En este caso práctico vamos a configurar un sistema con GNU/Linux Debian 12 con entorno de escritorio XFCE como Controlador de Dominio de un dominio de Active Directory. De esta forma, con este sistema proporcionaremos servicios de directorio para la red privada de una organización. Además, crearemos algunos objetos del dominio como unidades organizativas, usuarios y grupos del dominio.
Configuración básica del sistema
Instalando paquetes de software
He metido la pata a la hora de escribir el dominio. Una vez instalado el software, tengo que editar el fichero de configuración de kerberos que está en /etc/krb5.conf y sustituir .es por .ex.
Provisión de dominio AD
Resolución de nombres
Habilitando servicio samba-ad-dc
Samba-tool
samba-tool es la herramienta principal de administración de samba. Podemos consultar la página de manual de samba-tool con la ayuda de man.
Si ejecutamos samba-tool sin parámetros nos mostrará ayuda sobre la sintaxis básica del comando así como los subcomandos disponibles para trabajar con ella.
Para más ayuda sobre un subcomando podemos pasar la opción -h después de escribir el subcomando concreto.
Vamos a ver qué operaciones principales podemos realizar con samba-tool.
Comprobaciones de ADDC
Vamos a empezar mostrando el nivel funcional del dominio con el subcomando domain.
Vamos a mostrar el nivel funcional con la opción level y show
Mostramos el nivel funcional
Creando unidades organizativas
Al igual que podemos hacer en Windows Server cuando trabajamos con Active Directory, podemos crear unidades organizativas para mantener un poco más organizados los objetos de nuestro dominio.
Para ello, utilizaremos el comando ou. Veamos la ayuda del subcomando.
Ahora vamos a añadir tres Unidades Organizativas, una principal y dos UO dentro de esta.
Creando grupos del dominio
Creando ventas
Listamos todos los grupos
Podemos mostrar información concreta de un grupo
Con la opción listmembers podemos mostrar los miembros de un grupo. Ahora mismo no tienen miembros, pero más adelante añadiremos usuarios a estos grupos
Usuarios del dominio
Añadiendo usuarios…
Comprobamos que se han creado los usuarios listando los usuarios del dominio disponibles.
Añadiendo usuarios a grupos
Veamos los grupos que tenemos disponibles con el subcomando list.
Ahora vamos a mostrar información sobre los miembros del grupo Domain users
Para añadir usuarios a un grupo podemos utilizar la opción addmembers
Veamos la sintaxis del subcomando addmembers
Vamos a añadir a marinapg y alfredoff al grupo contabilidad, y a marinapg y ramonam al grupo ventas
Veamos los miembros
Uniendo Windows 10 al dominio
Configuración de red para utilizar el servicio DNS del controlador de dominio.
Compartiendo recursos con Samba
Vamos a compartir recursos compartidos con Samba en el propio sistema server que hace las veces de controlador de dominio de Active Directory con Samba.
Recurso: publico
Comenzaremos con un recurso compartido sencillo de solo lectura para usuarios anónimos. Esta es una de las configuraciones más sencillas, todo el mundo puede acceder sin credenciales pero solo podrá realizar operaciones de lectura.
Primero creamos y configuramos el directorio a compartir. En nuestro caso la ruta del directorio será /educatica/network/publico. Queremos que cualquier usuario pueda acceder para realizar operaciones de solo lectura.
Comprobamos la disponibilidad del recurso compartido con smbclient y la opción -L
Buscamos la causa del problema, la configuración de la interfaz de red en el sistema con al aplicación gráfica de configuración
Reiniciamos la interfaz de red, podemos desconectarla y conectarla o simplemente hacer doble clic sobre la propia conexión Wired connection 1 y se volverá a conectar.
Volvemos a realizar la prueba
Vamos a crear un pequeño fichero leeme.txt en el directorio /educatica/network/publico para que pueda ser leído en remoto.
Por último, vamos a acceder a este fichero desde el sistema windows host01.educatica.ex con la cuenta de usuario marinapg@educatica.ex
Al no utilizar la ruta de ningún recurso compartido, el acceso a la máquina, nos mostrará el listado de todos los recursos compartidos disponibles en la misma.
Ahora accedemos a público haciendo doble clic en el icono que representa el recurso compartido publico. Podríamos utilizar su ruta completa \\server.educatica.ex\publico en la barra de direcciones
No tenemos permiso de escritura, así que no podremos guardar modificaciones del fichero, ni borrarlo, ni crear nuevos elementos dentro del recurso compartido,
Recurso personal: acceso de usuarios en samba
Características:
- Nombre: personal
- Directorio /educatica/network/staff
- Acceso de usuarios del sistema con cuenta en samba
- Usuarios anónimos prohibidos
- Operaciones de lectura y escritura
Primero debemos crear el directorio, si no existe, y configurarlo para permitir las operaciones que nos piden: acceso de lectura y escritura por parte de usuarios del sistema que tengan cuenta en Samba.
Aquí tenemos dos alternativas, utilizar el grupo Usuarios del dominio, si existe en samba y darle todos los permisos sobre el directorio o bien utilizar otros y darles todos los permisos.
Vamos a listar sus miembros
Vamos a utilizar la alternativa más sencilla por ahora y en otra entrada investigaremos estas opciones con calma.
Veamos qué usuarios tenemos disponibles en la base de datos de usuarios de samba
Como era de esperar, al utilizar samba como controlador de dominio, todas las cuentas de usuario creadas para el dominio están en Samba.
Veamos si podemos acceder al recurso compartido desde Windows 10 con la cuenta de marinapg
El problema aquí es que no reconocemos el usuario por su nombre sino por un UID que no aparece en nuestro fichero /etc/passwd.
Según la documentación en el sitio web oficial de Samba deberíamos instalar y configurar Winbind de forma especial para que desde el sistema operativo se reconozcan y se puedan utilizar usuarios y grupos del dominio en comandos como chown o chmod: Configuring Winbindd on a Samba AD DC
Configurando winbind
Con la configuración que tenemos hasta ahora podemos trabajar con Samba para gestionar los permisos de acceso y dejar los permisos más abiertos en el sistema de ficheros local del servidor. No obstante, es una aproximación que no me termina de convencer, puesto que cualquier acceso local o por medio de un servicio, como FTP o ssh, permitiría a cualquier usuario que conociera la ruta de los directorios compartidos acceder a los directorios compartidos saltándose la configuración de acceso realizada en Samba.
Vamos a probar a configurar winbind en el sistema server que hace de AD DC.
Lo primero que nos encontramos en la documentación es esto:
«Samba 4.0 and 4.1 used a version of Winbind built into the samba command. However, this implementation never worked correctly. For this reason, Samba 4.2 enabled the winbindd utility to be used on domain controllers (DC). If you run a version of Samba prior to 4.2, update to a supported version before using Winbindd. For details, see Updating Samba.»
Veamos la versión de Samba que tenemos:
Es decir, deberíamos actualizar la versión de Samba siguiendo las instrucciones del siguiente documento: https://wiki.samba.org/index.php/Updating_Samba
¿Entonces.. qué hacemos?
Pues viendo la versión de Debian 12, que es una distribución actual de 2025, pensé en tratar de utilizar winbind directamente sobre el DC. En el sitio web de Samba se recomienda utilizar un servidor de ficheros aparte del DC para evitar actualizaciones cruzadas innecesarias. Es decir, el sistema que comparta ficheros no será necesario actualizar tan frecuentemente como el sistema con DC. Además así separamos servicios.
En nuestro caso, lo que he hecho es seguir los pasos del manual Configuring Winbindd on a Samba AD DC pero sin actualizar samba. Es decir, he utilizado la versión que viene en los repositorios de Debian 12.
He seguido los pasos a partir de aquí:
También he seguido el siguiente documento para comprobar la conectividad con Winbindd
Tenemos instalado winbind, lo hemos instalado cuando instalamos los paquetes necesarios para utilizar el sistema GNU/Linux Debian con Samba como controlador de dominio de Active Directory. Vamos a mostrar información del paquete con el comando show de winbind.
Instalación de las librerías necesarias
Una vez instaladas las librerías comprobamos si se encuentran en el directorio de librerías /usr/lib/x86-64-linux-gnu
Configuramos el orden de búsqueda de usuarios y grupos en las distintas bases de datos, situando winbind como segunda opción tras files.
Vamos a comprobar si se resuelve desde el sistema la información de grupos y usuarios.
Dejar una respuesta