====== Active Directory Domain Controller ======
===== Grundlagen =====
[[https://wiki.samba.org/index.php/Setting_up_Samba_as_an_Active_Directory_Domain_Controller|Setting up Samba as an Active Directory Domain Controller]]

[[https://wiki.samba.org/index.php/Active_Directory_Naming_FAQ#Subdomain_of_a_Domain_You_Own|AD Naming FAQ]]: Empfehlung: subdomain.domainyouown.tld

Beispiel:
  ds.<yourdomain>.spdns.org / NETBIOS-Domain-Name = <YOURDOMAIN>

[[https://wiki.samba.org/index.php/Distribution-specific_Package_Installation|Distribution-specific Package Installation]]: Demzufolge scheidet RHEL/CentOS aus als Active Directory Domain Controller aus.

**Voraussetzung:**
  * Das Server-Gerät mit Betriebssystem nach Anleitung unter [[devices:server|Server]] installieren.

<code>
nano /etc/hosts
</code>
<sxh xml; title: /etc/hosts>
192.168.178.3 dc1.ds.<youdomain>.spnds.org dc1
#127.0.1.1 auf dc1 entfernen
</sxh>

===== Installation von Samba =====
<code>
apt-get install samba smbclient winbind
</code>

Remove the existing smb.conf file (Path to the file: smbd -b | grep "CONFIGFILE")
<code>
mv /etc/samba/smb.conf /etc/samba/smb.conf.org
</code>

===== Konfiguration des AD-DC =====
<code>
samba-tool domain provision --server-role=dc --use-rfc2307 --dns-backend=SAMBA_INTERNAL --realm=ds.<yourdomain>.spdns.org --domain=<YOURDOMAIN> --adminpass='<yourpassword>'
</code>

DNS auf den im AD-DC installierten DNS Server zeigen lassen:
<code>
nano /etc/resolv.conf
</code>
<sxh xml; title: /etc/resolv.conf>
domain ds.<yourdomain>.spdns.org
nameserver 192.168.178.3 (Auf sich selbst zeigen lassen)
</sxh>
<code>
systemctl mask smbd nmbd winbind
systemctl disable smbd nmbd winbind
systemctl unmask samba-ad-dc
systemctl enable samba-ad-dc
(systemctl status samba-ad-dc)
(systemctl start samba-ad-dc)
</code>
 
**Log-Files:** /var/log/samba

**Neustart**
<code>
reboot
</code>

===== Installation von Kerberos =====
<code>
apt-get install krb5-user
cp /var/lib/samba/private/krb5.conf /etc/
</code>

===== Zeitsynchronisation =====
https://wiki.samba.org/index.php/Time_Synchronisation
<code>
apt-get install ntp
</code>

**Ansehen:**
<code>
ls -ld /var/lib/samba/ntp_signd/
</code>
<sxh>
drwxr-x--- 2 root root 4096  1. May 09:30 /var/lib/samba/ntp_signd/
</sxh>

**Setzen:**
<code>
chown root:ntp /var/lib/samba/ntp_signd/
chmod 750 /var/lib/samba/ntp_signd/
nano /etc/ntp.conf
</code>
<sxh xml; title: /etc/ntp.conf>
server 0.pool.ntp.org     iburst prefer
server 1.pool.ntp.org     iburst prefer
server 2.pool.ntp.org     iburst prefer
# Die pool auskommentieren
</sxh>  
<code>
systemctl restart ntp
systemctl status ntp
</code>

**Kontrolle:**
<code>
date
</code>

**Neustart des Servers**
<code>
reboot
</code>

**Test DNS**: Muss aufgelöst werden
<code>
ping ds.<yourdomain>.spdns.org
</code>

**Test Kerberos**
<code>
kinit administrator
klist
</code>

**Test Shares:** 3 Shares sollten zu sehen sein
<code>
smbclient -L localhost -U%
</code>

**Test Authentifizierung:** Sollte ohne Fehler durchgehen
<code>
smbclient //localhost/netlogon -U Administrator -c 'ls'
</code>

===== Passwortrichtlinien =====
Man kann sie theoretisch in der Gruppenrichtlinienverwaltung deaktivieren:
  * Default Domain Policy / Computerkonfiguration / Richtlinien / Windows-Einstellungen / Sicherheitseinstellungen / Kontorichtlinien / Kennwortrichtlinien
  * Diese GPO wird von Samba 4 (Stand: Dezember 2013) nicht übernommen!
  * SAMBA4 kann die Gruppenrichtlinien zwar an die Clients verteilen, liest sie aber selbst nicht.

Man muss die Kennwortrichtlinie deshalb am Server ändern:
<code>
samba-tool domain passwordsettings set --complexity=off
samba-tool domain passwordsettings set --history-length=0
samba-tool domain passwordsettings set --min-pwd-age=0
samba-tool domain passwordsettings set --max-pwd-age=0
samba-tool domain passwordsettings set --min-pwd-length=6
</code>

Aktuelle Kennwortrichtlinien anzeigen
<code>
samba-tool domain passwordsettings show
</code>

===== Benutzer anlegen =====
<code>
samba-tool user create <Benutzername>
</code>
Dann in RSAT verschieben und anpassen

===== Zertifikate =====
Zertifikat für den Domain Controller dc1.ds.<yourdomain>.spdns.org erstellen, siehe [[devices:env:certs-ss|Zertifikate]].

Das Server-Zertifikat, den Server-Key und das CA-Zertifikat z.B. über die Freigabe 

[[smb://192.168.178.3/netlogon]]

in den Server kopieren.

<code>
cd /var/lib/samba/private/tls/
cp /var/lib/samba/sysvol/ds.<yourdomain>.spdns.org/scripts/<YOURDOMAIN>-CA* .
chown root *
chgrp root *
chmod 644 <YOURDOMAIN>-CA-dc1.ds.<yourdomain>.spdns.org-<Datum>-crt.pem
chmod 644 <YOURDOMAIN>-CA-<Datum>-crt.pem
chmod 600 <YOURDOMAIN>-CA-dc1.ds.<yourdomain>.spdns.org-<Datum>-key.pem
</code>

smb.conf anpassen
<code>
nano /etc/samba/smb.conf
</code>
<sxh xml; title: /etc/samba/smb.conf>
[global]
 tls enabled  = yes
 tls keyfile  = tls/<YOURDOMAIN>-CA-dc1.ds.<yourdomain>.spdns.org-<Datum>-key.pem
 tls certfile = tls/<YOURDOMAIN>-CA-dc1.ds.<yourdomain>.spdns.org-<Datum>-crt.pem
 tls cafile   = tls/<YOURDOMAIN>-CA-<Datum>-crt.pem
</sxh>
<code>
systemctl restart samba-ad-dc
</code>

Kontrolle mit journalctl -xe

===== Administration =====
Windows Admin PC
  * Apache Directory Studio
    * Network Parameter
      * Host: 192.168.178.3
      * Port: 389
      * Encryption: User StartTLS extension
      * Provider: Apache Directory LDAP Client API
    * Authentication
      * Bind DN oder user: CN=Administrator,CN=Users,DC=ds,DC=<yourdomain>,DC=spdns,DC=org
    * Browser Options
      * BaseDN: DC=ds,DC=<yourdomain>,DC=spdns,DC=org

  * ADS / RSAT Tools herunterladen / Installieren
    * Gerät in die Domäne hängen und als Domänen-Administrator anmelden
    * AD Sites und Services:
      * Standort setzen  (z.B.: DE-Wilhelmshaven)
    * AD Users and Computers
      * Organisationseinheiten erstellen
        * ou=c1
        * ou=srv,ou=c1	(Server, aber keine DCs hierher verschieben)
        * ou=ws,ou=c1	(Workstations hierher verschieben)
        * ou=campus
        * ou=users,ou=campus
        * ou=groups,ou=campus

Lokale Admins
https://wiki.samba.org/index.php/Managing_local_groups_on_domain_members_via_GPO_restricted_groups
  * Gruppe cn=Workstation-Admins,ou=groups,ou=campus anlegen und der lokalen Gruppe Administratoren zuweisen (oberer Part)
  * Benutzer anlegen