Reprise du message précédent :
Bonjour à tous,
J'ai bien vu que l'on pouvait tester windows 7 avec samba
pour XP j'utilisais poledit avec qques fichiers .adm
mais je vois que pas mal de choses ont changés pour windows 7
 
Après quelques recherches on trouve dans "C:\Windows\PolicyDefinitions\fr-FR" les fameux policy au format .adml .admx
(J'ai vu des termes comme GPMC qui pourrait gérer ces fichiers )
 
Je pense que ça pourrait en intéresser plus d'un, c'est pourquoi je préfère poser cette question ici  
 
Quels sont les logiciels à utiliser pour pouvoir gérer les policy, afin d'avoir un fichier xxx.pol, qui soit utilisable par samba dans le dossier netlogon. ?  
 
Merci d'avance pour vos réponses

Question sur le LDAP
j ai un openLdap, qui fonctionne tres bien, gestion samba tout ca... Bientot Radius aussi ...
 
J ai une table de correspondance entre mes switch et mes prises réseaux.
C est bien mais je cherche a pouvoir le mettre sous forme de bdd pour l exploiter facilement. Et je me dis que le l annuaire ca serait génial !
Pourquoi ?
Navigation simple pour consulter la table de correspondance avec ldapadmin
Langage tres simple et super exploitable en script.
Modification brufe facile via ldapvi
 
Bref que des avantages. J aurais juste a créer une OU et un objet / rise
Par contre ma question est, quel type d objet je dois créer?  
La liste des objet possible :
Address Book Entry
  Address Book Entry (mozillaOrgPerson)
  Courier Mail Account
  Courier Mail Alias
  DNS Entry
  Organisational Role
  Organisational Unit
  Posix Group
  Posix Group - SUSE
 
  Samba Domain
  Samba3 Account
  Samba3 Group Mapping
  Samba3 Group Mapping - SUSE
  Samba3 Machine
  Simple Security Object
  User Account
  Default
 
 
donc bah ca correspond pas vraiment... Je peux le tuner? Faire un Ldif avec mes propres attributs que j invente?  
si quelqu un utilise son LDAP pour la gestion siwtch/reseau tout ca ... Je suis à votre écoute !
Je sais c est un peu tordu mais ca peut etre sympa!

Mouais, pourquoi pas mais pour moi un annuaire doit rester un annuaire, c'est-à dire une base de donnée optimisée pour la lecture avec les objets importants pour la centralisation.
 
Pour ton cas, j'utilise GLPI avec OCS pour l'inventaire.
Tu peux ajouter ce que tu veux sous la partie networking. Derrière, ce n'est qu'une base mysql qui est plus que surdimensionnée pour faire ce genre de petit inventaire (Excel suffit dans ce cas ).
Après tu as toute la puissance des requette SQL si tu veux aller plus loin.

ouais j ai aussi le couple GLPI/OCS mais je souhaite exploiter la base via des requetes facile pour une geolocalisation IP
genre probleme tel port du swtich hop script hop tel port donc bureau X chez mr X, facon automatique... En ldap c est esay a faire les requetes
mais en SQL, c est autre chose...

Bonjour à tous,
je rencontre un petit problème dans la mise en place de Samba/LDAP
 
Lorsque que je rejoins mon domaine avec une machine XP, j'ai le message suivant: "Utilisateur introuvable" qui s'affiche à l'écran.
Pourtant, sur mon serveur ou sur un client linux,tout à l'air de fonctionner correctement, les commandes smbldap-XXX, getent XXX, etc.
 
Si dans mon fichier /etc/smbldap-tools/smbldap.conf, j'ai:
 - computersdn="ou=Computers,${suffix}" --> alors samba crée l'entrée dans la branche computers puis vérifie si l'entrée existe dans la branche "Users"    
 - computersdn="ou=Users,${suffix}" --> alors l'ordinateur rejoint bien le domaine  , mais l'entrée ldap est dans la branche "Users"
 
Bien entendu, je souhaiterais que cela fonctionne dans la branche "Computers"  
 
J'ai mis un log level assez élèvée pour samba mais du coup je suis perdu dans les logs  
 
Help

Salut,
 
Si tu essayes de rattacher ta station via le compte root, as-tu lancé la commande suivante sur ton serveur LDAP :

 
Si tu ne l'as pas fait, stoppe Samba, lance la commande en tant que root puis redémarre Samba et retente de rattacher ta station.

 
Merci pour la réponse mais c'est pas ça du tout. J'ai déjà lancé cette commande. J'ai suivi tous les tutos que l'on peut trouver sur LDAP/Samba
 
J'arrive très bien à rejoindre mon domaine Windows si je mets dans le fichier /etc/smbldap-tools/smbldap.conf cette directive:
computersdn="ou=Users,${suffix}"
 
Le problème est que j'aimerais comprendre pourquoi si je mets:
computersdn="ou=Computers,${suffix}"
l'ordi sous Win Xp n'arrive pas à rejoindre le domaine.
 
Dans samba, j'ai la commande suivante : add machine script = /usr/sbin/smbldap-useradd -w "%u"
Cette commande est bien exécutée dans les 2 cas puisque que je trouve une entrée dans mon annuaire (soit dans la branche Users soit dans la branche Computers suivant la directive computersdn).
Seulement, après cette commande, samba effectue une autre opération pour ajouter les attributs de la classe "sambaSamAccount". Et pour ajouter ces attributs, il va chercher mon ordi à chaque fois dans la branches "Users".
 
Comment faire pour qu'il aille chercher dans "Computers"?

Salut,
 
Désolé, j'ai mal lu ton post, autant pour moi.
Voici mon smbldap.conf si ça peut t'aider :

 
Dans ton smb.conf, quelle est la valeur de ldap machine suffix ?

Merci pour le fichier smbldap.conf. J'ai à peu prés le même.
 
Bien entendu, dans mon fichier smb.conf, la directive "ldap machine suffix"  a pour valeur "ou=Computers".
 
J'ai même commenté les directives ldap {group, user, machine} suffix et ça fonctionne très bien (hormis mon problème). J'avais lu sur le Web que ces directives n'était pas importante si le fichier smbldap.conf est correctement configuré.
 
J'ai l'impression que le problème se situe au niveau de samba mais je trouve pas où?
 
Si ma directive ldap machine suffix = "ou=Computers", samba lance bien la commande  

mais ne continue pas la suite du processus de jonction du domaine de mon XP.
 
Ce que j'aimerais comprendre, ce sont les différentes étapes (opérations) qui sont lancées après

.
 
Merci pour ton aide

Bon, je me réponds à moi-même parce que j'ai trouvé la solution de mon problème et que ça pourra servir à d'autres    
 
Petite précision, j'utilise la version 3.0.33-3.15 de samba et la version 2.3.43-3 de openldap (CentOS 5.4).
 
Après de nombreuses recherches sur le Web, j'ai trouvé ce message sur les listes de samba.org
http://lists.samba.org/archive/sam [...] 37852.html où un dév de samba précise que les ordinateurs doivent être normalement dans la branche Users puisque les ordis ont un uid et un gid.
 
Mais il donne une astuce si on souhaite mettre les ordis ailleurs. Il suffit de modifier  le chemin de recherche de nss_base_passwd et nss_base_shadow afin de faire une recherche récursive sur les branches Users et Computers.
 
Donc pour moi, ce changement se manifeste par la modification du fichier /etc/ldap.conf.

 
Voiloù

Petite question en rapport avec samba qui pourrait m'aider à avancer :
Quel paramètre faut il modifier pour jouer sur les autorisations des partages ?  
Quand je dis autorisation je parle des autorisations pour les utilisateurs ou les groupes sur un objet partager (imprimante ou repertoire)
 
Merci d'avance ..
 
David

valid users ou invalid users

Bon je crois avoir decellé mon problème, j'aimerai le vérifier :
je me connecte avec l'administrateur de mon domaine et j'essai d'agir sur mes partages samba, le probleme c'est que le serveur samba me refuse l'accés.
j'ai pourtant configuré mon samba avec kerberos et winbind, le serveur est bien intégré dans le domaine. j'ai fait des wbinfo -u & wbinfo -g qui me remonte mes listes d'utilisateurs et groupes.
quand je fais un getent passwd ou group je recupere les bonnes informations.
comment puis je vérifier une connexion en administrateur du domaine sur mon serveur samba ?
 
qqun aurait une solution a mon probleme ?
 
merci pour tout !

Salut,
 
J'ai un PDC qui tourne parfaitement depuis quelques années.
Je me suis toujours posé une question concernant les multiples entrées sambaDomainName dans mon annuaire LDAP.
 
Une entrée sambaDomainName pour mon domaine est présente dans mon annuaire, normal jusque là.
Par contre, quand je rattache un serveur non PDC/BDC, via la commande net join DOMAIN, un compte machine (SERVEUR$) est bien créé pour ce serveur mais j'ai également une nouvelle ligne sambaDomainName qui est créée.
 
Est-ce normal ?

Salut,
 
Personne n'a d'avis sur la question ?  

Hello
 
J'ai enfin une config qui tourne a peu prêt samba PDC  openLDAP (récup des droits sur un autre samba, authentification, etc)
 
mais sur mon pdc de test dans un autre sous-réseau , je n'arrive pas à me logguer sans rejoindre le domaine
 
le test se fait avec un client machine win2k sur laquelle je modifie uniquement les paramètres réseau
 
 
j'obtiens cette erreur
Le système ne peut ouvrir de session sur ce domaine car le compte système de l'ordinateur dans son domaine principal est manquant ou le mot de passe du compte est incorrect
 
du coup je dois me logguer en local puis re-rejoindre le domaine.
pourtant l'entrée de la machine me semble complet via pdbedit
(tout ceci se passe après un net vampire tout frais )
 
j'ai cette erreur sur le serveur
 
rpc_server/srv_netlog_nt.c:714(_netr_ServerAuthenticate3)
 
  _netr_ServerAuthenticate3: netlogon_creds_server_check failed. Rejecting auth request from client mamachine machine account mamachine$
 
y' t'il une astuce style reseter toutes les relations d'approbation? est lié au fait que je sois dasn un autre sous-réseau?
 
merci

oui, lié au sous réseau si tu n'as pas fait d'acl ou de communication entre ces réseaux.
 
essai dans le meme réseau pour tester.

je me suis mal exprimé mon pdc de test est bien dans le même subnet que le client de test (je change la config réseau du client)
 
je ne peux pas tester sur le subnet de mon serveur NT vu qu'il est en production / avant d'être au point

donc ton pdc et ton client sont sur le meme réseau, réseau lui meme différent de ta prod. c'est ca ?
 
si oui, c'est normal jusque là.
 
tu as essayé de faire un deuxième essai de jonction au domaine avec la meme machine ? j'avais eu le meme problème que toi il y a longtemps, il failait faire 2 essais.

merci
 
oui c'est bien ça j'ai également restauré un serveur de partage de fichiers, il retrouve bien ses groupes et permissions depuis le PDC samba. (tiens, mais idem après avoir refait un net join DOMAIN)
 
la jonction au domaine fonctionne comme s'il s'agissait d'un autre réseau ou que le" lien"  (relation d'approbation? mot de passe?) était brisé:
si je repasse en workgroup puis je peux rejoindre le domaine avec PDC samba du premier coup.
 
 
techniquement si j'avais 10 postes je les ferai simplement sortir puis re-rentrer das le domaine ,mais là ça en concerne 200    
 
j'ai lu qu'on pouvait agir sur l'enregistrement avec netdom.exe? ça peut fonctionner dans ce cas là? Éventuellement que je teste également avec les outils smbmdap (en recréant chaque machine via un script, ce qui signifie qu'un paramètre a mal été importé pendant le net vampire?)

tes machines sont xp ?

la machine de test est sous windows 2000 mais ça m'a fait la même chose avec une machine sous xp

Bon  ça fonctionne à priori.
Pour l'import incorrect ça venait de ma config nss.
 
Quelques question:
 sur mes serveurs distants (samba + winbind) le groupe principal est utilisa. du domaine, qui équivaut à domain users Sur mon PDC.
Est-ce que je peux renommer le groupe dans l’annuaire ldap sans problèmes?
 
edit: quand je fais :
 
net groupmap list
Utilisa. du domaine (S-1-5-21-14055781-2114415523-1703228666-513) -> Domain Users
 
edit: ça veut dire que le mapping est déjà fait ? et que je continue à utiliser les noms français sur mes serveurs distants?
 
edit: 2 ok les 2 pointent vers le même uid sur mes serveurs distants,  c'est uniquement sur le PDC que seul le groupe domain users fonctionne.
 

Bonjour,
 
J'ai un petit sousis que je n'arrive pas à régler.  
 
J'ai une install de samba 3.4 avec ldap et ldapsam:editposix dans le smb.conf.  
 
Le tout fonctionne bien a part quand je veux désactiver les profils itinérants pour certains utilisateurs. J'ai beau modifier l'utilisateur en question mais il me met toujours la valeur par défaut de samba pour le logon path.  
 

 
et la j'ai en réponse
 

 
 
Est ce que c'est déja arrivé à quelqu'un et le plus important est ce que ca à été résolu ?  
 
Merci.  
 

Bon je me réponds tout seul.  
 
A défaut d'avoir une solution propre, j'ai fais la chose différemment, c'est sale mais ca fonctionne.  
 
L'idée c'est de mettre un logon path null au départ :
 

 
Puis un script en root preexec dans le dossier home de l'utilisateur pour fixé le logon path avec la bonne valeur. J'en profite aussi pour créer le dossier utilisateur s'il n'existe pas.  
 

 
Donc jusque la on a les bonnes valeurs bien comme il faut la où il faut.  
 

 
Et puis pour désactiver le profile itinérant pour l'utilisateur :
 

 
Et l'utilisateur passe bien en profile local, et donc plus de mise a jour vers le serveur.   Mais parce qu'il y'a toujours un mais, cela ne marche qu'après la deuxieme ouverture de session de l'utilisateur dans le domaine. Et bien sur ca nee marche que pour les nouveaux comptes. Tous les comptes existants, il faut faire la modification à la main pour leurs mettre le profile path qui va bien.
 
 
Voila, si quelqu'un trouve une solution plus propre, je suis preneur

passer sous AD

Je suis en train d'essayer de monter un PDC-like avec Samba (sous Debian) mais j'ai un problème avec la définition de l'appartenance des utilisateurs aux groupes.
Mes groupes sont comme suit :

 
Et un utilisateur :

 
Mais l'appartenance de john-doe aux deux groupes ne semble pas évidente pour Samba, il n'en trouve qu'un:

 
Comment faire pour dire à l'annuaire que l'utilisateur john-doe est bien aussi dans somegroup ?

ca te donne quoi la commande 'id john-doe" ?

id c'est une commande pour le côté Linux des utilisateurs/groupes non ?

Je précise que le lien entre le système Linux et LDAP fonctionne bien et était déjà en place avant que je ne tente de créer un PDC.

Dans l'annuaire ton utilisateur fait bien parti des deux groupes.  
 
Maintenant a savoir si ton deuxieme groupe est bien pris en compte dans samba c'est une autre histoire.  
 
Tu devrais le voir avec la commande "# net groupmap list" sur ton pdc.

Ca semble OK aussi :

Ca à l'air d'être bon aussi en effet.  
 
Si tu ouvre une session windows avec john-doe, et que tu tape en ligne de commande "net user /domain john-doe", il te renvoie quoi ?

Je n'ai pas encore de machine sous Windows faisait partie du domaine (je me disais que si même les groupes ne fonctionnait pas...)