Mac OS X Server Open Directory Administration Für Version 10.5 Leopard

Transkript

1 Mac OS X Server Open Directory Administration Für Version 10.5 Leopard

2 apple Apple Inc Apple Inc. Alle Rechte vorbehalten. Der Eigentümer oder autorisierte Benutzer einer gültigen Kopie der Mac OS X Server-Software darf diese Publikation zum Zweck der Unterrichtung in die Verwendung der Software reproduzieren. Diese Lizenz darf jedoch weder insgesamt noch in Auszügen für kommerzielle Zwecke vervielfältigt oder übertragen werden. Hierzu gehören beispielsweise der Verkauf von Kopien oder das Erbringen von Support-Dienstleistungen gegen Entgelt. Ansprüche gegenüber Apple Inc. in Anlehnung an die in diesem Handbuch beschriebenen Hard- oder Softwareprodukte richten sich ausschließlich nach den Bestimmungen der Garantiekarte. Apple Inc. übernimmt keine Haftung für Druck- oder Schreibfehler. Apple GmbH, Arnulfstraße 19, D München, Telefon: 089/ Apple Ges. mbh, Landstrasser Hauptstraße 71/1.Stock, A-1030 Wien, Telefon: 01/ Apple Switzerland AG, Birgistrasse 4 a, CH-8304 Wallisellen, Telefon: 01/ Apple, das Apple-Logo, Mac, Macintosh, Xgrid und Xserve sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. Finder ist eine Marke der Apple Inc. Adobe und PostScript sind Marken der Adobe Systems Incorporated. UNIX ist eine eingetragene Marke von The Open Group. Die Rechte an anderen in diesem Handbuch erwähnten Marken- und Produktnamen liegen bei ihren Inhabern und werden hiermit anerkannt. Die Nennung von Produkten, die nicht von Apple sind, dient ausschließlich Informationszwecken und stellt keine Werbung dar. Apple übernimmt keine Gewähr im Hinblick auf Leistung oder Verwendbarkeit dieser Produkte. D / September 2007 Internet: Das Apple-Logo ist eine in den USA und weiteren Ländern eingetragene Marke der Apple Inc. Die Verwendung des über die Tastatur erzeugten Apple-Logos für kommerzielle Zwecke ohne vorherige Genehmigung von Apple kann als Markenmissbrauch und unlauterer Wettbewerb gerichtlich verfolgt werden.

3 1 Inhalt Vorwort 11 Über dieses Handbuch 12 Neue Merkmale und Funktionen in Version Überblick 14 Verwenden dieses Handbuchs 15 Verwenden der Online-Hilfe 16 Dokumentation zu Mac OS X Server 17 Anzeigen von PDF-Handbüchern auf dem Bildschirm 18 Drucken der PDF-Handbücher 18 Laden von Aktualisierungen für die Dokumentation 19 Weitere Informationsmöglichkeiten Kapitel 1 21 Verzeichnisdienste mit Open Directory 21 Vorteile der Verwendung von Verzeichnisdiensten 22 Verzeichnisdienste und Verzeichnis-Domains 23 Geschichtlicher Hintergrund 23 Datenkonsolidierung 25 Datenverteilung 26 Anwendungsmöglichkeiten für Verzeichnisdaten 28 Zugriff auf Verzeichnisdienste 28 Hintergrundinformationen zu einer Verzeichnis-Domain 29 Die Struktur von LDAP-Verzeichnisinformationen 30 Lokale und gemeinsam genutzte Verzeichnis-Domains 30 Informationen zur lokalen Verzeichnis-Domain 31 Informationen zu gemeinsam genutzten Verzeichnis-Domains 33 Gemeinsam genutzte Daten in vorhandenen Verzeichnis-Domains 33 SMB-Dienste und Open Directory 33 Open Directory als primärer Domain-Controller (PDC) 35 Open Directory als BDC 3

4 Kapitel 2 37 Open Directory-Suchpfade 37 Suchpfadebenen 37 Suchpfad für eine lokale Verzeichnis-Domain 38 Zweistufige Suchpfade 40 Mehrstufige Suchpfade 41 Automatische Suchpfade 43 Spezielle Suchpfade 43 Suchpfade für Identifizierung und Kontakte Kapitel 3 45 Open Directory-Identifizierung 46 Kennworttypen 46 Identifizierung und Berechtigung 47 Open Directory-Kennwörter 47 Shadow -Kennwörter 48 Crypt -Kennwörter 48 Bereitstellen einer sicheren Identifizierung für Windows-Benutzer 49 Offline-Angriffe auf Kennwörter 50 Bestimmen der zu verwendenden Option zur Identifizierung 51 Kennwortrichtlinien 52 Gesamtauthentifizierung 53 Kerberos-Identifizierung 54 Beseitigen von Schwierigkeiten bei der Kerberos-Implementierung 55 Ablauf der Gesamtauthentifizierung 55 Sichere Identifizierung 56 Zusätzliche Möglichkeiten neben Kennwörtern 56 Identifizierung auf mehreren Plattformen 56 Zentrale Identifizierung 57 Kerberos-orientierte Dienste 57 Konfigurieren von Diensten für Kerberos nach einer Aktualisierung 58 Kerberos-Prinzipale und Realms (Bereiche) 58 Ablauf der Kerberos-Identifizierung 60 Identifizierungsmethoden von Open Directory-Kennwortserver und Shadow -Kennwörtern 61 Deaktivieren von Identifizierungsmethoden von Open Directory 62 Deaktivieren von Identifizierungsmethoden mit Shadow -Kennwörtern 64 Inhalt der Datenbank des Open Directory-Kennwortservers 64 Identifizierte LDAP-Verzeichnisbindung Kapitel 4 67 Programme zur Planung und Verwaltung von Open Directory 68 Allgemeine Richtlinien für die Planung 71 Abschätzen der Anforderungen für Verzeichnisse und Identifizierung 72 Festlegen von Servern für gemeinsam genutzte Domains 73 Replizieren von Open Directory-Diensten 4 Inhalt

5 74 Replikgruppen 74 Kaskadierende Replikation 76 Planen der Aktualisierung mehrerer Open Directory-Repliken 76 Lastenverteilung in kleinen, mittleren und großen Umgebungen 76 Replikation in einer Umgebung mit mehreren Gebäuden 77 Verwenden eines Open Directory-Masters, einer Open Directory-Replik oder eines Open Directory-Relais mit NAT 78 Kompatibilität von Open Directory-Master und -Replik 78 Integrieren von Active Directory, einem Open Directory-Master und Replikdiensten in einem gemeinsamen System 80 Integrieren mit vorhandenen Verzeichnis-Domains 81 Integrieren ohne Schemaänderungen 82 Integrieren mit Schemaänderungen 82 Vermeiden von Kerberos-Konflikten bei Vorliegen mehrerer Verzeichnisse 84 Optimieren von Leistung und Redundanz 85 Open Directory-Sicherheit 86 SACLs (Service Access Control Lists) 87 Gestufte Verwaltung 88 Programme zum Verwalten von Open Directory-Diensten 88 Programm Server-Admin 89 Verzeichnisdienste 90 Arbeitsgruppenmanager 90 Befehlszeilenprogramme Kapitel 5 91 Konfigurieren von Open Directory-Diensten 91 Konfigurationsübersicht 93 Vorbereitung 93 Verwalten von Open Directory auf einem entfernten Server 94 Aktivieren von Open Directory 94 Konfigurieren eines eigenständigen Verzeichnisdiensts 95 Konfigurieren eines Open Directory-Masters 98 Beschreiben des Anmeldevorgangs für Benutzer 98 Konfigurieren eines primären Domain-Controllers (PDC) 100 Konfigurieren von Windows Vista für die Domain-Anmeldung 100 Konfigurieren von Windows XP für die Domain-Anmeldung 101 Konfigurieren von Windows 2000 für die Domain-Anmeldung 102 Konfigurieren einer Open Directory-Replik 104 Erstellen mehrerer Repliken eines Open Directory-Masters 105 Konfigurieren von Open Directory-Relais für die kaskadierende Replikation 105 Konfigurieren eines Servers als BDC 106 Konfigurieren der Open Directory-Ausfallumschaltung (Failover) Inhalt 5

6 107 Konfigurieren einer Verbindung zu einem Verzeichnisserver 109 Konfigurieren eines Servers als Domain-Mitglied des Mac OS X Server-PDCs 110 Konfigurieren eines Servers als Active Directory-Domain-Mitglied 112 Konfigurieren der Kerberos-Identifizierung mit Gesamtauthentifizierung 113 Konfigurieren eines Open Directory-Kerberos-Realms 114 Starten von Kerberos nach der Konfiguration eines Open Directory-Masters 115 Delegieren der Berechtigung zum Hinzufügen eines Objekts zu einem Open Directory-Kerberos-Realm 118 Hinzufügen eines Servers zu einem Kerberos-Realm Kapitel Verwalten der Daten für die Benutzeridentifizierung 120 Definieren eines Kennworts 121 Ändern des Kennworts eines Benutzers 122 Zurücksetzen der Kennwörter mehrerer Benutzer 123 Ändern des Kennworttyps eines Benutzers 123 Ändern des Kennworttyps in Open Directory 125 Ändern des Kennworttyps in Crypt -Kennwort 126 Ändern des Kennworttyps in Shadow -Kennwort 127 Aktivieren der Kerberos-Identifizierung mit Gesamtauthentifizierung für einen Benutzer 127 Ändern der globalen Kennwortrichtlinie 128 Festlegen von Kennwortrichtlinien für einzelne Benutzer 130 Auswählen von Identifizierungsmethoden für Benutzer von Shadow -Kennwörtern 131 Auswählen von Identifizierungsmethoden für Open Directory-Kennwörter 132 Zuweisen von Administratorrechten für die Open Directory-Identifizierung 133 Synchronisieren der Kennwörter des primären Administrators 133 Aktivieren der identifizierten LDAP-Verzeichnisbindung für einen Benutzer 134 Einstellen von Kennwörtern von exportierten oder importierten Benutzer-Accounts 135 Umstellen von Kennwörtern von Mac OS X Server 10.1 (oder älter) Kapitel Verwalten von Verzeichnis-Clients 137 Verbinden von Clients mit Verzeichnisservern 137 Verbindungen mit Verzeichnisservern 138 Automatisierte Client-Konfiguration 139 Hinzufügen einer Verbindung zu einem Active Directory-Server 140 Hinzufügen einer Verbindung zu einem Open Directory-Server 140 Entfernen einer Verbindung zu einem Verzeichnisserver 141 Bearbeiten einer Verbindung zu einem Verzeichnisserver 141 Überwachen von Verbindungen mit Verzeichnisservern 141 Verwalten des root-benutzer-accounts 142 Aktivieren des root-benutzer-accounts 142 Ändern des Kennwort des root-benutzer-accounts 6 Inhalt

7 Kapitel Erweiterte Einstellungen für Directory-Clients 146 Erweiterte Einstellungen des Programms Verzeichnisdienste 146 Einrichten des Programms Verzeichnisdienste per Fernzugriff auf einem Server 147 Konfigurieren von Aktivierungen für die lokale Verzeichnis-Domain eines Computers 147 Hinzufügen einer Aktivierung zur lokalen Verzeichnis-Domain 148 Entfernen von Aktivierungen aus der lokalen Verzeichnis-Domain 148 Bearbeiten einer Aktivierung in der lokalen Verzeichnis-Domain 149 Verwenden von erweiterten Einstellungen für Suchpfade 150 Definieren von automatischen Suchpfaden 151 Definieren von eigenen Suchpfaden 152 Definieren von Suchpfaden für das lokale Verzeichnis 153 Warten, bis die Änderung eines Suchpfads wirksam wird 153 Schützen von Computern vor unberechtigten Zugriffen über einen DHCP-Server 154 Verwenden erweiterter Einstellungen des Programms Verzeichnisdienste 154 Aktivieren oder Deaktivieren des Active Directory-Diensts 154 Aktivieren oder Deaktivieren von LDAP-Verzeichnisdiensten 155 Verwenden erweiterter Einstellungen für den LDAP-Dienst 156 Zugreifen auf LDAP-Verzeichnisse mit den Programmen Mail und Adressbuch 156 Aktivieren oder Deaktivieren eines von DHCP bereitgestellten LDAP-Verzeichnisses 158 Ein- oder Ausblenden von Konfigurationen für LDAP-Server 158 Konfigurieren des Zugriffs auf ein LDAP-Verzeichnis 161 Konfigurieren des manuellen Zugriffs auf ein LDAP-Verzeichnis 164 Ändern einer Konfiguration für den Zugriff auf ein LDAP-Verzeichnis 165 Duplizieren einer Konfiguration für den Zugriff auf ein LDAP-Verzeichnis 168 Löschen einer Konfiguration für den Zugriff auf ein LDAP-Verzeichnis 169 Ändern der Verbindungseinstellungen für ein LDAP-Verzeichnis 170 Ändern der Sicherheitsrichtlinie für eine LDAP-Verbindung 172 Konfigurieren von LDAP-Suchen und -Zuordnungen 175 Einrichten vertrauenswürdiger Bindungen für ein LDAP-Verzeichnis 177 Stoppen der vertrauenswürdigen Bindung zu einem LDAP-Verzeichnis 178 Ändern des Zeitlimits für Öffnen & Schließen einer LDAP-Verbindung 178 Ändern des Zeitlimits für Abfragen einer LDAP-Verbindung 179 Ändern der Verzögerungszeit für erneute Versuche einer LDAP-Verbindung 179 Ändern des Zeitlimits für eine inaktive LDAP-Verbindung 180 Erzwingen von schreibgeschütztem LDAPv2-Zugriff 180 Ignorieren von LDAP-Server-Verweisen 181 Identifizieren einer LDAP-Verbindung 181 Ändern des Kennworts für die Identifizierung einer LDAP-Verbindung 182 Zuordnen von Config -Datensatzattributen für LDAP-Verzeichnisse 182 Bearbeiten der RFC 2307-Zuordnung zum Aktivieren der Benutzererstellung 184 Vorbereiten eines schreibgeschützten LDAP-Verzeichnisses für Mac OS X 184 Füllen von LDAP-Verzeichnissen mit Daten für Mac OS X Inhalt 7

8 185 Verwenden erweiterter Einstellungen des Active Directory-Diensts 186 Zugriff auf Active Directory 188 Konfigurieren des Zugriffs auf eine Active Directory-Domain 191 Einrichten mobiler Benutzer-Accounts in Active Directory 192 Einrichten von Benutzerordnern für Active Directory-Benutzer-Accounts 193 Einrichten einer UNIX Shell für Active Directory-Benutzer-Accounts 194 Zuordnen der Benutzerkennung (UID) zu einem Active Directory-Attribut 195 Zuordnen der Primärgruppen-ID zu einem Active Directory-Attribut 196 Zuordnen der Gruppen-ID in Gruppen-Accounts zu einem Active Directory-Attribut 197 Angeben eines bevorzugten Active Directory-Servers 197 Ändern der Active Directory-Gruppen, die den Computer verwalten können 198 Steuern der Identifizierung von allen Domains in einer Active Directory- Gesamtstruktur 199 Lösen der Bindung zum Active Directory-Server 200 Bearbeiten von Benutzer-Accounts und anderen Datensätzen in Active Directory 200 Konfigurieren des LDAP-Zugriffs auf Active Directory-Domains 202 Festlegen von NIS-Einstellungen 203 Festlegen von Einstellungen für BSD-Konfigurationsdateien 204 Konfigurieren von Daten in BSD-Konfigurationsdateien Kapitel Pflegen von Open Directory-Diensten 205 Zugriffssteuerung für Open Directory-Server und -Dienste 206 Zugriffssteuerung für das Anmeldefenster eines Servers 206 Zugriffssteuerung für den SSH-Dienst 207 Konfigurieren der Zugriffssteuerung für Dienste 208 Konfigurieren von Zugriffsrechten für Ressourcen 209 Überwachen von Open Directory 210 Überprüfen des Status eines Open Directory-Servers 210 Überwachen von Repliken und Relais eines Open Directory-Masters 210 Anzeigen von Open Directory-Status und -Protokollen 211 Überwachen der Open Directory-Identifizierung 212 Anzeigen und Bearbeiten von Verzeichnisdaten 212 Einblenden der Verzeichnisdetailansicht 213 Ausblenden der Detailansicht 213 Konfigurieren der Zugriffssteuerung für die Verzeichnisdienste 214 Löschen von Einträgen 214 Löschen von Benutzern oder Computern mithilfe des Fensters Detailansicht oder der Befehlszeile 215 Ändern des Kurznamens eines Benutzers 216 Importieren von Einträgen beliebigen Typs 8 Inhalt

9 217 Festlegen von Optionen für einen Open Directory-Server 217 Festlegen einer Bindungsrichtlinie für einen Open Directory-Server 218 Festlegen einer Sicherheitsrichtlinie für einen Open Directory-Server 220 Ändern des Speicherorts einer LDAP-Datenbank 221 Beschränken der Suchergebnisse für den LDAP-Dienst 221 Festlegen eines Zeitlimits für Suchvorgänge für den LDAP-Dienst 222 Konfigurieren von SSL für den LDAP-Dienst 222 Erstellen einer angepassten SSL-Konfiguration für LDAP 224 Verwalten der Open Directory-Replikation 224 Planen der Replikation eines Open Directory-Masters oder primären Domain- Controllers (PDC) 225 Synchronisieren einer Open Directory-Replik oder eines BDCs bei Bedarf 226 Umwandeln einer Open Directory-Replik in ein Relais 226 Umwandeln einer Open Directory-Replik in einen Master 229 Deaktivieren einer Open Directory-Replik 230 Archivieren eines Open Directory-Masters 231 Wiederherstellen eines Open Directory-Masters Kapitel Fehlerbeseitigung 235 Fehlerbeseitigung bei Open Directory-Master und -Repliken 235 Kerberos ist auf einem Open Directory-Master oder einer Replik gestoppt 236 Das Erstellen einer Open Directory-Replik ist nicht möglich 236 Das Erstellen eines Open Directory-Masters oder einer Replik aus einer Konfigurationsdatei ist nicht möglich 237 Eine Replik lässt sich nicht mit einem Relais verbinden 237 Das Hinzufügen einer Open Directory-Replik zu einem Open Directory-Server, der einem Active Directory-Server untergeordnet ist, ist nicht möglich 237 Beseitigen von Problemen mit Verzeichnisverbindungen 237 Beim Start kommt es zu Verzögerungen 238 Fehlerbeseitigung bei der Identifizierung 238 Das Open Directory-Kennwort eines Benutzers lässt sich nicht ändern 238 Ein Benutzer kann auf bestimmte Dienste nicht zugreifen 238 Ein Benutzer kann sich nicht für den VPN-Dienst identifizieren 239 Der Kennworttyp eines Benutzers kann nicht in Open Directory geändert werden 239 Benutzer, die einen Kennwortserver verwenden, können sich nicht anmelden 239 Benutzer mit Accounts in einer freigegebenen Verzeichnis-Domain können sich nicht anmelden 240 Das Anmelden als Active Directory-Benutzer ist nicht möglich 240 Benutzer können sich nicht mit der Kerberos-Identifizierung für die Gesamtauthentifizierung identifizieren 242 Benutzer können ihre Kennwörter nicht ändern 242 Ein Server lässt sich einem Open Directory-Kerberos-Realm nicht hinzufügen 243 Sie müssen ein Administratorkennwort zurücksetzen Inhalt 9

10 Anhang 245 Mac OS X-Verzeichnisdaten 246 Open Directory-Erweiterungen des LDAP-Schemas 247 Objektklassen im Open Directory-LDAP-Schema 256 Attribute im Open Directory-LDAP-Schema 277 Zuweisen von Standard-Datensatztypen und -Attributen zu LDAP und Active Directory 278 Zuordnungen für Users 282 Zuordnungen für Groups 283 Zuordnungen für Mounts 284 Zuordnungen für Computers 285 Zuordnungen für ComputerLists 286 Zuordnungen für Config 287 Zuordnungen für People 289 Zuordnungen für PresetComputerLists 289 Zuordnungen für PresetGroups 290 Zuordnungen für PresetUsers 292 Zuordnungen für Printers 293 Zuordnungen für AutoServerSetup 294 Zuordnungen für Locations 294 Standardmäßige Open Directory-Datensatztypen und -attribute 295 Standardattribute in Benutzerdatensätzen 300 Standardattribute in Gruppendatensätzen 302 Standardattribute in Computerdatensätzen 303 Standardattribute in Computergruppen-Datensätzen 303 Standardattribute in Mount-Datensätzen 304 Standardattribute in Config-Datensätzen Glossar 305 Index Inhalt

11 Über dieses Handbuch Vorwort In diesem Handbuch werden die Verzeichnis- und Identifizierungsdienste beschrieben, die Sie mithilfe von Mac OS X Server konfigurieren können. Außerdem finden Sie hier Informationen zum Konfigurieren von Mac OS X Serverund Mac OS X-Client-Computern für Verzeichnisdienste. Open Directory von Mac OS X Server bietet Verzeichnis- und Identifizierungsdienste für gemischte Netzwerke mit Mac OS X-, Windows- und UNIX-Computern. Open Directory verwendet OpenLDAP, die Open-Source-Implementierung von LDAP (Lightweight Directory Access Protocol), um Verzeichnisdienste bereitzustellen. Es ist mit anderen auf Standards basierenden LDAP-Servern kompatibel und kann mit proprietären Diensten wie Active Directory von Microsoft und edirectory von Novell integriert werden. Für das Backend der LDAP-Datenbank verwendet Open Directory die Open-Source- Datenbank Berkeley DB. Hierbei handelt es sich um eine äußerst skalierbare Datenbank für eine höchst leistungsfähige Indizierung von Hunderttausenden Benutzer- Accounts und anderen Datensätzen. Mithilfe von Open Directory-Plug-Ins kann ein Mac OS X-Client oder Mac OS X Server- Computer Berechtigungsinformationen über Benutzer und Netzwerkressourcen auf beliebigen LDAP-Servern lesen und schreiben sogar vom Microsoft-spezifischen Active Directory-Server. Der Server kann auch auf Datensätze in älteren Verzeichnissen wie NIS und lokalen BSD-Konfigurationsdateien (/etc) zugreifen. 11

12 Open Directory stellt zudem Dienste für Anmeldung und Identifizierung bereit. Open Directory kann die Kennwörter von Benutzern sicher speichern und überprüfen, die sich bei Client-Computern in Ihrem Netzwerk anmelden oder andere Netzwerk-Ressourcen verwenden möchten, für die eine Identifizierung erforderlich ist. Open Directory kann solche Richtlinien mithilfe von ablaufenden Kennwörtern und Anforderungen an die minimale Kennwortlänge umsetzen. Zudem kann Open Directory Benutzer von Windows-Computern für die Domain-Anmeldung (auch: Domänen-Anmeldung), den Dateidienst und andere von Mac OS X Server bereitgestellte Windows-Dienste (SMB-Dienste) identifizieren. Ein MIT Kerberos-KDC (Key Distribution Center) ist vollständig in Open Directory integriert und bietet eine zuverlässige Identifizierung mit Unterstützung für eine sichere Gesamtauthentifizierung (Single Sign-On). Das bedeutet, dass sich Benutzer nur einmal mit einem einzigen Benutzernamen und Kennwort anmelden müssen, um auf alle Kerberos-fähigen Netzwerkdienste zugreifen zu können. Bei Diensten, die die Kerberos-Identifizierung nicht unterstützen, ermittelt der integrierte SASL-Dienst (Secure Authentication and Service Layer) die Identifizierungsmethode mit der höchsten Sicherheit. Zudem wird die Verfügbarkeit und Skalierbarkeit durch die Verzeichnis- und Identifizierungsreplikation maximiert. Durch das Erstellen von Repliken von Open Directory- Servern können Sie ganz einfach Server für die Ausfallumschaltung und entfernte Server für eine schnelle Client-Interaktion in verteilten Netzwerken nutzen. Neue Merkmale und Funktionen in Version 10.5 Mac OS X Server Version 10.5 bietet die folgenden grundlegenden Verbesserungen bei Open Directory: Â Vereinfachte Konfiguration des LDAPv3-Zugriffs: Das Programm Verzeichnisdienste unterstützt Sie bei der Konfiguration einer Verbindung zu einem LDAP- Verzeichnis. Â Verbesserte Oberfläche des Programms Server-Admin : Server-Admin verfügt nun über eine benutzerfreundlichere Oberfläche. Â Verbesserte Identifizierung: Sie können einen Mac OS X-Open Directory-Server mit einem Active Directory-Server verbinden und eine Domain-übergreifende Identifizierung nutzen. Â Verbesserter LDAP-Server: Mac OS X Server 10.5 verwendet OpenLDAP Version 2.3.x und Berkeley DB Version Vorwort Über dieses Handbuch

13 Â Verbesserte lokale Domain: Mac OS X verwendet eine lokale Verzeichnis-Domain für die lokale Computeridentifizierung. Â Verbesserte Replikation: Sie können eine zweistufige Replikation eines einzelnen Masters nutzen (auch als kaskadierende Replikation bezeichnet). Hierdurch stehen Ihnen bis zu 1056 Repliken eines einzelnen Open Directory-Masters und effizientere Replikgruppen oder eine effizientere Replikauswahl für Kennwortserver, LDAP und Kerberos zur Verfügung. Â Verbesserte Verwaltung: Durch die Verwendung einer gestuften Verwaltung profitieren Sie bei der Verwaltung von Verzeichnis-Domains von einer höheren Skalierbarkeit. Â Verbesserte Unterstützung für Programme: Sie können Open Directory mit Programmen wie Apple Wiki verwenden. Überblick Dieses Handbuch ist wie folgt untergliedert: Â Kapitel 1 Verzeichnisdienste mit Open Directory erklärt, was Verzeichnis-Domains sind und wie sie verwendet und strukturiert werden. Â Kapitel 2 Open Directory-Suchpfade beschreibt Suchpfade mit einer oder mehreren Verzeichnis-Domains sowie automatische, angepasste und rein lokale Suchpfade. Â Kapitel 3 Open Directory-Identifizierung beschreibt die Open Directory-Identifizierung, Shadow - und Crypt -Kennwörter, Kerberos, die LDAP-Bindung und die Gesamtauthentifizierung. Â Kapitel 4 Programme zur Planung und Verwaltung von Open Directory hilft Ihnen, Ihre Anforderungen an Verzeichnis-Domains zu ermitteln, Anforderungen an Verzeichnisse und Identifizierung abzuschätzen, Server als Hosts für gemeinsam genutzte Domains festzulegen, Leistung und Redundanz zu verbessern, mit dem Thema Replikation in einer Umgebung mit mehreren Gebäuden umzugehen und Ihre Open Directory-Dienste sicher zu machen. Dieses Kapitel stellt auch die Werkzeuge vor, die Sie zur Verwaltung von Open Directory-Diensten verwenden. Â Kapitel 5 Konfigurieren von Open Directory-Diensten enthält Informationen zum Konfigurieren eines Open Directory-Servers sowie zu den verfügbaren Konfigurationen und Funktionen. In diesem Kapitel wird auch erklärt, wie Sie Optionen des LDAP- Diensts eines Open Directory-Masters oder einer Open Directory-Replik festlegen und die Kerberos-Gesamtauthentifizierung auf einem Open Directory-Master einrichten. Â Kapitel 6 Verwalten der Daten für die Benutzeridentifizierung beschreibt, wie Sie Kennwortrichtlinien festlegen, den Kennworttyp eines Benutzers ändern, Administratorrechte für die Open Directory-Identifizierung zuweisen, Kennwörter importierter Benutzer-Accounts zurücksetzen und Kennwörter auf die Open Directory-Identifizierung umstellen. Vorwort Über dieses Handbuch 13

14 Â Kapitel 7 Verwalten von Verzeichnis-Clients erläutert die Verwendung des Programms Verzeichnisdienste zum Konfigurieren und Verwalten des Zugriffs von Mac OS X-Computern auf Verzeichnisdienste. Â Kapitel 8 Erweiterte Einstellungen für Directory-Clients umfasst Anleitungen zur Verwendung des Programms Verzeichnisdienste zum Aktivieren, Deaktivieren und Konfigurieren von Diensterkennungsprotokollen. In diesem Kapitel wird auch die Konfiguration von Suchpfaden für Identifizierung und Kontakte erklärt sowie die Konfiguration des Zugriffs auf Verzeichnis-Domains, u. a. LDAP-, Active Directory-, NIS- und BSD-Konfigurationsdateien. Â Kapitel 9 Pflegen von Open Directory-Diensten enthält Informationen zum Überwachen von Open Directory-Diensten, Anzeigen und Bearbeiten von Verzeichnisdaten mit dem Fenster Detailansicht, Archivieren eines Open Directory-Masters und Ausführen anderer Wartungsaufgaben für Verzeichnisse. Â Kapitel 10 Fehlerbeseitigung beschreibt gelegentlich auftretende Probleme und bietet Lösungsvorschläge, sollten bei der Arbeit mit Open Directory Probleme auftreten. Im Anhang Mac OS X-Verzeichnisdaten werden die Open Directory-Erweiterungen des LDAP-Schemas aufgelistet und die standardmäßigen Datensatztypen und -attribute von Mac OS X genannt. Im letzten Kapitel, dem Glossar, werden Begriffe definiert, die Sie in diesem Handbuch finden. Hinweis: Da Apple regelmäßig neue Versionen und Aktualisierungen von Software veröffentlicht, unterscheiden sich die Abbildungen in diesem Handbuch möglicherweise von Ihrer Bildschirmanzeige. Verwenden dieses Handbuchs Die Kapitel im vorliegenden Handbuch sind in der Reihenfolge angeordnet, in der Sie sie wahrscheinlich benötigen werden, wenn Sie Open Directory auf Ihrem Server konfigurieren und verwalten: Â Lesen Sie Kapitel 1 bis Kapitel 3, um sich mit den Open Directory-Konzepten vertraut zu machen: Verzeichnisdienste, Suchpfade und Identifizierung. Â Lesen Sie Kapitel 4, wenn Sie Verzeichnisdienste und die Identifizierung und Anmeldung per Kennwort für Ihr Netzwerk planen möchten. Â Lesen Sie nach Abschluss der Planung die Anleitungen in Kapitel 5, um Open Directory- Dienste einzurichten. Â Wenn Sie Kennwortrichtlinien definieren oder Kennworteinstellungen für einen Benutzer-Account ändern müssen, lesen Sie die Anleitungen in Kapitel Vorwort Über dieses Handbuch

15 Â Wenn Sie den Zugriff eines Mac OS X- oder Mac OS X Server-Computers auf Verzeichnis-Domains einrichten oder anpassen, befolgen Sie die Anleitungen in Kapitel 7. Â Zum Konfigurieren erweiterter Einstellungen für Benutzer mithilfe des Programms Verzeichnisdienste lesen Sie Kapitel 8. Â Ziehen Sie für die laufende Wartung von Verzeichnis- und Identifizierungsdiensten die Informationen in Kapitel 9 zu Rate. Â Sollten bei der Verwendung von Open Directory Probleme auftreten, lesen Sie Kapitel 10, um Näheres über mögliche Lösungen zu erfahren. Verwenden der Online-Hilfe Sie können aufgabenbezogene Anleitungen im Programm Help Viewer anzeigen, während Sie Leopard Server verwalten. Die Online-Hilfe können Sie auf dem Servercomputer oder auf einem Administratorcomputer anzeigen. (Ein Administratorcomputer ist ein Mac OS X-Computer mit installierter Leopard Server-Verwaltungssoftware.) Gehen Sie wie folgt vor, um bei einer erweiterten Konfiguration von Leopard Server die Online-Hilfe anzuzeigen: m Öffnen Sie das Programm Server-Admin oder den Arbeitsgruppenmanager und führen Sie danach einen der folgenden Schritte aus: Â Öffnen Sie das Menü Hilfe und suchen Sie nach Informationen über die Aufgabe, die Sie durchführen wollen. Â Wählen Sie Hilfe > Server-Admin-Hilfe bzw. Hilfe > Arbeitsgruppenmanager- Hilfe, um in der Hilfe zu blättern oder nach bestimmten Hilfethemen zu suchen. Die Online-Hilfe umfasst Anleitungen aus dem Handbuch Serveradministration und anderen Handbüchern für die erweiterte Verwaltung, die im Abschnitt Dokumentation zu Mac OS X Server auf Seite 16 genannt werden. Gehen Sie wie folgt vor, um die neusten Hilfethemen für den Server anzuzeigen: m Vergewissern Sie sich, dass der Server- bzw. der Administratorcomputer mit dem Internet verbunden ist, solange Sie auf die Online-Hilfe zugreifen. Das Programm Help Viewer lädt daraufhin automatisch die neusten Hilfethemen zum Server aus dem Internet und speichert sie im Cache. Wenn keine Verbindung zum Internet besteht, zeigt das Programm Help Viewer die im Cache gespeicherten Hilfethemen an. Vorwort Über dieses Handbuch 15

16 Dokumentation zu Mac OS X Server Im Handbuch Einführung wird das Installieren und Einrichten einer Standard- oder Arbeitsgruppenkonfiguration von Mac OS X Server beschrieben. Zu erweiterten Konfigurationen enthält das Handbuch Serveradministration Anleitungen für die vorbereitende Planung, die Installation, die Konfiguration und die generelle Serververwaltung. Eine Reihe ergänzender Handbücher beschäftigt sich mit Aspekten der Planung, Konfiguration und Verwaltung bestimmter Dienste. Die PDF-Versionen aller Handbücher stehen auf der folgenden Website für Mac OS X Server zum Laden bereit: Dieses Handbuch... Einführung und Arbeitsblatt für Installation & Konfiguration Command-Line Administration Dateidienste Administration ical-dienste Administration ichat-dienste Administration Mac OS X-Sicherheitskonfiguration Mac OS X Server-Sicherheitskonfiguration Mail-Dienste Administration Netzwerkdienste Administration Open Directory Administration Podcast-Produzent Administration Druckdienste Administration QuickTime Streaming und Broadcasting Administration Serveradministration behandelt folgende Themen: Installation von Mac OS X Server und erstmalige Konfiguration. Installieren, Einrichten und Verwalten von Mac OS X Server mittels UNIX-Befehlszeilen und UNIX-Konfigurationsdateien. Gemeinsame Nutzung von Serverlaufwerken (Volumes) und Serverordnern durch Clients auf Basis der Protokolle AFP, NFS, FTP und SMB. Einrichten und Verwalten des Diensts ical für die gemeinsame Kalendernutzung. Einrichten und Verwalten des Diensts ichat für die Instant- Messaging-Kommunikation. Erhöhen der Sicherheit für Mac OS X-Computer (Clients) [beispielsweise für Behörden und Unternehmenskunden]. Erhöhen der Sicherheit von Mac OS X Server und des Servercomputers [beispielsweise für Behörden und Unternehmenskunden] Konfigurieren und Verwalten von IMAP-, POP- und SMTP-Mail- Diensten auf dem Server. Einrichten, Konfigurieren und Verwalten der Dienste DHCP, DNS, VPN, NTP, IP-Firewall, NAT und RADIUS auf dem Servercomputer. Einrichten und Verwalten der Verzeichnis- und Identifizierungsdienste und Konfigurieren der Clients im Hinblick auf die Dienste eines Verzeichnisservers. Einrichten und Verwalten des Diensts Podcast-Produzent für die Aufnahme, Verarbeitung und Verteilung von Podcasts. Bereitstellen gemeinsam genutzter Drucker und Verwalten deren zugeordneter Wartelisten und Druckaufträge. Erfassen und Codieren von QuickTime-Inhalten. Konfigurieren und Verwalten des QuickTime-Streaming-Diensts zum Bereitstellen von Medien-Streams (live oder auf Anforderung). Ausführen einer erweiterten Installation und Konfiguration von Serversoftware und Verwalten von Optionen, die für mehrere Dienste oder den Server als Ganzes gelten. 16 Vorwort Über dieses Handbuch

17 Dieses Handbuch... System-Imaging- und Softwareaktualisierung Administration Aktualisieren und Migrieren Benutzerverwaltung Webtechnologie Administration Xgrid Administration und Hochleistungs-Computing Mac OS X Server Glossar behandelt folgende Themen: Automatisiertes Verwalten des Betriebssystems und anderer von Client-Computern genutzter Software mittels NetBoot, NetInstall und Softwareaktualisierung. Übernahme der Einstellungen für Daten und Dienste aus einer früheren Version von Mac OS X Server oder Windows NT Erstellen und Verwalten von Benutzer-Accounts, Gruppen und Computern. Konfigurieren verwalteter Einstellungen für Mac OS X-Clients. Einrichten und Verwalten von Webtechnologien (u. a. Web, Blog, Webmail, Wiki, MySQL, PHP, Ruby on Rails und WebDAV). Einrichten und Verwalten von Computer-Clustern aus Xserve- Systemen und Macintosh-Computern. Informationen zu Fachbegriffen, die im Zusammenhang mit Serverund Massenspeicherprodukten häufig verwendet werden. Anzeigen von PDF-Handbüchern auf dem Bildschirm Wenn Sie die PDF-Version eines der o. g. Dokumente auf Ihrem Bildschirm anzeigen, haben Sie folgende Möglichkeiten: Â Sie können die Lesezeichen einblenden, um den Aufbau und die Struktur des Dokuments zu sehen. Durch Klicken auf ein Lesezeichen können Sie direkt zum entsprechenden Abschnitt oder Kapitel blättern. Â Sie können ein Wort oder eine Wortgruppe eingeben, um alle Textstellen mit diesem Wort bzw. dieser Wortgruppe anzuzeigen. Durch Klicken auf einen Fundstelleneintrag können Sie direkt zu der jeweiligen Seite blättern. Â Sie können auf einen Querverweis klicken, um zu dem Abschnitt zu wechseln, auf den der Verweis Bezug nimmt. Sie können auf einen Weblink klicken, um die betreffende Website in Ihrem Browser zu öffnen. Vorwort Über dieses Handbuch 17

18 Drucken der PDF-Handbücher Wenn Sie ein Handbuch drucken, können Sie mit den folgenden Maßnahmen den Papier- und Toner- bzw. Tintenverbrauch reduzieren: Â Verzichten Sie darauf, die Titelseite zu drucken, um Toner bzw. Tinte einzusparen. Â Aktivieren Sie im Dialogfenster Drucken die Option für die Ausgabe in Graustufen oder in Schwarzweiß, um für die Ausgabe auf einem Farbdrucker nur schwarze(n) Tinte/Toner zu verwenden. Â Reduzieren Sie den Papierverbrauch, indem Sie auf jedem Blatt/Bogen mehrere Dokumentseiten drucken. Ändern Sie im Druckfenster die Größe auf 115 % (155 % für die Einführung). Wählen Sie dann Layout aus dem dritten Einblendmenü aus. Wählen Sie eine der nachfolgend angebotenen Einstellungen für die Option Beidseitig, wenn der Drucker die Duplexausgabe unterstützt. Andernfalls wählen Sie 2 aus dem Einblendmenü Seiten pro Blatt aus und wählen Sie optional Haarlinie aus dem Einblendmenü Rahmen aus. (Bei Verwendung von Mac OS X 10.4 oder neuer befindet sich die Einstellung Größe im Dialogfenster Papierformat und die Layouteinstellungen im Druckfenster.) Da das PDF-Seitenformat kleiner ist als standardmäßiges Druckerpapier, empfiehlt es sich u. U., die gedruckten Seiten auch dann zu vergrößern, wenn Sie nicht doppelseitig drucken. Ändern Sie im Druckfenster oder im Dialogfenster Papierformat die Größe auf 115 % (155 % für das Dokument Einführung, das im CD-Format vorliegt). Laden von Aktualisierungen für die Dokumentation Apple stellt in regelmäßigen Abständen überarbeitete Hilfethemen und Neuauflagen der Handbücher bereit. Dabei können neue Hilfethemen auch Aktualisierungen für die letzte Auflage eines Handbuchs enthalten. Â Vergewissern Sie sich, wenn Sie neue Online-Hilfethemen ansehen wollen, dass Ihr Server- oder Administratorcomputer mit dem Internet verbunden ist. Klicken Sie danach auf der Hauptseite der Online-Hilfe des verwendeten Programms auf Immer auf dem neusten Stand, um die neusten Hilfethemen zu laden. Â Besuchen Sie die folgende, für die Dokumentation von Mac OS X Server eingerichtete Website, wenn Sie die neusten Auflagen der Handbücher im PDF-Format laden möchten: 18 Vorwort Über dieses Handbuch

19 Weitere Informationsmöglichkeiten Für weitere Informationen stehen Ihnen die folgenden Ressourcen zur Verfügung: Â Bitte lesen -Dokumente wichtige Aktualisierungen und spezielle Informationen. Suchen Sie nach diesen Dokumenten auf den Server-CDs. Â Mac OS X Server-Website ( Zugang zu umfassenden Produkt- und Technologieinformationen. Â Mac OS X Server-Support-Website ( Zugriff auf Hunderte von Artikeln aus dem Apple Support-Bereich. Â Apple Service & Support-Website ( Zugriff auf Hunderte von Artikeln aus dem Apple Support-Bereich. Â Apple Training-Website ( von Trainern geführte und in freier Zeiteinteilung durchzuarbeitende Trainingseinheiten zur Förderung Ihrer Kenntnisse und Fähigkeiten bei der Serververwaltung. Â Apple-Website mit Diskussionsforen (discussions.apple.com) eine praktische Möglichkeit, Fragen, Kenntnisse und Ratschläge mit anderen Administratoren auszutauschen. Â Apple-Website mit Mailing-Listen ( abonnieren Sie Mailing- Listen, damit Sie mit anderen Administratoren via kommunizieren können. Â OpenLDAP-Website ( informieren Sie sich über die Open-Source- Software, mit deren Hilfe Open Directory LDAP-Verzeichnisdienste bereitstellt. Â MIT Kerberos-Website (web.mit.edu/kerberos/www) lesen Sie Hintergrundinformationen und technische Daten zu dem Protokoll, mit dem Open Directory eine sichere Gesamtauthentifizierung ermöglicht. Â Berkeley DB-Website ( lesen Sie Funktionsbeschreibungen und technische Dokumentation zu der Open-Source-Datenbank, die Open Directory für die Speicherung von LDAP-Verzeichnisdaten verwendet. Â RFC3377 Lightweight Directory Access Protocol (v3): Technical Specification ( führt eine Reihe mit acht weiteren RFC-Dokumenten (Request for Comment) mit zusammenfassenden Informationen und ausführlichen technischen Daten für das LDAPv3-Protokoll auf. Vorwort Über dieses Handbuch 19

20

21 1 Verzeichnisdienste mit Open Directory 1 Die Funktion von Verzeichnisdiensten besteht in der zentralen Bereitstellung von Informationen über Computerbenutzer und Netzwerkressourcen in einer Organisation. Vorteile der Verwendung von Verzeichnisdiensten Das Speichern von Verwaltungsdaten in einem zentralen Verzeichnis hat viele Vorteile:  Senkung des Aufwands für die Dateneingabe  Sicherstellung, dass Netzwerkdienste und -Clients über konsistente Informationen über Benutzer und Ressourcen verfügen  Vereinfachung der Verwaltung von Benutzern und Ressourcen  Bereitstellung von Identifizierungs-, Authentifizierungs- und Autorisierungsinformationen für andere Netzwerkdienste In Bildungs- und Unternehmensumgebungen sind Verzeichnisdienste eine ideale Methode zum Verwalten von Benutzern und Computerressourcen. Selbst Organisationen mit nur 10 Mitarbeitern können vom Einsatz eines Verzeichnisdiensts profitieren. Verzeichnisdienste sind doppelt nützlich: Sie vereinfachen die System- und Netzwerkverwaltung und erleichtern den Benutzern die Arbeit im Netzwerk. Mit Verzeichnisdiensten sind Administratoren in der Lage, Informationen über alle Benutzer, wie z. B. zugehörige Namen, Kennwörter und Speicherorte von Netzwerk- Benutzerordnern, zentral zu verwalten statt auf jedem einzelnen Computer. Verzeichnisdienste können auch zentralisierte Informationen über Drucker, Computer und andere Netzwerkressourcen verwalten. Durch das Zentralisieren der Informationen über Benutzer und Ressourcen lässt sich der Verwaltungsaufwand für Systemadministratoren senken. Außerdem verfügt jeder Benutzer über einen zentralisierten Benutzer-Account, um sich an jedem autorisierten Computer im Netzwerk anzumelden. 21

22 Mit einem zentralisierten Verzeichnisdienst und einem für Netzwerk-Benutzerordner konfigurierten Dateidienst stehen einem Benutzer unabhängig davon, wo er sich anmeldet, stets derselbe Benutzerordner, derselbe personalisierte Schreibtisch und dieselben individuellen Einstellungen zur Verfügung. Der Benutzer hat immer Zugriff auf persönliche Dateien im Netzwerk und kann autorisierte Netzwerkressourcen leicht finden und verwenden. Verzeichnisdienste und Verzeichnis-Domains Ein Verzeichnisdienst funktioniert wie ein Mittler zwischen Programm- bzw. Systemsoftwareprozessen, die Informationen zu Benutzern und Ressourcen benötigen, und den Verzeichnis-Domains (auch: Verzeichnis-Domänen), die diese Informationen enthalten. Wie die folgende Abbildung zeigt, stellt Open Directory Verzeichnisdienste für Mac OS X und Mac OS X Server bereit. Gruppen Benutzer Drucker Computer Aktivierte Volumes Verzeichnis- Domains Open Directory Programm- und Systemsoftwareprozesse Open Directory kann auf Informationen in mindestens einer Verzeichnis-Domain zugreifen. In Verzeichnis-Domains sind Informationen in einer speziellen Datenbank gespeichert, die für die Verarbeitung vieler Anfragen und für das schnelle Auffinden und Abrufen von Informationen optimiert wurde. Auf Mac OS X-Computern ausgeführte Prozesse können Open Directory-Dienste verwenden, um Informationen in Verzeichnis-Domains zu speichern. Wenn Sie zum Beispiel mit dem Arbeitsgruppenmanager einen Benutzer-Account erstellen, speichert Open Directory den Benutzernamen und andere Account-Informationen in einer Verzeichnis-Domain. Informationen zu Benutzer-Accounts können Sie anschließend im Arbeitsgruppenmanager prüfen, der Open Directory verwendet, um diese Informationen aus einer Verzeichnis-Domain abzurufen. 22 Kapitel 1 Verzeichnisdienste mit Open Directory

23 Andere Programm- und Systemsoftwareprozesse können die in Verzeichnis-Domains gespeicherten Benutzer-Account-Informationen ebenfalls verwenden. Wenn ein Benutzer versucht, sich an einem Mac OS X-Computer anzumelden, verwendet der Anmeldeprozess Open Directory-Dienste, um Benutzernamen und Kennwort zu prüfen: Ver zeichnis- Domain Arbeitsgruppenmanager Open Directory Geschichtlicher Hintergrund Wie Mac OS X geht auch Open Directory auf UNIX zurück. Open Directory bietet Zugriff auf Verwaltungsdaten, die bei UNIX-Systemen gewöhnlich in Konfigurationsdateien gespeichert sind, die einen hohen Verwaltungsaufwand verursachen. (Manche UNIX- Systeme benutzen immer noch Konfigurationsdateien.) Open Directory übernimmt die Konsolidierung und Verteilung der Daten, was einen einfacheren Zugriff und eine einfachere Verwaltung ermöglicht. Datenkonsolidierung Seit Langem werden Verwaltungsinformationen bei UNIX-Systemen in einer Sammlung von Dateien im Ordner /etc gespeichert, wie in der folgenden Abbildung dargestellt. /etc/group /etc/hosts UNIX-Prozesse /etc/master.passwd Kapitel 1 Verzeichnisdienste mit Open Directory 23

24 Dieses Schema erforderte, dass jeder UNIX-Computer über seinen eigenen Satz Dateien verfügte, und Prozesse, die auf einem UNIX-Computer ausgeführt wurden, dessen Dateien lasen, wenn sie Verwaltungsinformationen benötigten. Wenn Sie über UNIX-Erfahrung verfügen, kennen Sie wahrscheinlich die Dateien im Verzeichnis /etc group, hosts, hosts.eqiv, master.passwd etc. Ein UNIX-Prozess beispielsweise, der das Kennwort eines Benutzers prüfen muss, nutzt die Datei /etc/ master.passwd. Die Datei /etc/master.passwd enthält einen Eintrag für jeden Benutzer-Account. Ein UNIX-Prozess, der Gruppeninformationen benötigt, zieht die Datei /etc/group zu Rate. Open Directory konsolidiert Verwaltungsinformationen und vereinfacht so das Zusammenspiel zwischen Prozessen und den von ihnen erstellten und verwendeten Verwaltungsdaten: Open Directory Mac OS X-Prozesse Prozesse müssen nicht länger wissen, wie und wo administrative Daten gespeichert sind. Open Directory ruft die Daten für sie ab. Wenn ein Prozess den Speicherort des Benutzerordners für einen Benutzer benötigt, ruft er die entsprechenden Informationen über Open Directory ab. Open Directory sucht die angefragten Informationen und meldet sie zurück. Detaillierte Angaben dazu, wie die Informationen gespeichert sind, werden dabei weggefiltert, wie die folgende Abbildung veranschaulicht. Ver- zeichnis- Domain Ver- zeichnis- Domain Open Directory Mac OS X-Prozesse 24 Kapitel 1 Verzeichnisdienste mit Open Directory

25 Wenn Sie Open Directory für den Zugriff auf Verwaltungsdaten mehrerer Verzeichnis- Domains konfigurieren, nutzt Open Directory die Domains wie erforderlich. Einige in einer Verzeichnis-Domain gespeicherte Daten entsprechen den in UNIX-Konfigurationsdateien gespeicherten Daten. Beispielsweise werden der Speicherort des Benutzerordners, der vollständige Name, die Benutzer-ID und die Gruppen-ID in den Benutzereinträgen einer Verzeichnis-Domain gespeichert statt in der Standarddatei /etc/passwd. Eine Verzeichnis-Domain speichert jedoch wesentlich mehr Daten, um Funktionen zu unterstützen, die es nur in Mac OS X gibt, wie z. B. Unterstützung für die Verwaltung von Mac OS X-Client-Computern. Datenverteilung Charakteristisch für UNIX-Konfigurationsdateien ist, dass die enthaltenen Verwaltungsdaten nur für die Computer verfügbar sind, auf denen sie gespeichert wurden. Jeder Computer hat seine eigenen UNIX-Konfigurationsdateien. Bei UNIX-Konfigurationsdateien müssen auf jedem Computer, den ein Benutzer verwenden will, die Benutzer-Account-Einstellungen dieses Benutzers gespeichert sein, und auf jedem Computer müssen die Account-Einstellungen für jeden Benutzer gespeichert sein, der auf den Computer zugreifen können soll. Wenn der Administrator die Netzwerkeinstellungen eines Computers festlegen will, muss er zu dem entsprechenden Computer gehen und die IP-Adresse und weitere Informationen eingeben, die den Computer im Netzwerk identifizieren. Sind Benutzer- oder Netzwerkinformationen in UNIX-Konfigurationsdateien zu ändern, muss der Administrator die Änderungen wiederum auf dem Computer vornehmen, auf dem sich die Dateien befinden. Manche Änderungen, wie beispielsweise Netzwerkeinstellungen, erfordern, dass der Administrator die gleichen Änderungen an mehreren Computern vornimmt. Dieser Ansatz wird schnell unüberschaubar, wenn Netzwerke an Größe und Komplexität zunehmen. Kapitel 1 Verzeichnisdienste mit Open Directory 25

26 Open Directory löst dieses Problem, indem administrative Daten in einer Verzeichnis- Domain gespeichert werden, die ein Netzwerkadministrator von einem Standort aus verwalten kann. Mit Open Directory können Sie die Informationen verteilen und für die Computer, die sie benötigen, und den Administrator, der sie verwaltet, in einem Netzwerk anzeigen lassen. Dies wird in der folgenden Abbildung veranschaulicht. Systemadministrator Ver- zeichnis- Domain Open Directory Benutzer Anwendungsmöglichkeiten für Verzeichnisdaten Mit Open Directory können Netzwerkinformationen leicht in einer Verzeichnis-Domain zusammengeführt und verwaltet werden. Dies ist jedoch nur dann von Nutzen, wenn auf Netzwerkcomputern aktive Programm- und Systemsoftwareprozesse auf die Informationen zugreifen. Mac OS X-System- und -Programmsoftware kann Verzeichnisdaten auf verschiedene Weise nutzen: Â Anmeldung: Der Arbeitsgruppenmanager kann Benutzereinträge in einer Verzeichnis- Domain erstellen. Mit diesen Einträgen können Benutzer identifiziert werden, die sich an Mac OS X- und Windows-Computern anmelden. Wenn ein Benutzer einen Namen und ein Kennwort im Mac OS X-Anmeldefenster angibt, fordert der Anmeldeprozess Open Directory auf, den Namen und das Kennwort zu prüfen. Open Directory verwendet den Namen, um den Account-Eintrag des Benutzers in einer Verzeichnis-Domain zu suchen, und weitere Daten im Benutzereintrag, um das Kennwort zu prüfen. 26 Kapitel 1 Verzeichnisdienste mit Open Directory

27 Â Ordner- und Dateizugriff: Nach der Anmeldung kann ein Benutzer auf Dateien und Ordner zugreifen. Mac OS X verwendet andere Daten aus dem Benutzereintrag, um die Zugriffsrechte des Benutzers für jede Datei oder jeden Ordner zu bestimmen. Â Benutzerordner: In jedem Benutzereintrag in einer Verzeichnis-Domain wird der Speicherort für den Benutzerordner des Benutzers gespeichert. In diesem Ordner werden die privaten Dateien, Ordner und Einstellungen des Benutzers abgelegt. Der Benutzerordner eines Benutzers kann sich auf dem Computer befinden, den der Benutzer immer verwendet, oder er kann sich auf einem Dateiserver im Netzwerk befinden. Â Netzwerkordner mit Autoaktivierung : Netzwerkordner können so konfiguriert werden, dass sie automatisch aktiviert werden. Sie werden dann automatisch im Ordner Alle (dem Netzwerkglobus) in den Finder-Fenstern von Client-Computern angezeigt. Informationen über diese Netzwerkordner mit Autoaktivierung werden in einer Verzeichnis-Domain gespeichert. Netzwerkordner sind Ordner, Festplatten oder Festplattenpartitionen, die Sie für den Zugriff über das Netzwerk freigegeben haben. Â -Account-Einstellungen: Der Eintrag jedes Benutzers in einer Verzeichnis- Domain gibt an, ob der Benutzer über den Mail-Dienst verfügt, welche Protokolle verwendet werden sollen, wie eingehende s dargestellt werden, ob der Benutzer auf den Eingang neuer s hingewiesen wird usw. Â Ressourcennutzung: Festplatten-, Druck- und -Zuteilungen können in jedem Benutzereintrag einer Verzeichnis-Domain gespeichert werden. Â Verwaltete Client-Informationen: Der Administrator kann die Mac OS X-Umgebung von Benutzern verwalten, deren Account-Datensätze in einer Verzeichnis- Domain gespeichert sind. Der Administrator nimmt verbindliche Einstellungen vor, die in der Verzeichnis-Domain gespeichert werden und die persönlichen Einstellungen der Benutzer überschreiben. Â Gruppenverwaltung: Neben Benutzereinträgen werden in einer Verzeichnis-Domain auch Gruppeneinträge gespeichert. Jeder Gruppeneintrag betrifft alle Benutzer, die dieser Gruppe angehören. Daten in Gruppeneinträgen geben die Einstellungen für Gruppenmitglieder an. Gruppeneinträge regeln auch den Zugriff auf Dateien, Ordner und Computer. Â Verwaltete Netzwerkansichten: Der Administrator kann benutzerdefinierte Ansichten konfigurieren, die die Benutzer sehen, wenn sie das Netzwerksymbol in der Seitenleiste eines Finder-Fensters auswählen. Da diese verwalteten Netzwerkansichten in einer Verzeichnis-Domain gesichert werden, sind sie automatisch verfügbar, wenn sich ein Benutzer anmeldet. Kapitel 1 Verzeichnisdienste mit Open Directory 27

28 Zugriff auf Verzeichnisdienste Open Directory kann für die folgenden Arten von Verzeichnisdiensten auf Verzeichnis- Domains zugreifen:  LDAP (Lightweight Directory Access Protocol), ein offener Standard, der häufig in gemischten Umgebungen mit Macintosh-, UNIX- und Windows-Systemen verwendet wird. LDAP ist der native Verzeichnisdienst für freigegebene Verzeichnisse in Mac OS X Server.  Lokale Verzeichnis-Domain, der lokale Verzeichnisdienst für alle Mac OS X- und Mac OS X Server-Versionen ab Version  Active Directory, der Verzeichnisdienst von Microsoft-Servern mit Windows 2000 und  NIS (Network Information System), der Verzeichnisdienst vieler UNIX-Server.  BSD-Flat-Dateien, der überkommene Verzeichnisdienst von UNIX-Systemen. Hintergrundinformationen zu einer Verzeichnis-Domain Informationen in einer Verzeichnis-Domain werden nach Eintragstyp (auch: Datensatztyp) strukturiert. Bei Eintragstypen handelt es sich um spezielle Kategorien von Informationen wie Benutzer, Gruppen und Computer. Eine Verzeichnis-Domain kann für jeden Eintragstyp eine beliebige Anzahl von Einträgen enthalten. Jeder Eintrag stellt eine Sammlung von Attributen dar, und jedes Attribut hat einen oder mehrere Werte. Wenn Sie sich einen Eintragstyp als Tabelle vorstellen, die eine Kategorie von Informationen enthält, dann sind die Einträge die Zeilen und die Attribute die Spalten der Tabelle, und jede Tabellenzelle enthält einen oder mehrere Werte. Wenn Sie zum Beispiel mit dem Arbeitsgruppenmanager einen Benutzer-Account definieren, erstellen Sie einen Benutzereintrag (einen Eintrag (oder Datensatz) vom Typ Benutzer ). Die Einstellungen, die Sie für den Benutzer-Account konfigurieren (Kurzname, vollständiger Name, Speicherort des Benutzerordners usw.), werden zu Attributwerten im Benutzereintrag. Der Benutzereintrag und die Werte der darin enthaltenen Attribute befinden sich in einer Verzeichnis-Domain. Bei manchen Verzeichnisdiensten wie LDAP und Active Directory werden Eintragstypen nach Objektklasse verwaltet. Objektklassen definieren wie Eintragstypen Kategorien von Informationen. Eine Objektklasse definiert ähnliche Informationen, die als Eingaben bezeichnet werden, durch Angabe von Attributen, die eine Eingabe enthalten muss oder kann. Für eine Objektklasse kann eine Verzeichnis-Domain mehrere Eingaben enthalten, die ihrerseits jeweils mehrere Attribute enthalten können. Manche Attribute haben einen einzelnen Wert, andere haben mehrere Werte. Zum Beispiel definiert die Objektklasse inetorgperson Eingaben, die Benutzerattribute enthalten. 28 Kapitel 1 Verzeichnisdienste mit Open Directory