Procedimento

1. Instale o pacote mod_ssl:

   # dnf install mod_ssl

2. Edite o arquivo /etc/httpd/conf.d/ssl.conf e adicione as seguintes configurações à diretiva <VirtualHost _default_:443>:

   1. Defina o nome do servidor:

      ServerName example.com

      Importante

      O nome do servidor deve corresponder à entrada definida no campo Common Name do certificado.

   2. Opcional: Se o certificado contiver nomes de host adicionais no campo Subject Alt Names (SAN), você pode configurar mod_ssl para fornecer criptografia TLS também para esses nomes de host. Para configurar isto, adicione o parâmetro ServerAliases com os nomes correspondentes:

      ServerAlias www.example.com server.example.com

   3. Defina os caminhos para a chave privada, o certificado do servidor e o certificado da CA:

      SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
      SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

3. Por razões de segurança, configure que somente o usuário root possa acessar o arquivo de chave privada:

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   Atenção

   Se a chave privada foi acessada por usuários não autorizados, revogar o certificado, criar uma nova chave privada e solicitar um novo certificado. Caso contrário, a conexão TLS não é mais segura.

4. Abra a porta 443 no firewall local:

   # firewall-cmd --permanent --add-port=443
   # firewall-cmd --reload

5. Reinicie o serviço httpd:

   # systemctl restart httpd

   Nota

   Se você protegeu o arquivo de chave privada com uma senha, você deve digitar esta senha toda vez que o serviço httpd for iniciado.

Procedimento

1. Edite o arquivo /etc/httpd/conf/httpd.conf, e adicione a seguinte configuração à diretiva <VirtualHost> para a qual você deseja definir a versão do protocolo TLS. Por exemplo, para habilitar somente o protocolo TLSv1.3:

   SSLProtocol -Todos os TLSv1.3

2. Reinicie o serviço httpd:

   # systemctl restart httpd

Etapas de verificação

1. Use o seguinte comando para verificar se o servidor suporta TLSv1.3:

   # openssl s_client -connect example.com:443 -tls1_3

2. Use o seguinte comando para verificar se o servidor não suporta TLSv1.2:

   # openssl s_client -connect example.com:443 -tls1_2

   Se o servidor não suportar o protocolo, o comando retorna um erro:

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

3. Opcional: Repetir o comando para outras versões do protocolo TLS.

Procedimento

1. Edite o arquivo /etc/httpd/conf/httpd.conf, e adicione o parâmetro SSLCipherSuite à diretiva <VirtualHost> para a qual você deseja definir as cifras TLS:

   SSLCipherSuite "EECDH AESGCM:EDH AESGCM:AES256 EECDH:AES256 EDH:!SHA1:!SHA256"

   Este exemplo permite apenas as cifras EECDH AESGCM, EDH AESGCM, AES256 EECDH e AES256 EDH e desativa todas as cifras que utilizam o código de autenticação de mensagens (MAC) SHA1 e SHA256.

2. Reinicie o serviço httpd:

   # systemctl restart httpd

Etapas de verificação

1. Para exibir a lista de cifras que o Servidor HTTP Apache suporta:

   1. Instale o pacote nmap:

      nmap # yum instalar nmap

   2. Use o utilitário nmap para exibir as cifras suportadas:

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

Procedimento

1. Crie uma cópia do arquivo /etc/samba/smb.conf:

   # cp /etc/samba/smb.conf /etc/samba/samba.conf.copy

2. Edite o arquivo copiado e faça as alterações desejadas.

3. Verificar a configuração no /etc/samba/samba.conf.copy arquivo:

   # testparm -s /etc/samba/samba.conf.copy

   Se testparm reportar erros, conserte-os e execute o comando novamente.

4. Anular o arquivo /etc/samba/smb.conf com a nova configuração:

   # mv /etc/samba/samba.conf.copy /etc/samba/smb.conf

5. Aguarde até que os serviços Samba recarreguem automaticamente sua configuração ou recarreguem manualmente a configuração:

   # smbcontrol all reload-config

Procedimento

1. Execute o utilitário testparm como o usuário root:

   # testparm
   Load smb config files from /etc/samba/smb.conf
   rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
   Unknown parameter encountered: "log levell"
   Processing section "[example_share]"
   Loaded services file OK.
   ERROR: The idmap range for the domain * (tdb) overlaps with the range of DOMAIN (ad)!
   
   Server role: ROLE_DOMAIN_MEMBER
   
   Press enter to see a dump of your service definitions
   
   # Global parameters
   [global]
   	...
   
   [example_share]
   	...

   O exemplo anterior informa um parâmetro inexistente e uma configuração de mapeamento de identificação incorreta.

2. Se testparm relatar parâmetros incorretos, valores ou outros erros na configuração, conserte o problema e execute novamente o utilitário.

Procedimento

1. Instale o pacote samba:

   # yum install samba

2. Edite o arquivo /etc/samba/smb.conf e defina os seguintes parâmetros:

   [global]
   	workgroup = Example-WG
   	netbios name = Server
   	security = user
   
   	log file = /var/log/samba/%m.log
   	log level = 1

   Esta configuração define um servidor autônomo chamado Server dentro do grupo de trabalho Example-WG. Além disso, esta configuração permite o logon em um nível mínimo (1) e os arquivos de log serão armazenados no diretório /var/log/samba/. Samba expandirá a macro %m no parâmetro log file para o nome NetBIOS de conexão de clientes. Isto permite arquivos de log individuais para cada cliente.

3. Opcionalmente, configure o compartilhamento de arquivos ou impressoras. Veja:

   • Seção 3.7, “Criação de um Samba file share que usa POSIX ACLs”
   • Seção 3.9, “Configurando uma ação que usa Windows ACLs”
   • Seção 3.15, “Configurando o Samba como servidor de impressão”

4. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

5. Se você configurar ações que requerem autenticação, crie as contas de usuário.

   Para maiores detalhes, ver Seção 3.3.2, “Criação e habilitação de contas de usuário locais”.

6. Abra as portas necessárias e recarregue a configuração do firewall, usando o utilitário firewall-cmd:

   # firewall-cmd --permanent --add-port={139/tcp,445/tcp}
   # firewall-cmd --reload

7. Habilite e inicie o serviço smb:

   # systemctl enable --now smb

Procedimento

1. Criar a conta do sistema operacional:

   # useradd -M -s /sbin/nologin example

   Este comando adiciona a conta example sem criar um diretório home. Se a conta for usada apenas para autenticar no Samba, atribua o comando /sbin/nologin como shell para evitar que a conta entre no sistema local.

2. Defina uma senha para a conta do sistema operacional para habilitá-la:

   # passwd example
   Enter new UNIX password: password
   Retype new UNIX password: password
   passwd: password updated successfully

   Samba não usa a senha definida na conta do sistema operacional para autenticar. Entretanto, é necessário definir uma senha para habilitar a conta. Se uma conta for desativada, o Samba negará o acesso se este usuário se conectar.

3. Adicione o usuário ao banco de dados do Samba e defina uma senha para a conta:

   # smbpasswd -a example
   New SMB password: password
   Retype new SMB password: password
   Added user example.

   Use esta senha para autenticar ao usar esta conta para se conectar a uma ação Samba.

4. Habilitar a conta Samba:

   # smbpasswd -e example
   Enabled user example.

Procedimento

1. Edite a seção [global] no arquivo /etc/samba/smb.conf:

   1. Adicione uma configuração de mapeamento de identificação para o domínio padrão (*) se ele não existir. Por exemplo:

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. Habilite o back end do mapeamento de ID ad para o domínio AD:

      idmap config DOMAIN: backend = ad

   3. Defina a gama de IDs que é atribuída aos usuários e grupos no domínio AD. Por exemplo:

      idmap config DOMAIN: intervalo = 2000000-2999999

      Importante

      A faixa não deve se sobrepor a nenhuma outra configuração de domínio neste servidor. Além disso, o intervalo deve ser definido suficientemente grande para incluir todas as IDs atribuídas no futuro. Para mais detalhes, veja Seção 3.4.1, “Planejamento de gamas de identificação Samba”.

   4. Defina que o Samba usa o esquema RFC 2307 ao ler os atributos do AD:

      idmap config DOMAIN: schema_mode = rfc2307

   5. Para permitir que o Samba leia a shell de login e o caminho para o diretório home do usuário a partir do atributo AD correspondente, definido:

      idmap config DOMAIN: unix_nss_info = sim

      Alternativamente, você pode definir um caminho uniforme de diretório home e shell de login em todo o domínio que é aplicado a todos os usuários. Por exemplo:

      template shell = /bin/bash
      template homedir = /home/%U

   6. Por padrão, Samba usa o atributo primaryGroupID de um objeto de usuário como o grupo primário do usuário no Linux. Alternativamente, você pode configurar o Samba para usar o valor definido no atributo gidNumber:

      idmap config DOMAIN: unix_primary_group = sim

2. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

3. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Edite a seção [global] no arquivo /etc/samba/smb.conf:

   1. Adicione uma configuração de mapeamento de identificação para o domínio padrão (*) se ele não existir. Por exemplo:

      idmap config * : backend = tdb
      idmap config * : range = 10000-999999

   2. Habilite o back end do mapeamento de ID rid para o domínio:

      idmap config DOMAIN: backend = rid

   3. Defina uma faixa que seja suficientemente grande para incluir todos os RIDs que serão designados no futuro. Por exemplo:

      idmap config DOMAIN: intervalo = 2000000-2999999

      O Samba ignora usuários e grupos cujos RIDs neste domínio não estão dentro do alcance.

      Importante

      A faixa não deve se sobrepor a nenhuma outra configuração de domínio neste servidor. Para mais detalhes, veja Seção 3.4.1, “Planejamento de gamas de identificação Samba”.

   4. Defina um caminho de shell e diretório home que será atribuído a todos os usuários mapeados. Por exemplo:

      template shell = /bin/bash
      template homedir = /home/%U

2. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

3. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

   Recursos adicionais

   • Seção 3.4.2, “The * default domain”
   • Para obter detalhes sobre substituição de variáveis, consulte a seção VARIABLE SUBSTITUTIONS na página de manual smb.conf(5).
   • Para detalhes, como Samba calcula a identificação local a partir de um RID, consulte a página de manual idmap_rid(8).

Procedimento

1. Edite a seção [global] no arquivo /etc/samba/smb.conf:

   1. Habilite o back end do mapeamento de ID autorid para o domínio padrão *:

      idmap config * : backend = autorid

   2. Defina um intervalo suficientemente grande para atribuir identificações para todos os objetos existentes e futuros. Por exemplo:

      idmap config * : range = 10000-999999

      O Samba ignora usuários e grupos cujos IDs calculados neste domínio não estão dentro do intervalo.

      Atenção

      Após definir a faixa e o Samba começar a usá-la, você só pode aumentar o limite superior da faixa. Qualquer outra mudança no intervalo pode resultar em novas atribuições de ID e, portanto, na perda da propriedade dos arquivos.

   3. Opcionalmente, defina um tamanho de faixa. Por exemplo, o tamanho da gama:

      idmap config * : rangesize = 200000

      Samba assigns this number of continuous IDs for each domain’s object until all IDs from the range set in the idmap config * : range parameter are taken.

   4. Defina um caminho de shell e diretório home que será atribuído a todos os usuários mapeados. Por exemplo:

      template shell = /bin/bash
      template homedir = /home/%U

   5. Opcionalmente, adicione configuração adicional de mapeamento de identificação para domínios. Se nenhuma configuração para um domínio individual estiver disponível, Samba calcula o ID usando as configurações do back end autorid no domínio padrão * previamente configurado.

      Importante

      Se você configurar back ends adicionais para domínios individuais, os intervalos para todas as configurações de mapeamento de identificação não devem se sobrepor. Para mais detalhes, veja Seção 3.4.1, “Planejamento de gamas de identificação Samba”.

2. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

3. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Se seu AD requer o tipo de criptografia RC4 obsoleto para autenticação Kerberos, habilite o suporte para estas cifras na RHEL:

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. Instale os seguintes pacotes:

   # yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients \ samba-winbind samba-common-tools samba-winbind-krb5-locator

3. Para compartilhar diretórios ou impressoras no membro do domínio, instale o pacote samba:

   # yum install samba

4. Faça o backup do arquivo de configuração existente /etc/samba/smb.conf Samba:

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. Junte-se ao domínio. Por exemplo, para ingressar em um domínio chamado ad.example.com:

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   Usando o comando anterior, o utilitário realm automaticamente:

   • Cria um arquivo /etc/samba/smb.conf para uma associação no domínio ad.example.com
   • Adiciona o módulo winbind para pesquisas de usuários e grupos ao arquivo /etc/nsswitch.conf
   • Atualiza os arquivos de configuração do Módulo de Autenticação Pluggável (PAM) no diretório /etc/pam.d/
   • Inicia o serviço winbind e permite que o serviço seja iniciado quando o sistema inicia
6. Opcionalmente, defina um mapeamento alternativo de identificação no back end ou configurações personalizadas de mapeamento de identificação no arquivo /etc/samba/smb.conf. Para detalhes, veja Seção 3.4, “Entendendo e configurando o mapeamento do Samba ID”.

7. Verifique se o serviço winbind está funcionando:

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   Importante

   Para que o Samba possa consultar informações de usuários e grupos de domínio, o serviço winbind deve estar em execução antes de você iniciar smb.

8. Se você instalou o pacote samba para compartilhar diretórios e impressoras, ative e inicie o serviço smb:

   # systemctl enable --now smb

9. Opcionalmente, se você estiver autenticando os logins locais no Active Directory, ative o plug-in winbind_krb5_localauth. Veja Seção 3.5.2, “Usando o plug-in de autorização local para o MIT Kerberos”.

Etapas de verificação

1. Exibir os detalhes de um usuário AD, tais como a conta do administrador AD no domínio AD:

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. Consultar os membros do grupo de usuários do domínio no domínio AD:

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. Opcionalmente, verifique se você pode utilizar usuários e grupos de domínio quando definir permissões em arquivos e diretórios. Por exemplo, para definir o proprietário do arquivo /srv/samba/example.txt para AD\administrator e o grupo para AD\Domain Users:

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. Verificar se a autenticação Kerberos funciona como esperado:

   1. No membro do domínio AD, obtenha um ticket para o principal administrator@AD.EXAMPLE.COM:

      # kinit administrator@AD.EXAMPLE.COM

   2. Exibir o bilhete Kerberos em cache:

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. Mostrar os domínios disponíveis:

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

Procedimento

1. Instalar os pacotes necessários:

   [root@ipaserver ~]# yum install ipa-server ipa-server-trust-ad samba-client

2. Autenticar como usuário administrativo da IdM:

   [root@ipaserver ~]# kinit admin

3. Execute o utilitário ipa-adtrust-install:

   [root@ipaserver ~]# ipa-adtrust-install

   Os registros do serviço DNS são criados automaticamente se a IdM foi instalada com um servidor DNS integrado.

   Se o IdM foi instalado sem um servidor DNS integrado, ipa-adtrust-install imprime uma lista de registros de serviços que devem ser adicionados manualmente ao DNS antes que você possa continuar.

4. O roteiro lhe pede que o /etc/samba/smb.conf já existe e será reescrito:

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

5. O script solicita que você configure o plug-in slapi-nis, um plug-in de compatibilidade que permite que clientes Linux mais antigos trabalhem com usuários confiáveis:

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

6. Quando solicitado, digite o nome NetBIOS para o domínio IdM ou pressione Enter para aceitar o nome sugerido:

   Trust is configured but no NetBIOS domain name found, setting it now.
   Enter the NetBIOS name for the IPA domain.
   Only up to 15 uppercase ASCII letters, digits and dashes are allowed.
   Example: EXAMPLE.
   
   NetBIOS domain name [IDM]:

7. Você é solicitado a executar a tarefa da geração SID para criar um SID para qualquer usuário existente:

   Você quer executar a tarefa ipa-sidgen? [não] yes

   Quando o diretório é instalado pela primeira vez, pelo menos um usuário (o administrador do IdM) existe e como esta é uma tarefa de recursos intensivos, se você tiver um alto número de usuários, você pode executá-la em outro momento.

8. (Optional) Por padrão, a faixa de portas Dynamic RPC é definida como 49152-65535 para Windows Server 2008 e posteriores. Se você precisar definir uma faixa de portas Dynamic RPC diferente para seu ambiente, configure o Samba para usar diferentes portas e abra essas portas em suas configurações de firewall. O exemplo a seguir define o intervalo de portas para 55000-65000.

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

9. Reinicie o serviço ipa:

   [root@ipaserver ~]# ipactl restart

10. Use o utilitário smbclient para verificar se o Samba responde à autenticação Kerberos pelo lado do IdM:

    [root@ipaserver ~]# smbclient -L server.idm.example.com -k
    lp_load_ex: changing to config backend registry
        Sharename       Type      Comment
        ---------       ----      -------
        IPC$            IPC       IPC Service (Samba 4.12.3)
    ...

Procedimento

1. Abra o Group Policy Management Console.
2. Clique com o botão direito do mouse Default Domain Policy, e selecione Edit. O Group Policy Management Editor abre.
3. Navegue para Computer Configuration Security Options Policies → Windows Settings → Security Settings Local Policies → → → .
4. Clique duas vezes na política Network security: Configure encryption types allowed for Kerberos.
5. Selecione AES256_HMAC_SHA1 e, opcionalmente, Future encryption types.
6. Clique OK.
7. Feche o Group Policy Management Editor.
8. Repita os passos para o Default Domain Controller Policy.

9. Esperar até que os controladores de domínio Windows (DC) aplicassem automaticamente a política de grupo. Alternativamente, para aplicar o GPO manualmente em um CD, digite o seguinte comando usando uma conta que tenha permissões de administrador:

   C:|> gpupdate /force /target:computer

Procedimento

1. Instale o pacote ipa-client-samba:

   [root@idm_client]# yum install ipa-client-samba

2. Use o utilitário ipa-client-samba para preparar o cliente e criar uma configuração inicial do Samba:

   [root@idm_client]# ipa-client-samba
   Searching for IPA server...
   IPA server: DNS discovery
   Chosen IPA master: idm_server.idm.example.com
   SMB principal to be created: cifs/idm_client.idm.example.com@IDM.EXAMPLE.COM
   NetBIOS name to be used: IDM_CLIENT
   Discovered domains to use:
   
    Domain name: idm.example.com
   NetBIOS name: IDM
            SID: S-1-5-21-525930803-952335037-206501584
       ID range: 212000000 - 212199999
   
    Domain name: ad.example.com
   NetBIOS name: AD
            SID: None
       ID range: 1918400000 - 1918599999
   
   Continue to configure the system with these values? [no]: yes
   Samba domain member is configured. Please check configuration at /etc/samba/smb.conf and start smb and winbind services

3. Por padrão, ipa-client-samba adiciona automaticamente a seção [homes] ao arquivo /etc/samba/smb.conf que compartilha dinamicamente o diretório home de um usuário quando este se conecta. Se os usuários não tiverem diretórios home neste servidor, ou se não quiserem compartilhá-los, remova as seguintes linhas do /etc/samba/smb.conf:

   [homes]
       read only = no

4. Compartilhar diretórios e impressoras. Para detalhes, veja:

   • Seção 3.7, “Criação de um Samba file share que usa POSIX ACLs”
   • Seção 3.9, “Configurando uma ação que usa Windows ACLs”
   • Seção 3.15, “Configurando o Samba como servidor de impressão”

5. Abra as portas necessárias para um cliente Samba no firewall local:

   [root@idm_client]# firewall-cmd --permanent --add-service=samba-client
   [root@idm_client]# firewall-cmd --reload

6. Habilitar e iniciar os serviços smb e winbind:

   [root@idm_client]# systemctl enable --now smb winbind

1. Autenticar e obter um ingresso Kerberos para a concessão de bilhetes:

   $ kinit example_user

2. Liste as ações no servidor Samba usando autenticação Kerberos:

   $ smbclient -L idm_client.idm.example.com -k
   lp_load_ex: changing to config backend registry
   
       Sharename       Type      Comment
       ---------       ----      -------
       example         Disk
       IPC$            IPC       IPC Service (Samba 4.12.3)
   ...

Procedimento

1. Autenticar usando o keytab do host:

   [root@idm_client]# kinit -k

2. Use o comando ipa idrange-find para exibir tanto o ID base quanto o tamanho da faixa de ID do novo domínio. Por exemplo, o comando a seguir exibe os valores para o domínio ad.example.com:

   [root@idm_client]# ipa idrange-find --name="AD.EXAMPLE.COM_id_range" --raw
   ---------------
   1 range matched
   ---------------
     cn: AD.EXAMPLE.COM_id_range
     ipabaseid: 1918400000
     ipaidrangesize: 200000
     ipabaserid: 0
     ipanttrusteddomainsid: S-1-5-21-968346183-862388825-1738313271
     iparangetype: ipa-ad-trust
   ----------------------------
   Number of entries returned 1
   ----------------------------

   Você precisa dos valores dos atributos ipabaseid e ipaidrangesize nos próximos passos.

3. Para calcular a maior identificação utilizável, use a seguinte fórmula:

   alcance_máximo = ipabaseid ipaidrangesize - 1

   Com os valores da etapa anterior, o ID mais alto utilizável para o domínio ad.example.com é 1918599999 (1918400000 200000 - 1).

4. Edite o arquivo /etc/samba/smb.conf, e adicione a configuração do mapeamento de identificação do domínio à seção [global]:

   idmap config AD : range = 1918400000 - 1918599999
   idmap config AD : backend = sss

   Especificar o valor do atributo ipabaseid como o valor mais baixo e o valor computado da etapa anterior como o valor mais alto do intervalo.

5. Reinicie os serviços smb e winbind:

   [root@idm_client]# systemctl restart smb winbind

Etapas de verificação

1. Autenticar como usuário do novo domínio e obter um ticket de concessão de Kerberos:

   $ kinit example_user

2. Liste as ações no servidor Samba usando autenticação Kerberos:

   $ smbclient -L idm_client.idm.example.com -k
   lp_load_ex: changing to config backend registry
   
       Sharename       Type      Comment
       ---------       ----      -------
       example         Disk
       IPC$            IPC       IPC Service (Samba 4.12.3)
   ...

Procedimento

1. Crie a pasta se ela não existir. Por exemplo:

   # mkdir -p /srv/samba/example/

2. Se você executar o SELinux no modo enforcing, defina o contexto samba_share_t no diretório:

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. Definir ACLs do sistema de arquivos no diretório. Para detalhes, veja:

   • Seção 3.7.2, “Estabelecendo ACLs Linux padrão em um Samba share que usa ACLs POSIX”
   • Seção 3.7.3, “Estabelecimento de ACLs estendidas em uma ação Samba que usa ACLs POSIX”.

4. Adicione o exemplo compartilhado ao arquivo /etc/samba/smb.conf. Por exemplo, para adicionar o compartilhamento habilitado para gravação:

   [example]
   	path = /srv/samba/example/
   	read only = no

   Nota

   Independentemente do sistema de arquivo ACLs; se você não definir read only = no, Samba compartilha o diretório em modo somente leitura.

5. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

6. Abra as portas necessárias e recarregue a configuração do firewall usando o utilitário firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. Reinicie o serviço smb:

   # systemctl restart smb

Procedimento

1. Habilite o seguinte parâmetro na seção de ações no arquivo /etc/samba/smb.conf para habilitar a herança de ACLs estendidas:

   inherit acls = sim

   Para detalhes, consulte a descrição dos parâmetros na página de manual smb.conf(5).

2. Reinicie o serviço smb:

   # systemctl restart smb

3. Coloque as ACLs no diretório. Por exemplo:

   Exemplo 3.2. Configuração de ACLs estendidas

   O seguinte procedimento estabelece permissões de leitura, escrita e execução para o grupo Domain Admins, ler e executar permissões para o grupo Domain Users, e negar acesso a todos os outros no diretório /srv/samba/example/:

   1. Desativar a concessão automática de permissões para o grupo primário de contas de usuário:

      # setfacl -m group::--- /srv/samba/example/
      # setfacl -m default:group::--- /srv/samba/example/

      O grupo principal do diretório é mapeado adicionalmente à dinâmica CREATOR GROUP principal. Quando você usa POSIX ACLs estendidos em uma ação Samba, este principal é automaticamente adicionado e você não pode removê-lo.

   2. Defina as permissões no diretório:

      1. Conceder permissões de leitura, escrita e execução para o grupo Domain Admins:

         # setfacl -m group:"DOMAIN\Domain Admins":rwx /srv/samba/example/

      2. Conceder permissões de leitura e execução ao grupo Domain Users:

         # setfacl -m group:"DOMAIN\Domain Users":r-x /srv/samba/example/

      3. Definir permissões para a entrada other ACL para negar acesso aos usuários que não correspondem às outras entradas ACL:

         # setfacl -R -m other::--- /srv/samba/example/

      Estas configurações se aplicam somente a este diretório. No Windows, estas ACLs são mapeadas para o modo This folder only.

   3. Para permitir que as permissões definidas na etapa anterior sejam herdadas por novos objetos do sistema de arquivos criados neste diretório:

      # setfacl -m default:group:"DOMAIN\Domain Admins":rwx /srv/samba/example/
      # setfacl -m default:group:"DOMAIN\Domain Users":r-x /srv/samba/example/
      # setfacl -m default:other::--- /srv/samba/example/

      Com estas configurações, o modo This folder only para os comitês está agora definido para This folder, subfolders, and files.

   Samba mapeia as permissões definidas no procedimento para as seguintes ACLs do Windows:

   Principal	Acesse	Aplica-se a
   Domain\Domínios Admins	Controle total	Esta pasta, subpastas e arquivos
   Domain Usuários do domínio	Ler & executar	Esta pasta, subpastas e arquivos
   Everyone [a]	Nenhum	Esta pasta, subpastas e arquivos
   owner (Unix User\owner) [b]	Controle total	Esta pasta somente
   primary_group (Unix User\primary_group) [c]	Nenhum	Esta pasta somente
   CREATOR OWNER [d] [e]	Controle total	Somente subpastas e arquivos
   CREATOR GROUP [e] [f]	Nenhum	Somente subpastas e arquivos
   [a] O Samba mapeia as permissões para este diretor a partir da entrada other ACL. [b] O Samba mapeia o proprietário do diretório para esta entrada. [c] O Samba mapeia o grupo principal do diretório para esta entrada. [d] Nos novos objetos do sistema de arquivo, o criador herda automaticamente as permissões deste principal. [e] Configurando ou removendo estes princípios das ACLs não suportadas em ações que utilizam as ACLs POSIX. [f] On new file system objects, the creator’s primary group inherits automatically the permissions of this principal.

Procedimento

1. Por exemplo, para permitir que todos os membros do grupo Domain Users tenham acesso a uma ação enquanto o acesso é negado para a conta user, adicione os seguintes parâmetros à configuração da ação:

   valid users = +DOMAIN\"Domain Users"
   invalid users = DOMAIN\user

   O parâmetro invalid users tem uma prioridade mais alta do que o parâmetro valid users. Por exemplo, se a conta user for um membro do grupo Domain Users, o acesso a esta conta é negado quando se usa o exemplo anterior.

2. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Adicione os seguintes parâmetros à configuração da participação no arquivo /etc/samba/smb.conf:

   hosts allow = 127.0.0.1 192.0.2.0/24 client1.example.com
   hosts deny = client2.example.com

   O parâmetro hosts deny tem uma prioridade maior do que hosts allow. Por exemplo, se client1.example.com resolve para um endereço IP que está listado no parâmetro hosts allow, o acesso para este host é negado.

2. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Por exemplo, para conceder o privilégio de SeDiskOperatorPrivilege ao DOMAIN\Domain Admins grupo:

   # net rpc rights grant "DOMAIN\Domain Admins" SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Nota

   Em um ambiente de domínio, conceder SeDiskOperatorPrivilege a um grupo de domínio. Isto permite administrar centralmente o privilégio, atualizando a filiação de um usuário a um grupo de usuários.

2. Para listar todos os usuários e grupos tendo SeDiskOperatorPrivilege concedido:

   # net rpc rights list privileges SeDiskOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SeDiskOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\Domain Admins

Procedimento

1. Para habilitá-lo globalmente para todas as ações, adicione as seguintes configurações à seção [global] do arquivo /etc/samba/smb.conf:

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   Alternativamente, você pode ativar o suporte do Windows ACL para ações individuais, adicionando os mesmos parâmetros à seção de uma ação.

2. Reinicie o serviço smb:

   # systemctl restart smb

Procedimento

1. Crie a pasta se ela não existir. Por exemplo:

   # mkdir -p /srv/samba/example/

2. Se você executar o SELinux no modo enforcing, defina o contexto samba_share_t no diretório:

   # semanage fcontext -a -t samba_share_t "/srv/samba/example(/.*)?"
   # restorecon -Rv /srv/samba/example/

3. Adicione o exemplo compartilhado ao arquivo /etc/samba/smb.conf. Por exemplo, para adicionar o compartilhamento habilitado para gravação:

   [example]
   	path = /srv/samba/example/
   	read only = no

   Nota

   Independentemente do sistema de arquivo ACLs; se você não definir read only = no, Samba compartilha o diretório em modo somente leitura.

4. Se você não ativou o suporte a Windows ACL na seção [global] para todas as ações, adicione os seguintes parâmetros à seção [example] para ativar este recurso para esta ação:

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

5. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

6. Abra as portas necessárias e recarregue a configuração do firewall usando o utilitário firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

7. Reinicie o serviço smb:

   # systemctl restart smb

Procedimento

1. Criar o grupo local example, caso ele não exista:

   # groupadd example

2. Prepare o diretório para que o Samba armazene as definições de compartilhamento do usuário e defina suas permissões corretamente. Por exemplo:

   1. Criar o diretório:

      # mkdir -p /var/lib/samba/usershares/

   2. Defina as permissões de escrita para o grupo example:

      # chgrp example /var/lib/samba/usershares/
      # chmod 1770 /var/lib/samba/usershares/

   3. Ajuste o bit adesivo para impedir que os usuários renomeiem ou excluam arquivos armazenados por outros usuários neste diretório.

3. Edite o arquivo /etc/samba/smb.conf e adicione o seguinte na seção [global]:

   1. Defina o caminho para o diretório que você configurou para armazenar as definições de compartilhamento do usuário. Por exemplo:

      usershare path = /var/lib/samba/usershares/

   2. Defina quantos usuários compartilham Samba permite que sejam criados neste servidor. Por exemplo:

      participação máxima do usuário = 100

      Se você usar o parâmetro padrão 0 para o parâmetro usershare max shares, as ações do usuário serão desativadas.

   3. Opcionalmente, defina uma lista de caminhos de diretório absoluto. Por exemplo, para configurar que o Samba só permite compartilhar subdiretórios do diretório /data e /srv para serem compartilhados, defina:

      prefixo usershare allow list = /data /srv

   Para uma lista de outros parâmetros relacionados a compartilhamento de usuários que você pode definir, consulte a seção USERSHARES na página de manual smb.conf(5).

4. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

5. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

   Os usuários agora são capazes de criar ações de usuários.

Procedimento

1. Para exibir todas as ações do usuário criadas por qualquer usuário:

   $ net usershare info -l
   [share_1]
   path=/srv/samba/
   comment=
   usershare_acl=Everyone:R,host_name\user:F,
   guest_ok=y
   ...

   Para listar somente ações criadas pelo usuário que executa o comando, omitir o parâmetro -l.

2. Para exibir somente as informações sobre ações específicas, passe o nome da ação ou wild cards para o comando. Por exemplo, para exibir as informações sobre as ações cujo nome começa com share_:

   $ net usershare info -l share_*

Procedimento

1. Para listar as ações criadas por qualquer usuário:

   $ net usershare list -l
   share_1
   share_2
   ...

   Para listar somente ações criadas pelo usuário que executa o comando, omitir o parâmetro -l.

2. Para listar somente ações específicas, passe o nome da ação ou wild cards para o comando. Por exemplo, para listar somente ações cujo nome começa com share_:

   $ net usershare list -l share_*

Procedimento

1. Edite o arquivo /etc/samba/smb.conf:

   1. Se este é o primeiro compartilhamento de convidado que você configura neste servidor:

      1. Conjunto map to guest = Bad User na seção [global]:

         [global]
                 ...
                 map to guest = Bad User

         Com esta configuração, Samba rejeita as tentativas de login que utilizam uma senha incorreta, a menos que o nome do usuário não exista. Se o nome de usuário especificado não existir e o acesso de convidado for ativado em um compartilhamento, Samba trata a conexão como um login de convidado.

      2. Por default, Samba mapeia a conta de convidado para a conta nobody no Red Hat Enterprise Linux. Alternativamente, você pode definir uma conta diferente. Por exemplo, a conta de convidado:

         [global]
                 ...
                 guest account = user_name

         A conta definida neste parâmetro deve existir localmente no servidor Samba. Por razões de segurança, a Red Hat recomenda o uso de uma conta que não tenha uma shell válida atribuída.

   2. Adicione a configuração guest ok = yes à seção de ações [example]:

      [example]
              ...
              guest ok = yes

2. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

3. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Edite o arquivo /etc/samba/smb.conf e habilite os módulos fruit e streams_xattr VFS na seção [global]:

   vfs objects = fluxos de frutas_xattr

   Importante

   Você deve habilitar o módulo fruit antes de habilitar streams_xattr. O módulo fruit utiliza fluxos de dados alternativos (ADS). Por este motivo, você também deve habilitar o módulo streams_xattr.

2. Opcionalmente, para fornecer suporte a MacOS Time Machine em uma ação, adicione a seguinte configuração à configuração de ação no arquivo /etc/samba/smb.conf:

   fruta:máquina do tempo = sim

3. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

4. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Conecte-se à ação:

   # smbclient -U "DOMAIN\user_name" //server_name/share_name

2. Mude para o diretório /example/:

   smb: \> d /example/

3. Liste os arquivos no diretório:

   smb: \example\> ls
     .                    D         0  Thu Nov 1 10:00:00 2018
     ..                   D         0  Thu Nov 1 10:00:00 2018
     example.txt          N   1048576  Thu Nov 1 10:00:00 2018
   
            9950208 blocks of size 1024. 8247144 blocks available

4. Faça o download do arquivo example.txt:

   smb: \example\> get example.txt
   getting file \directory\subdirectory\example.txt of size 1048576 as example.txt (511975,0 KiloBytes/sec) (average 170666,7 KiloBytes/sec)

5. Desligue-se da ação:

   smb: \exemplo: TERNGREGUNA- exit

Procedimento

1. Edite a seção [global] no arquivo /etc/samba/smb.conf:

   1. Adicione os seguintes parâmetros:

      rpc_server:spoolss = external
      rpc_daemon:spoolssd = fork

   2. Opcionalmente, você pode definir os seguintes parâmetros:

      Parâmetro	Padrão	Descrição
      spoolssd:prefork_min_children	5	Número mínimo de processos infantis
      spoolssd:prefork_max_children	25	Número máximo de processos infantis
      spoolssd:prefork_spawn_rate	5	O Samba forca o número de novos processos infantis estabelecidos neste parâmetro, até o valor estabelecido em spoolssd:prefork_max_children, se uma nova conexão for estabelecida
      spoolssd:prefork_max_allowed_clients	100	Número de clientes, um processo infantil serve
      spoolssd:prefork_child_min_life	60	Duração mínima de um processo infantil em segundos. 60 segundos é o mínimo.

2. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

3. Reinicie o serviço smb:

   # systemctl restart smb

   Depois de reiniciar o serviço, Samba inicia automaticamente smbd processos infantis:

   # ps axf
   ...
   30903 smbd
   30912  \_ smbd
   30913      \_ smbd
   30914      \_ smbd
   30915      \_ smbd
   ...

Procedimento

1. No servidor Samba, configure o CUPS e adicione a impressora ao back end do CUPS. Para detalhes sobre a configuração de impressoras no CUPS; veja a documentação fornecida no console web do CUPS (https://print_server_host_name:631/help) no servidor de impressão.

   Nota

   O Samba só pode encaminhar os trabalhos de impressão para o CUPS se o CUPS estiver instalado localmente no servidor de impressão do Samba.

2. Edite o arquivo /etc/samba/smb.conf:

   1. Se você quiser ativar o serviço spoolssd, adicione os seguintes parâmetros à seção [global]:

      rpc_server:spoolss = external
      rpc_daemon:spoolssd = fork

   2. Para configurar o back end de impressão, adicione a seção [printers]:

      [printers]
              comment = All Printers
              path = /var/tmp/
              printable = yes
              create mask = 0600

      Importante

      O nome da ação [printers] é codificado e não pode ser alterado.

3. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

4. Abra as portas necessárias e recarregue a configuração do firewall usando o utilitário firewall-cmd:

   # firewall-cmd --permanent --add-service=samba
   # firewall-cmd --reload

5. Reinicie o serviço smb:

   # systemctl restart smb

Procedimento

1. Edite o arquivo /etc/samba/smb.conf:

   1. Na seção [global], desabilite o compartilhamento automático da impressora através da configuração:

      impressoras de carga = não

   2. Adicione uma seção para cada impressora que você deseja compartilhar. Por exemplo, para compartilhar a impressora chamada example no back end do CUPS como Example-Printer no Samba, adicione a seguinte seção:

      [Example-Printer]
              path = /var/tmp/
              printable = yes
              printer name = example

      Você não precisa de diretórios de bobinas individuais para cada impressora. Você pode definir o mesmo diretório de spool no parâmetro path para a impressora, como você definiu na seção [printers].

2. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

3. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Por exemplo, para conceder o privilégio SePrintOperatorPrivilege ao grupo printadmin:

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Nota

   Em um ambiente de domínio, conceder SePrintOperatorPrivilege a um grupo de domínio. Isto permite administrar centralmente o privilégio, atualizando a filiação de um usuário a um grupo de usuários.

2. Para listar todos os usuários e grupos tendo SePrintOperatorPrivilege concedido:

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

Procedimento

1. Adicione a seção [print$] ao arquivo /etc/samba/smb.conf:

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   Usando estas configurações:

   • Somente membros do grupo printadmin podem carregar drivers de impressora para o compartilhamento.
   • O grupo de novos arquivos e diretórios criados será definido para printadmin.
   • As permissões de novos arquivos serão definidas para 664.
   • As permissões dos novos diretórios serão definidas para 2775.

2. Para carregar somente drivers de 64 bits para todas as impressoras, inclua esta configuração na seção [global] no arquivo /etc/samba/smb.conf:

   spoolss: arquitetura = Windows x64

   Sem esta configuração, o Windows exibe apenas os drivers para os quais você carregou pelo menos a versão de 32 bits.

3. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

4. Recarregar a configuração do Samba

   # smbcontrol all reload-config

5. Criar o grupo printadmin se ele não existir:

   # groupadd printadmin

6. Conceder o privilégio SePrintOperatorPrivilege ao grupo printadmin.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. Se você executar o SELinux no modo enforcing, defina o contexto samba_share_t no diretório:

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   # restorecon -Rv /var/lib/samba/drivers/

8. Defina as permissões no diretório /var/lib/samba/drivers/:

   • Se você usar os POSIX ACLs, configure:

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • Se você usa ACLs do Windows, configure:

     Principal	Acesse	Aplicar para
     CREATOR OWNER	Controle total	Somente subpastas e arquivos
     Authenticated Users	Ler & executar, Listar conteúdo de pastas, Ler	Esta pasta, subpastas e arquivos
     printadmin	Controle total	Esta pasta, subpastas e arquivos

     Para detalhes sobre a configuração de ACLs no Windows, veja a documentação do Windows.

Procedimento

1. Entre em um computador Windows usando uma conta que é permitida para editar políticas de grupo, como o usuário do domínio AD Administrator.
2. Abra o Group Policy Management Console.

3. Clique com o botão direito do mouse em seu domínio AD e selecione Create a GPO in this domain, and Link it here.

   
4. Digite um nome para o GPO, tal como Legacy Printer Driver Policy e clique em OK. O novo GPO será exibido sob a entrada do domínio.
5. Clique com o botão direito do mouse no GPO recém-criado e selecione Edit para abrir o Group Policy Management Editor.

6. Navegue para Configuração do computador → Políticas → Modelos Administrativos → Impressoras.

   

7. No lado direito da janela, clique duas vezes em Point and Print Restriction para editar a política:

   1. Habilite a política e defina as seguintes opções:

      1. Selecione Users can only point and print to these servers e digite o nome de domínio totalmente qualificado (FQDN) do servidor de impressão Samba no campo próximo a esta opção.

      2. Em ambas as caixas de seleção em Security Prompts, selecione Do not show warning or elevation prompt.

         
   2. Clique OK.

8. Clique duas vezes em Package Point and Print - Approved servers para editar a política:

   1. Ative a política e clique no botão Show.

   2. Entre na FQDN do servidor de impressão Samba.

      
   3. Feche tanto o Show Contents quanto a janela de propriedades da apólice clicando em OK.
9. Feche o Group Policy Management Editor.
10. Feche o Group Policy Management Console.

Procedimento

1. Remover o parâmetro server max protocol da seção [global] no arquivo /etc/samba/smb.conf.

2. Recarregar a configuração do Samba

   # smbcontrol all reload-config

Procedimento

1. Renomeie todos os arquivos da ação para minúsculas.

   Nota

   Usando as configurações neste procedimento, os arquivos com nomes que não sejam em minúsculas não serão mais exibidos.

2. Defina os seguintes parâmetros na seção de ações:

   case sensitive = true
   default case = lower
   preserve case = no
   short preserve case = no

   Para obter detalhes sobre os parâmetros, veja suas descrições na página de manual smb.conf(5).

3. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

4. Recarregar a configuração do Samba:

   # smbcontrol all reload-config

Procedimento

1. Editar o arquivo /etc/samba/smb.conf, adicionar o parâmetro server min protocol, e definir o parâmetro para a versão mínima do protocolo SMB que o servidor deve suportar. Por exemplo, para definir a versão mínima do protocolo SMB para SMB3, adicione:

   server min protocol = SMB3

2. Reinicie o serviço smb:

   # systemctl restart smb

Procedimento

1. Criar manualmente o arquivo /etc/samba/smb.conf com as seguintes configurações:

   • Para um membro de domínio AD:

     [global]
     workgroup = domain_name
     security = ads
     passdb backend = tdbsam
     realm = AD_REALM

   • Para um membro de domínio NT4:

     [global]
     workgroup = domain_name
     security = user
     passdb backend = tdbsam

2. Adicione uma configuração de mapeamento de ID para o domínio padrão * e para o domínio que você deseja se juntar à seção [global] no arquivo /etc/samba/smb.conf.

3. Verifique o arquivo /etc/samba/smb.conf:

   # testparm

4. Junte-se ao domínio como administrador do domínio:

   • Para ingressar em um domínio AD:

     # net ads join -U "DOMAIN\administrator"

   • Para aderir a um domínio NT4:

     # net rpc join -U "DOMAIN\administrator"

5. Anexar a fonte winbind à entrada no banco de dados passwd e group no arquivo /etc/nsswitch.conf:

   passwd:     files winbind
   group:      files winbind

6. Habilite e inicie o serviço winbind:

   # systemctl enable --now winbind

7. Opcionalmente, configure o PAM usando o utilitário authselect.

   Para detalhes, consulte a página de manual authselect(8).

8. Opcionalmente para ambientes AD, configure o cliente Kerberos.

   Para detalhes, consulte a documentação de seu cliente Kerberos.

1. Adicione a conta:

   # net user add user password -U "DOMAIN\administrator"
   User user added

2. Opcionalmente, use o shell de chamada de procedimento remoto (RPC) para habilitar a conta no AD DC ou NT4 PDC. Por exemplo:

   # net rpc shell -U DOMAIN\administrator -S DC_or_PDC_name
   Talking to domain DOMAIN (S-1-5-21-1424831554-512457234-5642315751)
   
   net rpc> user edit disabled user: no
   Set user's disabled flag from [yes] to [no]
   
   net rpc> exit

Procedimento

1. Se você executar o comando como usuário, smbpasswd muda a senha Samba do usuário que executa o comando. Por exemplo:

   [user@server ~]$ smbpasswd
   New SMB password: password
   Retype new SMB password: password

2. Se você executar smbpasswd como o usuário root, você pode usar o utilitário, por exemplo, para:

   • Criar um novo usuário:

     [root@server ~]# smbpasswd -a user_name
     New SMB password: password` Retype new SMB password: [command]password`
     Added user user_name.

     Nota

     Antes de poder adicionar um usuário ao banco de dados Samba, você deve criar a conta no sistema operacional local. Veja a seção Adicionar um novo usuário a partir da linha de comando no guia Configuração de configurações básicas do sistema.

   • Habilitar um usuário de Samba:

     [root@server ~]# smbpasswd -e user_name
     Enabled user user_name.

   • Desativar um usuário de Samba:

     [root@server ~]# smbpasswd -x user_name
     Disabled user ser_name

   • Excluir um usuário:

     [root@server ~]# smbpasswd -x user_name
     Deleted user user_name.

Procedimento

1. Desative o NFSv3 adicionando as seguintes linhas à seção [nfsd] do arquivo de configuração /etc/nfs.conf:

   [nfsd]
   
   vers3=no

2. Opcionalmente, desativar a escuta das chamadas ao protocolo RPCBIND, MOUNT e NSM, que não são necessárias apenas no caso do NFSv4. Desativar os serviços relacionados:

   # máscara systemctl --now rpc-statd.service rpcbind.service rpcbind.socket

3. Reinicie o servidor NFS:

   # systemctl restart nfs-server

Procedimento

1. Monitorar as operações atendidas a partir do servidor:

   # watch --differences \
           "nfsstat --server | egrep --after-context=1 read\|write\|layout"
   
   Every 2.0s: nfsstat --server | egrep --after-context=1 read\|write\|layout
   
   putrootfh    read         readdir      readlink     remove	 rename
   2         0% 0         0% 1         0% 0         0% 0         0% 0         0%
   --
   setcltidconf verify	  write        rellockowner bc_ctl	 bind_conn
   0         0% 0         0% 0         0% 0         0% 0         0% 0         0%
   --
   getdevlist   layoutcommit layoutget    layoutreturn secinfononam sequence
   0         0% 29        1% 49        1% 5         0% 0         0% 2435     86%

2. O cliente e o servidor utilizam operações pNFS SCSI quando:

   • Os balcões layoutget, layoutreturn, e layoutcommit incrementam. Isto significa que o servidor está servindo layouts.
   • O servidor read e write não incrementam os balcões. Isto significa que os clientes estão realizando solicitações de E/S diretamente para os dispositivos SCSI.

Procedimento

1. Liste os contadores por operação de montagem:

   # cat /proc/self/mountstats \
         | awk /scsi_lun_0/,/^$/ \
         | egrep device\|READ\|WRITE\|LAYOUT
   
   device 192.168.122.73:/exports/scsi_lun_0 mounted on /mnt/rhel7/scsi_lun_0 with fstype nfs4 statvers=1.1
       nfsv4:  bm0=0xfdffbfff,bm1=0x40f9be3e,bm2=0x803,acl=0x3,sessions,pnfs=LAYOUT_SCSI
               READ: 0 0 0 0 0 0 0 0
              WRITE: 0 0 0 0 0 0 0 0
           READLINK: 0 0 0 0 0 0 0 0
            READDIR: 0 0 0 0 0 0 0 0
          LAYOUTGET: 49 49 0 11172 9604 2 19448 19454
       LAYOUTCOMMIT: 28 28 0 7776 4808 0 24719 24722
       LAYOUTRETURN: 0 0 0 0 0 0 0 0
        LAYOUTSTATS: 0 0 0 0 0 0 0 0

2. Nos resultados:

   • As estatísticas LAYOUT indicam solicitações onde o cliente e o servidor utilizam operações SCSI pNFS.
   • As estatísticas READ e WRITE indicam solicitações onde o cliente e o servidor retornam às operações NFS.

1. Certifique-se de que todos os pacotes necessários para o servidor MariaDB estejam disponíveis no sistema, instalando o módulo mariadb usando um fluxo específico:

   # yum module install mariadb:10.3/server

2. Iniciar o serviço mariadb:

   # systemctl start mariadb.service

3. Habilite o serviço mariadb para começar na inicialização:

   # systemctl habilita o mariadb.service