Translations by Nicolas DERIVE

Cette section va couvrir l'intégration de <application>Amavisd-new</application>, <application>Spamassassin</application>, et <application>ClamAV</application> avec le Mail Transport Agent (MTA ou logiciel pour serveur de transmission de courriers électroniques) <application>Postfix</application>. <application>Postfix</application> peut aussi vérifier la validité des emails en les faisant passer au travers de filtres de contenu externes. Ces filtres peuvent parfois déterminer si un message est du courrier indésirable (spam) sans avoir à le traiter avec des applications plus gourmandes en ressources. Deux filtres communs sont <application>dkim-filter</application> et <application>python-policyd-spf</application>.

Le fichier de configuration principal de Samba est <filename>/etc/samba/smb.conf</filename>. Le fichier de configuration par défaut est amplement commenté afin d'expliquer les nombreuses directives de configuration.

workgroup = EXAMPLE ... security = user

Maintenant que <application>Samba</application> est configuré, le répertoire doit être créé et les permissions modifiées. Depuis un terminal, tapez :

Vous devriez maintenant être en mesure de parcourir le serveur de fichiers Ubuntu et de voir le répertoire partagé depuis un client Windows. Pour vérifier que tout fonctionne, essayez de créer un répertoire depuis Windows.

Les deux niveaux de sécurité disponibles pour le protocole réseau CIFS (Common Internet Filesystem) sont <emphasis>user-level</emphasis> et <emphasis>share-level</emphasis>. La mise en œuvre des <emphasis>options de sécurité</emphasis> de Samba permet plus de flexibilité en fournissant quatre possibilité de sécurité au niveau de l'utilisateur plus une au niveau du partage :

<emphasis>security = user:</emphasis> impose aux clients de fournir un nom d'utilisateur et un mot de passe pour se connecter aux partages. Les comptes utilisateurs Samba sont différents des comptes système, mais le paquet <application>libpam-smbpass</application> permet de synchroniser les utilisateurs et mots de passe du système avec la base de données des utilisateurs Samba.

<emphasis>security = domain:</emphasis> permet au serveur Samba d'apparaître aux clients Windows comme un contrôleur principal de domaine (PDC : Primary Domain Controller), un contrôleur de demaines de sauvegarde (BDC : Backup Domain Controller) ou un serveur membre du domaine (DMS : Domain Member Server). Consultez <xref linkend="samba-dc"/> pour plus d'informations.

<emphasis>security = ADS:</emphasis> permet au serveur Samba de joindre un domaine Active Directory. Consultez <xref linkend="samba-ad-integration"/> pour plus de détails.

<emphasis>security = server:</emphasis> est une option qui date de l'époque où Samba ne pouvait pas devenir un serveur membre et ne devait pas être utilisé en raison de plusieurs problèmes de sécurité. Consultez la section <ulink url="http://samba.org/samba/docs/man/Samba-HOWTO-Collection/ServerType.html#id349531">sécurité du serveur (en)</ulink> du guide Samba pour plus de détails.

Sécurité des Partages

La commande <application>setfacl</application> ci-dessus donne les droits <emphasis>execute</emphasis> à tous les fichiers du répertoire <filename>/srv/samba/share</filename>, que vous pouvez désirer ou non.

Maintenant, à partir d'un client Windows, vous devriez remarquer la mise en œuvre des nouvelles permissions sur les fichiers. Consultez les pages de manuel <application>acl</application> et <application>setfacl</application> pour plus d'informations sur la gestion des ACLs POSIX.

Profil AppArmor pour Samba

Ubuntu est fourni avec le module de sécurité <application>AppArmor</application>, qui prévoit des contrôles d'accès obligatoires. Le profil par défaut d'AppArmor pour Samba doit être adapté à votre configuration. Pour plus de détails sur AppArmor voir <xref linkend="apparmor"/>.

Ce paquet contient des profils pour plusieurs autres exécutables.

Par défaut les profils pour <application>smbd</application> et <application>nmbd</application> sont dans le mode <emphasis>complain</emphasis> pour permettre à Samba de travailler sans modifier le profil et de journaliser les erreurs seulement. Pour placer le profil <application>smbd</application> dans le mode <emphasis>enforce</emphasis> et ainsi faire fonctionner Samba comme prévu, le profil doit être modifié de façon à tenir compte de tous les répertoires partagés.

Modifiez <filename>/etc/apparmor.d/usr.sbin.smbd</filename> en ajoutant les informations dans <emphasis>[share]</emphasis> à partir de l'exemple du serveur de fichiers :

/srv/samba/share/ r, /srv/samba/share/** rwkix,

Maintenant, placez le profil dans <emphasis>enforce</emphasis> et rechargez-le :

Le manuel O'Reilly <ulink url="http://www.oreilly.com/catalog/9780596007690/">Using Samba</ulink> (en anglais) est aussi une bonne référence.

Le <ulink url="http://samba.org/samba/docs/man/Samba-HOWTO-Collection/securing-samba.html">chapitre 18</ulink> (en anglais) de la collection HOWTO de Samba est dédié à la sécurité.

Samba comme contrôleur de domaine

Cette section aborde la configuration de Samba en contrôleur de domaine principal (PDC) en utilisant le gestionnaire de mot de passe par défaut smbpasswd.

Installez d'abord Samba et <application>libpam-smbpass</application> pour synchroniser les comptes utilisateurs, en saisissant ce qui suit dans un terminal :

Ensuite, configurez Samba en modifiant <filename>/etc/samba/smb.conf</filename>. Le mode de <emphasis>security</emphasis> doit être réglé sur <emphasis role="italic">user</emphasis>, et le <emphasis>workgroup</emphasis> doit correspondre à votre organisation :

Dans la section commentée <quote>Domains</quote>, ajoutez ou dé-commentez ce qui suit :

<emphasis>domain logons :</emphasis> permet à Samba d'agir comme un contrôleur de domaine

<emphasis>logon path :</emphasis> place le profil des utilisateurs Windows dans leur répertoire personnel. Il est également possible de configurer un partage <emphasis>[profiles]</emphasis> pour placer tous les profils dans un seul et même répertoire.

<emphasis>logon drive :</emphasis> spécifie l'emplacement du répertoire personnel local.

<emphasis>logon home :</emphasis> spécifie l'emplacement du répertoire personnel.

<emphasis>logon script :</emphasis> indique le script à exécuter localement une fois l'utilisateur connecté. Le script doit être placé dans le partage <emphasis>[netlogon]</emphasis>.

<emphasis>add machine script :</emphasis> un script qui créera automatiquement un <emphasis>compte de machine approuvé</emphasis>, requis pour qu'une station de travail puisse joindre le domaine.

Dans cet exemple le groupe <emphasis>machines</emphasis> devra être créé en utilisant la commande <application>addgroup</application>, consultez <xref linkend="adding-deleting-users"/> pour plus de détails.

Décommentez le partage <emphasis>[homes]</emphasis> pour permettre au <emphasis role="italic">logon home</emphasis> d'être monté en lecteur réseau :

[homes] comment = Home Directories browseable = no read only = no create mask = 0700 directory mask = 0700 valid users = %S

Dans le cas d'une configuration en contrôleur de domaine, un partage <emphasis>[netlogon]</emphasis> doit être configuré. Pour activer le partage, décommenter :

[netlogon] comment = Network Logon Service path = /srv/samba/netlogon guest ok = yes read only = yes share modes = no

Le chemin par défaut du partage <emphasis>netlogon</emphasis> est <filename>/home/samba/netlogon</filename>. Cependant, d'après le standard FHS (Filesystem Hierarchy Standard), <ulink url="http://www.pathname.com/fhs/pub/fhs-2.3.html#SRVDATAFORSERVICESPROVIDEDBYSYSTEM">/srv</ulink> est l'emplacement correct pour des données spécifiques à un site fournies par le système.