Configurer Samba en PDC pour gèrer 15 PC....

Je suis formateur en informatique, et pour faciliter la gestion des fichiers des stagiaires, j'ai installé Samba pour qu'il dirige automatiquement le répertoire « Mes documents » vers le serveur de fichiers, et ce en fonction du login de l'utilisateur, c'est mon premier article, soyez indulgents... :-)

Note du modérateur : pour l'orthographe et la conjugaison, je recommande respectivement ispell et leconjugueur.com. J'ai aussi essayé de garder une cohérence des temps passé/présent et des personnes tu/vous. A propos du telnet, ssh utilise la même syntaxe. Je rajoute les liens vers SSH pour Windows (client et/ou serveur). A propos :
C'est la première fois que je me lance dans la rédaction d'un article, donc soyez indulgents, surtout pour l'orthographe et la grammaire ainsi que le style :-)


Vous pouvez bien entendu, modifier, améliorer, distribuer, publier ce document, je vous demande seulement de me tenir au courant .

Si vous avez des questions sur cet article mailez-moi
Stéphane CROSES
croses.s@meloo.com

Fait à Tarnos (France) le 22/10/2002


Configuration de Samba

je vais tenter de vous expliquer comment j'ai configuré Samba en tant que contrôleur de domaine, qui actuellement sert de serveur de fichiers à 15 PC sous Windows 98

Enoncé du problème :

Je suis « formateur en informatique » dans un centre de formation qui a pour vocation d'aider les gens à retrouver du boulot. Nous proposons plusieurs formations dont un bac pro en secrétariat-compta, mais aussi d'autres pour lesquels les stagiaires sont amenés à réaliser des CV et des rapport de stages. Moi, dans tout ça je donne des cours de Windows, Word, Excel, Internet....en gros toute la gamme des produits Microsoft, sauf Access j'y pige rien (pour les bases de données je ne jure que par apache-php-mysql).
Le gros problème avec tous les stagiaires c'est qu'ils ont de grosses difficultés pour comprendre qu'il faut enregistrer leurs fichiers dans le répertoire de leur groupe, et j'atteins le graal s'ils créent un répertoire à leur nom dans le répertoire de leur groupe et qu'ils y enregistrent leurs fichiers.
Pour palier a ce problème, j'avais désigné un PC de la salle (ordinateur nommé p6) en tant que serveur de fichiers. En fait j'avais modifié le chemin d'accès du répertoire « Mes documents » de chaque PC vers le répertoire « Mes documents » du PC p6. Comme ça quel que soit le PC utilisé on retrouvait dans le répertoire « Mes documents » les documents fabriqués par tout le monde. A l'intérieur de « Mes documents » se trouve des répertoires au nom des groupes : prqmm, bacpro, aqs, sife.... Chaque stagiaire a pour consigne d'enregistrer ses fichiers dans le répertoire de son groupe, ça c'est la théorie. Dans la pratique le stagiaire moyen fait Fichier/Enregistrer, la boite d'enregistrement apparaît, puis appuie joyeusement sur le bouton Enregistrer, sans même donner un nom au document (pourquoi le faire, Word en a déjà mis un...). Au final tous les fichiers sont enregistrés dans le répertoire « Mes documents », avec des fichiers qui portent presque tous des noms similaires. Et bien évidement quand un stagiaire essaye de retrouver un document, 1 fois sur 2 j'ai droit à « monsieur, je retrouve pas mon CV ».

Je me suis donc fait la réflexion suivante : ce serait bien si chaque stagiaire pouvait se connecter aux PC avec un mot de passe commun à tout son groupe, et que en fonction du login et mot de passe, le répertoire « Mes documents » ne rende visible que le contenu du répertoire de son groupe. Comme ça même si on enregistre directement dans « Mes documents » les données seront enregistrées dans le répertoire de son groupe.

C'est là qu'intervient la solution : Samba.


Le materiel :

Pour le serveur ce sera un puissant PC : pentium 133, 48 Mo ram-edo, 1 disque 1Go, 1 disque 2 Go, 1 carte réseau realtek pci combo 10Mb
Pour les logiciels : une mandrake 8.0 traktopel (en fait n'importe quelle distribution convient).

Dans la salle de cours se trouve 15 PC sous win 98 pour les stagiaires et 1 PC pour le formateur. Il faudra bien entendu que le formateur puisse accéder à tous les répertoires des stagiaires en se connectant avec son login.

L'installation :

Il s'agit d'une installation très classique (je ne la détaillerais pas ce n'est pas le but de cet article).

Le partitionnement est le suivant : sur le disque de 1 Go : 96 Mo de swap, le reste pour la racine, et sur le 2 Go : tout pour /home.

Les logiciels installés sont :
- gnome (je sais pour un serveur c'est inutile, mais ça me permet de réaliser des manips que je ne sais pas faire sur la console). Lors de l'installation ne choisissez pas « Se connecter automatiquement à l'interface graphique »
- telnet serveur (ssh est mieux mais je sais pas m'en servir)
- Webmin, qui permet d'administrer le PC à distance en mode graphique par un navigateur internet (qui sera mis à niveau grâce aux rpm du site Internet de webmin, webmin.com) . La version utilisée est la 1.01.
- Samba bien sûr ( mis à niveau vers 2.2.2 grâce aux rpm de rpmfind.net, y a quelques dépendances, trouvées aussi sur rpmfind)
- en plus de root, un seul utilisateur est défini lors de l'installation, ce sera le formateur
- je fixe une IP pour le serveur, les clients ont des IP dynamiques fournies par un autre serveur (windows nt 4.0 serveur)


Les test préalables :

pour des raisons pratique, adoptons les conventions suivantes :
- linserveur = serveur linux
- 192.168.0.100 = adresse ip du serveur linux
- clients = postes windows 98
- poste principal = poste du formateur qui lui donne accès à tous les répertoires des stagiaires

Voyons déjà si la carte réseau fonctionne :
Depuis le poste principal (connecte-toi dès à présent avec le login que tu t'es attribué lors de l'installation du serveur) lance "commande msdos" et tape ping 192.168.0.100. A la fin tu as un compte-rendu :
statistique ping pour 192.168.0.100
paquets : envoyés = 4 reçu = 4 perdus = 0 (perte 0%)
Durée approximative des boucles en millisecondes
minimum = 0ms maximum = 0ms moyenne = 0ms

Si tu as quelque chose comme ça c'est que la carte réseau est bien configurée. Si ça ne marche pas, vérifie 2 choses : si les câbles réseaux sont bien branchés, et s'ils ne sont pas défectueux (ça m'est déjà arrivé). Sur le poste principal, vérifie si le protocole TCP/IP est présent dans la config de la carte réseau.

On va donc se connecter au serveur par la commande suivante : telnet 192.168.0.100

Il doit apparaître la fenêtre du telnet, dans laquelle se trouve notre console bien aimée. Si ça marche pas, vérifie si le paquet telnet-serveur est présent, il n'est pas présent par défaut, lors de l'installation il faut aller le choisir explicitement. De toute façon il peut être rajouté par la suite sans problème. Connecte-toi avec le compte du formateur (root par défaut ne peut se connecter par telnet) puis tape « su » et entre le mot de passe de root, et hop on accède à tous les droits.

Puisque ca marche, on va tester l'interface d'administration. Toujours depuis le poste principal et avec l'aide d'Internet Explorer (ou Netscape, ou Opéra, ou Mozilla....un navigateur quoi), tape l'adresse suivante https://192.168.0.100:10000

Tu dois avoir une fenêtre te disant que tu vas pénétrer sur un site sécurisé, puis une fenêtre te demandant si tu accepte le certificat (répond oui) ; ensuite apparaît la fenêtre demandant le login et le mot de passe ; connecte-toi en root.

Si ca marche pas, vérifie si webmin a été installé, va dans le « software manager » (ou le gestionnaire de paquets) et recherche webmin, si tu le trouves pas rajoute-le, et pense à l'activer dans les services qui se lancent au démarrage. Si par contre il est présent et qu'il ne marche pas, ca dépasse mes compétences, désolé.
J'adore webmin, à partir de cette interface on peut absolument tout faire, pour ma part mon serveur est enfermé dans un placard avec juste le clavier de connecté et le câble réseau (ya pas de place pour un écran).

A partir d'ici, on considère que l'on a ouvert sur le bureau du poste principal la connexion au serveur via le telnet, et la connection via webmin (version 1.01).


Configuration du serveur :

Définitions des utilisateurs :

Dans mon cas j'ai deux types de groupes différents :
- les groupes où tous les utilisateurs se connecteront avec le même login et qui par le biais du répertoire « Mes documents » auront accès à /home/répertoire_du_groupe. Pour la suite des explications on désignera ce type de groupe : groupe simple
- les groupes ou chaque stagiaire se connectera avec son login mais par le biais de « Mes documents » ils auront accès à /home/répertoire_du_groupe. Pour la suite des explications on désignera ce type de groupe : groupe complexe.

On va créer un utilisateur "invite" qui permettra aux personnes qui ne font partie d'aucun groupe défini d'avoir accès aux clients (en tout cas pour moi c'est nécessaire).
Crée cet utlisateur comme un groupe simple mais autorise la connection sans mot de passe.

Création des utilisateurs linux

Commençons par les groupes simples :

Depuis le poste principal, par webmin, cliquer sur serveur puis utilisateur et groupes puis Ajouter utilisateur. Donne un nom d'utilisateur (qui est en fait le nom du groupe de stagiaire) le mot de passe en clair, met bien bash en interpréteur de commandes. Les délais d'expiration, on s'en fiche (moi en tout cas), le groupe primaire est déjà rempli, c'est le même que l'utilisateur. Y a qu'a sauvegarder.
Il faut aussi rendre le formateur membre du groupe qui vient d'être créé. Pour cela, toujours dans serveur, utilisateur et groupe ; dans la moitié inférieure de la fenêtre se trouve la liste des groupes, normalement, le groupe que l'on vient de créer se trouve en dernière position. Clique sur le nom du groupe, il doit apparaître la fenêtre de gestion de ce groupe. La rubrique membre est normalement vide, juste à droite de la liste se trouve un bouton avec trois petits points, clique dessus, tu pourra alors choisir quel utilisateur va devenir membre du groupe ; choisi le login du formateur. Valider par « ok » puis « valider ».

Recommencer la manipulation pour tous tes groupes simples.
Le formateur doit être présent dans tous les groupes.

Les groupes complexes

La caractéristique de ce groupe, c'est que tous les stagiaires se connectent avec leur propre login mais qu'ils ont un /home commun.

Créer tout d'abord le groupe commun, par exemple bacpro, comme s'il s'agissait d'un groupe simple. Cette manip crée le répertoire /home/bacpro. Ensuite on va créer les utilisateurs du groupe bacpro, par exemple Paul ; on commence comme pour un groupe simple, sauf pour 2 étapes
- sous la zone groupe primaire, cochez la case groupe existant et rentre y le nom du groupe primaire auquel tu veux l'affecter, pour moi : bacpro
- cocher non pour les rubriques : créer un répertoire personnel, copier les fichiers dans le répertoire personnel, l'autre rubrique aussi

Créaction du repertoire netlogon

cd repertoire va contenir les scripts de connexions

Depuis le poste principal, par la connexion telnet, taper :
mkdir /home/netlogon

voila c'est tout

Définition des droits d'accès

Quand on utilise Samba les droits d'accès aux différents répertoires sont un peu compliqués car le serveur a ses droits d'accès, et Samba possède des variables pouvant accorder des droits. Par contre quand entre les droits Samba et les droits du serveur il y a incohérence, c'est les droits du serveur qui priment.
Pour ma part je donne les droits d'écriture, de lecture et d'exécution au propriétaire et groupe, l'exécution aux autres.
Pour accorder ces droits-là au groupe bacpro, je me place dans le répertoire /home et je tape : chmod 771 -R bacpro

L'option -R permet d'accorder ces droits aux sous-fichiers et dossiers du répertoire bacpro.

Pour les droits d'accès définis par Samba, se reporter aux commentaires du fichier smb.conf ci apres.

Je rend aussi l'utilisateur bacpro et le groupe bacpro propriétaire du répertoire bacpro
chown bacpro -R bacpro
chgrp bacpro -R bacpro

Là aussi l'option -R permet d'accorder ces droits aux sous fichiers et dossiers du répertoire bacpro

Procéder ainsi pour tous les groupes que tu as créé

Pour le répertoire netlogon il suffit d'accorder les droits d'exécution et de rendre le formateur propriétaire de ce répertoire
chow stephane -R netlogon
chmod 771 -R netlogon

Si lors des essais de fonctionnement les clients ne peuvent pas enregistrer ou lire dans leur répertoire, accorde tous les droits en lecture écriture exécution pour tous les répertoires de /home. En te plaçant dans le répertoire /home, tape :

chmod 777 -R *

restreind petit a petit ensuite les droits de façon à ce que les stagiaires puissent lire et écrire dans le répertoire de leur groupe.
Ne laisse pas éternellement ce type de droits d'accès, sinon ton beau serveur sous GNU/Linux serait aussi securisé qu'un win 9x !




Configuration de Samba

La configuration de Samba est a la fois simple et complexe, simple parce que tout se trouve dans le fichier smb.conf qu'il suffit de modifier avec un éditeur de texte (moi je le modifie via telnet avec vi, on peut aussi le faire sur le serveur grâce a l'environnement graphique), complexe car y a des tas de variables que l'on peut modifier Donc fais comme tu veux mais il faut aller modifier ce fichier, il se trouve dans /etc/samba/smb.conf
Voila mon fichier commenté, à vous de l'adapter avec vos variables

------------------début-----------------------

# Global parameters
# nom sous lequel apparaître le serveur dans le voisinage réseau
netbios name = LINSERVEUR
# ce qui apparaîtra dans la rubrique détail du voisinage réseau, %v fait apparaître le n° de version de samba
server string = Samba Server %v
# les mots de passes transitent chiffrés
encrypt passwords = Yes
# lieux de stockage du journal des événements
log file = /var/log/samba/log.%m
# taille max du journal
max log size = 50
# Là je ne sais pas :-(, c'est un paramètre par défaut de samba
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
# nom de l'imprimante partage (s'il y en a une)
printcap name = lpstat
# pas de proxy dns
dns proxy = No
# pilotes d'imprimantes
printing = cups
# oblige les utilisateurs à avoir un compte sur le serveur pour se connecter
security = user
# active la fonction de serveur de temps
time server = yes
# le script de connexions porte le nom du groupe, %g est la variable samba pour le groupe primaire
logon script = %g.bat
# nom du domaine windows que l'on créé
workgroup = workgroup
# autorise la connection des utilisateurs sur le domaine
domain logons = yes
# le serveur est le maître du domaine
domain master = yes
# dans le cas de la présence de plusieurs contrôleurs de domaine, c'est le serveur qui est le favori
preferred master = yes
# franchement là je sais pas mais c'est çà qu'il faut mettre
local master = yes
# permet de gagner l'élection contre les autres machines windows
os level = 255

# on donne l'accès au répertoire netlogon qui contient les scripts de démarrage
[netlogon]
# chemin d'accès du répertoire
path = /home/netlogon
# seuls les utilisateurs spécifiés peuvent utiliser ce répertoire
public = no
# on ne peut pas écrire dans ce répertoire
writable = no
# le répertoire n'apparaît pas dans l'arborescence
browseable = no
# liste des utilisateurs ayant les droits root sur ce répertoire, ici le formateur
admin users = stephane

# répertoire home des groupes
[homes]
# on a le droit d'y écrire
read only = No
# seul le répertoire du groupe auquel on appartient apparaît dans le voisinage réseau
browseable = No

# répertoire par lequel le formateur a accès aux répertoires de tous les groupes
[administration]
# chemin d'accès du répertoire
path = /home
# seuls les utilisateurs spécifiés peuvent utiliser ce répertoire
public = no
# on peut y écrire
writable = yes
# le répertoire n'apparaît pas dans l'arborescence
browseable = no
# utilisateurs autorisés à utiliser ce répertoire, ici le formateur
valid users = stephane
# utilisateurs ayant les droits root su ce répertoire
admin users = stephane

---------------------fin---------------------------------------

Création des utilisateurs samba

C'est très simple, car sans le savoir ils sont déjà créés, ce sont les mêmes que les utilisateurs Linux, il suffit de le dire à Samba :

Par webmin clique sur serveurs, partage windows avec samba, convertir les utilisateurs Unix vers samba, dans la fenêtre qui s'ouvre cliquer sur créer.
On revient ensuite sur serveur, partage windows avec samba, et on clique sur redémarrer le serveur samba.

Si en allant sur partage windows avec samba tu n'y accèdes pas, clique sur module configuration et transforme /etc/smb.conf et /etc/smbpasswd en
/etc/samba/smb.conf et /etc/samba/smbpasswd

Configuration du poste principal

En fait il y a rien a faire, il suffit de se connecter avec le login du formateur (normalement c'est déjà le cas) et faire voisinage réseau, linserveur, et là il y a 2 répertoires : le répertoire personnel du formateur, et le répertoire administration dans lequel se trouvent tous les répertoires des groupes, en fait tout le contenu du répertoire /home, dont le répertoire netlogon ou on va mettre les scripts de démarrage.

Création des scripts de démarrage

Depuis le poste principal, à l'aide du bloc note, on va créer 2 fichier par groupes, un fichier .bat et un fichier .reg. Le fichier .reg , que l'on nommera nom_du_groupe.reg va modifier la base de registres du client de façon à ce que « Mes documents » fasse apparaître le répertoire du groupe. Le fichier .bat que l'on nommera nom_du_groupe.bat va synchroniser l'horloge du client avec celle du serveur et va lancer le fichier nom_du_groupe.reg. Ces deux fichiers seront enregistrés dans le répertoire netlogon. (voisinage réseau, linserveur, administration, netlogon).

Exemple de fichier .bat pour le groupe appelle "aqs" ce fichier sera donc nommé "aqs.bat"
---------début----------
net time \\linserveur /set /yes
regedit /s \\linserveur\netlogon\aqs.reg
---------fin-------------
La variable net time permet de synchroniser l'horloge du client avec celle du serveur (très pratique quand on a des vieux PC dont la pile du CMOS a rendu l'âme depuis
longtemps et qui n'est jamais a l'heure).
regedit permet de mettre à jour la base de registre avec les paramètres contenus dans aqs.reg

Exemple de fichier .reg pour le groupe appelle "aqs" ce fichier sera donc nomme "aqs.reg"

---------début-------------
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]
"Personal"="\\\\LINSERVEUR\\aqs"
---------fin----------------
Cette modification de ma base de registres va permettre de se connecter au répertoire de son groupe directement depuis le répertoire « Mes documents » du bureau du
client.
Important : le fichier reg écrit ci-dessus permet de modifier win98, pour les autres versions win95, Me, NT, 2000, xp, la clef à modifier est sûrement différente.

Pour chaque groupe doit exister le fichier .reg et .bat correspondant.


Configuration des clients

On part du principe que les cartes réseaux sont bien configurées, qu'elles ont une adresse IP (dynamique ou fixe, peu importe, mais de la même classe que le
serveur 192.168.0.xxx).
Depuis le bureau, clique bouton droit sur le voisinage réseau puis Propriétés.
Sélectionne « Client pour les réseau Microsoft » puis propriétés. Coche « Se connecter à un domaine NT » puis donne le même nom de groupe que pour linserveur
workgroup. Valide par ok ; s'il te demande de redémarrer répond non. Dans l'onglet identification, dans la zone groupe met aussi workgroup.
S'il te demande de redémarrer répond non encore une fois. A l'aide du bloc note crée le fichier suivant, nomme le comme tu veux mais donne lui l'extension .reg
----------------debut------------
REGEDIT4

[HKEY_LOCAL_MACHINE\Network\Logon]
"Mustbevalidated"=dword:00000001
-----------------fin----------------
Exécute ce fichier, il modifie la base de registre, et oblige l'utilisateur a se connecter au reseau avec un login valide ; on ne peut desormais plus éviter la fenetre de saisie du mot de passe par « échap » .

Important : le fichier reg écrit ci-dessus permet de modifier win98, pour les autres versions win95, Me, XP famillial, la clef à modifier est sûrement différente.

Maintenant tu peux redémarrer.



Le test final

Ben voilà on y est, on va voir si tout ce bazar fonctionne !
On allume un client, et après un délai indéterminé et aléatoire la fenêtre de saisie du mot de passe se presente. Essayons de cliquer sur annuler, normalement on a un message d'erreur ; pour une fois c'est normal. Essayons de se connecter avec un utilisateur bidon, là aussi on a un message d'erreur. Essayons avec un utilisateur valide, par exemple aqs, là ça doit marcher, on voit défiler les fenêtres dans lesquelles s'executent le script de demarrage, et puisque c'est la premiere fois que l'on se connecte, on dois confirmer le mot de passe. Pour vérifier l'execution du script de connexion, on clique avec le bouton droit sur « Mes documents » puis propriétés,
dans le chemin d'accès, on doit trouver : //linserveur/aqs. Si tu as ça c'est gagné. Refais cette verification avec les autres groupes simple.

On va tester un groupe complexe, connecte-toi avec le login d'un membre d'un groupe complexe, Paul par exemple. En vérifiant le chemin d'accès du repertoire « Mes documents » on doit trouver //linserveur/bacpro (paul est membre du bacpro)

Aller plus loin

• SSH pour Windows (19 clics)
• Dépêche précédente sur le sujet (15 clics)