Home

linuxmuster-client-adsso

---

Scripts and configuration for ubuntu clients to connect to the linuxmuster.net 7 active directory server.

Konfigurationsskripte zur Anbindung von Ubuntu-Clients an den linuxmuster.net 7 Server.

Features:

• Domänenanmeldung mit Single-Sign-On mit transparenter Proxy-Authentifizierung.
• Automatisches Einbinden des Server-Homeverzeichnisses.
• Verlinkung der Tauschverzeichnisse im Home.
• Link zu den Schülerhomes im Home der Lehrkräfte.
• Passwort-Caching/Offline-Anmeldung.
• Swapfile-Handling beim Bootvorgang, falls es durch Ĺinbo-Sync entfernt wurde.

Läuft mit:

• Ubuntu 18.04
  • Dateimanager Nautilus kommt mit serverseitigen Links nicht klar, wenn das Serverhome verwendet wird (s.u.: force_localhome = no in /etc/linuxmuster-client-adsso.conf)
  • Abhilfe: Stattdessen Nemo als Dateimanager verwenden.
• Kubuntu 18.04
  • Windowmanager sddm inkompatibel (nur bei Serverhome), Workaround:
  • lightdm als Alternative installieren:
    • # apt install lightdm slick-greeter --no-install-recommends
    • in /etc/lightdm/lightdm.d/50-linuxmuster.conf user-session Zeile aktivieren
• Xubuntu 18.04
• Ubuntu Mate Edition 18.04
• Lubuntu 18.10
  • Windowmanager sddm muss wie bei Kubuntu durch lightdm ersetzt werden (nur bei Serverhome).
• elementary OS 5 Juno

Generell sollten alle Ubuntu-Derivate der Versionen 18.04/18.10 unterstützt werden (Ausnahme: Linuxmint).

Technische Infos (s. https://help.ubuntu.com/lts/serverguide/sssd-ad.html):

• Setup richtet alle Dienste ein, die für Single-Sign-On benötigt werden:
  • samba: /etc/samba/smb.conf
  • sssd: /etc/sssd/sssd.conf
  • krb5.user: /etc/krb5.conf
  • keyutils: /etc/request-key.d/cifs.spnego.conf
  • pam_mount: /etc/security/pam_mount.conf.xml
  • chrony: /etc/chrony/chrony.conf
• Domänenanmeldung über Kerberosticket:
  • # kinit global-admin
  • # net ads join --no-dns-updates
• Serverhome des Users und Samba-Sysvol-Verzeichnis werden bei Domänenanmeldung per pam_mount eingebunden:
  • /var/lib/samba/sysvol
  • /srv/samba/schools/default-school
• Serverzertifikat wird nach /var/lib/samba/private/tls kopiert und von Samba eingebunden.
• Ein Onboot-Systemd-Event, der u.a. die Proxy-Umgebungsvariable setzt (s.u.), ist in /etc/systemd/system/linuxmuster-client-adsso.service definiert.

Installation (mit Netzwerkverbindung zum lmn7-Server):

• linuxmuster.net-Repo einbinden:
  • # wget https://archive.linuxmuster.net/archive.linuxmuster.net.key -O - | apt-key add -
  • # echo 'deb https://archive.linuxmuster.net/ bionic/' > /etc/apt/sources.list.d/lmn.list
  • # apt update
• Paket installieren:
  • # apt install linuxmuster-client-adsso
  • Frage nach "Voreingestellter Realm für Kerberos Version 5" einfach mit [ENTER] beantworten.
• Setup mit Befehl:
  • # linuxmuster-client-adsso-setup
  • Für die Domänenanmeldung muss im Verlauf des Skripts das Passwort des global-admin eingegeben werden.
  • Anschließend den Client neu starten.
• Installation kann per Linbo-Image auf andere Clients ausgerollt werden.

Praxis:

• Der Onboot-Systemd-Service ruft das Skript /usr/share/linuxmuster-client-adsso/bin/onboot.sh auf, das etwaige weitere Skripte einliest, die unter /var/lib/linuxmuster-client-adsso/onboot.d abgelegt sind (z.B. Linbo-Postsync-Skripte).
• Besteht beim Bootvorgang Verbindung zum lmn7-Server, wird über /etc/profile.d/linuxmuster-proxy.sh die entsprechende Umgebungsvariable für den Proxy gesetzt. Umgekehrt wird bei Offline-Boot bzw. ohne Verbindung zum Server kein Proxy gesetzt.
• Falls bei Serververbindung ein abweichender oder kein Proxy benutzt werden soll, kann das in /etc/linuxmuster-client-adsso.conf über die Variable proxy_url angepasst werden.
• Nach der Anmeldung an der Domäne findet der User die gesamte Schulfreigabe samt Home unter /srv/samba/schools/default-school eingehängt.
• Die Sysvol-Freigabe des Servers ist unter /var/lib/samba/sysvol eingehängt.
• Beim Anmeldevorgang wird das Skript /usr/share/linuxmuster-client-adsso/bin/login.sh aufgerufen, das wiederum die Skripte unter /var/lib/linuxmuster-client-adsso/login.d einliest.
• Eigene Skripte können dort zusätzlich oder anstatt der vom Paket installierten abgelegt werden.
• Ist auf dem Server ein Skript unter /var/lib/samba/sysvol/scripts/linux/login.script abgelegt, wird das nach den lokalen Loginskripten eingelesen.
• Bei der ersten Domänenanmeldung eines Users wird dessen Passworthash lokal gespeichert, sodass er sich danach auch offline bzw. ohne Verbindung zum lmn7-Server lokal anmelden kann. In dem Fall befindet sich sein Homeverzeichnis unter /home/<username>.
• Anpassungsmöglichkeiten in der Konfigurationsdatei /etc/linuxmuster-client-adsso.conf:
  • Abschnitt [client]
    • share_folder : Relativer Pfad zu dem Verzeichnis, in dem die Links zu den Tauschverzeichnissen angelegt werden.
    • school_share : Name des Links zum Schultauschverzeichnis.
    • teachers_share : Name des Links zum Lehrkräftetauschverzeichnis.
    • student_homes : Name des Links zu den Schüler*innenhomes.
    • force_localhome = yes|no : Default "yes", "no" verwendet das Serverhome (s.o. unter /srv/samba/schools/default-school), wenn Verbindung zum Server besteht.
  • Abschnitt [proxy]
    • proxy_url : Leer lassen, wenn kein Proxy verwendet werden soll.
    • proxy_profile : Pfad zum Skript, das die Proxy-Environment-Variablen setzt.
    • proxy_template : Pfad zur Vorlage, aus der das Proxy-Profil-Skript erstellt wird.
  • Abschnitt [swap]
    • swapfile : Pfad zur Swapdatei (ggf. anpassen, muss in /etc/fstab eingetragen sein)
    • swapsize : Größe der Swapdatei in GB.

Download:

• Linbo-Testimage mit Ubuntu 18.04.1 Version 20181121 (4.4GB Betriebssystem), 1.8GB, MD5: c32dcc92d25f6edfe2445af04f500450
• Inbetriebnahme:
  • Auspacken ins Linbo-Verzeichnis:
    # tar xf ubuntu18041_20181121.cloop.tar.gz -C /srv/linbo
  • Eintragen in die start.conf-Datei der entsprechenden Gruppe.
  • Linbo-Bittorrent-Dienst neu starten:
    # systemctl restart linbo-bittorrent.service
  • Nach dem Sync als root ausführen:
    # linuxmuster-distupgrade
# linuxmuster-client-adsso-setup
  • Reboot.
  • Angelegter User heißt linuxmuster, Passwort Muster!.
  • Root-Passwort Muster!