使用Rsync命令同步两个Samba4 AD DC之间的SysVol目录

系统 Linux 系统运维
这篇文章讲的是在两个 Samba4 活动目录域控制器之间,通过一些强大的 Linux 工具来完成 SysVol 的复制操作,比如 Rsync 数据同步工具,Cron 任务调度进程和 SSH 协议。

[[188006]]

这篇文章讲的是在两个 Samba4 活动目录域控制器之间,通过一些强大的 Linux 工具来完成 SysVol 的复制操作,比如 Rsync 数据同步工具,Cron 任务调度进程和 SSH 协议。

需求:

1、在 Ubuntu 系统上使用 Samba4 来创建活动目录架构

2、在 Linux 命令行下管理 Samba4 AD 架构

3、使用 Windows 10 的 RSAT 工具来管理 Samba4 活动目录架构

4、在 Windows 下管理 Samba4 AD 域管制器 DNS 和组策略

5、将另一台 Ubuntu DC 服务器加入到 Samba4 AD DC 实现双域控主机模式

***步:配置 DC 服务器时间同步

1、在两个域控制器之间复制 sysvol 目录的内容之前,你得保证这两个服务器时间设置准确且一致。

如果这两个服务器的时间延迟大于 5 分钟,并且时钟也不同步,你将会遇到 AD 账号和域复制的各种问题。

为了解决多个域控制器之间时间漂移的问题,你需要在服务器上执行如下命令来安装和配置 NTP 服务。

  1. # apt-get install ntp 

2、在 NTP 服务安装完成之后,打开主配置文件,把默认的 pool 值注释(在每行 pool 参数前添加 # ),并且添加新的 pool 值,指向已安装了 NTP 服务端的主 Samba4 AD DC FQDN,如下所示。

  1. # nano /etc/ntp.conf 

把下面几行添加到 ntp.conf 配置文件。

  1. pool 0.ubuntu.pool.ntp.org iburst 
  2. #pool 1.ubuntu.pool.ntp.org iburst 
  3. #pool 2.ubuntu.pool.ntp.org iburst 
  4. #pool 3.ubuntu.pool.ntp.org iburst 
  5. pool adc1.tecmint.lan 
  6. # Use Ubuntu's ntp server as a fallback. 
  7. pool ntp.ubuntu.com  

 

 

Samba4 配置 NTP 服务 

Samba4 配置 NTP 服务

3、先不要关闭该文件,在文件末尾添加如下内容,这是为了让其它客户端能够查询并与这个 NTP 服务器同步时间,并发出 NTP 签署请求,以防主 DC 离线:

  1. restrict source notrap nomodify noquery mssntp 
  2. ntpsigndsocket /var/lib/samba/ntp_signd/ 

4、***,关闭并保存该配置文件,然后重启 NTP 服务以应用更改。等待几分钟后时间同步完成,执行 ntpq 命令打印出 adc1 时间同步情况。

  1. # systemctl restart ntp 
  2. # ntpq -p  

 

 

与 Samba4 AD 同步 NTP 时间 

与 Samba4 AD 同步 NTP 时间

第二步:通过 Rsync 命令来复制***个 DC 服务器上的 SysVol 目录

默认情况下,Samba4 AD DC 不会通过 DFS-R(分布式文件系统复制Distributed File System Replication)或者 FRS(文件复制服务File Replication Service)来复制 SysVol 目录。

这意味着只有在***个域控制器联机时,组策略对象Group Policy objects才可用。否则组策略设置和登录脚本不会应用到已加入域的 Windosws 机器上。

为了克服这个障碍,以及基本实现 SysVol 目录复制的目的,我们通过执行一个基于 SSH 的身份认证并使用 SSH 加密通道的Linux 同步命令来从***个域控制器安全地传输 GPO 对象到第二个域控制器。

这种方式能够确保 GPO 对象在域控制器之间的一致性,但是也有一个很大的缺点。它只能进行单向同步,因为在同步 GPO 目录的时候, rsync 命令会从源 DC 服务器传输所有的更改到目标 DC 服务器,

源 DC 服务器上不存在的组策略对象也会从目标 DC 服务器上删除,为了限制并避免任何冲突,所有的 GPO 编辑操作只能在***个 DC 服务器上执行。

5、要进行 SysVol 复制,先到***个 AD DC 服务器上生成 SSH 密钥,然后使用下面的命令把该密钥传输到第二个 DC 服务器。

在生成密钥的过程中不要设置密码,以便在无用户干预的情况下进行传输。

  1. # ssh-keygen -t RSA   
  2. # ssh-copy-id root@adc2   
  3. # ssh adc2  
  4. # exit   

 

 

在 Samba4 DC 服务器上生成 SSH 密钥 

在 Samba4 DC 服务器上生成 SSH 密钥

6、 当你确认 root 用户可以从***个 DC 服务器以免密码方式登录到第二个 DC 服务器时,执行下面的 rsync 命令,加上 --dry-run 参数来模拟 SysVol 复制过程。注意把对应的参数值替换成你自己的数据。

  1. # rsync --dry-run -XAavz --chmod=775 --delete-after  --progress --stats  /var/lib/samba/sysvol/ root@adc2:/var/lib/samba/sysvol/ 

7、如果模拟复制过程正常,那么再次执行去掉 --dry-run 参数的 rsync 命令,来真实的在域控制器之间复制 GPO 对象。

  1. # rsync -XAavz --chmod=775 --delete-after  --progress --stats  /var/lib/samba/sysvol/ root@adc2:/var/lib/samba/sysvol/  

 

 

Samba4 AD DC SysVol 复制 

Samba4 AD DC SysVol 复制

8、在 SysVol 复制完成之后,登录到目标域控制器,然后执行下面的命令来列出其中一个 GPO 对象目录的内容。

从***个 DC 服务器上执行这个命令时,列出的 GPO 对象也要相同。

  1. # ls -alh /var/lib/samba/sysvol/your_domain/Policiers/  

 

 

验证 Samba4 DC SysVol 复制结果是否正常 

验证 Samba4 DC SysVol 复制结果是否正常

9、为了自动完成组策略复制的过程(通过网络传输 sysvol 目录),你可以使用 root 账号设置一个任务来执行同步命令,如下所示,设置为每隔 5 分钟执行一次该命令。

  1. # crontab -e 

添加一条每隔 5 分钟运行的同步命令,并把执行结果以及错误信息输出到日志文件 /var/log/sysvol-replication.log 。如果执行命令异常,你可以查看该文件来定位问题。

  1. */5 * * * * rsync -XAavz --chmod=775 --delete-after  --progress --stats  /var/lib/samba/sysvol/ root@adc2:/var/lib/samba/sysvol/ > /var/log/sysvol-replication.log 2>&1 

10、如果以后 SysVol ACL 权限有问题,你可以通过下面的命令来检测和修复这些异常。

  1. # samba-tool ntacl sysvolcheck 
  2. # samba-tool ntacl sysvolreset  

 

 

修复 SysVol ACL 权限问题 

修复 SysVol ACL 权限问题

11、如果***个 Samba4 AD DC 的 FSMO 角色,即“PDC 模拟器”不可用,你可以强制 Microsoft Windows 系统上的组策略管理控制台只连接到第二个域控制器,通过选择更改域控制器选项和手动选择目标机器,如下图所示。 

 

 

更改 Samba4 域控制器 

更改 Samba4 域控制器 

 

 

选择 Samba4 域控制器 

选择 Samba4 域控制器

当你从组策略管理控制台连接到第二个 DC 服务器时,你应该避免对组策略做任何更改。否则,当***个 DC 服务器恢复正常后, rsync 命令将会删除在第二个 DC 服务器上所做的更改。

责任编辑:庞桂玉 来源: Linux中国
相关推荐

2017-09-13 17:00:28

Ubuntu Samba4SSSD

2017-07-07 15:25:29

LinuxiRedMailSamba4

2017-03-06 14:30:10

Samba系列Linux命令

2017-07-11 13:00:16

LinuxCentOS 7Samba4 AD

2017-08-16 15:29:32

LinuxCentOS 7Samba4 AD

2017-01-06 22:28:00

Windows 10RSAT工具Samba4

2017-06-05 13:02:55

CentOS 7iRedMailSamba4 AD

2016-12-27 10:17:36

UbuntuLinuxSamba4

2017-04-06 10:15:36

Samba系列Linux命令

2017-03-06 12:26:58

WindowsSamba4 AD DNS

2009-10-12 09:06:45

RHEL 4中配置sa

2021-03-19 11:05:50

Linux目录命令

2017-05-18 11:28:17

CentOS 7桌面系统Samba4 AD域

2021-12-16 16:20:57

GoWebSocketLinux

2020-08-14 08:13:49

列表差异编程

2023-01-17 19:30:52

Linux命令行目录

2010-07-13 10:56:43

Perl print

2010-06-01 18:26:33

Rsync 使用

2010-06-01 16:46:38

Rsync 命令

2021-10-13 06:49:13

Integer 阿里巴巴包装类
点赞
收藏

51CTO技术栈公众号