Ziel¶

Dieses Howto beschreibt einige zusätzliche Hinweise, Ergänzungen und Tipps, wenn man zuvor einen Domaincontroller (DC), gemäß dem Howto Samba-AD-Server_unter_Ubuntu_20.04_installieren erfolgreich installiert hat und wendet sich primär an weniger erfahrene, aber dennoch interessierte User, die auch stationäre Ubuntu PCs (ab der Desktop-Version 20.04) in die Domäne aufnehmen möchten.

Die Ubuntu-Serverversionen werden in diesem Howto nicht berücksichtigt, da sie auf unterschiedliche Vorgehensweisen an die Domäne gebunden werden können!

AD-Benutzerkonten (Samba-Tool)¶

Nach Abschluss der Installation des neuen Domaincontrollers (adc01) existiert im Active Directory nur ein aktiviertes Benutzerkonto - das Konto vom Administrator. Um nun Standard-Benutzerkonten im AD anzulegen, benutzt man in der Regel die Remoteserver-Verwaltungstools (RSAT), die aber einen Windows PC in der Domäne voraussetzen. Wer diesen aber nicht bereitstellen kann oder möchte, kann als Alternative die samba-tools nutzen, die bereits auf dem Domaincontroller vorhanden sind.

Eine ausführliche Beschreibung findet man in der entsprechenden Manpage:

sudo samba-tool -h 

sudo samba-tool user create peterp Hugo#0815 --given-name=Peter --surname=Pan 

sudo samba-tool user list 

sudo samba-tool user show peterp 

Gateway und DNS¶

Die diesbezüglichen notwendigen Einstellungen auf den Clients werden in diesem Howto manuell erfolgen, da

• auf dem DC (adc01) gewollt kein DHCP-Server installiert wurde.

• die meisten DHCP-Server auf den s.g. SOHO-Routern (z.B. Fritz!Box) nur eine IP-Adresse für lokale DNS-Server vergeben können.

10.10.20.220,10.10.20.1

sudo apt update && sudo apt upgrade  

10.10.20.220,10.10.20.1

Zeitserver¶

Eine gesonderte Konfiguration ist auf den stationären Ubuntu-Desktop Clients nicht zwingend notwendig, da diese nun stets einen öffentlichen Zeitserver erreichen können. Allerdings ist es auch möglich, den Zeitserver des lokalen Domaincontrollers als primären Zeitserver zu hinterlegen, was unkomliziert per per timesyncd möglich ist.

GptTmpl.inf¶

Ohne die bisher fehlende Datei GptTmpl.inf kann ein neu zu installierender Ubuntu-Desktop PC ab der Version 20.04.x zwar schon während des Installationsvorgangs der Domäne beitreten, jedoch wird jeglicher Versuch, sich anschließend mit einem AD-Benutzerkonto anzumelden, nach Eingabe des (korrekten) Passwortes mit einer Fehlermeldung abgelehnt. Grund: Die bisherigen Versionen von SSSD (bis zur Version 2.7+) erwarten u.A. die Existenz der Datei GptTmpl.inf

sudo -i
cd /var/lib/samba/sysvol/*/Policies/{31*/MACHINE
mkdir -p Microsoft/"Windows NT"/SecEdit
cd Microsoft/Windows\ NT/SecEdit
nano GptTmpl.inf 

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1

exit 

AD-Join (neuer PC)¶

Nachdem die Datei GptTmpl.if erfolgreich erstellt wurde, kann ein neu zu installierender Ubuntu-Desktop PC (ab der Version 20.04.4) schon während des Installationsvorgangs im AD registriert werden, um nach dem Abschluss der Installation sofort die bereits vorhandenen AD-Benutzerkonten zur Anmeldung nutzen zu können. Dazu aktiviert man während des Installationsvorgang den Punkt "Use Active Directory" und trägt bei "Domain" den Namen der Domäne (heim.lan), bei "Domain Administrator" Administrator und bei "Kennwort" das im Howto bereits vergebene Password ein. (ACHTUNG: Hier ist nicht das Passwort vom Systemverwalter gemeint!)

AD-Join (vorhandener PC)¶

Um Vergleichbares auf einem bereits vorhandenen PC (Ubuntu-Desktop ab Version 20.04.4) zu erreichen, sind folgende Befehle notwendig:

sudo apt update && sudo apt upgrade
sudo apt install sssd-ad sssd-tools realmd adcli
sudo pam-auth-update --enable mkhomedir
sudo realm join heim.lan 

Damit ist der PC der Domäne (heim.lan) beigetreten und man kann sich mit den vorhandenen AD-Benutzerkonten an der Domäne anmelden.

sudoedit /etc/sssd/sssd.conf 

ad_gpo_access_control = permissive

sudo sss_cache -UG
sudo systemctl restart sssd 

AD-Login¶

ich@u2004-13:~/Schreibtisch$ sudo login
[sudo] Passwort für ich: 

u2004-13 Login: peterp@heim.lan
Passwort: 

Benutzer: peterp@heim.lan
Passwort: Hugo#0815

sudoedit /etc/gdm3/greeter.dconf-defaults 

# [org.gnome/login-screen]
# disable-user-list=true

Freigaben mounten (PAM-Mount)¶

Sehr oft wird für jeden AD-Benutzer ein persönlicher Basisordner (aka Heimatverzeichnis oder Home folder) in einer entsprechenden Freigabe auf einem separaten Fileserver erstellt, damit ihm nach einem Wechsel des stationären Arbeitsplatz-PCs auch dort automatisch seine persönlichen Dateien zur Verfügung gestellt werden können.

Wechsel = Windows-Client < – > Ubuntu-Client | Windows-Client < – > Windows-Client | Ubuntu-Client < – > Ubuntu-Client

Das Bereitstellen der persönlichen Dateien auf den jeweiligen Arbeitsplatz-PCs (Windows oder Ubuntu) erfolgt dabei meist auf zwei Arten:
1. als separates Laufwerk (ohne direkten Bezug auf die schon vorhandenen lokalen Ordner).
2. mittles Ordnerumleitung (mit direktem Bezug) auf die schon vorhandenen lokalen Ordner ( z. B. Dokumente, Bilder, usw.).

In den folgenden Abschnitten wird davon ausgegangen, dass bereits ein separater Fileserver mit folgenden Eckdaten existiert:

sudoedit /etc/sssd/sssd.conf 

use_fully_qualified_names = True

use_fully_qualified_names = False

sudo apt install libpam-mount cifs-utils 

sudo cp /etc/security/pam_mount.conf.xml /etc/security/pam_mount.conf.xml.org 

sudoedit /etc/security/pam_mount.conf.xml 

<!-- Volume definitions -->

<!-- pam_mount parameters: General tunables -->

<volume
fstype="cifs"
server="fs01.heim.lan"
path="basis/%(DOMAIN_USER)"
mountpoint="~/%(USER)"
options="sec=krb5,cruid=%(USERUID),workgroup=HEIM,vers=3.0" />

Ordnerumleitung¶

Die Nutzung der Basisordner kann durch eine automatische Ordnerumleitung optimiert werden. Eine entsprechende GPO (Gruppenrichtlinie) gibt es für Ubuntu-Clients bis dato (September 2022) aber leider noch nicht. Daher zeigt das folgende Beispiel eine gleichwertige Alternative anhand des Ordners Dokumente:

<volume
fstype="cifs"
server="fs01.heim.lan"
path="basis/%(DOMAIN_USER)/Documents"
mountpoint="~/Dokumente"
options="sec=krb5,cruid=%(USERUID),workgroup=HEIM,vers=3.0,x-gvfs-hide" />

Erklärung: In diesem Beispiel wird der Ordner Documents aus dem Basisordner des AD-Benutzers direkt in den lokalen Ordner Dokumente gemountet. Die zusätzliche Angabe von x-gvfs-hide in den Opitionen sorgt dafür, dass es kein separates Laufwerk gibt, welches versehentlich oder böswillig vom AD-Benutzer ausgeworfen werden kann.

Um auch andere Ordner aus dem Basisordner des AD-Benutzers direkt in den korrespondierenden lokalen Ordner zu mounten, wird für jeden gewünschten Ordner jeweils ein zusätzlicher Eintrag gemäß dem genannten Muster erstellt.

Tipp: Um eine Konsistenz/Kompatibilität mit Windows-Clients zu erreichen, muss in der Freigabe immer die englische Bezeichnung der jeweiligen Ordner benutzt werden!

Nach der Ordnerumleitung stehen einem AD-Benutzer nun auf allen Client-PCs, einheitlich im richtigen Ordner, seine persönlichen Dateien zur Bearbeitung zur Verfügung.

sudoedit /usr/local/bin/hidden.sh 

#!/bin/sh
if [ "${HOME}" != "${HOME#*@}" ]; then
echo desktop.ini > $HOME/Dokumente/.hidden
echo '$RECYCLE.BIN' >> $HOME/Dokumente/.hidden
else
exit
fi

sudo chmod +x /usr/local/bin/hidden.sh 

sudoedit /etc/xdg/autostart/hidden.desktop 

[Desktop Entry]
Type=Application
Name=hidden-Datei platzieren
Exec=/usr/local/bin/hidden.sh

servergespeicherte Profile¶

Das Erstellen von servergespeicherten Profilen ist zwar möglich, sprengt aber den Rahmen dieses Howto, da es insbesondere in heterogenen Systemumgebungen (AD mit Ubuntu- und Windows-Client-PCs) sehr aufwendig ist.

Gruppenrichtlinien mit ADsys¶

Canonical/Ubuntu bietet ab den Versionen 22.04 per ADsys einige ADMX- und ADML-Dateien für DCs an. Allerdings sind die enthaltenen GPOs rudimentär und beschränken sich bisher (Stand: September 2022) auf die Möglichkeiten, die mit den gesettings bzw. dem dconf-editor eh schon möglich sind. Zudem sind die interessanteren Möglichkeiten (An- und Abmeldeskripts) nur als Mitglied des kostenplichtigen Ubuntu Advantage-Abonnement sinnvoll nutzbar.

Hinweis (PowerShell AD Module)¶

Als gute und kostenfreie Möglichkeit ein Active Directory unter Ubuntu zu administrieren bietet sich das Snap-Paket PowerShell an.

Links¶

• Liste aller Howtos