL POSIX. [f] En los nuevos objetos del sistema de archivos, el grupo principal del creador hereda automáticamente los permisos de este principal.

Procedimiento

1. Por ejemplo, para permitir que todos los miembros del grupo Domain Users accedan a un recurso compartido mientras se deniega el acceso a la cuenta user, añada los siguientes parámetros a la configuración del recurso compartido:

   valid users = +DOMAIN\"Domain Users"
   invalid users = DOMAIN\user

   El parámetro invalid users tiene mayor prioridad que el parámetro valid users. Por ejemplo, si la cuenta user es miembro del grupo Domain Users, el acceso se deniega a esta cuenta cuando se utiliza el ejemplo anterior.

2. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Añada los siguientes parámetros a la configuración del recurso compartido en el archivo /etc/samba/smb.conf:

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

   El parámetro hosts deny tiene mayor prioridad que hosts allow. Por ejemplo, si client1.example.com resuelve a una dirección IP que aparece en el parámetro hosts allow, se deniega el acceso a este host.

2. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Por ejemplo, para conceder el privilegio SeDiskOperatorPrivilege al grupo DOMAIN\Domain Admins grupo:

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Nota

   En un entorno de dominio, conceda SeDiskOperatorPrivilege a un grupo de dominio. Esto le permite gestionar de forma centralizada el privilegio mediante la actualización de la pertenencia a un grupo de usuarios.

2. Para listar todos los usuarios y grupos que tienen SeDiskOperatorPrivilege concedido:

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

Procedimiento

1. Para habilitarlo globalmente para todos los recursos compartidos, añada la siguiente configuración a la sección [global] del archivo /etc/samba/smb.conf:

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   Como alternativa, puede habilitar el soporte de ACL de Windows para acciones individuales, añadiendo los mismos parámetros a la sección de una acción.

2. Reinicie el servicio smb:

   # systemctl restart smb

Procedimiento

1. Cree la carpeta si no existe. Por ejemplo:

   # mkdir -p /srv/samba/example/

2. Si ejecuta SELinux en modo enforcing, establezca el contexto samba_share_t en el directorio:

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. Añada el ejemplo de recurso compartido al archivo /etc/samba/smb.conf. Por ejemplo, para añadir el recurso compartido de escritura:

   [example]
   	path = /srv/samba/example/
   	read only = no

   Nota

   Independientemente de las ACL del sistema de archivos; si no se establece read only = no, Samba comparte el directorio en modo de sólo lectura.

4. Si no ha habilitado la compatibilidad con ACL de Windows en la sección [global] para todos los recursos compartidos, añada los siguientes parámetros a la sección [example] para habilitar esta función para este recurso compartido:

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. Verifique el archivo /etc/samba/smb.conf:

   # testparm

6. Abra los puertos necesarios y recargue la configuración del cortafuegos mediante la utilidad firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. Reinicie el servicio smb:

   # systemctl restart smb

Procedimiento

1. Cree el grupo local example, si no existe:

   # groupadd example

2. Prepare el directorio para que Samba almacene las definiciones de recursos compartidos de los usuarios y establezca sus permisos correctamente. Por ejemplo:

   1. Crea el directorio:

      # mkdir -p /var/lib/samba/usershares/

   2. Establezca los permisos de escritura para el grupo example:

      # chgrp example /var/lib/samba/usershares/
      # chmod 1770 /var/lib/samba/usershares/

   3. Establece el bit sticky para evitar que los usuarios renombren o borren los archivos almacenados por otros usuarios en este directorio.

3. Edite el archivo /etc/samba/smb.conf y añada lo siguiente a la sección [global]:

   1. Establezca la ruta del directorio que configuró para almacenar las definiciones de recursos compartidos de los usuarios. Por ejemplo:

      ruta de usuarios compartidos = /var/lib/samba/usershares/

   2. Establece el número de recursos compartidos de usuario que Samba permite crear en este servidor. Por ejemplo:

      usershare max shares = 100

      Si utilizas el valor por defecto de 0 para el parámetro usershare max shares, los recursos compartidos de los usuarios están deshabilitados.

   3. Opcionalmente, establezca una lista de rutas de directorio absolutas. Por ejemplo, para configurar que Samba sólo permita compartir subdirectorios del directorio /data y /srv a compartir, establezca:

      usershare prefix allow list = /data /srv

   Para obtener una lista de otros parámetros relacionados con el uso compartido de usuarios que puede establecer, consulte la sección USERSHARES en la página de manual smb.conf(5).

4. Verifique el archivo /etc/samba/smb.conf:

   # testparm

5. Recarga la configuración de Samba:

   # smbcontrol all reload-config

   Ahora los usuarios pueden crear acciones de usuario.

Procedimiento

1. Para mostrar todas las acciones creadas por cualquier usuario:

   $ net usershare info -l
   [share_1]
   path=/srv/samba/
   comment=
   usershare_acl=Everyone:R,host_name\user:F,
   guest_ok=y
   ...

   Para listar sólo los recursos compartidos creados por el usuario que ejecuta el comando, omita el parámetro -l.

2. Para mostrar sólo la información sobre acciones específicas, pase el nombre de la acción o los comodines al comando. Por ejemplo, para mostrar la información sobre los recursos compartidos cuyo nombre empieza por share_:

   $ net usershare info -l share_*

Procedimiento

1. Para listar las acciones creadas por cualquier usuario:

   $ net usershare list -l
   share_1
   share_2
   ...

   Para listar sólo los recursos compartidos creados por el usuario que ejecuta el comando, omita el parámetro -l.

2. Para listar sólo acciones específicas, pase el nombre de la acción o los comodines al comando. Por ejemplo, para listar sólo los recursos compartidos cuyo nombre empiece por share_:

   $ net usershare list -l share_*

Procedimiento

1. Edite el archivo /etc/samba/smb.conf:

   1. Si este es el primer recurso compartido para invitados que configuras en este servidor:

      1. Establezca map to guest = Bad User en la sección [global]:

         [global]
                 ...
                 map to guest = Bad User

         Con esta configuración, Samba rechaza los intentos de inicio de sesión que utilizan una contraseña incorrecta a menos que el nombre de usuario no exista. Si el nombre de usuario especificado no existe y el acceso de invitados está habilitado en un recurso compartido, Samba trata la conexión como un inicio de sesión de invitado.

      2. Por defecto, Samba asigna la cuenta de invitado a la cuenta nobody en Red Hat Enterprise Linux. Alternativamente, puede establecer una cuenta diferente. Por ejemplo:

         [global]
                 ...
                 guest account = user_name

         La cuenta establecida en este parámetro debe existir localmente en el servidor Samba. Por razones de seguridad, Red Hat recomienda utilizar una cuenta que no tenga asignada una shell válida.

   2. Añade la configuración de guest ok = yes a la sección de acciones de [example]:

      [example]
              ...
              guest ok = yes

2. Verifique el archivo /etc/samba/smb.conf:

   # testparm

3. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Edite el archivo /etc/samba/smb.conf y habilite los módulos VFS fruit y streams_xattr en la sección [global]:

   vfs objects = fruit streams_xattr

   Importante

   Debe activar el módulo fruit antes de activar streams_xattr. El módulo fruit utiliza flujos de datos alternativos (ADS). Por este motivo, también debe habilitar el módulo streams_xattr.

2. Opcionalmente, para proporcionar compatibilidad con macOS Time Machine en un recurso compartido, añada el siguiente ajuste a la configuración del recurso compartido en el archivo /etc/samba/smb.conf:

   fruta:máquina del tiempo = sí

3. Verifique el archivo /etc/samba/smb.conf:

   # testparm

4. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Conéctate a la acción:

   # smbclient -U "DOMAIN\user_name" //server_name/share_name

2. Cambia al directorio /example/:

   smb: \N > d /example/

3. Enumera los archivos del directorio:

   smb: \example\> ls
     .                    D         0  Thu Nov 1 10:00:00 2018
     ..                   D         0  Thu Nov 1 10:00:00 2018
     example.txt          N   1048576  Thu Nov 1 10:00:00 2018
   
            9950208 blocks of size 1024. 8247144 blocks available

4. Descargue el archivo example.txt:

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. Desconéctate de la acción:

   smb: \N - ejemplo > exit

Procedimiento

1. Edite la sección [global] en el archivo /etc/samba/smb.conf:

   1. Añade los siguientes parámetros:

      rpc_server:spoolss = external
      rpc_daemon:spoolssd = fork

   2. Opcionalmente, puede establecer los siguientes parámetros:

      Parámetro	Por defecto	Descripción
      spoolssd:prefork_min_children	5	Número mínimo de procesos hijos
      spoolssd:prefork_max_children	25	Número máximo de procesos hijos
      spoolssd:prefork_spawn_rate	5	Samba bifurca el número de nuevos procesos hijos establecidos en este parámetro, hasta el valor establecido en spoolssd:prefork_max_children, si se establece una nueva conexión
      spoolssd:prefork_max_allowed_clients	100	Número de clientes a los que sirve un proceso infantil
      spoolssd:prefork_child_min_life	60	Duración mínima de un proceso hijo en segundos. 60 segundos es el mínimo.

2. Verifique el archivo /etc/samba/smb.conf:

   # testparm

3. Reinicie el servicio smb:

   # systemctl restart smb

   Después de reiniciar el servicio, Samba inicia automáticamente los procesos hijos de smbd:

   # ps axf
   ...
   30903 smbd
   30912  \_ smbd
   30913      \_ smbd
   30914      \_ smbd
   30915      \_ smbd
   ...

Procedimiento

1. En el servidor Samba, configure CUPS y añada la impresora al back end de CUPS. Para más detalles sobre la configuración de impresoras en CUPS; consulte la documentación proporcionada en la consola web de CUPS (https://print_server_host_name:631/help) en el servidor de impresión.

   Nota

   Samba sólo puede reenviar los trabajos de impresión a CUPS si éste está instalado localmente en el servidor de impresión Samba.

2. Edite el archivo /etc/samba/smb.conf:

   1. Si desea activar el servicio spoolssd, añada los siguientes parámetros a la sección [global]:

      rpc_server:spoolss = external
      rpc_daemon:spoolssd = fork

   2. Para configurar el back end de impresión, añada la sección [printers]:

      [printers]
              comment = All Printers
              path = /var/tmp/
              printable = yes
              create mask = 0600

      Importante

      El nombre de la acción de [printers] está codificado y no se puede cambiar.

3. Verifique el archivo /etc/samba/smb.conf:

   # testparm

4. Abra los puertos necesarios y recargue la configuración del cortafuegos mediante la utilidad firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

5. Reinicie el servicio smb:

   # systemctl restart smb

Procedimiento

1. Edite el archivo /etc/samba/smb.conf:

   1. En la sección [global], desactive el uso compartido automático de la impresora mediante la configuración:

      cargar impresoras = no

   2. Añade una sección para cada impresora que quieras compartir. Por ejemplo, para compartir la impresora llamada example en el back end de CUPS como Example-Printer en Samba, añada la siguiente sección:

      [Example-Printer]
              path = /var/tmp/
              printable = yes
              printer name = example

      No necesita directorios de spool individuales para cada impresora. Puede establecer el mismo directorio de spool en el parámetro path para la impresora que estableció en la sección [printers].

2. Verifique el archivo /etc/samba/smb.conf:

   # testparm

3. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Por ejemplo, para conceder el privilegio SePrintOperatorPrivilege al grupo printadmin:

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Nota

   En un entorno de dominio, conceda SePrintOperatorPrivilege a un grupo de dominio. Esto le permite gestionar de forma centralizada el privilegio mediante la actualización de la pertenencia a un grupo de usuarios.

2. Para listar todos los usuarios y grupos que tienen SePrintOperatorPrivilege concedido:

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

Procedimiento

1. Añada la sección [print$] al archivo /etc/samba/smb.conf:

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   Utilizando estos ajustes:

   • Sólo los miembros del grupo printadmin pueden cargar controladores de impresora en el recurso compartido.
   • El grupo de archivos y directorios recién creados se establecerá en printadmin.
   • Los permisos de los nuevos archivos se establecerán en 664.
   • Los permisos de los nuevos directorios se establecerán en 2775.

2. Para cargar sólo los controladores de 64 bits para todas las impresoras, incluya esta configuración en la sección [global] del archivo /etc/samba/smb.conf:

   spoolss: arquitectura = Windows x64

   Sin esta configuración, Windows sólo muestra los controladores para los que se ha cargado al menos la versión de 32 bits.

3. Verifique el archivo /etc/samba/smb.conf:

   # testparm

4. Recargar la configuración de Samba

   # smbcontrol all reload-config

5. Cree el grupo printadmin si no existe:

   # groupadd printadmin

6. Conceda el privilegio SePrintOperatorPrivilege al grupo printadmin.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. Si ejecuta SELinux en modo enforcing, establezca el contexto samba_share_t en el directorio:

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   # restorecon -Rv /var/lib/samba/drivers/

8. Establezca los permisos del directorio /var/lib/samba/drivers/:

   • Si utiliza ACLs POSIX, configure:

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • Si utiliza las ACL de Windows, configure:

     Principal	Acceda a	Solicitar a
     CREATOR OWNER	Control total	Sólo subcarpetas y archivos
     Authenticated Users	Leer & ejecutar, Listar el contenido de la carpeta, Leer	Esta carpeta, subcarpetas y archivos
     printadmin	Control total	Esta carpeta, subcarpetas y archivos

     Para más detalles sobre la configuración de las ACL en Windows, consulte la documentación de Windows.

Procedimiento

1. Inicie sesión en un equipo Windows con una cuenta que tenga permiso para editar las políticas de grupo, como el usuario del dominio AD Administrator.
2. Abra la página web Group Policy Management Console.

3. Haga clic con el botón derecho del ratón en su dominio AD y seleccione Create a GPO in this domain, and Link it here.

   
4. Introduzca un nombre para el GPO, como Legacy Printer Driver Policy y haga clic en OK. El nuevo GPO aparecerá bajo la entrada del dominio.
5. Haga clic con el botón derecho del ratón en el GPO recién creado y seleccione Edit para abrir la página Group Policy Management Editor.

6. Navegue hasta Configuración del equipo → Políticas → Plantillas administrativas → Impresoras.

   

7. En la parte derecha de la ventana, haga doble clic en Point and Print Restriction para editar la política:

   1. Habilite la política y configure las siguientes opciones:

      1. Seleccione Users can only point and print to these servers e introduzca el nombre de dominio completo (FQDN) del servidor de impresión Samba en el campo situado junto a esta opción.

      2. En las dos casillas de Security Prompts, seleccione Do not show warning or elevation prompt.

         
   2. Haga clic en Aceptar.

8. Haga doble clic en Package Point and Print - Approved servers para editar la política:

   1. Habilite la política y haga clic en el botón Show.

   2. Introduzca el FQDN del servidor de impresión Samba.

      
   3. Cierre tanto la ventana Show Contents como la de propiedades de la política haciendo clic en OK.
9. Cierre la página Group Policy Management Editor.
10. Cierre la página Group Policy Management Console.

Procedimiento

1. Eliminar el parámetro server max protocol de la sección [global] en el archivo /etc/samba/smb.conf.

2. Recargar la configuración de Samba

   # smbcontrol all reload-config

Procedimiento

1. Cambia el nombre de todos los archivos del recurso compartido a minúsculas.

   Nota

   Utilizando los ajustes de este procedimiento, los archivos con nombres que no estén en minúsculas ya no se mostrarán.

2. Establezca los siguientes parámetros en la sección de la acción:

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no

   Para más detalles sobre los parámetros, consulte sus descripciones en la página man smb.conf(5).

3. Verifique el archivo /etc/samba/smb.conf:

   # testparm

4. Recarga la configuración de Samba:

   # smbcontrol all reload-config

Procedimiento

1. Edite el archivo /etc/samba/smb.conf, añada el parámetro server min protocol y establezca el parámetro a la versión mínima del protocolo SMB que el servidor debe soportar. Por ejemplo, para establecer la versión mínima del protocolo SMB en SMB3, añada:

   protocolo mínimo del servidor = SMB3

2. Reinicie el servicio smb:

   # systemctl restart smb

Procedimiento

1. Cree manualmente el archivo /etc/samba/smb.conf con la siguiente configuración:

   • Para un miembro del dominio AD:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • Para un miembro del dominio NT4:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. Añada una configuración de asignación de ID para el dominio por defecto * y para el dominio al que desea unirse a la sección [global] en el archivo /etc/samba/smb.conf.

3. Verifique el archivo /etc/samba/smb.conf:

   # testparm

4. Únase al dominio como administrador del mismo:

   • Para unirse a un dominio AD:

     # net ads join -U "DOMAIN\administrator"

   • Para unirse a un dominio NT4:

     # net rpc join -U "DOMAIN\administrator"

5. Añada la fuente winbind a la entrada de la base de datos passwd y group en el archivo /etc/nsswitch.conf:

   passwd:     files winbind
   group:      files winbind

6. Habilite e inicie el servicio winbind:

   # systemctl enable --now winbind

7. Opcionalmente, configure PAM utilizando la utilidad authselect.

   Para más detalles, consulte la página man authselect(8).

8. Opcionalmente para entornos AD, configure el cliente Kerberos.

   Para más detalles, consulte la documentación de su cliente Kerberos.

1. Añade la cuenta:

   # net user add user password -U "DOMAIN\administrator"
   User user added

2. Opcionalmente, utilice el shell de llamada a procedimiento remoto (RPC) para habilitar la cuenta en el DC de AD o en el PDC de NT4. Por ejemplo:

   # net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user: no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

Procedimiento

1. Si ejecuta el comando como usuario, smbpasswd cambia la contraseña de Samba del usuario que ejecuta el comando. Por ejemplo:

   [user@server ~]$ smbpasswd
   New SMB password: password
   Retype new SMB password: password

2. Si ejecuta smbpasswd como usuario de root, puede utilizar la utilidad, por ejemplo, para

   • Crear un nuevo usuario:

     [root@server ~]# smbpasswd -a user_name
     New SMB password: password` Retype new SMB password: [command]password`
     Added user user_name.

     Nota

     Antes de poder añadir un usuario a la base de datos Samba, debe crear la cuenta en el sistema operativo local. Consulte la sección Añadir un nuevo usuario desde la línea de comandos en la guía Configurar los ajustes básicos del sistema.

   • Habilitar un usuario de Samba:

     [root@server ~]# smbpasswd -e user_name
     Enabled user user_name.

   • Desactivar un usuario de Samba:

     [root@server ~]# smbpasswd -x user_name
     Disabled user ser_name

   • Eliminar un usuario:

     [root@server ~]# smbpasswd -x user_name
     Deleted user user_name.

Procedimiento

1. Desactive NFSv3 añadiendo las siguientes líneas a la sección [nfsd] del archivo de configuración /etc/nfs.conf:

   [nfsd]
   
   vers3=no

2. Opcionalmente, desactive la escucha de las llamadas de protocolo RPCBIND, MOUNT, y NSM, que no son necesarias en el caso de NFSv4 solamente. Desactive los servicios relacionados:

   # systemctl mask --now rpc-statd.service rpcbind.service rpcbind.socket

3. Reinicie el servidor NFS:

   # systemctl restart nfs-server

Procedimiento

1. Supervisar las operaciones atendidas desde el servidor:

   # watch --differences \
           "nfsstat --server | egrep --after-context=1 read\|write\|layout"
   
   Every 2.0s: nfsstat --server | egrep --after-context=1 read\|write\|layout
   
   putrootfh    read         readdir      readlink     remove	 rename
   2         0% 0         0% 1         0% 0         0% 0         0% 0         0%
   --
   setcltidconf verify	  write        rellockowner bc_ctl	 bind_conn
   0         0% 0         0% 0         0% 0         0% 0         0% 0         0%
   --
   getdevlist   layoutcommit layoutget    layoutreturn secinfononam sequence
   0         0% 29        1% 49        1% 5         0% 0         0% 2435     86%

2. El cliente y el servidor utilizan operaciones SCSI pNFS cuando:

   • Los contadores layoutget, layoutreturn, y layoutcommit se incrementan. Esto significa que el servidor está sirviendo diseños.
   • Los contadores del servidor read y write no se incrementan. Esto significa que los clientes están realizando peticiones de E/S directamente a los dispositivos SCSI.

Procedimiento

1. Enumerar los contadores de operaciones por monte:

   # cat /proc/self/mountstats \
         | awk /scsi_lun_0/,/^$/ \
         | egrep device\|READ\|WRITE\|LAYOUT
   
   device 192.168.122.73:/exports/scsi_lun_0 mounted on /mnt/rhel7/scsi_lun_0 with fstype nfs4 statvers=1.1
       nfsv4:  bm0=0xfdffbfff,bm1=0x40f9be3e,bm2=0x803,acl=0x3,sessions,pnfs=LAYOUT_SCSI
               READ: 0 0 0 0 0 0 0 0
              WRITE: 0 0 0 0 0 0 0 0
           READLINK: 0 0 0 0 0 0 0 0
            READDIR: 0 0 0 0 0 0 0 0
          LAYOUTGET: 49 49 0 11172 9604 2 19448 19454
       LAYOUTCOMMIT: 28 28 0 7776 4808 0 24719 24722
       LAYOUTRETURN: 0 0 0 0 0 0 0 0
        LAYOUTSTATS: 0 0 0 0 0 0 0 0

2. En los resultados:

   • Las estadísticas de LAYOUT indican las peticiones en las que el cliente y el servidor utilizan operaciones SCSI pNFS.
   • Las estadísticas READ y WRITE indican las solicitudes en las que el cliente y el servidor vuelven a las operaciones NFS.

1. Asegúrese de que todos los paquetes necesarios para el servidor MariaDB están disponibles en el sistema mediante la instalación del módulo mariadb utilizando un flujo específico:

   # yum module install mariadb:10.3/server

2. Inicie el servicio mariadb:

   # systemctl start mariadb.service

3. Habilitar el servicio mariadb para que se inicie en el arranque:

   # systemctl enable mariadb.service