Reprise du message précédent :
Je vais faire un migration de plusieur 10 de comptes.
Je voudrais savoir si quand on creer les comptes avec smb-ldap-useradd il y aurait un moyen de passer le pwd en ligne de commande ?

Bonjour,
 
j'ai réussi à créer les répertoires perso avec LAM.  :pt1cable:  
 
Donc voici pour ceux qui veulent une procédure pour y arriver.
 
Je ne sais pas si c'est parfais, donc si vous avez des commentaires sur cette procédure n'hésitez pas !  :)  
 
 
Configuration du serveur afin que LAM puisse créer les répertoires personnels ainsi que les supprimer.
 
Ceci est basé sur la documentation de LAM qui se trouve à /usr/share/doc/ldap-account-manager/docs/README.lamdaemon.txt.
 
Configurer sudo :
 
Tout d'abord il faut installer sudo si cela n'est pas déjà fait :

 
Le script perl (lamdaemon.pl) doit s'executer en root, d'où l'intéret de sudo.
Il faut éditer /etc/sudoers et ajouter la ligne suivante :

$admin est le nom d'utilisateur avec lequel on se connecte à LAM, et $path est le chemin d'accès à lamdaemon.pl.
Exemple : admin All= NOPASSWD: /usr/share/ldap-account-manager/lib/lamdaemon.pl
 
 
A ce moment là, le mot de passe est un paramettre de lamdaemon.pl, donc il faudrait désactiver la journalisation sinon le mot de passe apparaîtra dans les fichiers de log.
C'est pour cela qu'il faut ajouter cette ligne dans /etc/sudoers :

 
 
Configuration de Perl :
 
Il va être nécessaire d'installer des modules Perl. Pour cela il faut utiliser cpan qui, comme apt-get, gère les dépences des modules Perl.
 
Dans un premier temps, il faut installer libgmp3-dev qui sert à l'installation de certains modules :

 
Les modules nécessaires sont Quota et Net::SSH::Perl (car lamdaemon.pl utilise ssh). Il est conseillé d'installer aussi Math::BigInt::GMP.
Selon la version de ssh, Net::SSH::Perl à besoin de certains modules :
 
Protocole 1
Math::GMP
String::CRC32
Digest::MD5
IO::Socket
 
Protocole 2
Crypt::DSA
Crypt::DH
Math::Pari
Mime::Base64
Digest::MD5
Digest::HMAC_MD5
Digest::HMAC_SHA1
Convert::PEM
IO::Socket
 
 
Pour installer les modules, il faut faire :

 
 
Configuration de SSH :
 
Le démon SSH doit permettre la méthode d'authentification par mot de passe. Il faut éditer /etc/ssh/sshd_config, et utiliser cette option :

 
 
Ajout utilisateur local :
 
Ensuite, j'ai ajouté un utilisateur en local qui a le même login et mot de passe que pour se connecter à LAM, sinon les répertoires perso ne seront pas créés :

 
J'ai mis un uid à 1XXX car sinon il était à 1XXXXX, et cela correspond aux utilisateurs de l'annuaire LDAP ce qui peut provoquer des problèmes.
 
 
Pour finir, le script lamdaemon.pl applique des droits 755 aux répertoires personnels. J'ai donc modifier le script pour qu'il applique des droits 700.
 
 
Si j'ai fait des erreurs, n'hésitez pas à me corriger !!

pourquoi utilise LAM alors que les scripts smbldap-user le font ?

pour utiliser smbldap-* il faut etre sur le serveur (physiquement ou ssh) et ne pas etre effrayé par une console.
 
Avec LAM n'importe qui peut créer un utilisateur ou changer le groupe grace à une interface web

ok perso je trouve plus simple d'utiliser phpldapadmin et les script plutot que LAM.

Bonjour,
 
petite question :  
en utilisant usrmgr.exe sur un domaine sous samba samba-3.0.20b + ldap 2.2.24, je rencontre un problème de cache ou de refresh.
 
lorsque je créer, je supprime un utilisateur, je dois attendre 1 à 2 minutes pour voir l'effet sur usrmgr.exe.
 
par contre en utilisant lam 1.0.4 (en lecture afin de controler l'annuaire ldap) , je vois que la modification est bien immédiate...
 
quelqu'un à déjà rencontrer ce problème ?
 
 
Merci d'avance.

usrmgr.exe fonctionne vraiement bizarrement, personnellement je m'en sers plus, j'ai parfois une erreur mettant en cause un périphérique

Salut j'ai un problème
J'ai voulu rajouter un utilisateur dans le groupe enseignants mais j'ai ceci
 
smbldap-useradd -a -g enseignants -d /home/comptes_utilisateurs/enseignants/toto -s /bin/bash -m -P toto
 
Use of uninitialized value in pattern match (m//) at /usr/lib/perl5/vendor_perl/5.8.8/smbldap_tools.pm line 896.
/usr/sbin/smbldap-useradd: unknown group enseignants
 
Pourtant j'ai bien crée le groupe avec: smbldap-groupadd enseignants
 
et dans phpldapadmin je retrouve bien mon groupe enseignants
 
qqun a déjà eu ce problème je galere depuis 2h déjà
merci

 
Je m'auto répond c'est vrai le truc de boulet
ca venait du fichier ldap.conf
smbldap utilisait le fichier /etc/ldap.conf  
et non /etc/openldap/ldap.conf
 
Bref ...
 
Sinon est-il possible d'intégrer le mot de passe en commande sans qu'il le demande car je voudrais faire une interface web pour créer des utilisateurs
merci d'avance

 
J'me répond voici la commande pour intégrer le mot de passe en commande:
 
echo -e "<pass>\n<pass>\n" | /usr/sbin/smbldap-passwd <user_name>

bon pour ceux que ça interesse un "langage de script" pour window très sympa  Kix et kix2exe.
On faire des trucs sympa avec.  

 
et avec kix2exe on le compil et au login on lance exe c est nickel

je profite de ce que je vois dans la fin de ton script.
Tu as donc le très bon gout de ne pas mettre le "Desktop" et "Mes Documents" dans le roaming profile (vive les log-in/out plus rapides!)
Tu les mets donc dans le /home de chaque user...petite question donc, XP va-t-il faire des synchronisation à tour de bras, à chaque login/logout?
 
je les trouves particulièrement instable...
 
merci!

nan il y a pas de synchro il ecrit direct sur le rep distant.
Le problème des profiles c est que passé une certaine taille il ne sont plus descendu au login et apres il y a des synchro qui durent des heures ...
je verrais a l'usage si le home distant et le buro distant c est viable ou pas

salut
je confirme que deplacer le bureau et mes documents sur un partage reseau (et donc pas dans le profil) permet de reduire les temps de login/logout
perso j'utilise le pargage samba [home] connecté sur Z:
et Z:\bureau
Z:\mes documents
ca fonctionne tres bien (+ de 200 users) avec pour certains un "mes documents" particulierement rempli et personne n'a de probleme
autre avantage:
quand un profil se met a deconner, il peut etre supprimé et recréé sans se poser de questions pour mes documents et son contenu.

ok cool alors j'ai eu une bonne idée

Oui je suis tout à fait d'accord sur le principe et j'aitrès envie de le mettre en place, mais en pratique les répertoires sont alros bardé (sur leur icone) d'une double fleche bleues (vous voyez cela aussi?) et cela entraine des synchronisations de fichiers au logout qui sont vraiment instables (ratent souvent).
 
Sinon rien à voir,mais j'ai installé LAM et desinstallé pour cause de nettoyage et depuis la page merde :

 
qqun a une idée?
j'ai installé tout les modules en rapport avec php/apache/ldap...mais rien n'y fait...et phpldapadmin refuse de se logger.(bad username).

 
ce phenomene ne se produit chez moi qu'avec des clients sous XP (sous 2K pas de fleches bleues)
et en desactivant l'utilisation des fichiers hors connexion ca disparait sous XP.
vu que l'utilisation des fichiers hors connexion fais plus de degats qu'autre chose je l'ai simplement desactivé.

c'est exactement ce que je voulais entendre....la question reste maintenant : comment désactiver? faut passer par le compte admin?  
 
(pourl'autre problème de LAM, c'est résolu: comme le message d'erreur l'indique, il y a un parametre en trop ds un fichier PHP, je l'ai un peu piraté et je n'ai plus de problème).

par gpedit.msc avec des droits d'admin pour le supprimer en policies
le probleme c'est que tu devras le faire sur tous les postes un par un
sinon tu peux simuler les GPO de l'active directory avec samba
avec le vieux poledit.exe de NT4
 
regarde ici :
http://wiki.samba.org/index.php/Im [...] with_Samba

Bonjour,
 
J'aimerai tout d'abord m'excuser pour le langage assez peu technique et trop global, mais je ne suis qu'un pur novice en attente du déclenchement psychologique me permettant de me jeter corps et âmes dans Linux
 
 
Voila je suis employé dans un collège/lycée, et chargé, entre autres, du réseau.
Je n'ai pas vraiment de formation, commençant mon BTS dans les prochaines semaines, mais une grande aisance, matériellement et windowsièment parlant.
 
Bref en arrivant sur place, le serveur était mort, et un problème d'ancienne arnaque de license de 2003 serveur m'empêche d'utiliser AD .. après quelques recherches je suis tombé sur le topic ldap/samba.
Avant de me lancer dans Linux, vu que je n'ai AUCUNE base, j'aimerai savoir si ce que je voudrai faire avec était possible.
 
Si j'ai bien compris le tutorial, voila ce qui serai déjà faisable : liste d'user (à peu près 200), organisés en groupe (avec ldap apparement), l'authentification possible avec des clients 98 et XP (avec Samba), le stockage des dossiers personnels de chaque user sur le serveur, et un montage d'un ou plusieurs lecteur réseau pour chaque USER correspondant à un repertoire sur une partition serveur..
 
Les points d'ombre pour moi pour l'instant seraient :
 
Le système de sauvegarde ? y aurait-il un systeme de sauvegarde automatisé de tous les repertoires personnels sur un disque externe ?
Et le systême même serait sauvegardable ? un ghost quoi ?
Dans le tutoriel il ne me semble pas avoir vu de stratégies de groupe .. comme l'indique le message au dessus, le plus simple serai d'utiliser poledit ? mais cela serait-il compatible avec lpad ?
 
 
Merci d'avance !

Tu as effectivement bien compris l'intéret du tuto et tu es au bon endroit pour tes questions..jette toi à l'eau comme un pingouin!
;o)
 
Pour tes points d'ombres, sache que je suis en train de monter la même chose (mais pour 8 postes, ok pas vraiment une grande différence, si ce n'est pour l'espace de stokkage).
En effet, la politique est de ramener toutes les data sensible sur le PDC ("mes docus", repertoire perso, ...) par configuration des machines XP.
Pour les Bckup, cela se fait en interne sur la machine Linux, sur un deuxième HD (par raid ou par cron) ou bien sur un media externe (hd USB, tape, cd...).  
 
Ex: Moi je fais un bckup auto par cron jour/semaine/mois, ce n'est pas un ghost mais un stupide copy & compress.
 
Pour poledit..tu l'auras compris...je nage complètement, je laisse la parole aux pros.
;o)
 
Happy ldaping!

N'oubliez pas de sauvegarder vos BD LDAP

si tu as 200 postes, ce qui serait ben c'est de répartir un peu la charge:
un serveur pour ldap, un pour samba (que tu peux aussi decouper avec security = domain)

Nononon, 200 users, mais il y en aura jamais plus de 20 connectés à la fois !
 
Et pour un 2ème serveur, le boss veut pas lacher 450€ pour des licenses supplémentaires win2k3, alors pour un autre serveur ..
 
Le temps de leur prouver que le réseau fonctionnera pas comme ça et je me lance dans Linux, à bientôt surement    

Pour imprimer depuis XP j'utilise cups et les drives postscript généré depuis cups pour XP.
Sur une imprimante couleur j'imprime en couleur depuis cups, mais depuis XP j'imprime qu'en noir et blanc donc à votre c'est la génération du drivers  post script pour XP qui a merdé ?

Je reprends la main pour vous parler de poledit.
Vous l'aurez tous compris, avec ldap/samba, point de GPO puisque ceux-ci ne sont disponible que si vous avez un server 2K/2K3
or, avec poledit, il est tout a fait possible de simuler les GPO.
Cette "simulation" est tres proche des GPO, bien que certaines elements des GPO ne seront pas disponibles avec poledit.
 
Mise en oeuvre:
la premiere chose a faire, est de vous munir de poledit.exe
 
ATTENTION, pour des clients 2000/XP, il vous faut absolument le poledit.exe de windows 2000, celui de 98 ne permet pas de creer des policies pour des postes 2000/XP  
par contre, celui de 2000 peut creer des policies pour des postes clients s/s 98
vous trouverez poledit.exe en telechargement ches MS, ou sur un cd de W2K
 
pour fonctionner, poledit a besoin de fichiers de configuration (.adm) lui permettant de creer les regles que vous voudrez.
ces fichiers sont disponibles dans le dosser c:\winnt\inf si vous etes sur un 2000 ou windows\inf pour un xp.
ils sont aussi disponibles (de meme que poledit.exe ainsi que divers autres ficheirs adm pour office, windows98, et bien d'autres)
a cette adresse :http://www.etincelle.cc/download.p [...] nfo&did=29
 
a cette seconde adresse vous trouverez un tuto expliquant comment fonctionne poledit.exe
http://www.generation-nt.com/dossi [...] /page1.php
 
le tuto cité ci dessus vous presente comment mettre en oeuvre poledit sur un poste 2000
moi je vais simplement vous dire comment l'dapter à un serveur ldap/samba
 
sur un poste client de votre domaine samba, posez dans un dossier quelconque l'executable et les adm
suiviez la procedure citée ci dessus, mais lors de l'enregistrement du fichier .pol (resultat de la creation de vos regles "GPO" ) le fichier devra imperativement etre dans le partage netlogon votre serveur samba sous le nom NTconfig.pol pour des clients NT/2K/XP et config.pol pour des clients 98/me
 
une fois votre fichier NTconfig.pol dans le dossier netlogon, tout utilisateur qui s'authentifiera sur votre domaine se verra appliquer les regles definies dans le fichier .pol
comme il est possible de creer des stratégies par utilisateur, par machine, par groupes d'utilisateurs, on se retrouve tres proche des GPO.
en utilisant les fichiers adm de XP et 2000, on retrouve quasiment tout ce qui est disponible dans les GPO
parmi les exceptions on trouvera les policies d'installation a distance qui semblent limitées face aux GPO bien que je n'ai pas testé cette partie de poledit.
 
je tiens simplement a ajouter que j'utilise ldap/samba en entreprise avec un peu moins de 200 users, que tout fonctionne bien  
et meme avec ldap et samba sur le meme serveur    
que bien evidement, il faut penser a integrer dans ses sauvegardes, la config du ldap (slapd.conf etc) les bases de données de votre ldap
ainsi que la config de samba (au moins le smb.conf, ainsi que le dossier netlogon)
 
perso, je sauve pas les homedir des utilisateurs car elles ne contiennent pas de données susceptibles de devoir etre sauvées (mes documents est ailleurs et le reste ben tant pis...)
 
je precise, que pour poledit, bien que j'ai mon serveur depuis pres de deux ans, je commence a peine a faire les premiers tests de comportement et de config des regles.
 
 
au fait, en parlant du netlogon,
il est possible egalement de l'utiliser pour y poser une "config par defaut" pour les nouveaux utilisateurs windows
 
copiez d'un poste 2000/XP, le dossier "default user" se trouvant dans c:\document and settings dans le partage netlogon en gardant le nom de dossier "default user"
modifiez le comme bon vous semble, ajout de raccourcis dans les dossiers "bureau" et "sendto" par ex.
de meme que la modification de la ruche utilisateur ce qui deviendra "HKEY_CURRENT_USER" pour tout nouvel utilisateur.
pour ce faire, sous 2000 utilisez regedt32.exe et sous XP regedit.exe
positionnez vous sur la clef HKEY_USERS
puis fichier-> charger la ruche et allez cherchez le fichier user.dat se trouvant dans le dossier netlogon\default user
faites y les modifs de votre choix, decharger la ruche et voila,
toute modification effectuée dans cette "HKEY", se verra appliquer a tous vos nouveaux utilisateurs.
ceci n'est bien sur pas applicable pour les utilisateurs existant, dans leur cas, il faut ouvrir par la meme methode leur propre fichier user.dat un par un.
 
 
voila, j'ai tapé ca vite fait donc si vous voulez en savoir plus ou si je suis pas asez clair, n'hesitez pas a demander.

 
question con, sous xp les proprietes de ton imprimante te montrent-elles qu'elle est bien une imprimante couleur?
 
autre chose, plutot que les fichiers generes par cups, pourquoi ne pas essayer les fichiers d'origine du driver disponible sur le cd de ton imprimante ou sur le site du fabricant...
 
regenere les drivers avec cups, peut etre as tu oublié quelque chose...
 
je dis tout ca, mais comme j'utilise pas cups, c'est juste des pistes au hasard...

arf, j'ai un super PDC sous debian avec LDAP, il marchait niquel, mais j'ai perdu l'interface eth0..je dois utiliser uniquement l'eth1 mtn.
 
Alors les machines qui faisaient partie deja du domaine peuvent se connecter encore dessus (et même avec des nouveaux users) mais impossible d'ajouter une machine dans mon domaine, je reçois:"
Le domaine spécifié n'existe pas ou n'a pu être contacté.
 
une idée?
c'est un message d'erreur tellement largé...
(bien entendu, au niveau DNS, tout semble bon, puisque je peux pinger, monter \\mon_serveur,...)
 
y a un truc qui foire, mais quoi?!
 

Regarde dans ta section globale :
interfaces = eth1 lo
bind interfaces only = yes
 
interfaces accepte comme paramètres adresses IP, réseaux et interfaces réseaux.
http://us1.samba.org/samba/docs/ma [...] INTERFACES
http://us1.samba.org/samba/docs/ma [...] RFACESONLY

bonjour!
 
jai mis en place un PDC SAMBA/LDAP en suivant le tuto http://damstux.free.fr/wiki/index. [...] ba_et_LDAP
tout c'est bien passé mis a part le fait que je n'arrive pas a joindre le domaine   avec mon XP pro . lorsque j'essaye de me joindre au domaine avec l'utilisateur root il me reponds "le nom d'utilisateur est introuvable" alors qu'avec cet utilisateur je peux me connecter sur phpldapadmin et swat.Ce qui est surprenant aussi est que si je rentre lors de l'identification du domaine le compte root avec un mauvais mot de passe le message d'erreur est différent "utilisateur inconnu ou mots de pass incorrect". Autre chose lorsque je crée un utilisateur avec la commande smbldap-useradd -a -P , je le vois bien dans mon arborescence LDAP, mais si je fais un getent passwd je ne le vois il n'apparait. Voila donc si quelqu'un pouvait m'aider cela me permettrait de garder le peu de cheveux que je me suis pas encore arraché    
 
merci d'avance!

il manque pas une négation dans la derniere phrase ?
 
tu le vois ton user en faisant gettent paswd ?

oui exact il manque la negation  je ne vois pas mon user crée

t'as koi dans /etc/nsswitch.conf ?
 
t'as installé libnss-ldap ? configuré comme il faut ?
 
essaye avec un chmod 755 /etc/libnss-ldap.conf

 
libnss est bien installé :
daronServer:~# aptitude search libnss-ldap
i libnss-ldap                     - NSS module for using LDAP as a naming server
 
voila mon nsswitch.conf
# /etc/nsswitch.conf
#
# Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.
 
passwd:         compat ldap
group:          compat ldap
shadow:         compat ldap
 
hosts:          files dns
networks:       files
 
protocols:      db files
services:       db files
ethers:         db files
rpc:            db files
 
netgroup:       nis
 
j'ai changer les droit sur nsswitch.conf et libnss-ldap.conf cela ne change rien    
~

Je pencherais plus pour un problème DNS ou WINS le cas échéant. Vérifie tes config et que tes résolutions de nom soient correctes. Vérifie la configuration IP de ton Win XP Pro.

 
mon client xp et mon serveur SAMBALDAP sorte sur internet sans probleme. J'ai testé de ne mettre aucun dns avec mon client XP dans ce cas il ne voit meme pas le domaine. les deux PC sont relié entre eux en wifi a travers une freebox HD. quant a wins je ne crois pas qu'il soit en cause car en explorant mon reseau je vois bien mon domaine et ma machine serveur et je peux sans probleme acceder depuis mon xp aux partage de mon serveur debian en me loggant avec l'utilisateur ROOT. j'ai sniffé pour voir ce qu'il se passé est en fait lorsque j'essaye de joindre le domaine je reçois des requete "user unknow".

Tu n'as pas laissé la clause :
invalid users = root  
 
qui est par défaut dans le smb.conf de debian?

non j'ai refais entierement mon smb.conf comme dans le tuto voici ma config apres un testparm
 
# Global parameters
[global]
        workgroup = DARON
        server string = PDC Server
        passdb backend = ldapsam:ldap://127.0.0.1/
        socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
        add user script = /usr/sbin/smbldap-useradd -m "%u"
        delete user script = /usr/sbin/smbldap-userdel "%u"
        add group script = /usr/sbin/smbldap-groupadd -p "%g"
        add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
        delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
        set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
        add machine script = /usr/sbin/smbldap-useradd -w "%u"
        logon path = \\%L\profile\%U
        logon drive = P:
        logon home = \\%L\%U
        domain logons = Yes
        os level = 40
        domain master = Yes
        dns proxy = No
        wins support = Yes
        ldap admin dn = cn=admin,dc=PDC
        ldap delete dn = Yes
        ldap group suffix = ou=Groups
        ldap machine suffix = ou=Machines
        ldap passwd sync = Yes
        ldap suffix = dc=PDC
        ldap user suffix = ou=Users
        winbind use default domain = Yes
        hosts allow = 192.168.1., 127.
        case sensitive = No
        hide files = /desktop.ini/ntuser.ini/NTUSER.*/
        msdfs root = Yes
 
[netlogon]
        path = /home/netlogon
        write list = Administrateur
        browseable = No
 
[profile]
        path = /home/export/profile
        read only = No
        create mask = 0700
        directory mask = 0700
        profile acls = Yes
        browseable = No
 
[homes]
        comment = Repertoire Personnel
        read only = No
        browseable = No
 
[partage]
        comment = Repertoire commun
        path = /home/partage
        read only = No

bon j'ai refais le tuto en installant un serveur debian de test sur une vmware et tout marche parfaitement mais je comprends toujours pas pourquoi cela ne marche pas sur ma vrai becane

sur ton vm, tu vois le user que tu créé avec getent passwd ?

 
oui je le vois! mais c'est bon ça marche j'ai refais un debconf des differents pakages et j'ai installé la version smbldap-tools.0.9.2-3.
en fait j'ai voulu installé avec aptitude smbldap-tools mais il doit y avoir probleme de version.
 
Bon maintenant je me lance sur les scripts de démarrage et sur un eventuel poledit
 
merci pour l'aide