← Back to branch summary

~ubuntu-branches/ubuntu/maverick/samba/maverick-security

« back to all changes in this revision

Viewing changes to docs/htmldocs/Samba3-HOWTO/InterdomainTrusts.html

  • Committer: Bazaar Package Importer
  • Author(s): Chuck Short
  • Date: 2010-01-29 06:16:15 UTC
  • mfrom: (0.27.9 upstream) (0.34.4 squeeze)
  • Revision ID: james.westby@ubuntu.com-20100129061615-37hs6xqpsdhjq3ld
Tags: 2:3.4.5~dfsg-1ubuntu1
https://launchpad.net/bugs/462169
https://launchpad.net/bugs/493565
* Merge from debian testing.  Remaining changes:
  + debian/patches/VERSION.patch:
    - set SAMBA_VERSION_SUFFIX to Ubuntu.
  + debian/smb.conf:
    - Add "(Samba, Ubuntu)" to server string.
    - Comment out the default [homes] share, and add a comment about "valid users = %s"
      to show users how to restrict access to \\server\username to only username.
    - Set 'usershare allow guests', so that usershare admins are allowed to create
      public shares in additon to authenticated ones.
    - add map to guest = Bad user, maps bad username to gues access.
  + debian/samba-common.conf:
    - Do not change priority to high if dhclient3 is installed.
    - Use priority medium instead of high for the workgroup question.
  + debian/mksambapasswd.awk:
    - Do not add user with UID less than 1000 to smbpasswd.
  + debian/control: 
    - Make libswbclient0 replace/conflict with hardy's likewise-open.
    - Don't build against ctdb, since its not in main yet.
  + debian/rules:
    - Enable "native" PIE hardening.
    - Add BIND_NOW to maximize benefit of RELRO hardening.
  + Add ufw integration:
    - Created debian/samba.ufw.profile.
    - debian/rules, debian/samba.dirs, debian/samba.files: install
  + Add apoort hook:
    - Created debian/source_samba.py.
    - debian/rules, debian/samba.dirs, debian/samba-common-bin.files: install
  + debian/rules, debian/samba.if-up: allow "NetworkManager" as a recognized address
    family... it's obviously /not/ an address family, but it's what gets
    sent when using NM, so we'll cope for now.  (LP: #462169). Taken from karmic-proposed.
  + debian/control: Recommend keyutils for smbfs (LP: #493565)
  + Dropped patches:
    - debian/patches/security-CVE-2009-3297.patch: No longer needed
    - debian/patches/fix-too-many-open-files.patch: No longer needed

Show diffs side-by-side

added added

removed removed

Lines of Context:
docs/htmldocs/Samba3-HOWTO/InterdomainTrusts.html
1
 
<html><head><meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1"><title>Chapter�19.�Interdomain Trust Relationships</title><link rel="stylesheet" href="../samba.css" type="text/css"><meta name="generator" content="DocBook XSL Stylesheets V1.74.0"><link rel="home" href="index.html" title="The Official Samba 3.4.x HOWTO and Reference Guide"><link rel="up" href="optional.html" title="Part�III.�Advanced Configuration"><link rel="prev" href="securing-samba.html" title="Chapter�18.�Securing Samba"><link rel="next" href="msdfs.html" title="Chapter�20.�Hosting a Microsoft Distributed File System Tree"></head><body bgcolor="white" text="black" link="#0000FF" vlink="#840084" alink="#0000FF"><div class="navheader"><table width="100%" summary="Navigation header"><tr><th colspan="3" align="center">Chapter�19.�Interdomain Trust Relationships</th></tr><tr><td width="20%" align="left"><a accesskey="p" href="securing-samba.html">Prev</a>�</td><th width="60%" align="center">Part�III.�Advanced Configuration</th><td width="20%" align="right">�<a accesskey="n" href="msdfs.html">Next</a></td></tr></table><hr></div><div class="chapter" lang="en"><div class="titlepage"><div><div><h2 class="title"><a name="InterdomainTrusts"></a>Chapter�19.�Interdomain Trust Relationships</h2></div><div><div class="author"><h3 class="author"><span class="firstname">John</span> <span class="othername">H.</span> <span class="orgname">Samba Team</span> <span class="surname">Terpstra</span></h3><div class="affiliation"><span class="orgname">Samba Team<br></span><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:jht@samba.org">jht@samba.org</a>&gt;</code></p></div></div></div></div><div><div class="author"><h3 class="author"><span class="firstname">Rafal</span> <span class="orgname">Samba Team</span> <span class="surname">Szczesniak</span></h3><div class="affiliation"><span class="orgname">Samba Team<br></span><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:mimir@samba.org">mimir@samba.org</a>&gt;</code></p></div></div></div></div><div><div class="author"><h3 class="author"><span class="firstname">Jelmer</span> <span class="othername">R.</span> <span class="orgname">The Samba Team</span> <span class="surname">Vernooij</span></h3><span class="contrib">drawing</span>�<div class="affiliation"><span class="orgname">The Samba Team<br></span><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:jelmer@samba.org">jelmer@samba.org</a>&gt;</code></p></div></div></div></div><div><div class="author"><h3 class="author"><span class="firstname">Stephen</span> <span class="surname">Langasek</span></h3><div class="affiliation"><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:vorlon@netexpress.net">vorlon@netexpress.net</a>&gt;</code></p></div></div></div></div><div><p class="pubdate">April 3, 2003</p></div></div></div><div class="toc"><p><b>Table of Contents</b></p><dl><dt><span class="sect1"><a href="InterdomainTrusts.html#id2619747">Features and Benefits</a></span></dt><dt><span class="sect1"><a href="InterdomainTrusts.html#id2619819">Trust Relationship Background</a></span></dt><dt><span class="sect1"><a href="InterdomainTrusts.html#id2620105">Native MS Windows NT4 Trusts Configuration</a></span></dt><dd><dl><dt><span class="sect2"><a href="InterdomainTrusts.html#id2620141">Creating an NT4 Domain Trust</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2620238">Completing an NT4 Domain Trust</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2620323">Interdomain Trust Facilities</a></span></dt></dl></dd><dt><span class="sect1"><a href="InterdomainTrusts.html#id2620532">Configuring Samba NT-Style Domain Trusts</a></span></dt><dd><dl><dt><span class="sect2"><a href="InterdomainTrusts.html#samba-trusted-domain">Samba as the Trusted Domain</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2620873">Samba as the Trusting Domain</a></span></dt></dl></dd><dt><span class="sect1"><a href="InterdomainTrusts.html#id2621070">NT4-Style Domain Trusts with Windows 2000</a></span></dt><dt><span class="sect1"><a href="InterdomainTrusts.html#id2621219">Common Errors</a></span></dt><dd><dl><dt><span class="sect2"><a href="InterdomainTrusts.html#id2621232">Browsing of Trusted Domain Fails</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2621278">Problems with LDAP ldapsam and Older Versions of smbldap-tools</a></span></dt></dl></dd></dl></div><p>
2
 
<a class="indexterm" name="id2619527"></a>
3
 
<a class="indexterm" name="id2619534"></a>
4
 
<a class="indexterm" name="id2619541"></a>
5
 
<a class="indexterm" name="id2619548"></a>
6
 
<a class="indexterm" name="id2619555"></a>
7
 
<a class="indexterm" name="id2619562"></a>
8
 
<a class="indexterm" name="id2619569"></a>
9
 
<a class="indexterm" name="id2619576"></a>
10
 
<a class="indexterm" name="id2619582"></a>
 
1
<html><head><meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1"><title>Chapter�19.�Interdomain Trust Relationships</title><link rel="stylesheet" href="../samba.css" type="text/css"><meta name="generator" content="DocBook XSL Stylesheets V1.75.2"><link rel="home" href="index.html" title="The Official Samba 3.4.x HOWTO and Reference Guide"><link rel="up" href="optional.html" title="Part�III.�Advanced Configuration"><link rel="prev" href="securing-samba.html" title="Chapter�18.�Securing Samba"><link rel="next" href="msdfs.html" title="Chapter�20.�Hosting a Microsoft Distributed File System Tree"></head><body bgcolor="white" text="black" link="#0000FF" vlink="#840084" alink="#0000FF"><div class="navheader"><table width="100%" summary="Navigation header"><tr><th colspan="3" align="center">Chapter�19.�Interdomain Trust Relationships</th></tr><tr><td width="20%" align="left"><a accesskey="p" href="securing-samba.html">Prev</a>�</td><th width="60%" align="center">Part�III.�Advanced Configuration</th><td width="20%" align="right">�<a accesskey="n" href="msdfs.html">Next</a></td></tr></table><hr></div><div class="chapter" title="Chapter�19.�Interdomain Trust Relationships"><div class="titlepage"><div><div><h2 class="title"><a name="InterdomainTrusts"></a>Chapter�19.�Interdomain Trust Relationships</h2></div><div><div class="author"><h3 class="author"><span class="firstname">John</span> <span class="othername">H.</span> <span class="surname">Terpstra</span></h3><div class="affiliation"><span class="orgname">Samba Team<br></span><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:jht@samba.org">jht@samba.org</a>&gt;</code></p></div></div></div></div><div><div class="author"><h3 class="author"><span class="firstname">Rafal</span> <span class="surname">Szczesniak</span></h3><div class="affiliation"><span class="orgname">Samba Team<br></span><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:mimir@samba.org">mimir@samba.org</a>&gt;</code></p></div></div></div></div><div><div class="author"><h3 class="author"><span class="firstname">Jelmer</span> <span class="othername">R.</span> <span class="surname">Vernooij</span></h3><span class="contrib">drawing</span>�<div class="affiliation"><span class="orgname">The Samba Team<br></span><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:jelmer@samba.org">jelmer@samba.org</a>&gt;</code></p></div></div></div></div><div><div class="author"><h3 class="author"><span class="firstname">Stephen</span> <span class="surname">Langasek</span></h3><div class="affiliation"><div class="address"><p><code class="email">&lt;<a class="email" href="mailto:vorlon@netexpress.net">vorlon@netexpress.net</a>&gt;</code></p></div></div></div></div><div><p class="pubdate">April 3, 2003</p></div></div></div><div class="toc"><p><b>Table of Contents</b></p><dl><dt><span class="sect1"><a href="InterdomainTrusts.html#id2625845">Features and Benefits</a></span></dt><dt><span class="sect1"><a href="InterdomainTrusts.html#id2625917">Trust Relationship Background</a></span></dt><dt><span class="sect1"><a href="InterdomainTrusts.html#id2626202">Native MS Windows NT4 Trusts Configuration</a></span></dt><dd><dl><dt><span class="sect2"><a href="InterdomainTrusts.html#id2626238">Creating an NT4 Domain Trust</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2626335">Completing an NT4 Domain Trust</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2626421">Interdomain Trust Facilities</a></span></dt></dl></dd><dt><span class="sect1"><a href="InterdomainTrusts.html#id2626630">Configuring Samba NT-Style Domain Trusts</a></span></dt><dd><dl><dt><span class="sect2"><a href="InterdomainTrusts.html#samba-trusted-domain">Samba as the Trusted Domain</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2626971">Samba as the Trusting Domain</a></span></dt></dl></dd><dt><span class="sect1"><a href="InterdomainTrusts.html#id2627167">NT4-Style Domain Trusts with Windows 2000</a></span></dt><dt><span class="sect1"><a href="InterdomainTrusts.html#id2627316">Common Errors</a></span></dt><dd><dl><dt><span class="sect2"><a href="InterdomainTrusts.html#id2627329">Browsing of Trusted Domain Fails</a></span></dt><dt><span class="sect2"><a href="InterdomainTrusts.html#id2627375">Problems with LDAP ldapsam and Older Versions of smbldap-tools</a></span></dt></dl></dd></dl></div><p>
 
2
<a class="indexterm" name="id2625625"></a>
 
3
<a class="indexterm" name="id2625632"></a>
 
4
<a class="indexterm" name="id2625638"></a>
 
5
<a class="indexterm" name="id2625645"></a>
 
6
<a class="indexterm" name="id2625652"></a>
 
7
<a class="indexterm" name="id2625659"></a>
 
8
<a class="indexterm" name="id2625666"></a>
 
9
<a class="indexterm" name="id2625673"></a>
 
10
<a class="indexterm" name="id2625680"></a>
11
11
Samba-3 supports NT4-style domain trust relationships. This is a feature that many sites
12
12
will want to use if they migrate to Samba-3 from an NT4-style domain and do not want to
13
13
adopt Active Directory or an LDAP-based authentication backend. This chapter explains
15
15
possible for Samba-3 to trust NT4 (and vice versa), as well as to create Samba-to-Samba 
16
16
trusts.
17
17
</p><p>
18
 
<a class="indexterm" name="id2619600"></a>
19
 
<a class="indexterm" name="id2619607"></a>
20
 
<a class="indexterm" name="id2619614"></a>
21
 
<a class="indexterm" name="id2619620"></a>
22
 
<a class="indexterm" name="id2619627"></a>
 
18
<a class="indexterm" name="id2625697"></a>
 
19
<a class="indexterm" name="id2625704"></a>
 
20
<a class="indexterm" name="id2625711"></a>
 
21
<a class="indexterm" name="id2625718"></a>
 
22
<a class="indexterm" name="id2625725"></a>
23
23
The use of interdomain trusts requires use of <code class="literal">winbind</code>, so the
24
24
<code class="literal">winbindd</code> daemon must be running. Winbind operation in this mode is
25
25
dependent on the specification of a valid UID range and a valid GID range in the <code class="filename">smb.conf</code> file.
26
26
These are specified respectively using:
27
 
</p><table class="simplelist" border="0" summary="Simple list"><tr><td><a class="indexterm" name="id2619661"></a><em class="parameter"><code>idmap uid = 10000-20000</code></em></td></tr><tr><td><a class="indexterm" name="id2619673"></a><em class="parameter"><code>idmap gid = 10000-20000</code></em></td></tr></table><p>
28
 
<a class="indexterm" name="id2619685"></a>
29
 
<a class="indexterm" name="id2619692"></a>
30
 
<a class="indexterm" name="id2619699"></a>
31
 
<a class="indexterm" name="id2619706"></a>
 
27
</p><table border="0" summary="Simple list" class="simplelist"><tr><td><a class="indexterm" name="id2625759"></a><em class="parameter"><code>idmap uid = 10000-20000</code></em></td></tr><tr><td><a class="indexterm" name="id2625770"></a><em class="parameter"><code>idmap gid = 10000-20000</code></em></td></tr></table><p>
 
28
<a class="indexterm" name="id2625782"></a>
 
29
<a class="indexterm" name="id2625789"></a>
 
30
<a class="indexterm" name="id2625796"></a>
 
31
<a class="indexterm" name="id2625803"></a>
32
32
The range of values specified must not overlap values used by the host operating system and must
33
33
not overlap values used in the passdb backend for POSIX user accounts. The maximum value is
34
34
limited by the upper-most value permitted by the host operating system. This is a UNIX kernel
35
35
limited parameter. Linux kernel 2.6-based systems support a maximum value of 4294967295 
36
36
(32-bit unsigned variable).
37
 
</p><div class="note" style="margin-left: 0.5in; margin-right: 0.5in;"><h3 class="title">Note</h3><p>
38
 
<a class="indexterm" name="id2619724"></a>
39
 
<a class="indexterm" name="id2619730"></a>
40
 
<a class="indexterm" name="id2619737"></a>
 
37
</p><div class="note" title="Note" style="margin-left: 0.5in; margin-right: 0.5in;"><h3 class="title">Note</h3><p>
 
38
<a class="indexterm" name="id2625821"></a>
 
39
<a class="indexterm" name="id2625828"></a>
 
40
<a class="indexterm" name="id2625835"></a>
41
41
The use of winbind is necessary only when Samba is the trusting domain, not when it is the
42
42
trusted domain.
43
 
</p></div><div class="sect1" lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2619747"></a>Features and Benefits</h2></div></div></div><p>
44
 
<a class="indexterm" name="id2619755"></a>
45
 
<a class="indexterm" name="id2619762"></a>
 
43
</p></div><div class="sect1" title="Features and Benefits"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2625845"></a>Features and Benefits</h2></div></div></div><p>
 
44
<a class="indexterm" name="id2625853"></a>
 
45
<a class="indexterm" name="id2625859"></a>
46
46
Samba-3 can participate in Samba-to-Samba as well as in Samba-to-MS Windows NT4-style
47
47
trust relationships. This imparts to Samba scalability similar to that with MS Windows NT4.
48
48
</p><p>
49
 
<a class="indexterm" name="id2619775"></a>
50
 
<a class="indexterm" name="id2619782"></a>
51
 
<a class="indexterm" name="id2619789"></a>
52
 
<a class="indexterm" name="id2619796"></a>
53
 
<a class="indexterm" name="id2619803"></a>
 
49
<a class="indexterm" name="id2625873"></a>
 
50
<a class="indexterm" name="id2625880"></a>
 
51
<a class="indexterm" name="id2625887"></a>
 
52
<a class="indexterm" name="id2625893"></a>
 
53
<a class="indexterm" name="id2625900"></a>
54
54
Given that Samba-3 can function with a scalable backend authentication database such as LDAP, and given its
55
55
ability to run in primary as well as backup domain control modes, the administrator would be well-advised to
56
56
consider alternatives to the use of interdomain trusts simply because, by the very nature of how trusts
57
57
function, this system is fragile.  That was, after all, a key reason for the development and adoption of
58
58
Microsoft Active Directory.
59
 
</p></div><div class="sect1" lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2619819"></a>Trust Relationship Background</h2></div></div></div><p>
60
 
<a class="indexterm" name="id2619828"></a>
61
 
<a class="indexterm" name="id2619834"></a>
62
 
<a class="indexterm" name="id2619841"></a>
63
 
<a class="indexterm" name="id2619848"></a>
64
 
<a class="indexterm" name="id2619855"></a>
65
 
<a class="indexterm" name="id2619862"></a>
 
59
</p></div><div class="sect1" title="Trust Relationship Background"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2625917"></a>Trust Relationship Background</h2></div></div></div><p>
 
60
<a class="indexterm" name="id2625925"></a>
 
61
<a class="indexterm" name="id2625932"></a>
 
62
<a class="indexterm" name="id2625939"></a>
 
63
<a class="indexterm" name="id2625946"></a>
 
64
<a class="indexterm" name="id2625953"></a>
 
65
<a class="indexterm" name="id2625959"></a>
66
66
MS Windows NT3/4-type security domains employ a nonhierarchical security structure.
67
67
The limitations of this architecture as it effects the scalability of MS Windows networking
68
68
in large organizations is well known. Additionally, the flat namespace that results from
69
69
this design significantly impacts the delegation of administrative responsibilities in
70
70
large and diverse organizations.
71
71
</p><p>
72
 
<a class="indexterm" name="id2619879"></a>
73
 
<a class="indexterm" name="id2619886"></a>
74
 
<a class="indexterm" name="id2619892"></a>
75
 
<a class="indexterm" name="id2619899"></a>
76
 
<a class="indexterm" name="id2619906"></a>
 
72
<a class="indexterm" name="id2625976"></a>
 
73
<a class="indexterm" name="id2625983"></a>
 
74
<a class="indexterm" name="id2625990"></a>
 
75
<a class="indexterm" name="id2625996"></a>
 
76
<a class="indexterm" name="id2626003"></a>
77
77
Microsoft developed Active Directory Service (ADS), based on Kerberos and LDAP, as a means
78
78
of circumventing the limitations of the older technologies. Not every organization is ready
79
79
or willing to embrace ADS. For small companies the older NT4-style domain security paradigm
80
80
is quite adequate, and so there remains an entrenched user base for whom there is no direct
81
81
desire to go through a disruptive change to adopt ADS.
82
82
</p><p>
83
 
<a class="indexterm" name="id2619923"></a>
84
 
<a class="indexterm" name="id2619930"></a>
85
 
<a class="indexterm" name="id2619937"></a>
86
 
<a class="indexterm" name="id2619944"></a>
87
 
<a class="indexterm" name="id2619951"></a>
88
 
<a class="indexterm" name="id2619958"></a>
89
 
<a class="indexterm" name="id2619965"></a>
 
83
<a class="indexterm" name="id2626021"></a>
 
84
<a class="indexterm" name="id2626028"></a>
 
85
<a class="indexterm" name="id2626034"></a>
 
86
<a class="indexterm" name="id2626041"></a>
 
87
<a class="indexterm" name="id2626048"></a>
 
88
<a class="indexterm" name="id2626055"></a>
 
89
<a class="indexterm" name="id2626062"></a>
90
90
With Windows NT, Microsoft introduced the ability to allow different security domains
91
91
to effect a mechanism so users from one domain may be given access rights and privileges
92
92
in another domain. The language that describes this capability is couched in terms of
97
97
so if users in both domains are to have privileges and rights in each others' domain, then it is
98
98
necessary to establish two relationships, one in each direction.
99
99
</p><p>
100
 
<a class="indexterm" name="id2620002"></a>
101
 
<a class="indexterm" name="id2620009"></a>
102
 
<a class="indexterm" name="id2620016"></a>
103
 
<a class="indexterm" name="id2620023"></a>
104
 
<a class="indexterm" name="id2620030"></a>
 
100
<a class="indexterm" name="id2626100"></a>
 
101
<a class="indexterm" name="id2626106"></a>
 
102
<a class="indexterm" name="id2626113"></a>
 
103
<a class="indexterm" name="id2626120"></a>
 
104
<a class="indexterm" name="id2626127"></a>
105
105
Further, in an NT4-style MS security domain, all trusts are nontransitive. This means that if there are three
106
106
domains (let's call them red, white, and blue), where red and white have a trust relationship, and white and
107
107
blue have a trust relationship, then it holds that there is no implied trust between the red and blue domains.
108
108
Relationships are explicit and not transitive.
109
109
</p><p>
110
 
<a class="indexterm" name="id2620046"></a>
111
 
<a class="indexterm" name="id2620053"></a>
112
 
<a class="indexterm" name="id2620060"></a>
113
 
<a class="indexterm" name="id2620067"></a>
114
 
<a class="indexterm" name="id2620074"></a>
115
 
<a class="indexterm" name="id2620081"></a>
116
 
<a class="indexterm" name="id2620088"></a>
 
110
<a class="indexterm" name="id2626144"></a>
 
111
<a class="indexterm" name="id2626150"></a>
 
112
<a class="indexterm" name="id2626157"></a>
 
113
<a class="indexterm" name="id2626164"></a>
 
114
<a class="indexterm" name="id2626171"></a>
 
115
<a class="indexterm" name="id2626178"></a>
 
116
<a class="indexterm" name="id2626185"></a>
117
117
New to MS Windows 2000 ADS security contexts is the fact that trust relationships are two-way by default.
118
118
Also, all inter-ADS domain trusts are transitive. In the case of the red, white, and blue domains, with
119
119
Windows 2000 and ADS, the red and blue domains can trust each other. This is an inherent feature of ADS
120
120
domains. Samba-3 implements MS Windows NT4-style interdomain trusts and interoperates with MS Windows 200x ADS
121
121
security domains in similar manner to MS Windows NT4-style domains.
122
 
</p></div><div class="sect1" lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2620105"></a>Native MS Windows NT4 Trusts Configuration</h2></div></div></div><p>
123
 
<a class="indexterm" name="id2620112"></a>
124
 
<a class="indexterm" name="id2620122"></a>
125
 
<a class="indexterm" name="id2620129"></a>
 
122
</p></div><div class="sect1" title="Native MS Windows NT4 Trusts Configuration"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2626202"></a>Native MS Windows NT4 Trusts Configuration</h2></div></div></div><p>
 
123
<a class="indexterm" name="id2626210"></a>
 
124
<a class="indexterm" name="id2626219"></a>
 
125
<a class="indexterm" name="id2626226"></a>
126
126
There are two steps to creating an interdomain trust relationship. To effect a two-way trust
127
127
relationship, it is necessary for each domain administrator to create a trust account for the 
128
128
other domain to use in verifying security credentials.
129
 
</p><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="id2620141"></a>Creating an NT4 Domain Trust</h3></div></div></div><p>
130
 
<a class="indexterm" name="id2620149"></a>
131
 
<a class="indexterm" name="id2620156"></a>
132
 
<a class="indexterm" name="id2620163"></a>
133
 
<a class="indexterm" name="id2620170"></a>
134
 
<a class="indexterm" name="id2620177"></a>
 
129
</p><div class="sect2" title="Creating an NT4 Domain Trust"><div class="titlepage"><div><div><h3 class="title"><a name="id2626238"></a>Creating an NT4 Domain Trust</h3></div></div></div><p>
 
130
<a class="indexterm" name="id2626247"></a>
 
131
<a class="indexterm" name="id2626254"></a>
 
132
<a class="indexterm" name="id2626260"></a>
 
133
<a class="indexterm" name="id2626268"></a>
 
134
<a class="indexterm" name="id2626275"></a>
135
135
For MS Windows NT4, all domain trust relationships are configured using the 
136
136
<span class="application">Domain User Manager</span>. This is done from the Domain User Manager Policies
137
137
entry on the menu bar. From the <span class="guimenu">Policy</span> menu, select
142
142
your domain. You will also need to enter a password for this trust relationship, which the 
143
143
trusting domain will use when authenticating users from the trusted domain.
144
144
The password needs to be typed twice (for standard confirmation).
145
 
</p></div><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="id2620238"></a>Completing an NT4 Domain Trust</h3></div></div></div><p>
146
 
<a class="indexterm" name="id2620246"></a>
147
 
<a class="indexterm" name="id2620253"></a>
148
 
<a class="indexterm" name="id2620260"></a>
149
 
<a class="indexterm" name="id2620267"></a>
150
 
<a class="indexterm" name="id2620274"></a>
151
 
<a class="indexterm" name="id2620281"></a>
 
145
</p></div><div class="sect2" title="Completing an NT4 Domain Trust"><div class="titlepage"><div><div><h3 class="title"><a name="id2626335"></a>Completing an NT4 Domain Trust</h3></div></div></div><p>
 
146
<a class="indexterm" name="id2626344"></a>
 
147
<a class="indexterm" name="id2626350"></a>
 
148
<a class="indexterm" name="id2626357"></a>
 
149
<a class="indexterm" name="id2626364"></a>
 
150
<a class="indexterm" name="id2626371"></a>
 
151
<a class="indexterm" name="id2626378"></a>
152
152
A trust relationship will work only when the other (trusting) domain makes the appropriate connections
153
153
with the trusted domain. To consummate the trust relationship, the administrator launches the
154
154
Domain User Manager from the menu selects <span class="guilabel">Policies</span>, then select
155
155
<span class="guilabel">Trust Relationships</span>, and clicks on the <span class="guibutton">Add</span> button
156
156
next to the box that is labeled <span class="guilabel">Trusted Domains</span>. A panel opens in which
157
157
must be entered the name of the remote domain as well as the password assigned to that trust.
158
 
</p></div><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="id2620323"></a>Interdomain Trust Facilities</h3></div></div></div><p>
159
 
<a class="indexterm" name="id2620331"></a>
160
 
<a class="indexterm" name="id2620338"></a>
161
 
<a class="indexterm" name="id2620345"></a>
162
 
<a class="indexterm" name="id2620352"></a>
163
 
<a class="indexterm" name="id2620359"></a>
164
 
<a class="indexterm" name="id2620366"></a>
 
158
</p></div><div class="sect2" title="Interdomain Trust Facilities"><div class="titlepage"><div><div><h3 class="title"><a name="id2626421"></a>Interdomain Trust Facilities</h3></div></div></div><p>
 
159
<a class="indexterm" name="id2626429"></a>
 
160
<a class="indexterm" name="id2626436"></a>
 
161
<a class="indexterm" name="id2626443"></a>
 
162
<a class="indexterm" name="id2626450"></a>
 
163
<a class="indexterm" name="id2626456"></a>
 
164
<a class="indexterm" name="id2626463"></a>
165
165
A two-way trust relationship is created when two one-way trusts are created, one in each direction.
166
166
Where a one-way trust has been established between two MS Windows NT4 domains (let's call them
167
167
DomA and DomB), the following facilities are created:
168
 
</p><div class="figure"><a name="trusts1"></a><p class="title"><b>Figure�19.1.�Trusts overview.</b></p><div class="figure-contents"><div class="mediaobject"><img src="images/trusts1.png" alt="Trusts overview."></div></div></div><br class="figure-break"><div class="itemizedlist"><ul type="disc"><li><p>
 
168
</p><div class="figure"><a name="trusts1"></a><p class="title"><b>Figure�19.1.�Trusts overview.</b></p><div class="figure-contents"><div class="mediaobject"><img src="images/trusts1.png" alt="Trusts overview."></div></div></div><br class="figure-break"><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>
169
169
        DomA (completes the trust connection) <em class="parameter"><code>Trusts</code></em> DomB.
170
 
        </p></li><li><p>
 
170
        </p></li><li class="listitem"><p>
171
171
        DomA is the <em class="parameter"><code>Trusting</code></em> domain.
172
 
        </p></li><li><p>
 
172
        </p></li><li class="listitem"><p>
173
173
        DomB is the <em class="parameter"><code>Trusted</code></em> domain (originates the trust account).
174
 
        </p></li><li><p>
 
174
        </p></li><li class="listitem"><p>
175
175
        Users in DomB can access resources in DomA.
176
 
        </p></li><li><p>
 
176
        </p></li><li class="listitem"><p>
177
177
        Users in DomA cannot access resources in DomB.
178
 
        </p></li><li><p>
 
178
        </p></li><li class="listitem"><p>
179
179
        Global groups from DomB can be used in DomA.
180
 
        </p></li><li><p>
 
180
        </p></li><li class="listitem"><p>
181
181
        Global groups from DomA cannot be used in DomB.
182
 
        </p></li><li><p>
 
182
        </p></li><li class="listitem"><p>
183
183
        DomB does appear in the logon dialog box on client workstations in DomA.
184
 
        </p></li><li><p>
 
184
        </p></li><li class="listitem"><p>
185
185
        DomA does not appear in the logon dialog box on client workstations in DomB.
186
 
        </p></li></ul></div><div class="itemizedlist"><ul type="disc"><li><p>
 
186
        </p></li></ul></div><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>
187
187
        Users and groups in a trusting domain cannot be granted rights, permissions, or access
188
188
        to a trusted domain.
189
 
        </p></li><li><p>
 
189
        </p></li><li class="listitem"><p>
190
190
        The trusting domain can access and use accounts (users/global groups) in the
191
191
        trusted domain.
192
 
        </p></li><li><p>
 
192
        </p></li><li class="listitem"><p>
193
193
        Administrators of the trusted domain can be granted administrative rights in the 
194
194
        trusting domain.
195
 
        </p></li><li><p>
 
195
        </p></li><li class="listitem"><p>
196
196
        Users in a trusted domain can be given rights and privileges in the trusting
197
197
        domain.
198
 
        </p></li><li><p>
 
198
        </p></li><li class="listitem"><p>
199
199
        Trusted domain global groups can be given rights and permissions in the trusting
200
200
        domain.
201
 
        </p></li><li><p>
 
201
        </p></li><li class="listitem"><p>
202
202
        Global groups from the trusted domain can be made members in local groups on
203
203
        MS Windows domain member machines.
204
 
        </p></li></ul></div></div></div><div class="sect1" lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2620532"></a>Configuring Samba NT-Style Domain Trusts</h2></div></div></div><p>
205
 
<a class="indexterm" name="id2620541"></a>
 
204
        </p></li></ul></div></div></div><div class="sect1" title="Configuring Samba NT-Style Domain Trusts"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2626630"></a>Configuring Samba NT-Style Domain Trusts</h2></div></div></div><p>
 
205
<a class="indexterm" name="id2626638"></a>
206
206
This description is meant to be a fairly short introduction about how to set up a Samba server so
207
207
that it can participate in interdomain trust relationships. Trust relationship support in Samba
208
208
is at an early stage, so do not be surprised if something does not function as it should.
209
209
</p><p>
210
 
<a class="indexterm" name="id2620556"></a>
211
 
<a class="indexterm" name="id2620562"></a>
212
 
<a class="indexterm" name="id2620569"></a>
213
 
<a class="indexterm" name="id2620576"></a>
 
210
<a class="indexterm" name="id2626653"></a>
 
211
<a class="indexterm" name="id2626660"></a>
 
212
<a class="indexterm" name="id2626667"></a>
 
213
<a class="indexterm" name="id2626674"></a>
214
214
Each of the procedures described next assumes the peer domain in the trust relationship is controlled by a
215
215
Windows NT4 server. However, the remote end could just as well be another Samba-3  domain. It can be clearly
216
216
seen, after reading this document, that combining Samba-specific parts of what's written in the following
217
217
sections leads to trust between domains in a purely Samba environment.
218
 
</p><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="samba-trusted-domain"></a>Samba as the Trusted Domain</h3></div></div></div><p>
219
 
<a class="indexterm" name="id2620604"></a>
220
 
<a class="indexterm" name="id2620610"></a>
221
 
<a class="indexterm" name="id2620617"></a>
222
 
<a class="indexterm" name="id2620624"></a>
223
 
<a class="indexterm" name="id2620631"></a>
 
218
</p><div class="sect2" title="Samba as the Trusted Domain"><div class="titlepage"><div><div><h3 class="title"><a name="samba-trusted-domain"></a>Samba as the Trusted Domain</h3></div></div></div><p>
 
219
<a class="indexterm" name="id2626701"></a>
 
220
<a class="indexterm" name="id2626708"></a>
 
221
<a class="indexterm" name="id2626715"></a>
 
222
<a class="indexterm" name="id2626722"></a>
 
223
<a class="indexterm" name="id2626728"></a>
224
224
In order to set the Samba PDC to be the trusted party of the relationship, you first need
225
225
to create a special account for the domain that will be the trusting party. To do that,
226
226
you can use the <code class="literal">smbpasswd</code> utility. Creating the trusted domain account is 
236
236
</pre><p>
237
237
 
238
238
where <code class="option">-a</code> means to add a new account into the
239
 
passdb database and <code class="option">-i</code> means to &#8220;<span class="quote">create this
240
 
account with the Interdomain trust flag</span>&#8221;.
 
239
passdb database and <code class="option">-i</code> means to <span class="quote">&#8220;<span class="quote">create this
 
240
account with the Interdomain trust flag</span>&#8221;</span>.
241
241
</p><p>
242
 
<a class="indexterm" name="id2620700"></a>
243
 
<a class="indexterm" name="id2620707"></a>
244
 
<a class="indexterm" name="id2620714"></a>
245
 
<a class="indexterm" name="id2620721"></a>
246
 
The account name will be &#8220;<span class="quote">rumba$</span>&#8221; (the name of the remote domain).
 
242
<a class="indexterm" name="id2626798"></a>
 
243
<a class="indexterm" name="id2626805"></a>
 
244
<a class="indexterm" name="id2626812"></a>
 
245
<a class="indexterm" name="id2626819"></a>
 
246
The account name will be <span class="quote">&#8220;<span class="quote">rumba$</span>&#8221;</span> (the name of the remote domain).
247
247
If this fails, you should check that the trust account has been added to the system
248
248
password database (<code class="filename">/etc/passwd</code>). If it has not been added, you
249
249
can add it manually and then repeat the previous step.
250
250
</p><p>
251
 
<a class="indexterm" name="id2620745"></a>
252
 
<a class="indexterm" name="id2620752"></a>
253
 
<a class="indexterm" name="id2620759"></a>
254
 
<a class="indexterm" name="id2620766"></a>
 
251
<a class="indexterm" name="id2626842"></a>
 
252
<a class="indexterm" name="id2626849"></a>
 
253
<a class="indexterm" name="id2626856"></a>
 
254
<a class="indexterm" name="id2626863"></a>
255
255
After issuing this command, you will be asked to enter the password for the account. You can use any password
256
256
you want, but be aware that Windows NT will not change this password until 7 days following account creation.
257
257
After the command returns successfully, you can look at the entry for the new account (in the standard way as
258
258
appropriate for your configuration) and see that the account's name is really RUMBA$ and it has the
259
 
&#8220;<span class="quote">I</span>&#8221; flag set in the flags field. Now you are ready to confirm the trust by establishing it from
 
259
<span class="quote">&#8220;<span class="quote">I</span>&#8221;</span> flag set in the flags field. Now you are ready to confirm the trust by establishing it from
260
260
Windows NT Server.
261
261
</p><p>
262
 
<a class="indexterm" name="id2620788"></a>
263
 
<a class="indexterm" name="id2620795"></a>
264
 
<a class="indexterm" name="id2620802"></a>
265
 
<a class="indexterm" name="id2620809"></a>
266
 
<a class="indexterm" name="id2620816"></a>
 
262
<a class="indexterm" name="id2626886"></a>
 
263
<a class="indexterm" name="id2626892"></a>
 
264
<a class="indexterm" name="id2626899"></a>
 
265
<a class="indexterm" name="id2626906"></a>
 
266
<a class="indexterm" name="id2626913"></a>
267
267
Open <span class="application">User Manager for Domains</span> and from the <span class="guimenu">Policies</span> menu, select
268
268
<span class="guimenuitem">Trust Relationships...</span>.  Beside the <span class="guilabel">Trusted domains</span> list box,
269
269
click the <span class="guimenu">Add...</span> button. You will be prompted for the trusted domain name and the
270
270
relationship password. Type in SAMBA, as this is the name of the remote domain and the password used at the
271
271
time of account creation.  Click on <span class="guibutton">OK</span> and, if everything went without incident, you
272
272
will see the <code class="computeroutput">Trusted domain relationship successfully established</code> message.
273
 
</p></div><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="id2620873"></a>Samba as the Trusting Domain</h3></div></div></div><p>
274
 
<a class="indexterm" name="id2620882"></a>
275
 
<a class="indexterm" name="id2620889"></a>
 
273
</p></div><div class="sect2" title="Samba as the Trusting Domain"><div class="titlepage"><div><div><h3 class="title"><a name="id2626971"></a>Samba as the Trusting Domain</h3></div></div></div><p>
 
274
<a class="indexterm" name="id2626979"></a>
 
275
<a class="indexterm" name="id2626986"></a>
276
276
This time activities are somewhat reversed. Again, we'll assume that your domain
277
277
controlled by the Samba PDC is called SAMBA and the NT-controlled domain is called RUMBA.
278
278
</p><p>
279
279
The very first step is to add an account for the SAMBA domain on RUMBA's PDC.
280
280
</p><p>
281
 
<a class="indexterm" name="id2620906"></a>
282
 
<a class="indexterm" name="id2620913"></a>
283
 
<a class="indexterm" name="id2620920"></a>
 
281
<a class="indexterm" name="id2627003"></a>
 
282
<a class="indexterm" name="id2627010"></a>
 
283
<a class="indexterm" name="id2627017"></a>
284
284
Launch the <span class="application">Domain User Manager</span>, then from the menu select
285
285
<span class="guimenu">Policies</span>, <span class="guimenuitem">Trust Relationships</span>.
286
286
Now, next to the <span class="guilabel">Trusting Domains</span> box, press the <span class="guibutton">Add</span>
287
287
button and type in the name of the trusted domain (SAMBA) and the password to use in securing
288
288
the relationship.
289
289
</p><p>
290
 
<a class="indexterm" name="id2620963"></a>
291
 
<a class="indexterm" name="id2620969"></a>
 
290
<a class="indexterm" name="id2627060"></a>
 
291
<a class="indexterm" name="id2627067"></a>
292
292
The password can be arbitrarily chosen. It is easy to change the password from the Samba server whenever you
293
293
want. After you confirm the password, your account is ready for use. Now its Samba's turn.
294
294
</p><p>
295
295
Using your favorite shell while logged in as root, issue this command:
296
 
<a class="indexterm" name="id2620984"></a>
 
296
<a class="indexterm" name="id2627082"></a>
297
297
</p><p>
298
298
<code class="prompt">root# </code><strong class="userinput"><code>net rpc trustdom establish rumba</code></strong>
299
299
</p><p>
300
 
<a class="indexterm" name="id2621013"></a>
301
 
<a class="indexterm" name="id2621020"></a>
302
 
<a class="indexterm" name="id2621027"></a>
 
300
<a class="indexterm" name="id2627110"></a>
 
301
<a class="indexterm" name="id2627117"></a>
 
302
<a class="indexterm" name="id2627124"></a>
303
303
You will be prompted for the password you just typed on your Windows NT4 Server box.
304
304
An error message, <code class="literal">"NT_STATUS_NOLOGON_INTERDOMAIN_TRUST_ACCOUNT,"</code>
305
305
that may be reported periodically is of no concern and may safely be ignored.
308
308
it can take a while (especially in large networks), but eventually you should see
309
309
the <code class="literal">Success</code> message. Congratulations! Your trust
310
310
relationship has just been established.
311
 
</p><div class="note" style="margin-left: 0.5in; margin-right: 0.5in;"><h3 class="title">Note</h3><p>
 
311
</p><div class="note" title="Note" style="margin-left: 0.5in; margin-right: 0.5in;"><h3 class="title">Note</h3><p>
312
312
You have to run this command as root because you must have write access to
313
313
the <code class="filename">secrets.tdb</code> file.
314
 
</p></div></div></div><div class="sect1" lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2621070"></a>NT4-Style Domain Trusts with Windows 2000</h2></div></div></div><p>
315
 
<a class="indexterm" name="id2621078"></a>
316
 
<a class="indexterm" name="id2621085"></a>
317
 
<a class="indexterm" name="id2621092"></a>
318
 
<a class="indexterm" name="id2621099"></a>
 
314
</p></div></div></div><div class="sect1" title="NT4-Style Domain Trusts with Windows 2000"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2627167"></a>NT4-Style Domain Trusts with Windows 2000</h2></div></div></div><p>
 
315
<a class="indexterm" name="id2627175"></a>
 
316
<a class="indexterm" name="id2627182"></a>
 
317
<a class="indexterm" name="id2627189"></a>
 
318
<a class="indexterm" name="id2627196"></a>
319
319
Although <span class="application">Domain User Manager</span> is not present in Windows 2000, it is 
320
320
also possible to establish an NT4-style trust relationship with a Windows 2000 domain 
321
321
controller running in mixed mode as the trusting server. It should also be possible for 
322
322
Samba to trust a Windows 2000 server; however, more testing is still needed in this area.
323
323
</p><p>
324
 
<a class="indexterm" name="id2621120"></a>
325
 
<a class="indexterm" name="id2621127"></a>
326
 
<a class="indexterm" name="id2621134"></a>
327
 
<a class="indexterm" name="id2621141"></a>
 
324
<a class="indexterm" name="id2627217"></a>
 
325
<a class="indexterm" name="id2627224"></a>
 
326
<a class="indexterm" name="id2627231"></a>
 
327
<a class="indexterm" name="id2627238"></a>
328
328
After <a class="link" href="InterdomainTrusts.html#samba-trusted-domain" title="Samba as the Trusted Domain">creating the interdomain trust account on the Samba server</a>
329
329
as described previously, open <span class="application">Active Directory Domains and Trusts</span> on the AD
330
330
controller of the domain whose resources you wish Samba users to have access to. Remember that since NT4-style
338
338
password. Press <span class="emphasis"><em>OK</em></span> and after a moment, Active Directory will respond with
339
339
<code class="computeroutput">The trusted domain has been added and the trust has been verified.</code> Your
340
340
Samba users can now be granted access to resources in the AD domain.
341
 
</p></div><div class="sect1" lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2621219"></a>Common Errors</h2></div></div></div><p>
 
341
</p></div><div class="sect1" title="Common Errors"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a name="id2627316"></a>Common Errors</h2></div></div></div><p>
342
342
Interdomain trust relationships should not be attempted on networks that are unstable
343
343
or that suffer regular outages. Network stability and integrity are key concerns with
344
344
distributed trusted domains.
345
 
</p><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="id2621232"></a>Browsing of Trusted Domain Fails</h3></div></div></div><p>
 
345
</p><div class="sect2" title="Browsing of Trusted Domain Fails"><div class="titlepage"><div><div><h3 class="title"><a name="id2627329"></a>Browsing of Trusted Domain Fails</h3></div></div></div><p>
346
346
<span class="emphasis"><em>Browsing from a machine in a trusted Windows 200x domain to a Windows 200x member of
347
347
a trusting Samba domain, I get the following error:</em></span>
348
348
</p><pre class="screen">
360
360
domain), the computer tries to automatically disable the computer account in 
361
361
the domain.  If you are running as an account that has privileges to do this 
362
362
when you unjoin the machine, it is done; otherwise it is not done.
363
 
</p></div><div class="sect2" lang="en"><div class="titlepage"><div><div><h3 class="title"><a name="id2621278"></a>Problems with LDAP ldapsam and Older Versions of smbldap-tools</h3></div></div></div><p>
 
363
</p></div><div class="sect2" title="Problems with LDAP ldapsam and Older Versions of smbldap-tools"><div class="titlepage"><div><div><h3 class="title"><a name="id2627375"></a>Problems with LDAP ldapsam and Older Versions of smbldap-tools</h3></div></div></div><p>
364
364
If you use the <code class="literal">smbldap-useradd</code> script to create a trust
365
365
account to set up interdomain trusts, the process of setting up the trust will
366
366
fail. The account that was created in the LDAP database will have an account