Solaris als Fileserver-Plattform

Transkript

1 Solaris als Fileserver-Plattform im Windows- und Active Directory-Umfeld Detlef Drewanz Ambassador Operating Systems Systems Engineer Sun Microsystems GmbH, Berlin 1

2 Agenda Welches Solaris Anforderungen an Solaris in der Windows-Welt Der CIFS-Server und angrenzende Technologien 2

3 Warum Solaris als Fileserver? Universell einsetzbar > Von kleinen Installationen bis ganz gross Stabile Datenplattform Hohe Verfügbarkeit auch unter Höchstlast Multiplattformfähig > SPARC oder x86 - ein Solaris Verschiedene Storage-Technologien enthalten > ZFS, iscsi, NFSv3/NFSv4, Samba >... und noch viel mehr

4 Open Solaris Storage Software Solaris ist das ideale Storage Operating System 4

5 Welches Solaris nehmen? 5

6 Das Solaris Release Modell 20 Jahre, Eine Entwicklungs-Basis Solaris 8 support Solaris 9 Solaris Solaris 10 > 3-5 Jahre Release-Interval > Quartalsweise Updates ( ) > Bugfixes, neue Hardware > Langfristiger (10+ J.) Support-Zyklus OpenSolaris > 6 Monate Release-Intervall > 18 Monate Sun Support-Zyklus > Grundlage für das nächste Solaris Langfristige Support Release OpenSolaris OpenSolaris OpenSolaris OpenSolaris OpenSolaris Zukünftiges Solaris 6

7 Duales Release-Konzept Eine Solaris Plattform, zwei Distributions-Mechanismen Unternehmen, geschäftskritische Anwendungen Unübertroffene Unterstützung > 10 Jahre und mehr Lange Release-Zyklen (3-5 Jahre mit viertel-jährlichen Updates) Entwickler, Early Adopter Neueste Innovationen Kurze Release-Zyklen (halbjährlich) 7

8 Agenda Welches Solaris Anforderungen an Solaris in der Windows-Welt Der CIFS-Server und angrenzende Technologien 8

9 End-to-end Daten Integrität Snapshots/Clone Hohe Datenverfügbarkeit durch integriertes RAID Einfachste Administration Extrem skalierbar Performant Endian-Neutral ZFS: Das endgültige Filesystem... hat tolle Eigenschaften, aber reicht das alleine? 9

10 Fileserver in der Windows-Welt? SMB-Fileserver > Active Directory Integration und Workgroup Mode > Oplocks > Lock-Koordinierung zwischen CIFS und NFS Windows Semantik in der Solaris-Welt > SID zu UID Zuordnung > Komplette Windows ACL-Abbildung und Speicherung > Groß-/Kleinschreibung Viren-Schutz auf Datei-Ebene Backup und Restore...

11 Der CIFS-Server und angrenzende Technologien in OpenSolaris smbd(1m) - CIFS-Server Erweiterungen von Solaris-Kommandos bzgl. ACL's ZFS-Erweiterungen zu ACL und Groß-/Kleinschreibung idmapd(1m) - Native Identity Mapping Service Daemon 11

12 Agenda Welches Solaris Anforderungen an Solaris in der Windows-Welt Der CIFS-Server und angrenzende Technologien 12

13 Warum ein native CIFS-Service für Solaris? Bürger erster Klasse im Solaris > > > > OS-Level Integration und Koordination Einheitliches Modell der Zugriffskontrolle Native Kommandos für ACL's und Attribute Gemeinsame NFS- und CIFS- Konfigurations-Tools Built-in Windows Interoperabilität > Grundlegende Unterstützung für SID und ID-Mapping > Windows-style ACL und Attribute im Filesystem > Case-insensitive Filesystem-Operationen Kernel basierte Implementation > Bessere I/O Performance > Besseres Locking zwischen CIFS, NFS und lokalem Zugriff 13

14 OpenSolaris CIFS Service Aktuelles Nevada oder OpenSolaris erforderlich Kein WINS- oder Print-Server Fileservice für Windows, Mac OS, andere CIFS-Clients > NT LM 0.12 > SMB Authentisierung Domain Accounts Local Users/Groups, Support für viele Gruppenzugehörigkeiten > Access Tokens (Windows credentials) SID (GUID) anstelle POSIX UID/GID > ACLs und DOS attribute Hidden, Read-Only, System, Archive > Share Management und File Operationen > Locking 14

15 OpenSolaris CIFS Architektur SMB CLI Winchester UID-SID Mapping MS-RPC Services NetBIOS ADS Client Browser MS-RPC Library ShareMgr smbd SMF (Config Data) smbrdr User Kernel sockets smbsrv VFS ZFS 15

16 Erweiterung von Solaris-Kommandos - ls Anzeige von erweiterten Attributen (-/ flag and -% timestamp) > ls -/ c test.txt -rw-r--r-- 1 root root 0 Jan 14 16:51 test.txt {A-RS---m--} > ls -/ v test.txt -rw-r--r-- 1 root root 0 Jan 14 16:51 test.txt {archive,nohidden,readonly,system,noappendonly,nonodump, noimmutable,av_modified,noav_quarantined,nonounlink} > ls -l -% all test.txt -rw-r--r-- 1 root root 0 Jan 14 16:51 test.txt timestamp: atime Jan 14 16:51: timestamp: ctime Jan 14 16:53: timestamp: mtime Jan 14 16:51: timestamp: crtime Jan 14 16:51:

17 Erweiterung von Solaris-Kommandos - chmod Setzt readonly und system Attribut für ZFS-Files chmod S+cRS test.txt > oder chmod S+v'{readonly,system}' test.txt Löschen von Attributen chmod S-cRS test.txt > oder chmod S-v'{readonly,system}' test.txt 17

18 Domains und Workgroups Windows Domains > Zentral administrierte Gruppe von Systemen und Accounts > Domain Controller für gemeinschaftliche Sicherheits- und Administrationsrichtlinien Windows Workgroups > Sammlung von separaten, unabhängig administrierten Systemen > Jedes System hat lokale Nutzer- und Gruppen-Accounts, Sicherheitsrichtlinien > Kooperation durch gemeinschaftlichen Gruppennamen > Peer-to-peer Modell 18

19 CIFS-Server für eine Workgroup CIFS Service starten svcadm enable -r smb/server Filesystem erzeugen zfs create -o casesensitivity=mixed cantaloup/my-smb Filesystem als smb-share freigeben zfs set sharesmb=name=zfs-cifs cantaloup/my-smb Eintritt in die Workgroup haitoda smbadm join -w haitoda Share als \\my-server\zfs-cifs benutzen 19

20 Lokale CIFS-Passwörter und User /etc/pam.conf für Passwort-Management ergänzen other password required pam_smb_passwd.so.1 nowarn SMB-Passwort für lokale Benutzer setzen passwd username Hashed Passwörter in /var/smb/smbpasswd newuser:1001::9a05af0b1aeecad48c1760bc6a211f25 Administration lokaler Benutzer mit smbadm > Nutzer erlauben/zulassen smbadm disable-user username smbadm enable-user username 20

21 CIFS-Server im Active Directory (1) ADS als DNS-Server einrichten /etc/resolv.conf Kerberos konfigurieren (/etc/krb5/krb5.conf) [libdefaults] default_realm = ADS.DOMAIN.COM [realms] ADS.DOMAIN.COM = { kdc = server.ads.domain.com admin_server = server.ads.domain.com kpasswd_server = server.ads.domain.com passwd_protocol = SET_CHANGE } [domain_realm] server.ads.domain.com = ADS.DOMAIN.COM Zeiten synchronisieren ntpdate server.ads.domain.com 21

22 CIFS-Server im Active Directory (2) CIFS Service starten svcadm enable -r smb/server Eintritt in die Domain ads.domain.com > Administrativer Account und Passwort im ADS erforderlich smbadm join -u adsadmin ads.domain.com CIFS Service neu starten svcadm restart smb/server Filesystem erzeugen zfs create -o casesensitivity=mixed cantaloup/my-smb Filesystem als smb-share freigeben zfs set sharesmb=name=zfs-cifs cantaloup/my-smb oder einfach zfs set sharesmb=on cantaloup/my-smb 22

23 Solaris CIFS SID-Mapping Standard: ipmapd nutzt ephemeral Mapping > Dynamische Erzeugung von UID/GID für Windows Users durch idmapd > idmap dump zur Anzeige der Mappings Optional: Namens-basiertes Mapping von SID auf UNIX UID's > Nach Regeln > Nach Directory 23

24 Solaris CIFS SID-Mapping (2) /var/idmap/idmap.db > Persistenter Speicher für Namens-basierte Mapping Regeln /var/run/idmap/idmap.db > Cache für alle Mappings seit boot > Cache für ADS lookups 24

25 Directory-basiertes Name Mapping Mapping Information ist in user/group Objekten der Directory Server gespeichert > Windows user/group Objecte in AD enthalten zugehörige Unix Namen > Solaris user/group Objecte in native LDAP enthalten zugehörige Windows Namen Modi > AD-only > Native-LDAP-only > Mixed 25

26 AD-only mapping AD user/group Objekte enthalten zugehörige Unix Namen AD object dn: cn=john doe,ou=users,dc=example samaccountname: john objectsid: S unixusername: jd Unix entry jd123456:x:123456:10:john Doe:/home/jd123456:/bin/ksh svccfg -s idmap setprop config/ds_name_mapping_enabled = boolean: true svccfg -s idmap setprop config/ad_unixuser_attr = astring: unixusername svccfg -s idmap setprop config/ad_unixgroup_attr = astring: unixgroupname 26

27 Native-LDAP-only Solaris user/group Objekte in native LDAP enthalten zugehörige Windows Namen native LDAP object AD object dn: uid=jd123456,ou=passwd,dc=example uid: jd uidnumber: winname: dn: cn=john doe,ou=users,dc=example samaccountname: john objectsid: S svccfg -s idmap setprop config/ds_name_mapping_enabled = boolean: true svccfg -s idmap setprop config/nldap_winname_attr = astring: winname 27

28 Mixed AD Objekte enthalten Unix Namen und native LDAP Objekte enthalten Windows Namen native LDAP object AD object dn: uid=jd123456,ou=passwd,dc=example uid: jd uidnumber: winname: john dn: cn=john doe,ou=users,dc=example samaccountname: john objectsid: S unixusername: jd svccfg -s idmap setprop config/ds_name_mapping_enabled = boolean: true svccfg -s idmap setprop config/nldap_winname_attr = astring: winname svccfg -s idmap setprop config/ad_unixuser_attr = astring: unixusername svccfg -s idmap setprop config/ad_unixgroup_attr = astring: unixgroupname 28

29 Weitere angrenzende Technologien in OpenSolaris vscand(1m) - Virus Scan Daemon > Nutzung des ICAP-Protokolls > Lokale Dateien werden remote durch Virenscanner geprüft > nicht Bestandteil dieses Vortrages ndmpd(1m) - Network Data Management Protocol Daemon > Backup und Restore der lokalen Daten ohne installierten Backup-Client > Nicht Bestandteil dieses Vortragen 29

30 Zusammenfassung CIFS-Server in OpenSolaris integriert Mehr als ein Samba-Ersatz. Kein vollständiger Samba-Ersatz - Konzentration auf Fileservice Integriert mit ZFS 30

31 Weitere Informationen OpenSolaris CIFS Projekt > > Getting Started Guide Administration Guide Troubleshooting Guide Angrenzende Projekte > > > 31

32 Vielen Dank! Detlef Drewanz