docs/manpages/winbindd.8

   1 .\"Generated by db2man.xsl. Don't modify this, modify the source.
   2 .de Sh \" Subsection
   3 .br
   4 .if t .Sp
   5 .ne 5
   6 .PP
   7 \fB\\$1\fR
   8 .PP
   9 ..
  10 .de Sp \" Vertical space (when we can't use .PP)
  11 .if t .sp .5v
  12 .if n .sp
  13 ..
  14 .de Ip \" List item
  15 .br
  16 .ie \\n(.$>=3 .ne \\$3
  17 .el .ne 3
  18 .IP "\\$1" \\$2
  19 ..
  20 .TH "WINBINDD" 8 "" "" ""
  21 .SH NAME
  22 winbindd \- Name Service Switch daemon for resolving names from NT servers
  23 .SH "SYNOPSIS"
  24
  25 .nf
  26 \fBwinbindd\fR [-F] [-S] [-i] [-Y] [-d <debug level>] [-s <smb config file>] [-n]
  27 .fi
  28
  29 .SH "DESCRIPTION"
  30
  31 .PP
  32 This program is part of the \fBSamba\fR(7) suite\&.
  33
  34 .PP
  35 \fBwinbindd\fR is a daemon that provides a service for the Name Service Switch capability that is present in most modern C libraries\&. The Name Service Switch allows user and system information to be obtained from different databases services such as NIS or DNS\&. The exact behaviour can be configured throught the \fI/etc/nsswitch\&.conf\fR file\&. Users and groups are allocated as they are resolved to a range of user and group ids specified by the administrator of the Samba system\&.
  36
  37 .PP
  38 The service provided by \fBwinbindd\fR is called `winbind' and can be used to resolve user and group information from a Windows NT server\&. The service can also provide authentication services via an associated PAM module\&.
  39
  40 .PP
  41 The \fIpam_winbind\fR module in the 2\&.2\&.2 release only supports the \fIauth\fR and \fIaccount\fR module-types\&. The latter simply performs a getpwnam() to verify that the system can obtain a uid for the user\&. If the \fIlibnss_winbind\fR library has been correctly installed, this should always succeed\&.
  42
  43 .PP
  44 The following nsswitch databases are implemented by the winbindd service:
  45
  46 .TP
  47 hosts
  48 User information traditionally stored in the \fIhosts(5)\fR file and used by \fBgethostbyname(3)\fR functions\&. Names are resolved through the WINS server or by broadcast\&.
  49
  50
  51 .TP
  52 passwd
  53 User information traditionally stored in the \fIpasswd(5)\fR file and used by \fBgetpwent(3)\fR functions\&.
  54
  55
  56 .TP
  57 group
  58 Group information traditionally stored in the \fIgroup(5)\fR file and used by \fBgetgrent(3)\fR functions\&.
  59
  60
  61 .PP
  62 For example, the following simple configuration in the\fI/etc/nsswitch\&.conf\fR file can be used to initially resolve user and group information from \fI/etc/passwd \fR and \fI/etc/group\fR and then from the Windows NT server\&.
  63 .nf
  64
  65 passwd:         files winbind
  66 group:          files winbind
  67 .fi
  68
  69
  70 .PP
  71 The following simple configuration in the\fI/etc/nsswitch\&.conf\fR file can be used to initially resolve hostnames from \fI/etc/hosts\fR and then from the WINS server\&.
  72
  73 .SH "OPTIONS"
  74
  75 .TP
  76 -F
  77 If specified, this parameter causes the main \fBwinbindd\fR process to not daemonize, i\&.e\&. double-fork and disassociate with the terminal\&. Child processes are still created as normal to service each connection request, but the main process does not exit\&. This operation mode is suitable for running \fBwinbindd\fR under process supervisors such as \fBsupervise\fR and \fBsvscan\fR from Daniel J\&. Bernstein's \fBdaemontools\fR package, or the AIX process monitor\&.
  78
  79
  80 .TP
  81 -S
  82 If specified, this parameter causes \fBwinbindd\fR to log to standard output rather than a file\&.
  83
  84
  85 .TP
  86 -V
  87 Prints the program version number\&.
  88
  89
  90 .TP
  91 -s <configuration file>
  92 The file specified contains the configuration details required by the server\&. The information in this file includes server-specific information such as what printcap file to use, as well as descriptions of all the services that the server is to provide\&. See \fIsmb\&.conf\fR for more information\&. The default configuration file name is determined at compile time\&.
  93
  94
  95 .TP
  96 -d|--debug=debuglevel
  97 \fIdebuglevel\fR is an integer from 0 to 10\&. The default value if this parameter is not specified is zero\&.
  98
  99
 100 The higher this value, the more detail will be logged to the log files about the activities of the server\&. At level 0, only critical errors and serious warnings will be logged\&. Level 1 is a reasonable level for day-to-day running - it generates a small amount of information about operations carried out\&.
 101
 102
 103 Levels above 1 will generate considerable amounts of log data, and should only be used when investigating a problem\&. Levels above 3 are designed for use only by developers and generate HUGE amounts of log data, most of which is extremely cryptic\&.
 104
 105
 106 Note that specifying this parameter here will override the \fIlog level\fR parameter in the \fIsmb\&.conf\fR file\&.
 107
 108
 109 .TP
 110 -l|--logfile=logbasename
 111 File name for log/debug files\&. The extension \fB"\&.client"\fR will be appended\&. The log file is never removed by the client\&.
 112
 113
 114 .TP
 115 -h|--help
 116 Print a summary of command line options\&.
 117
 118
 119 .TP
 120 -i
 121 Tells \fBwinbindd\fR to not become a daemon and detach from the current terminal\&. This option is used by developers when interactive debugging of \fBwinbindd\fR is required\&. \fBwinbindd\fR also logs to standard output, as if the \fB-S\fR parameter had been given\&.
 122
 123
 124 .TP
 125 -n
 126 Disable caching\&. This means winbindd will always have to wait for a response from the domain controller before it can respond to a client and this thus makes things slower\&. The results will however be more accurate, since results from the cache might not be up-to-date\&. This might also temporarily hang winbindd if the DC doesn't respond\&.
 127
 128
 129 .TP
 130 -Y
 131 Single daemon mode\&. This means winbindd will run as a single process (the mode of operation in Samba 2\&.2)\&. Winbindd's default behavior is to launch a child process that is responsible for updating expired cache entries\&.
 132
 133
 134 .SH "NAME AND ID RESOLUTION"
 135
 136 .PP
 137 Users and groups on a Windows NT server are assigned a relative id (rid) which is unique for the domain when the user or group is created\&. To convert the Windows NT user or group into a unix user or group, a mapping between rids and unix user and group ids is required\&. This is one of the jobs that \fB winbindd\fR performs\&.
 138
 139 .PP
 140 As winbindd users and groups are resolved from a server, user and group ids are allocated from a specified range\&. This is done on a first come, first served basis, although all existing users and groups will be mapped as soon as a client performs a user or group enumeration command\&. The allocated unix ids are stored in a database file under the Samba lock directory and will be remembered\&.
 141
 142 .PP
 143 WARNING: The rid to unix id database is the only location where the user and group mappings are stored by winbindd\&. If this file is deleted or corrupted, there is no way for winbindd to determine which user and group ids correspond to Windows NT user and group rids\&.
 144
 145 .SH "CONFIGURATION"
 146
 147 .PP
 148 Configuration of the \fBwinbindd\fR daemon is done through configuration parameters in the \fBsmb.conf\fR(5) file\&. All parameters should be specified in the [global] section of smb\&.conf\&.
 149
 150 .TP 3
 151 \(bu
 152 \fIwinbind separator\fR
 153
 154 .TP
 155 \(bu
 156 \fIidmap uid\fR
 157
 158 .TP
 159 \(bu
 160 \fIidmap gid\fR
 161
 162 .TP
 163 \(bu
 164 \fIwinbind cache time\fR
 165
 166 .TP
 167 \(bu
 168 \fIwinbind enum users\fR
 169
 170 .TP
 171 \(bu
 172 \fIwinbind enum groups\fR
 173
 174 .TP
 175 \(bu
 176 \fItemplate homedir\fR
 177
 178 .TP
 179 \(bu
 180 \fItemplate shell\fR
 181
 182 .TP
 183 \(bu
 184 \fIwinbind use default domain\fR
 185
 186 .LP
 187
 188 .SH "EXAMPLE SETUP"
 189
 190 .PP
 191 To setup winbindd for user and group lookups plus authentication from a domain controller use something like the following setup\&. This was tested on a RedHat 6\&.2 Linux box\&.
 192
 193 .PP
 194 In \fI/etc/nsswitch\&.conf\fR put the following:
 195 .nf
 196
 197 passwd:     files winbind
 198 group:      files winbind
 199 .fi
 200
 201
 202 .PP
 203 In \fI/etc/pam\&.d/*\fR replace the \fI auth\fR lines with something like this:
 204 .nf
 205
 206 auth       required     /lib/security/pam_securetty\&.so
 207 auth       required     /lib/security/pam_nologin\&.so
 208 auth       sufficient   /lib/security/pam_winbind\&.so
 209 auth       required     /lib/security/pam_pwdb\&.so use_first_pass shadow nullok
 210 .fi
 211
 212
 213 .PP
 214 Note in particular the use of the \fIsufficient \fR keyword and the \fIuse_first_pass\fR keyword\&.
 215
 216 .PP
 217 Now replace the account lines with this:
 218
 219 .PP
 220 \fBaccount required /lib/security/pam_winbind.so \fR
 221
 222 .PP
 223 The next step is to join the domain\&. To do that use the\fBnet\fR program like this:
 224
 225 .PP
 226 \fBnet join -S PDC -U Administrator\fR
 227
 228 .PP
 229 The username after the \fI-U\fR can be any Domain user that has administrator privileges on the machine\&. Substitute the name or IP of your PDC for "PDC"\&.
 230
 231 .PP
 232 Next copy \fIlibnss_winbind\&.so\fR to\fI/lib\fR and \fIpam_winbind\&.so \fR to \fI/lib/security\fR\&. A symbolic link needs to be made from \fI/lib/libnss_winbind\&.so\fR to\fI/lib/libnss_winbind\&.so\&.2\fR\&. If you are using an older version of glibc then the target of the link should be\fI/lib/libnss_winbind\&.so\&.1\fR\&.
 233
 234 .PP
 235 Finally, setup a \fBsmb.conf\fR(5) containing directives like the following:
 236 .nf
 237
 238 [global]
 239         winbind separator = +
 240         winbind cache time = 10
 241         template shell = /bin/bash
 242         template homedir = /home/%D/%U
 243         idmap uid = 10000-20000
 244         idmap gid = 10000-20000
 245         workgroup = DOMAIN
 246         security = domain
 247         password server = *
 248 .fi
 249
 250
 251 .PP
 252 Now start winbindd and you should find that your user and group database is expanded to include your NT users and groups, and that you can login to your unix box as a domain user, using the DOMAIN+user syntax for the username\&. You may wish to use the commands \fBgetent passwd\fR and \fBgetent group \fR to confirm the correct operation of winbindd\&.
 253
 254 .SH "NOTES"
 255
 256 .PP
 257 The following notes are useful when configuring and running \fBwinbindd\fR:
 258
 259 .PP
 260 \fBnmbd\fR(8) must be running on the local machine for \fBwinbindd\fR to work\&. \fBwinbindd\fR queries the list of trusted domains for the Windows NT server on startup and when a SIGHUP is received\&. Thus, for a running \fB winbindd\fR to become aware of new trust relationships between servers, it must be sent a SIGHUP signal\&.
 261
 262 .PP
 263 PAM is really easy to misconfigure\&. Make sure you know what you are doing when modifying PAM configuration files\&. It is possible to set up PAM such that you can no longer log into your system\&.
 264
 265 .PP
 266 If more than one UNIX machine is running \fBwinbindd\fR, then in general the user and groups ids allocated by winbindd will not be the same\&. The user and group ids will only be valid for the local machine\&.
 267
 268 .PP
 269 If the the Windows NT RID to UNIX user and group id mapping file is damaged or destroyed then the mappings will be lost\&.
 270
 271 .SH "SIGNALS"
 272
 273 .PP
 274 The following signals can be used to manipulate the\fBwinbindd\fR daemon\&.
 275
 276 .TP
 277 SIGHUP
 278 Reload the \fBsmb.conf\fR(5) file and apply any parameter changes to the running version of winbindd\&. This signal also clears any cached user and group information\&. The list of other domains trusted by winbindd is also reloaded\&.
 279
 280
 281 .TP
 282 SIGUSR2
 283 The SIGUSR2 signal will cause \fB winbindd\fR to write status information to the winbind log file including information about the number of user and group ids allocated by \fBwinbindd\fR\&.
 284
 285
 286 Log files are stored in the filename specified by the log file parameter\&.
 287
 288
 289 .SH "FILES"
 290
 291 .TP
 292 \fI/etc/nsswitch\&.conf(5)\fR
 293 Name service switch configuration file\&.
 294
 295
 296 .TP
 297 /tmp/\&.winbindd/pipe
 298 The UNIX pipe over which clients communicate with the \fBwinbindd\fR program\&. For security reasons, the winbind client will only attempt to connect to the winbindd daemon if both the \fI/tmp/\&.winbindd\fR directory and \fI/tmp/\&.winbindd/pipe\fR file are owned by root\&.
 299
 300
 301 .TP
 302 $LOCKDIR/winbindd_privilaged/pipe
 303 The UNIX pipe over which 'privilaged' clients communicate with the \fBwinbindd\fR program\&. For security reasons, access to some winbindd functions - like those needed by the \fBntlm_auth\fR utility - is restricted\&. By default, only users in the 'root' group will get this access, however the administrator may change the group permissions on $LOCKDIR/winbindd_privilaged to allow programs like 'squid' to use ntlm_auth\&. Note that the winbind client will only attempt to connect to the winbindd daemon if both the \fI$LOCKDIR/winbindd_privilaged\fR directory and \fI$LOCKDIR/winbindd_privilaged/pipe\fR file are owned by root\&.
 304
 305
 306 .TP
 307 /lib/libnss_winbind\&.so\&.X
 308 Implementation of name service switch library\&.
 309
 310
 311 .TP
 312 $LOCKDIR/winbindd_idmap\&.tdb
 313 Storage for the Windows NT rid to UNIX user/group id mapping\&. The lock directory is specified when Samba is initially compiled using the \fI--with-lockdir\fR option\&. This directory is by default \fI/usr/local/samba/var/locks \fR\&.
 314
 315
 316 .TP
 317 $LOCKDIR/winbindd_cache\&.tdb
 318 Storage for cached user and group information\&.
 319
 320
 321 .SH "VERSION"
 322
 323 .PP
 324 This man page is correct for version 3\&.0 of the Samba suite\&.
 325
 326 .SH "SEE ALSO"
 327
 328 .PP
 329 \fInsswitch\&.conf(5)\fR, \fBSamba\fR(7), \fBwbinfo\fR(8), \fBsmb.conf\fR(5)
 330
 331 .SH "AUTHOR"
 332
 333 .PP
 334 The original Samba software and related utilities were created by Andrew Tridgell\&. Samba is now developed by the Samba Team as an Open Source project similar to the way the Linux kernel is developed\&.
 335
 336 .PP
 337 \fBwbinfo\fR and \fBwinbindd\fR were written by Tim Potter\&.
 338
 339 .PP
 340 The conversion to DocBook for Samba 2\&.2 was done by Gerald Carter\&. The conversion to DocBook XML 4\&.2 for Samba 3\&.0 was done by Alexander Bokovoy\&.
 341