Inhaltsverzeichnis

Mit Windows 10 einer SAMBA-Domain beitreten

Windows 10 einer SAMBA-Domaine hinzufügen, ist gar nicht so einfach … Obwohl Microsoft seit einiger Zeit auch an SAMBA mitarbeitet, scheinen sie es mit der Kompatibilität nicht so genau zu nehmen. Damit ist für den reibungslosen Betrieb eine Reihe von Anpassungen am Windows sowie am SAMBA nötig.

Diese Anleitung datiert auf 2016-05-10 und den zu der Zeit aktuellen Versionen, z.B.: Samba.4.2.4

win10 installieren

win10 patchen

Der Domaine beitreten

Funktioniert auf unterschiedlichen Wegen. Einmal unter EINSTELLUNGEN/SYSTEM/INFO/DOMAINE_BEITRETEN sowie klassisch unter SYSTEMSTEUERUNG/SYSTEM/ERWEITERTE_SYSTEMEINSTALLUNGEN (Auswählen und Admin erlauben). Wir empfehlen die Klassische Methode.

  1. Klassisch (Systemeigenschaften-Dialog/Computername/Ändern)
    • Mitglied von Domäne: Domainnamen eingeben / OK
    • ROOT (Administrator) und Password eingeben
    • Rechner Neustarten
  2. NEU
    • Domainnamen eingeben
    • ROOT (Administrator) und Password eingeben
    • (!) Das anschliessende „Konto hinzufügen“ ÜBERSPRINGEN.
    • Rechner Neustarten

Erste Domainen Anmeldung

Nach dem Neustart erscheint hinter dem Sperrbildschirm neben USER die Auswahl ANDERER_BENUTZER. Durch Auswahl kann dann der Benutzername und das Passwort eingegeben werden. An welcher Domaine die Anmeldung erfolgt ist darunter zu sehen. Die erste Anmeldung dauert etwas und ist u.U. mit einer überflüssigen Text-Show - welche sich nicht abbrechen lässt - überdeckt. Auch kann die Anmeldung länger dauern wenn es sich um ein vorhandenes Profil handelt, welches erst vom Server geladen werden muss.

Je nach Paranoia darf man dann die ständig wiederkehrende Cortana erneut abschalten.

Explorer öffnen und Netzwerk auswählen, dann oben unterhalb der Adressleiste auf NETZWERKERKENNUNG/DATEIFREIGABE klicken und NETZWE…GABE_AKTIVIEREN auswählen. Ggf. mit einem Administrationskonto bestätigen.

TIPP: Anstatt der Domain kann ein simpler Punkt die lokalen Konten adressieren, z.B.: 

.\<lokaler_administrator_konto_name>

Die Auswahl DAS NETZWERK … ZU EINEM PRIVATEN MACHEN ist zu bevorzugen. Anschließend solle der eigene Rechner sowie der Server zu sehen sein.

Ein Neustart zum speichern aller Einstellungen und anschließendem Überprüfen schließt den ganzen Vorgang ab.

Unter EXPLORER/DIESER_PC sollten ebenfalls die vom Server Logon-Script gesetzten Netzlaufwerke erscheinen.

Aus der Domaine entfernen

Hierfür gibt es nur den klassischen Weg unter SYSTEMSTEUERUNG/SYSTEM/ERWEITERTE_SYSTEMEINSTALLUNGEN (Auswählen und Admin erlauben).

Stolperstellen

Profilfehler / Fehler beim Handling des Roaming-Profils

U.U. reicht das nicht dann kann man versuchen:

Anmeldung des Gruppenrichtlienienservices (GPSVC) fehlgeschlagen

Wenn nach der Anmeldung diese Meldung erscheint, hat das unglaublich viele mögliche Ursachen. Einige Möglichkeiten zur Fehlerbehebung werden im folgenden beschrieben:

Netzwerk nicht vollständig initialisiert

Es kann vorkommen das Windows den Start/Sperrbildschirm zeigt aber selber noch nicht vollständig geladen ist. Dies führt manchmal dazu das auch die Netzwerkverbindung noch nicht bereit ist, zu erkennen ist dies am Netzwerksymbol. Abhilfe schafft etwas warten, oder es handelt sich um einen richtigen Fehler der entsprechend behoben werden muss.

Kann nicht Anmelden

Bei Problemen mit der Anmeldung (Dubiose Fehlermeldungen) kann es helfen vor dem Bestätigen des Passwortes kurz das Netzwerkkabel abzuziehen und es danach gleich wieder aufzustecken. Dies umgeht die Domainanmeldesequenz und man kommt zumindest an das lokale Domain-Profil um weiter nach dem Fehler zu forschen.

Wenn das auch nicht funktioniert, kann man den Rechner auch mit einem Lokalen Konto anmelden um ggf. Einstellungen zu ändern.

Benötigte Dateien und Anpassungen

Zum herabladen der jeweiligen Datei einfach auf den Dateinamenlink klicken.

(!) Die Windowsdateien müssen auch im Windowsformat vorliegen, daher am besten mit Copy&Paste in einen dortigen Editor einfügen und abspeichern.

Für Windows 10 + 7:

Müssen zusätzlich einige weitere Parameter gesetzt/geändert werden, speziell die letzten ermöglichen erst den Zugriff auf das benötigte Netlogon und Sysvol.

win10_add_samba_domain_set.reg
Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"DisableDHCPMediaSense"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
"EnableSecuritySignature"=dword:00000001
"RequireSecuritySignature"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"AllowInsecureGuestAuth"=dword:00000001
"DomainCompatibilityMode"=dword:00000001
"DNSNameResolutionRequired"=dword:00000000
"EnableSecuritySignature"=dword:00000001
"RequireSecuritySignature"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths]
"\\\\*\\netlogon"="RequireMutualAuthentication=0,RequireIntegrity=0,RequirePrivacy=0"
"\\\\*\\sysvol"="RequireMutualAuthentication=0,RequireIntegrity=0,RequirePrivacy=0"

Logonscript Vorlage

\\SERVER\netlogon\login.cmd
@echo off
if %LOGONSERVER%0 == 0 set LOGONSERVER=\\<PDC_NAME|domain_server_name>
if %USERDOMAIN%0 == 0 set USERDOMAIN=<DOMAIN_NAME>
:::::::::::::::::::::::::::::::::::
title Login-Script
:::::::::::::::::::::::::::::::::::
C:
cd \
cls
title System-Login-Script
echo System-Login-Script
echo -------------------
echo "%LOGONSERVER%\%USERNAME% \%USERDOMAIN%"
:: set time from server, a MUST for Domains!
net time "%LOGONSERVER%" /set /yes 
:::::::::::::::::::::::::::::::::::
title Laufwerke trennen
echo Laufwerke trennen
echo -------------------
net use * /Delete /Yes
echo .
:::::::::::::::::::::::::::::::::::
title Laufwerke verbinden
echo Laufwerke verbinden
echo -------------------
echo Verbinde Laufwerk "H:"
::net use H: "%LOGONSERVER%\USERS$\%USERNAME%" /PERSISTENT:NO
net use H: "%LOGONSERVER%\%USERNAME%" /PERSISTENT:NO
echo .
:::::::::::::::::::::::::::::::::::
echo some other adds ...
:::::::::::::::::::::::::::::::::::
::pause
timeout /T 5
:: END

Samba Konfigurations Vorlage

/etc/samba/smb.conf
# smb.conf is the main Samba configuration file.
# Date: 2016-05-13
[global]
	workgroup = DOMAIN_NAME
	# ja das NT1 wird gebraucht um das Profilproblem abzuschalten
	server max protocol = NT1
	# optional only if need
	#encrypt passwords = true
	passdb backend = tdbsam
	printing = cups
	printcap name = cups
	printcap cache time = 750
	cups options = raw
	map to guest = Bad User
	#include = /etc/samba/dhcp.conf
	# for older win like win98/NT
	logon path = \\%L\profiles\.msprofile
	logon home = \\%L\%U\.9xprofile
	# /for older win like win98/NT
	logon drive = h:
	logon script = login.cmd
	usershare allow guests = No
	add machine script = /usr/sbin/useradd  -c Machine -d /var/lib/nobody -s /bin/false %m$
	domain logons = Yes
	domain master = Yes
	local master = Yes
	os level = 255
	preferred master = Yes
	admin users = root @ntadmin
	security = user
	# your server IP
	wins server = 192.168.x.y
	wins support = Yes
	# This server names MUST be UPPERCASE for compability
	netbios name = DER-SERVERNAME
	server string = DER-SERVERNAME (%h)
	time server = Yes
	# your server-interface IP/MASK
	interfaces = 192.168.x.y/255.255.255.0
	bind interfaces only = yes
	# only log to file not to syslog too
	syslog = 0
	# log level, increase only for testing. 1 = minimal ... 5 = fulllog
	log level = 1
	#log level = 2
	#log level = 4
	#log level = 5
	## TRASHCAN ########
	# vfs modul 'Papierkorb' einbinden
	vfs objects = recycle
	# Verzeichnis fuer PK
	#recycle: repository = __trashcan__
	# Verzeichnis fuer PK (by groupshares set to user trash)
	recycle: repository = __trashcan__%u
	# Verzeichnisstruktur im PK mitsichern
	recycle: keeptree = Yes
	# PK Dateien last access time setzen (for cleanup)
	recycle: touch = Yes
	# PK Dateien versionieren
	recycle:versions = No
	#recycle:versions = Yes # 20080318# hmm, no dir del while off ???
	# sofort zu loeschende Dateitypen
	recycle: exclude = *.tmp, *.temp, *.log
	# sofort zu loeschende Verzeichnisse
	## recycle: exclude_dir = tmp
	# Ausnahmen fuer Versionierung
	## recycle: noversions = *.doc, *.xls, *.mdb, *.pdf 
	# PK Maxsize  ??????????ß
	#recycle: maxsize = 0 ???????????
	## /TRASHCAN ########

[homes]
	comment = Home Directories
	valid users = %S, %D%w%S
	browseable = No
	read only = No
	inherit acls = Yes
	create mask = 0770
	force create mode = 0770
	force directory mode = 0770
	#create mask = 0666
	#force create mode = 0664
	#force directory mode = 0775
	#valid users = @users @ntadmin
	#write list = @users @ntadmin

[profiles]
	comment = Network Profiles Service
	path = %H
	read only = No
	store dos attributes = Yes
	create mask = 0600
	directory mask = 0700
	valid users = @users @ntadmin
	browseable = No
	profile acls = Yes
 
#[users]
#	comment = All users
#	path = /home
#	read only = No
#	inherit acls = Yes
#	veto files = /aquota.user/groups/shares/

#[groups]
#	comment = All groups
#	path = /home/groups
#	read only = No
#	inherit acls = Yes

[printers]
	comment = All Printers
	path = /var/tmp
	printable = Yes
	create mask = 0600
	browseable = No
 
[print$]
	comment = Printer Drivers
	path = /var/lib/samba/drivers
	write list = @ntadmin root
	force group = ntadmin
	create mask = 0664
	directory mask = 0775
 
[netlogon]
	comment = Network Logon Service
	path = /var/lib/samba/netlogon
	write list = root @ntadmin
	valid users = @users @ntadmin
	browseable = No
 
# bis hierher sind alle Einträge verpflichtend und müssen vorhanden sein.

###################################

# ab hier die eigentlichen:

### NET DRIVES ##########

#[prog$]
#	comment = Programme
#	path = /dir....programs
#	valid users = @users @ntadmin
#	write list = @ntadmin
#	read only = yes
#	browseable = yes

#[swap]
#	comment = Algemeines Austauschverzeichnis
#	path = /dir....swap
#	valid users = @users @ntadmin
#	read only = no
#	create mask = 0666
#	force create mode = 0666
#	force directory mode = 0777

#[doc]
#	comment = Anleitungen
#	path = /dir....doc
#	valid users = @users @ntadmin

[system]
	comment = Noch ein Beispiel als Rootfreigabe
	path = /
	valid users = @ntadmin
	write list = @ntadmin
	read only = no
	browseable = yes
	create mask = 0770
	force create mode = 0770
	force directory mode = 0770

Befehlsbeispiele

Sammlung nützlicher Befehle zur Fehlersuche und Einrichten.

Die folgenden Domaingruppen müssen existieren, anzulegen mit: 

net groupmap add ntgroup="Domain Admins" unixgroup=ntadmin rid=512 type=d
net groupmap add ntgroup="Domain Users" unixgroup=users rid=513 type=d
net groupmap add ntgroup="Domain Guests" unixgroup=nobody rid=514 type=d

Achtung! Die Unixgruppen müssen natürlich auch existieren: 

cat /etc/group

In der Unixgruppe ntadmin werden die Domain-Administratoren festgelegt z.B.: 

# cat /etc/group
ntadmin:x:1234:root,other_admins

Überprüfen mit: 

net groupmap list

Sie sollten die folgende SID enthalten, ansonsten sind die Gruppen zu löschen und neu anzulegen, bzw. einmal das komplette /var/lib/samba Verzeichnis bereinigen. 

net getlocalsid

Mit diesem Befehl kann man die User (und Maschinen-User) überprüfen: 

pdbedit -Lv |less
pdbedit -L -w
pdbedit -L -g

Zum testen bei Problemen ist es sinnvoll den Log_Level in der smb.conf hoch zu setzten und das Logfile zu beobachten: 

tail -100f /var/log/samba/log.smbd

20191011: WIN10.1903: Domainbeitritt schlägt hartnäckig fehl:

Die folgenden Einstellung haben nichts gebracht und sollten NICHT angewandt werden:

cmd.exe sc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsi sc.exe config mrxsmb20 start= disabled

Aber in der /etc/samba/smb.conf hat dies geholfen: 

[global]
 #- muss evtl. ab WIN10.1903 auskommentiert werden. (!) und testen, ob noch weiter benötigt.
 # server max protocol = NT1

Wurde nach erfolgreichem Beitritt wieder aktiviert, um bestehenden Betrieb nicht zu stören. Test Obsolesenz steht noch aus.

(Mglw. Problem, kein bestehendes Maschinen-Konto/Fehlerhafte Erzeugung desselben ⇒ passwd vs. samba.user.DB)


20200709: WIN10.1904: Domainbeitritt schlägt hartnäckig fehl:

Bei der Domain-Anmeldung gibt es einen Fehler beim anlegen des Maschinenkontos im /etc/passwd (Siehe Log: 

tail -10n /var/log/log.smb

). Obwohl das Kommando zum Anlegen eines Maschinenkontos korrekt ist, wirft es den Returncode: (130 [Hex:83]). In der Folge wird der Vorgang abgebrochen und der Domainbeitritt verweigert. Wenn man das Kommando hingegen als root auf der Server-Konsole ausführt, klappt anschließend auch die Domainanmeldung. (Ggf. nach freischalten Network und SMB1, sowie einspielen der Reg-Erweiterungen für ältere Samba Versionen.)

Das Maschinenkonto im /etc/passwd (ohne Anmeldungsoption) ist erforderlich um die nötigen Credentials im Linux-Filesystem abzubilden. Vermutlich liegt zur Zeit ein Fehler im Kommando adduser vor, welches zu den falschen Rückgabewert führt, oder der Wert wird falsch vom Samba interpretiert.

Der Fehler scheint daher Versionsabhängig und sollte in zukünftigen Versionen behoben sein.

, , ,