Non sono riuscito a trovare una soluzione ottimale, ma grazie a uno spunto del buon CDF sono arrivato a un accrocchio che funziona piuttosto bene.

Situazione iniziale

Partiamo dal principio: su Samba 3.4 collegato a un dominio Active Directory su server Ubuntu 10.04, andiamo a creare una condivisione di tipo stampante che passi lo spool file generato ad uno script, per farne quello che riteniamo più opportuno:

[stampante]
printing = BSD
comment = Descrizione stampante
path = /path/dello/spool
read only = No
guest ok = Yes
printable = Yes
create mask = 0644
directory mask = 0744
use client driver = Yes
print command = /path/dello/spool/script.sh “%s” “%u”;
lpq command =
valid users = @”Domain Users”
force user = stampepdf
force group = stampepdf

Qualunque combinazione io abbia provato di “force user/group”, “create/directory mask” o altre opzioni, lo spool file creato in “/path/dello/spool” apparteneva sempre all’utente Active Directory che aveva lanciato la stampa, oltretutto con permessi 400, e lo script lanciato da “print command” veniva eseguito sempre con lo stesso utente.

Questa è una buona cosa, se non fosse che mi aspetterei qualcosa di diverso dai parametri “force user” e “force group”, e avevo deciso di avere una cartella di destinazione delle elaborazioni appartenente all’utente locale “stampepdf”, da condividere poi a sua volta sempre attraverso Samba.

Struttura delle directory

Ho creato l’utente “stampepdf” e la seguente struttura di directory, che mi permette una buona flessibilità in caso di future modifiche alla configurazione:

• /home/stampepdf/spool: contiene gli spool file creati da Samba quando un utente Windows lancia una stampa. I permessi sono impostati a 777 in modo che qualsiasi utente possa scrivere al suo interno
• /home/stampepdf/scripts: contiene gli script a cui dare in pasto gli spool file
• /home/stampepdf/stampe: contiene i file finali, risultato dell’elaborazione degli spool file da parte degli script. Verrà poi a sua volta condivisa (sempre grazie a Samba) in modo che gli utenti possano prelevare il risultato dell’elaborazione.

Configurazione di sudo

Ho poi configurato sudo (visudo è il comando da usare) in modo che qualsiasi utente (quindi anche quelli Active Directory) possa eseguire gli script in /home/stampepdf/scripts impersonando l’utente stampepdf senza che gli venga richiesta alcuna password:

ALL ALL=(stampepdf) NOPASSWD: /home/stampepdf/scripts/*.sh

Permessi dello spool file

A questo punto, rimane il problema dei permessi 600 sugli spool file creati da Samba, che vanno modificati almeno in 666 prima di poter elaborare il file con uno script lanciato dall’utente stampepdf. Per fare questo, ho creato un piccolo script (/home/stampepdf/spool.sh) che accetta un nome di file come parametro e non fa altro che modificarne i permessi in 666:

#!/bin/bash
SPOOL=”/home/stampepdf/spool”;
INPUT=$(basename $1);
chmod 666 “$SPOOL/$INPUT”;

Lo script è sicuramente migliorabile, andrebbe fatto un migliore controllo sull’input in modo da evitare di potergli passare come parametro qualcosa tipo “../../../etc/shadow” (anche se, in questo caso specifico la cosa non avrebbe molto successo) nei commenti mi hanno suggerito una piccola modifica (già integrata nel post) che aumenta decisamente il livello di sicurezza controllando meglio l’input.

Questo script va lanciato prima del programma di elaborazione vero e proprio, in modo da impostare sullo spool file i permessi necessari a poterci lavorare con l’utente stampepdf.

Configurazione della stampante

La nuova configurazione della stampante, a questo punto, diventa:

[stampante]
printing = BSD
comment = Descrizione stampante
path = /home/stampepdf/spool
read only = No
guest ok = Yes
printable = Yes
use client driver = Yes
print command = /home/stampepdf/spool.sh “%s”;
sudo -u stampepdf /home/stampepdf/scripts/elabora.sh “%s” “%D\%U”;
valid users = @”Domain Users”

Dal punto di vista del client Windows, è sufficiente collegarla e utilizzare un qualsiasi driver Postscript. Io di solito scelgo il driver postscript una qualunque stampante della famiglia HP Color Laserjet.

Cosa succede quando si lancia una stampa?

In questa situazione, quando un utente Windows lancia una stampa, succede che:

• Samba crea uno spool file in /home/stampepdf/spool appartenente all’utente AD che ha lanciato la stampa, con permessi 600
• Lo script spool.sh (che viene lanciato da Samba con lo stesso utente AD) cambia i permessi dello spool file appena creato in 666
• Lo script scripts/elabora.sh (lanciato attraverso sudo con l’utente stampepdf) prende in consegna lo spool file (su cui adesso ha anche permessi di scrittura) e ne fa ciò che meglio crede

Nel mio caso, alla fine delle elaborazioni, viene creato un file PDF in /home/stampepdf/stampe (a sua volta condivisa sempre attraverso Samba).

Una configurazione flessibile

La configurazione è abbastanza flessibile: si possono creare in modo semplice tutte le stampanti desiderate (mettendo gli script in /home/stampepdf/scripts) e, volendo, differenziare le cartelle di destinazione delle eleborazioni. Queste operazioni non richiedono ulteriori modifiche al file di configurazione di sudo, ma solo la creazione degli script per le elaborazioni e la (poco più che copia della) configurazione di Samba per stampanti e cartelle condivise. Bene!

Miglioramenti e possibili problemi

A occhio vedo tre punti in cui la sicurezza potrebbe essere un problema:

• permessi di /home/stampepdf/spool impostati a 777
• script /home/stampepdf/spool.sh decisamente migliorabile nel controllo dell’input
• sudo configurato per eseguire qualsiasi script /home/stampepdf/scripts/*.sh come utente stampepdf

Tra le funzionalità migliorabili, invece, c’è sicuramente l’installazione dei driver sul server: renderebbe l’installazione della stampante in ambiente Windows molto più rapida.

Se proprio ci tieni a “riaprire la comunicazione” (cosa che mi suona come una presa in giro, visto che a parlare sei solo tu) fallo a tue spese: mi rendo conto che il costo di stampa e invio qualche migliaio di lettere possa non incidere granchè sul bilancio di un comune come Gemona, ma che debba pagare io per qualche riga dall’aspetto (ai miei occhi) vagamente propagandistico inizia a infastidirmi. Per dire, ti piacerebbe se iniziassi a mandarti lettere a casa con affrancatura a carico del destinatario? La logica non è molto diversa.

Non serve che sia io a scoprire che, nel 2012, esistono modi di comunicare più efficaci ed economici di quello che hai scelto: hai un assessore all’informatizzazione ed innovazione tecnologica la cui azienda si pone come obiettivo “fornire consulenza, prodotti, assistenza e formazione“.

Come? Con Internet si raggiunge solo una (piccola?) parte della popolazione? Se ne potrebbe discutere, ma se ci aggiungi qualche comizio nei bar si potrebbe fare di più, meglio e spendendo meno. In questo modo, però, i destinatari delle comunicazioni potrebbero ribattere, ma spero che non sia questo il problema.

Dimenticavo: la visita del presidente della repubblica è stata spostata di un paio di settimane.

Con l’opzione “valid users” decido quali utenti del dominio hanno accesso alla condivisione e poi forzo (secondo me) un utente locale da usare per l’esecuzione dello script collegato, con le opzioni “force user” e “force group”. Per le cartelle condivise funziona correttamente, per la stampante invece lo script viene eseguito con l’utente AD che lancia la stampa anziché con quello che vorrei forzare.

Di conseguenza, lo script non fa quello che dovrebbe e nei log di samba trovo un bel “print_job_start: insufficient permissions to open spool file /path/dello/spool/nomefile”.

Naturalmente, se imposto i permessi della cartella interessata a 777 tutto funziona, ma la soluzione mi fa un po’ schifo: vorrei riuscire a forzare l’utente con cui eseguo lo script, come già riesco a fare con le cartelle condivise.

Questo è il file di configurazione, dove sbaglio?

[global]
valid users = @”Domain Users”
wins support = no
log file = /var/log/samba/log.%m
max log size = 1000
syslog = 0
panic action = /usr/share/samba/panic-action %d
security = ads
realm = DOMINIO.LOCAL
workgroup = DOMINIO
server string = %h (Ubuntu Server)
password server = dc.dominio.local
encrypt passwords = true
passdb backend = tdbsam
obey pam restrictions = yes
unix password sync = yes
passwd program = /usr/bin/passwd %u
passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
pam password change = yes
map to guest = bad user

idmap uid = 10000-20000
idmap gid = 10000-20000
winbind enum users = yes
winbind enum groups = yes
client use spnego = yes
client ntlmv2 auth = yes
encrypt passwords = true
winbind use default domain = yes
restrict anonymous = 2
usershare allow guests = yes

[stampante]
printing = BSD
comment = Descrizione stampante
path = /path/dello/spool
read only = No
guest ok = Yes
printable = Yes
create mask = 0644
directory mask = 0744
use client driver = Yes
print command = /path/dello/spool/script.sh “%s” “%u”;
lpq command =
valid users = @”Domain Admins”, matteo.moro
force user = stampepdf
force group = stampepdf

Ovviamente esistono sia l’utente che il gruppo “stampepdf” e se lancio lo script da una shell, con parametri di esempio e l’utente che vorrei forzare, funziona tutto a meraviglia.

Idee?

• @mbg: https://twitter.com/#!/mbg/status/181989499746791425
• @druido73: https://twitter.com/#!/Druido73/status/182003670316089344
• @daniele_360: https://twitter.com/#!/daniele_360/status/182012579865034752

Dopo qualche ora tutto è tornato alla normalità, ma stamattina mi è arrivata la notifica di una risposta da parte di Wind. Mi aspettavo un “grazie”, o quantomeno un “adesso è tutto a posto”. E invece… “@mbg Ciao, ti consigliamo di verificare le impostazioni data, ora e fuso orario del tuo smartphone“.

Epic fail!

AGGIORNAMENTO 23/03/2012: secondo me mi prendono per il culo…

Se interessa, ecco qualche informazione in più (se qualcuno ha intenzione di passare da queste parti mi faccia un fischio, che ci si organizza):

• Programma della giornata
• Iscrizione (non obbligatoria ma gradita)

Altri Linux Day in FVG:

• Pordenone
• Trieste

PORTIERI

• Buffon (JUV)
• Storari (JUV)
• Manninger (JUV)

DIFENSORI

• Lucio (INT)
• Chiellini (JUV)
• Balzaretti (PAL)
• Nesta (MIL)
• Silvestre (PAL)
• Morganella (NOV)
• Carrozzieri (LEC)
• Marchese (CAT)

CENTROCAMPISTI

• Hamsik (NAP)
• Vargas (FIO)
• Maggio (NAP)
• Aquilani (MIL)
• Mauri (LAZ)
• D’Agostino (SIE)
• Marrone (JUV)
• Grippo (CHI)

ATTACCANTI

• Di Vaio (BOL)
• Pazzini (INT)
• Di Michele (LEC)
• Caracciolo (GEN)
• Acosta (SIE)
• Larrivey (CAG)

Buon fantacampionato a tutti!

Passi il fatto che gli uffici non saranno più aperti il sabato mattina (in cambio, si potrà andare all’anagrafe il venerdì alle 7 del mattino o il mercoledì fino alle 19).

Passi anche che preferirei che si usasse meglio il sito Intenet del comune (sono passati due anni e di quello nuovo si è vista solo una bozza pubblicata per sbaglio qualche tempo fa) anziché trovare (a mie spese) le lettere del sindaco nella cassetta della posta.

Vorrei però conoscere chi ha realizzato/stampato la tabella degli orari e chi ne ha approvato la spedizione:

1) Mi hai fatto gli auguri lunedì

Bene, ti stimo! Che sia stato via mail, SMS, telefono o piccione viaggiatore è indifferente.

2) Non mi hai cagato neanche di striscio

Non posso biasimarti, sono il primo a dimenticare le ricorrenze. Pazienza, sarà per l’anno prossimo

3) Ti sei fidato di Facebook, eh?

Ahi ahi ahi!

• a) “Ehi! Non potevo saperlo!“: ti stimo quanto quelli al punto (1). Se poi hai evitato il banale messaggio in bacheca o mi hai addirittura telefonato, ti stimo ancora di più.
• b) “Ehi! Potevo non saperlo!“: sei quasi salvo, ma il prossimo anno non sarà così semplice! Sempre che mi ricordi di inventare qualcosa di altrettanto simpatico, naturalmente.
• c) “Effettivamente avrei potuto saperlo…“: non leggi con attenzione le cazz… ehm… le interessanti considerazioni che decido di condividere quotidianamente con il mondo. D’ora in poi fai più attenzione, mi raccomando!
• d) “Effettivamente avrei dovuto saperlo…“: se sei mia cognata o se lunedì hai visto/assaggiato i pasticcini in ufficio non hai scuse. Vergogna!
• e) “L’avevo detto io!“: ti sei distinto dalla massa notando pubblicamente qualcosa di strano. Bene, molto bene! Ancora meglio di quelli al punto (1)
• f) “Felice giorno dell’uccello“: ho riso per svariati minuti, sei perdonato!

Si salva in corner chi parla di un generico “ritardissimo”. La mia bacheca torna ad essere off-limits, se ne avete il coraggio giustificatevi nei commenti. Passo e chiudo!

Let’s face it, System Administrators get no respect 364 days a year. This is the day that all fellow System Administrators across the globe, will be showered with expensive sports cars and large piles of cash in appreciation of their diligent work. But seriously, we are asking for a nice token gift and some public acknowledgement. It’s the least you could do.

Ringraziate i vostri sysadmin, stupide scimmie cliccanti! Noi, gente di un certo livello, questa sera festeggeremo con una cena a base di carne sanguinolenta e storie della grande guerra.

Alla faccia vostra!