3.2. 准备 IdM 域以便在域成员中安装 Samba

流程

1. 安装所需的软件包：

   [root@ipaserver ~]# dnf install ipa-server-trust-ad samba-client

   Copy to Clipboard Toggle word wrap

2. 以 IdM 管理用户身份进行身份验证：

   [root@ipaserver ~]# kinit admin

   Copy to Clipboard Toggle word wrap

3. 运行ipa-adtrust-install工具：

   [root@ipaserver ~]# ipa-adtrust-install

   Copy to Clipboard Toggle word wrap

   如果 IdM 安装了集成的 DNS 服务器，则会自动创建 DNS 服务记录。

   如果您安装的IdM没有集成 DNS 服务器，ipa-adtrust-install会打印一个服务记录列表，您必须手动将其添加到DNS后才能继续操作。

4. 该脚本会提示您/etc/samba/smb.conf已存在，并将被重写：

   WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing Samba configuration.
   
   Do you wish to continue? [no]: yes

   Copy to Clipboard Toggle word wrap

5. 该脚本提示您配置slapi-nis插件，这是一个兼容性插件，允许旧的 Linux 客户端与受信任的用户一起工作：

   Do you want to enable support for trusted domains in Schema Compatibility plugin?
   This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.
   
   Enable trusted domains support in slapi-nis? [no]: yes

   Copy to Clipboard Toggle word wrap

6. 系统会提示您运行 SID 生成任务，以便为任何现有用户创建 SID：

   Do you want to run the ipa-sidgen task? [no]: yes

   Copy to Clipboard Toggle word wrap

   这是一个资源密集型任务，因此如果您有大量的用户，您可以在其他时间运行此任务。

7. 可选：默认情况下，对于 Windows Server 2008 及更高版本，动态 RPC 端口范围定义为 49152-65535。如果您需要为您的环境定义不同的动态 RPC 端口范围，请将 Samba 配置为使用不同的端口，并在防火墙设置中开放这些端口。以下示例将端口范围设置为55000-65000。

   [root@ipaserver ~]# net conf setparm global 'rpc server dynamic port range' 55000-65000
   [root@ipaserver ~]# firewall-cmd --add-port=55000-65000/tcp
   [root@ipaserver ~]# firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

8. 重启ipa服务：

   [root@ipaserver ~]# ipactl restart

   Copy to Clipboard Toggle word wrap

9. 使用smbclient工具来验证 Samba 是否响应 IdM 端的 Kerberos 身份验证：

   [root@ipaserver ~]# smbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=requiredsmbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=requiredsmbclient -L ipaserver.idm.example.com -U user_name --use-kerberos=required
   lp_load_ex: changing to config backend registry
       Sharename       Type      Comment
       ---------       ----      -------
       IPC$            IPC       IPC Service (Samba 4.15.2)
   ...

   Copy to Clipboard Toggle word wrap