Mettre en place un serveur de fichiers Samba : smb.conf, testparm et désactivation de SMB1

Objectif

Mettre en place un partage Samba sous Linux, valider la configuration avant de la recharger, et choisir entre une base de mots de passe locale et l'appartenance à un domaine Active Directory pour l'authentification.

Prérequis

Le paquet samba est installé ; un répertoire à partager existe ; il faut soit des comptes Linux locaux (pour smbpasswd), soit un domaine Active Directory à rejoindre (pour security = ads).

Étapes

1. Modifier /etc/samba/smb.conf. La section [global] contient les paramètres valables pour tout le serveur (workgroup, mode de sécurité, limites de protocole) ; chaque partage dispose de sa propre section [sharename] comportant au minimum path et read only.
2. Choisir le mode d'authentification. Pour un serveur autonome avec des comptes locaux, laisser security à sa valeur par défaut (auto, qui se comporte comme user sur un serveur autonome) et, en tant que root, créer les mots de passe SMB des utilisateurs Linux existants avec smbpasswd -a <user> ; Samba les conserve dans sa propre base de mots de passe (par défaut le backend tdbsam), distincte de /etc/shadow. Pour un membre de domaine, définir security = ads ainsi que realm et workgroup dans [global], avec des plages idmap config pour winbind : Samba agit alors comme membre de domaine dans un realm ADS, ce qui suppose que Kerberos soit installé et configuré, que le DNS pointe vers les contrôleurs de domaine, que l'heure soit synchronisée, et que la jonction soit faite avec net ads join -U <admin>.
3. Valider avant de recharger : exécuter testparm -s (sans -s, la commande attend que l'on appuie sur Entrée avant d'afficher les définitions). Il s'agit d'un programme de test très simple qui vérifie la cohérence interne d'un fichier de configuration smbd et signale les paramètres inconnus ou invalides. Une exécution sans erreur ne garantit pas que les partages se comportent correctement, seulement que smbd chargera le fichier.
4. Appliquer la modification sans redémarrer le démon : en tant que root, smbcontrol all reload-config force le démon à recharger le fichier de configuration smb.conf, et all diffuse le message à tous les processus smbd, nmbd et winbindd en cours d'exécution.
5. Vérifier que SMB1 reste désactivé : depuis Samba 4.11, la valeur par défaut est déjà server min protocol = SMB2_02 ; il faut donc contrôler avec testparm -sv | grep 'server min protocol' que personne ne l'a abaissée (par exemple à NT1) ; ne la définir explicitement que sur les versions plus anciennes. Ce paramètre fixe la version minimale du protocole que le serveur autorise le client à utiliser.

Résultat attendu

testparm n'affiche aucune erreur et présente la liste des partages analysés ; un montage côté client ou smbclient -L localhost -U <user> confirme que le partage est accessible ; smbstatus (en tant que root) liste les sessions connectées avec leur version de protocole, aucune n'étant en NT1.

Limites et base de vérification

Un testparm réussi ne garantit pas qu'un partage se comporte comme prévu, mais seulement que le fichier est syntaxiquement valide : il faut aussi tester un montage réel. Faire passer un serveur autonome existant à security = ads impose de reprovisionner le mappage des identités et perturbe le service ; prévoir une fenêtre de migration et sauvegarder au préalable smb.conf et le fichier smbpasswd. Le rechargement via smbcontrol ne redémarre pas les sockets d'écoute : un changement d'adresse d'écoute ou de port nécessite donc toujours un redémarrage complet.