Doppelte Userhaltung

Transkript

1

2 Doppelte Userhaltung

3 UNIX Clients an Windows PDC

4 Active Directory Vorteile: Aufrechterhaltung der Windows Konfiguration Nachteile: Kein veröffentlichtes Protokoll zur Anmeldung Abweichung von Standards

5 RFC 2256 Sun ONE Directory Server 5.1 Windows 2000 Active Directory organizationalperson ( NAME 'organizationalperson' SUP person STRUCTURAL MAY ( destinationindicator $ facsimiletelephonenumber $ internationalisdnnumber $ l ou $ physicaldeliveryofficename $ postaladdress $ postalcode $ postofficebox $ preferreddeliverymethod $ registeredaddress $ st $ street $ telephonenumber $ teletexterminalidentifier $ telexnumber $ title $ x121address $ ) ) objectclass organizationalperson oid SUP person MAY destinationindicator$ facsimiletelephonenumber$ internationalisdnnumber$ l$ ou$ physicaldeliveryofficename$ postaladdress$ postalcode$ postofficebox$ preferreddeliverymethod$ registeredaddress$ st$ street$ teletexterminalidentifier$ telexnumber$ title$ x121address Organizational-Person Ldap-Display-Name OrganizationalPerson... Subclass Of Person Top... May-Contain Address... Department Destination-Indicator Division -Addresses Employee-ID Facsimile-Telephone-Number Generation-Qualifier Given-Name Initials International-ISDN-Number Locality-Name Logo... Organization-Name Organizational-Unit-Name Other-Mailbox... Phone-Pager-Primary Physical-Delivery-Office-Name Picture Postal-Address Postal-Code Post-Office-Box Preferred-Delivery-Method Registered-Address State-Or-Province-Name Street-Address Teletex-Terminal-Identifier Telex-Number Telex-Primary Text-Country Title User-Comment X121-Address

6 Winbind Vorteile: Aufrechterhaltung der Windows Konfiguration Nachteile: UNIX Clients müssen angepasst werden (PAM, NSSwitch)

7 Windows Clients an UNIX Server

8 LDAP Hierarchische Datenstruktur Verteilbarer Zugriff Beliebige Daten Stark Akzeptiertes Protokoll

9 LDAP Anbindung pgina SAMBA PDC

10 Vorteile: pgina direktes LDAP kein weiterer Server nötig Nachteile: keine Domänenstruktur / weitere zentralen Dienste Client muß angepasst werden

11 Samba Vorteile: Windows Domänenstruktur möglich LDAP Anbindung möglich Nachteile: Samba hinkt aktuellen Windows Versionen stets hinterher

12 How To

13

14 Spezielle Konfigurationen LDAP Server Sun ONE Directory Server oder OpenLDAP Schemaerweiterungen für Samba: Objektklasse SambaAccount inkl. Attribute wie ntpassword... Anlegen Spezieller User

15 Samba PDC LDAP Unterstützung stabil ab Angabe der LDAP Funktionalität zur Kompilationszeit

16 Windows Client Keine zusätzliche Software, für den Client ist sein PDB transparent Kein direkter Zugriff auf LDAP Server lediglich Aufnahme in Samba Domain

17 Usereintrag dn: uid=jmcclain,ou=people, dc=nakatomo,dc=com objectclass: top objectclass: person objectclass: posixaccount objectclass: shadowaccount objectclass: organizationalperson objectclass: inetorgperson objectclass: sambaaccount cn: John McClain sn: McClain uidnumber: 920 gidnumber: 10 Description: Die Hard Hero homedirectory: /home/jmcclain loginshell: /bin/csh gecos: John McClain mail: rid: 2840 userpassword: {crypt}k9tuoumf9sn1y lmpassword: 1C A4A8AF809752A D17 ntpassword: AEF28D238453E7E31A9C3F3741D3EABA

18 Passwortabgleich Es existieren immer noch zwei Passwörter: UNIX und NT Änderung darf nur von bekannten Stellen erfolgen

19 Passwortabgleich Passwortwechsel auf Windows: [Strg][Alt][Entf] Abfangen in Samba, UNIX Passwort wird ebenfalls geändert (Aufruf passwd) Passwortwechsel auf UNIX: % passwd Samba PAM library im PAM Stack ändert auch NT Passwort

20 Migration und Ausfallsicherheit

21 Migration bestehender Systeme Windows PDC Auslesen der NT Paßwörter via pwdump: <uid> <rid> <lmpassword> <ntpassword> LDIF File (z.b. mcclaine.ldif):... objectclass: sambaaccount rid: <rid> lmpassword: <lmpassword> ntpassword: <ntpassword>... % ldapadd -D cn=directory Manager -f mcclaine.ldif

22 Ausfallsicherheit LDAP Server Replikation Clients binden sich an Master und Slave Samba Server bindet sich an Master und Slave

23 Ausfallsicherheit Samba Server BDC Funktionalität über Samba nur eingeschränkt möglich Aufsetzen eines weiteren Samba PDC, welcher sich an LDAP Server bindet.

24 Ausfallsicherheit

25 Danke für Ihre Aufmerksamkeit Marco Staub