5.1 Configurando um servidor Linux para o acesso aos arquivos do ZENworks

Ao utilizar um servidor Linux como “back end” para o armazenamento e o acesso aos arquivos do ZENworks, você precisa configurá-lo (antes de instalar o Servidor do ZENworks Desktop Management ou após a conclusão da instalação) para que o ZENworks possa acessar, posteriormente, os arquivos armazenados nesse local.

NOTA:A configuração do servidor Linux para o acesso aos arquivos é opcional; você pode configurar os servidores NetWare® ou Windows para fornecer acesso aos arquivos enquanto ainda estiver utilizando o servidor back end do Linux.

Esta seção inclui informações sobre como configurar os servidores SUSE® Linux Enterprise Server (SLES) para acesso aos arquivos do ZENworks em vez de configurar os servidores Novell Open Enterprise Server (OES) para essa finalidade. O OES Linux já inclui o Novell eDirectory™ e fornece acesso ao seu sistema de arquivos pelo NSS (Novell Storage Services). Portanto, os arquivos de política ou de aplicativos armazenados no servidor OES Linux podem utilizar simplesmente o caminho estilo UNC (isto é, \\nome_servidor_OES/sys/public/....), tornando desnecessária a configuração para o acesso aos arquivos do ZENworks.

A configuração de um servidor SLES para ativar o acesso aos arquivos requer a configuração do software do servidor Samba para obter as informações de autenticação do domínio do Active Directory* ou da árvore do eDirectory e, em seguida, a criação de um ou mais compartilhamentos Samba no servidor. Isso permite que o compartilhamento seja gerenciado pelo diretório.

O objetivo desta seção é apresentar um método básico que mostre como realizar a autenticação necessária. Há várias maneiras de configurar o Samba. Para obter mais informações, consulte a Coleção de Documentação do Samba.

As informações a seguir estão incluídas nesta seção:

5.1.1 Configurando um servidor Linux em um ambiente do Active Directory

Se você pretende usar o Active Directory no servidor SLES 9 ou SLES 10 no qual deseja instalar o Servidor do ZENworks Management, será necessário habilitar o acesso CIFS baseado em diretório, aos aplicativos e a outros arquivos que deseja armazenar nesse servidor para serem usados pelo ZENworks.

IMPORTANTE:Embora não seja recomendado, os usuários podem acessar um servidor OES/compartilhamento Samba de uma estação de trabalho Windows em que o Novell Client™ está instalado, mas será necessário configurar o Samba para fornecer um nome netBIOS que seja diferente do nome do servidor OES.

Esta seção inclui as seguintes informações:

Configurando o Samba para usar Kerberos

Siga as etapas abaixo a fim de configurar o servidor SLES 9 para usar Kerberos* para autenticação:

  1. Edite o arquivo de configuração de Kerberos (heimdal-lib versão 0.6 ou posterior) para indicar o nome do domínio do Active Directory que deseja usar.

    1. Utilizando um editor de texto, abra /etc/krb5.conf no servidor Linux.

    2. Localize as seguintes linhas no arquivo:

      [libdefaults]
     default_realm = SEU.DOMNIO.KERBEROS


      [realms]
     SEU.DOMNIO.KERBEROS = {
     kdc = your.kerberos.server
     }

    3. Revise essas linhas como se segue:

      [libdefaults]
     default_realm = NOME_DOMNIO


      [realms]
     NOME_DOMNIO = {
     kdc = nome_wins
     admin_server = nome_wins
     kpasswd_server = nome_wins
     }

      O valor NOME_DOMíNIO mostrado no exemplo é o nome completo do domínio do Active Directory no qual você deseja ingressar (por exemplo, RESEARCH.MYLOCATION.MYCOMPANY.COM). Insira esse nome utilizando caracteres maiúsculos.

      O valor nome_wins mostrado na linha kdc revisada e nas linhas admin_server e kpasswd_server adicionadas recentemente é o controlador de domínio primário ou qualquer controlador no domínio (por exemplo, DC1).

  2. Edite o arquivo de configuração do servidor Samba para indicar que o Kerberos será usado para autenticar usuários para o domínio do Active Directory.

    1. Utilizando um editor de texto, abra /etc/samba/smb.conf no servidor Linux.

    2. Localize a seguinte linha na seção Global do arquivo:

      security = user

    3. Revise essa linha e adicione mais linhas como se segue:

      security = ADS
realm = SEU.DOMNIO.KERBEROS
encrypt passwords = yes
netbios name = nome_divulgado

      O valor YOUR.KERBEROS.REALM mostrado no exemplo é o nome do domínio especificado no arquivo krb5.conf (consulte a Etapa 1.c).

      O valor nome_divulgado mostrado na linha netbios name é o nome divulgado da rede do servidor Samba, bem como seu nome no Active Directory (por exemplo, myserver_smb).

  3. Coloque o nome do servidor em um container do Active Directory:

    1. Na linha de comando do servidor Linux, digite o seguinte comando:

      kinit administrator@SEU.DOMNIO.KERBEROS

      O valor YOUR.KERBEROS.REALM mostrado nesse exemplo é o nome do domínio especificado no arquivo krb5.conf.

    2. Na linha de comando do servidor Linux, digite o seguinte comando:

      net ads join

Configurando um compartilhamento Samba

É necessário criar um compartilhamento Samba para que as estações de trabalho Windows acessem os arquivos no servidor SLES 9 ou SLES 10.

  1. Utilizando um editor de texto, abra /etc/samba/smb.conf no servidor Linux e adicione as seguintes linhas ao arquivo:

    [nome compartilhado]
path = diretrio_local
guest ok = no
read only = no

    O valor sharename mostrado na primeira linha é o nome divulgado da rede do compartilhamento Samba (por exemplo, zenfiles).

    O valor local_directory mostrado na segunda linha é o diretório local no servidor em que o compartilhamento deve estar localizado.

  2. Mapeie todos os usuários que acessarão o compartilhamento para uma única conta do Linux.

    1. Na linha de comando do servidor Linux, digite o seguinte comando:

      /usr/sbin/useradd nome_conta_nova

      O parâmetro new_account_name é a conta do Linux que você está criando (por exemplo, smbuser).

    2. Localize o arquivo /etc/samba/smbusers no servidor Linux.

    3. Adicione a seguinte linha ao arquivo:

      nome_conta_nova = *

      O valor new_account_name nessa linha é o nome da conta criada na Etapa 2.a.

  3. Na linha de comando do servidor Linux, digite os seguintes comandos para alterar a propriedade do caminho para o compartilhamento:

    mkdir -p nome_diretrio

    chown -R nome_conta_Linux nome_diretrio

    chmod 755 nome_diretrio

    O valor directory_name é o caminho até o diretório local especificado na Etapa 1.

    O valor Linux_account_name é o “nome da nova conta” atribuído na Etapa 2.a.

  4. Na linha de comando do servidor Linux, digite o seguinte comando para reiniciar o servidor Samba para que o arquivo de configuração seja executado com seus novos parâmetros:

    /etc/init.d/smb restart

5.1.2 Configurando um servidor Linux em um ambiente do eDirectory

Se você pretende usar o eDirectory no servidor SLES 9 ou SLES 10 no qual deseja instalar o Servidor do ZENworks Management, é necessário ativar o acesso CIFS baseado em diretório, aos aplicativos e a outros arquivos que deseja armazenar nesse servidor para serem usados pelo ZENworks.

Esta seção inclui as informações necessárias para configurar o servidor SLES 9 ou SLES 10 para ser usado com o ZENworks Desktop Management em um ambiente do eDirectory:

Configurando o Linux para autenticar no eDirectory usando LDAP

Esta seção descreve as etapas necessárias para configurar um servidor SLES 9 ou SLES 10 (que atua como o cliente LDAP) e o Novell eDirectory (que atua como o servidor LDAP) para fornecer redirecionamento de autenticação sobre LDAP para o Novell eDirectory. O conteúdo presume que o Novell eDirectory 8.7.3 (ou posterior) já tenha sido instalado no servidor SLES 9 ou SLES 10.

Após a configuração do servidor, qualquer usuário pode efetuar login no servidor SLES 9 ou SLES 10 utilizando as credenciais do eDirectory.

Use os procedimentos a seguir na ordem listada abaixo:

  1. Estender o esquema do eDirectory para autenticação de conta Linux
  2. Estender o esquema do eDirectory para o Samba
  3. Criar um usuário de proxy para vinculações anônimas
  4. Configurar o servidor SLES 9 ou SLES 10 (cliente LDAP)
  5. Configurar contas do eDirectory para autenticação do Linux
Estender o esquema do eDirectory para autenticação de conta Linux

A configuração do servidor SLES 9 ou SLES 10 para autenticação do eDirectory requer a extensão do esquema do eDirectory existente (o esquema em um servidor OES já foi estendido pela instalação do ZENworks).

A extensão do esquema pode ser realizada por meio do utilitário ndsschema ou do utilitário ICE. Os dois utilitários estão localizados no servidor SLES 9 ou SLES 10. A sintaxe da linha de comando para os dois utilitários é fornecida nesta seção.

IMPORTANTE:Antes de usar o utilitário ICE, você deve utilizar o ConsoleOne para marcar as propriedades do objeto Grupo LDAP na árvore do eDirectory a ser utilizada.

Clique o botão direito do mouse no objeto Grupo LDAP, clique em Propriedades, em Geral e, em seguida, anule a seleção de Requerer TLS para Vinculações Simples com Senha.

O esquema para a autenticação de conta do Linux é definido no RFC 2307. A Novell oferece arquivos de importação de esquemas no formato tradicional de esquemas do eDirectory e em LDIF (Lightweight Data Interchange Format) para ser usado para a extensão do esquema do Novell eDirectory.

Siga as etapas abaixo para estender o esquema do eDirectory no seu ambiente:

  1. Efetue login no servidor Linux que está executando o Novell eDirectory como um usuário raiz.

  2. No prompt do bash, digite cd /usr/lib/nds-schema.

  3. Execute um utilitário para estender o esquema.

    • Método ndsschema: No prompt do bash, digite os seguintes comandos para estender o esquema:

      ndssch cn=nome_admin.o=nome_container_admin rfc2307-usergroup.sch

    • Método ICE: No prompt do bash, digite os seguintes comandos para estender o esquema: 

      ice -S LDIF -f rfc2307-usergroup.ldif -D LDAP -s localhost -d cn=nome_admin,o=nome_container_admin -W
Estender o esquema do eDirectory para o Samba

  1. No prompt do bash, digite o seguinte comando:

    cd /usr/share/doc/packages/samba/examples/LDAP

    Esse local é fornecido pelo pacote RPM do samba-doc. Como alternativa, você pode usar o seguinte comando para localizar o arquivo do esquema no pacote RPM do samba-client:

    cd /usr/share/samba/LDAP

  2. Digite o seguinte comando para usar o utilitário ICE para estender o esquema do eDirectory para Samba:

    ice -S LDIF -f samba-nds.schema -D LDAP -s localhost -d cn=nome_admin,o=nome_container_admin -W
Criar um usuário de proxy para vinculações anônimas

Siga as etapas abaixo para configurar um usuário de proxy no eDirectory para vinculações anônimas:

  1. %%No ConsoleOne, crie uma nova conta de usuário e defina a senha como nula. Não clique em Cancelar quando solicitado; clique em OK para que as chaves Pública/Privada sejam geradas.

  2. Clique o botão direito do mouse no novo objeto Usuário, cliente em Propriedades, clique em Restrições de Senha e, em seguida, desmarque Permitir ao Usuário Alterar a Senha.

  3. No objeto Raiz da árvore, clique o botão direito do mouse no objeto, selecione Trustees deste Objeto, conceda ao novo usuário direitos de entrada Pesquisar e, em seguida, os direitos de propriedade Ler e Comparar nos seguintes atributos:

    • CN
    • Descrição
    • O
    • OU
    • Classe de Objeto
    • dc
    • gecos
    • gidNumber
    • homeDirectory
    • loginShell
    • memberUid
    • uidNumber
    • uniqueID

    Certifique-se de que Herdável esteja selecionado para cada um desses atributos, à medida que os configura.

  4. Remova [Todos os Direitos de Atributos] da lista de atributos para esse objeto Usuário.

  5. Clique o botão direito do mouse no objeto Servidor LDAP, clique em Propriedades, clique em Geral e, em seguida, selecione esse novo usuário como um usuário de proxy.

    DICA:Você não pode acessar a guia Geral da versão do ConsoleOne incluída no CD ZENworks 7 Companion 1. Para usar o ZENworks Desktop Management adequadamente, é preciso fazer o download de snap-ins para o ConsoleOne 1.3.6 do ZENworks 7 Desktop Management no site de downloads da Novell.

    Siga as instruções no site de downloads para instalar os snap-ins.

  6. Clique o botão direito do mouse no objeto Grupo LDAP, clique em Propriedades, clique em Geral e, em seguida, selecione Atualizar Servidor NLDAP Agora.

Configurar o servidor SLES 9 ou SLES 10 (cliente LDAP)

  1. Inicie o Centro de Controle do YaST2.

    1. Execute /sbin/yast2

    2. Digite menu.

  2. No menu, selecione Serviços de Rede, selecione Cliente LDAP e Usar LDAP.

    Como uma alternativa às Etapas 1 e 2 acima, você pode simplesmente executar /sbin/yast2 ldap na linha de comando para abrir a janela de configuração do cliente LDAP.

  3. Adicione o servidor LDAP no campo de servidor e a base de pesquisa em que os usuários estão localizados. Por exemplo:

    DN de Base: ou=users, ou=novell

    Endereços de Servidores LDAP: 127.0.0.1

  4. Selecione LDAP TLS/SSL e, em seguida, clique em Concluir para gravar as alterações.

Configurar contas do eDirectory para autenticação do Linux

Siga as etapas abaixo para adicionar uma classe auxiliar posixAccount a uma conta de usuário e definir os campos exigidos:

  1. No ConsoleOne, selecione e clique o botão direito do mouse em uma conta de Usuário.

  2. Selecione Extensões deste Objeto.

  3. Clique em Adicionar Extensão.

  4. Na lista, selecione posixAccount e clique em OK.

  5. Na caixa de diálogo Edição Genérica, clique em OK.

  6. Na caixa de diálogo Novo posixAccount, preencha os campos. A tabela a seguir mostra os nomes dos campos, sua descrição e um exemplo dos dados que serão inseridos.

    Nome do campo

    Descrição

    Exemplo

    Nome

    O nome dessa extensão.

    posixAccount

    homeDirectory

    O diretório home do usuário.

    /home/tjones

    uniqueID

    O ID exclusivo do usuário.

    tjones

    Nome Comum

    O campo gecos do Linux.

    Trevor Jones

    gidNumber

    O GID no Linux.

    515

    uidNumber

    O GID no Linux.

    515

    Outros atributos exigidos e que podem ser adicionados na página Outros do objeto Usuário incluem:

    Nome do campo

    Descrição

    Exemplo

    loginShell

    Define o shell do usuário. O atributo loginShell é exigido pelo SUSE Linux para login X adequado.

    /bin/bash

  7. Clique em OK para gravar as mudanças.

Criando credenciais do Samba para qualquer usuário

As credenciais do Samba para qualquer usuário gerenciado são mantidas separadas das credenciais padrão do Linux. Siga as etapas abaixo para adicionar as credenciais do Samba para qualquer conta de usuário.

  1. Efetue login como Raiz no servidor SLES 9 ou SLES 10 e digite o seguinte comando no prompt do bash:

    smbpasswd -a nome_do_usurio

    Essa configuração solicita aos usuários que estão efetuando login no servidor a senha do Samba para o servidor. Nessa sintaxe, username é o nome do usuário do eDirectory. Os usuários devem estar no contexto especificado como o DN de base, durante a configuração para um cliente LDAP. Para obter mais informações, consulte Configurar o servidor SLES 9 ou SLES 10 (cliente LDAP).

    NOTA:Esse é um método básico para a criação de conta do Samba. Há muitos utilitários e métodos que podem ser usados para manter as senhas do Linux e do Samba com um comando. Para obter mais informações, consulte a Coleção de Documentação do Samba.

Configurando um compartilhamento Samba

É necessário criar um compartilhamento Samba para que as estações de trabalho Windows acessem os arquivos no servidor SLES 9 ou SLES 10.

  1. Utilizando um editor de texto, abra /etc/samba/smb.conf no servidor Linux e adicione as seguintes linhas ao arquivo:

    [nome compartilhado]
path = diretrio_local
guest ok = no
read only = no

    O valor sharename mostrado na primeira linha é o nome divulgado da rede do compartilhamento Samba (por exemplo, zenfiles).

    O valor local_directory mostrado na segunda linha é o diretório local no servidor em que o compartilhamento deve estar localizado.

  2. Na linha de comando do servidor Linux, digite os seguintes comandos para alterar a propriedade do caminho para o compartilhamento:

    mkdir -p nome_diretrio

    chown -R nome_usurio_admin

    chmod 755 nome_diretrio

    O valor admin_user_name é o nome de usuário que você utiliza ao criar políticas e aplicativos no ZENworks. Esse nome de usuário é utilizado para acessar o compartilhamento Samba.

    O valor directory_name representa o caminho até o diretório local especificado na Etapa 1.

  3. Na linha de comando do servidor Linux, digite o seguinte comando para reiniciar o servidor Samba para que o arquivo de configuração seja executado com seus novos parâmetros:

    /etc/init.d/smb restart

Acessar arquivos do ZENworks associados à estação de trabalho em um servidor SLES 9 (Opção A)

Se você precisar acessar a política associada à estação de trabalho e os arquivos do aplicativo em um servidor SLES 9 utilizando o método do eDirectory, o compartilhamento Samba deverá ser marcado para permitir o acesso Guest. Siga as etapas abaixo para marcar o compartilhamento Samba:

  1. Utilizando um editor de texto, abra /etc/samba/smb.conf no servidor.

  2. Localize a seguinte linha na seção [sharename] do arquivo:

    guest ok = no

    O valor sharename é o nome divulgado da rede do compartilhamento Samba (por exemplo, zenfiles).

  3. Modifique a linha como se segue:

    guest ok = yes

Acessar arquivos do ZENworks associados à estação de trabalho em um servidor SLES 9 ou SLES 10 (Opção B)

Se você estiver usando um Servidor de Camada Intermediária Windows para acessar os arquivos de política e de aplicativo associados à estação de trabalho em um servidor SLES 9 ou SLES 10 utilizando o método do eDirectory, o compartilhamento Samba não terá que ser marcado como “World-read” (Permissão de Leitura para Todos) (consulte a Etapa 3 acima) para permitir acesso Guest. Siga as etapas abaixo para permitir acesso aos arquivos:

  1. Verifique se o Servidor de Camada Intermediária Windows (credenciais de compartilhamento) está ativo quando você cria a Camada intermediária durante a instalação. Ele também pode ser configurado na Camada Intermediária usando o utilitário NSAdmin (credenciais LMAUTH).

  2. Verifique se o Servidor de Camada Intermediária tem as mesmas credenciais localmente.

Mesmo que você tenha um firewall, a Camada Intermediária pode acessar os arquivos do ZENworks em nome da estação de trabalho.

Definir usuários restritos

É possível modificar o arquivo smb.conf para que você defina o usuário que terá os direitos de modificação de arquivo restringidos. Siga as etapas abaixo para definir os usuários restritos.

  1. Utilizando um editor de texto, abra /etc/samba/smb.conf no servidor.

  2. Localize a seguinte linha na seção [sharename] do arquivo:

    read only = no

    O valor sharename é o nome divulgado da rede do compartilhamento Samba (por exemplo, zenfiles).

  3. Modifique a linha como se segue:

    read only = yes

  4. No prompt do bash, digite o seguinte comando:

    write list = admin_user_name

NOTA:O valor admin_user_name é o nome do usuário (ou uma lista de nomes de usuários separados por vírgula) que tem apenas direitos de leitura nos arquivos no compartilhamento Samba.