Ihr Benutzerhandbuch APPLE MAC OS X SERVER 10.5 LEOPARD

Transkript

1 Lesen Sie die Empfehlungen in der Anleitung, dem technischen Handbuch oder der Installationsanleitung für APPLE MAC OS X SERVER 10.5 LEOPARD. Hier finden Sie die Antworten auf alle Ihre Fragen über die APPLE MAC OS X SERVER 10.5 LEOPARD in der Bedienungsanleitung (Informationen, Spezifikationen, Sicherheitshinweise, Größe, Zubehör, etc.). Detaillierte Anleitungen zur Benutzung finden Sie in der Bedienungsanleitung. Bedienungsanleitung Gebrauchsanweisung Gebrauchsanleitung Betriebsanleitung Benutzerhandbuch

2 Handbuch Zusammenfassung: gegenüber Apple Inc. in Anlehnung an die in diesem Handbuch beschriebenen Hard- oder Softwareprodukte richten sich ausschließlich nach den Bestimmungen der Garantiekarte. Apple Inc. übernimmt keine Haftung für Druck- oder Schreibfehler. Apple, das Apple-Logo, Mac, Macintosh, Xgrid und Xserve sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. Finder ist eine Marke der Apple Inc. Adobe und PostScript sind Marken der Adobe Systems Incorporated. UNIX ist eine eingetragene Marke von The Open Group. Die Rechte an anderen in diesem Handbuch erwähnten Marken- und Produktnamen liegen bei ihren Inhabern und werden hiermit anerkannt. Die Nennung von Produkten, die nicht von Apple sind, dient ausschließlich Informationszwecken und stellt keine Werbung dar. Apple übernimmt keine Gewähr im Hinblick auf Leistung oder Verwendbarkeit dieser Produkte. D / September 2007 Apple GmbH, Arnulfstraße 19, D München, Telefon: 089/ Apple Ges. mbh, Landstrasser Hauptstraße 71/1.Stock, A-1030 Wien, Telefon: 01/ Apple Switzerland AG, Birgistrasse 4 a, CH-8304 Wallisellen, Telefon: 01/ Internet: www. apple.com com/at Das Apple-Logo ist eine in den USA und weiteren Ländern eingetragene Marke der Apple Inc. Die Verwendung des über die Tastatur erzeugten Apple-Logos für kommerzielle Zwecke ohne vorherige Genehmigung von Apple kann als Markenmissbrauch und unlauterer Wettbewerb gerichtlich verfolgt werden. 1 Inhalt Vorwort Über dieses Handbuch Neue Merkmale und Funktionen in Version 10.5 Überblick Verwenden dieses Handbuchs Verwenden der Online-Hilfe Dokumentation zu Mac OS X Server Anzeigen von PDF-Handbüchern auf dem Bildschirm Drucken der PDF-Handbücher Laden von Aktualisierungen für die Dokumentation Weitere Informationsmöglichkeiten Verzeichnisdienste mit Open Directory Vorteile der Verwendung von Verzeichnisdiensten Verzeichnisdienste und Verzeichnis- Domains Geschichtlicher Hintergrund Datenkonsolidierung Datenverteilung Anwendungsmöglichkeiten für Verzeichnisdaten Zugriff auf Verzeichnisdienste Hintergrundinformationen zu einer Verzeichnis-Domain Die Struktur von LDAP-Verzeichnisinformationen Lokale und gemeinsam genutzte Verzeichnis- Domains Informationen zur lokalen Verzeichnis-Domain Informationen zu gemeinsam genutzten Verzeichnis-Domains Gemeinsam genutzte Daten in vorhandenen Verzeichnis-Domains SMB-Dienste und Open Directory Open Directory als primärer Domain-Controller (PDC) Open Directory als BDC Kapitel 1 3 Kapitel Open Directory-Suchpfade Suchpfadebenen Suchpfad für eine lokale Verzeichnis-Domain Zweistufige Suchpfade Mehrstufige Suchpfade Automatische Suchpfade Spezielle Suchpfade Suchpfade für Identifizierung und Kontakte Open Directory-Identifizierung Kennworttypen Identifizierung und Berechtigung Open Directory-Kennwörter,,Shadow"-Kennwörter,,Crypt"-Kennwörter Bereitstellen einer sicheren Identifizierung für Windows-Benutzer Offline-Angriffe auf Kennwörter Bestimmen der zu verwendenden Option zur Identifizierung Kennwortrichtlinien Gesamtauthentifizierung Kerberos-Identifizierung Beseitigen von Schwierigkeiten bei der Kerberos-Implementierung Ablauf der Gesamtauthentifizierung Sichere Identifizierung Zusätzliche Möglichkeiten neben Kennwörtern Identifizierung auf mehreren Plattformen Zentrale Identifizierung Kerberos-orientierte Dienste Konfigurieren von Diensten für Kerberos nach einer Aktualisierung Kerberos- Prinzipale und Realms (Bereiche) Ablauf der Kerberos-Identifizierung Identifizierungsmethoden von Open Directory-Kennwortserver und,,shadow"-kennwörtern Deaktivieren von Identifizierungsmethoden von Open Directory Deaktivieren von Identifizierungsmethoden mit,,shadow"-kennwörtern Inhalt der Datenbank des Open Directory-Kennwortservers Identifizierte LDAP-Verzeichnisbindung Programme zur Planung und Verwaltung von Open Directory Allgemeine Richtlinien für die Planung Abschätzen der Anforderungen für Verzeichnisse und Identifizierung Festlegen von Servern für gemeinsam genutzte Domains Replizieren von Open Directory-Diensten Kapitel 3 Kapitel Inhalt Kapitel Replikgruppen Kaskadierende Replikation Planen der Aktualisierung mehrerer Open Directory-Repliken Lastenverteilung in kleinen, mittleren und großen Umgebungen Replikation in einer Umgebung mit mehreren Gebäuden Verwenden eines Open Directory-Masters, einer Open Directory-Replik oder eines Open Directory-Relais mit NAT Kompatibilität von Open Directory-Master und -Replik Integrieren von Active Directory, einem Open Directory-Master und Replikdiensten in einem gemeinsamen System Integrieren mit vorhandenen Verzeichnis-Domains Integrieren ohne Schemaänderungen Integrieren mit Schemaänderungen Vermeiden von Kerberos- Konflikten bei Vorliegen mehrerer Verzeichnisse Optimieren von Leistung und Redundanz Open Directory-Sicherheit SACLs (Service Access Control Lists) Gestufte Verwaltung Programme zum Verwalten von Open Directory-Diensten Programm,,Server-Admin" Verzeichnisdienste Arbeitsgruppenmanager Befehlszeilenprogramme Konfigurieren von Open Directory-Diensten Konfigurationsübersicht Vorbereitung Verwalten von Open Directory auf einem entfernten Server Aktivieren von Open Directory Konfigurieren eines eigenständigen Verzeichnisdiensts Konfigurieren eines Open Directory-Masters Beschreiben des Anmeldevorgangs für Benutzer Konfigurieren eines primären Domain-Controllers (PDC) Konfigurieren von Windows Vista für die Domain- Anmeldung Konfigurieren von Windows XP für die Domain-Anmeldung Konfigurieren von Windows 2000 für die Domain-Anmeldung Konfigurieren einer Open Directory-Replik Erstellen mehrerer Repliken eines Open Directory-Masters Konfigurieren von Open Directory-Relais für die kaskadierende Replikation Konfigurieren eines Servers als BDC Konfigurieren der Open Directory-Ausfallumschaltung (Failover) Inhalt Kapitel Konfigurieren einer Verbindung zu einem Verzeichnisserver Konfigurieren eines Servers als Domain-Mitglied des Mac OS X Server-PDCs Konfigurieren eines Servers als Active Directory-Domain-Mitglied Konfigurieren der Kerberos-Identifizierung mit Gesamtauthentifizierung Konfigurieren eines Open Directory-Kerberos-Realms Starten von Kerberos nach der Konfiguration eines Open Directory-Masters Delegieren der Berechtigung zum Hinzufügen eines Objekts zu einem Open Directory-Kerberos-Realm Hinzufügen eines Servers zu einem Kerberos-Realm Verwalten der Daten für die Benutzeridentifizierung Definieren eines Kennworts Ändern des Kennworts eines Benutzers Zurücksetzen der Kennwörter mehrerer Benutzer Ändern des Kennworttyps eines Benutzers Ändern des Kennworttyps in,,open Directory" Ändern des Kennworttyps in,,crypt"-kennwort Ändern des Kennworttyps in,,shadow"-kennwort Aktivieren der Kerberos-Identifizierung mit Gesamtauthentifizierung für einen Benutzer Ändern der globalen Kennwortrichtlinie Festlegen von Kennwortrichtlinien für einzelne Benutzer Auswählen von Identifizierungsmethoden für Benutzer von,,shadow"-kennwörtern Auswählen von Identifizierungsmethoden für Open Directory-Kennwörter Zuweisen von Administratorrechten für die Open Directory-Identifizierung Synchronisieren der Kennwörter des primären Administrators Aktivieren der identifizierten LDAP-Verzeichnisbindung für einen Benutzer Einstellen von Kennwörtern von exportierten oder importierten Benutzer-Accounts Umstellen von Kennwörtern von Mac OS X Server 10.

3 1 (oder älter) Verwalten von Verzeichnis-Clients Verbinden von Clients mit Verzeichnisservern Verbindungen mit Verzeichnisservern Automatisierte Client- Konfiguration Hinzufügen einer Verbindung zu einem Active Directory-Server Hinzufügen einer Verbindung zu einem Open Directory-Server Entfernen einer Verbindung zu einem Verzeichnisserver Bearbeiten einer Verbindung zu einem Verzeichnisserver Überwachen von Verbindungen mit Verzeichnisservern Verwalten des root-benutzer-accounts Aktivieren des root-benutzer-accounts Ändern des Kennwort des root-benutzer-accounts Kapitel 7 6 Inhalt Kapitel Erweiterte Einstellungen für Directory-Clients Erweiterte Einstellungen des Programms,,Verzeichnisdienste" Einrichten des Programms,,Verzeichnisdienste" per Fernzugriff auf einem Server Konfigurieren von Aktivierungen für die lokale Verzeichnis-Domain eines Computers Hinzufügen einer Aktivierung zur lokalen Verzeichnis-Domain Entfernen von Aktivierungen aus der lokalen Verzeichnis-Domain Bearbeiten einer Aktivierung in der lokalen Verzeichnis-Domain Verwenden von erweiterten Einstellungen für Suchpfade Definieren von automatischen Suchpfaden Definieren von eigenen Suchpfaden Definieren von Suchpfaden für das lokale Verzeichnis Warten, bis die Änderung eines Suchpfads wirksam wird Schützen von Computern vor unberechtigten Zugriffen über einen DHCP-Server Verwenden erweiterter Einstellungen des Programms,,Verzeichnisdienste" Aktivieren oder Deaktivieren des Active Directory-Diensts Aktivieren oder Deaktivieren von LDAP-Verzeichnisdiensten Verwenden erweiterter Einstellungen für den LDAP- Dienst Zugreifen auf LDAP-Verzeichnisse mit den Programmen,,Mail" und,,adressbuch" Aktivieren oder Deaktivieren eines von DHCP bereitgestellten LDAP-Verzeichnisses Ein- oder Ausblenden von Konfigurationen für LDAP-Server Konfigurieren des Zugriffs auf ein LDAP-Verzeichnis Konfigurieren des manuellen Zugriffs auf ein LDAP-Verzeichnis Ändern einer Konfiguration für den Zugriff auf ein LDAP-Verzeichnis Duplizieren einer Konfiguration für den Zugriff auf ein LDAP-Verzeichnis Löschen einer Konfiguration für den Zugriff auf ein LDAP-Verzeichnis Ändern der Verbindungseinstellungen für ein LDAP- Verzeichnis Ändern der Sicherheitsrichtlinie für eine LDAP-Verbindung Konfigurieren von LDAP-Suchen und -Zuordnungen Einrichten vertrauenswürdiger Bindungen für ein LDAP-Verzeichnis Stoppen der vertrauenswürdigen Bindung zu einem LDAP-Verzeichnis Ändern des Zeitlimits für Öffnen & Schließen einer LDAP-Verbindung Ändern des Zeitlimits für Abfragen einer LDAP-Verbindung Ändern der Verzögerungszeit für erneute Versuche einer LDAP- Verbindung Ändern des Zeitlimits für eine inaktive LDAP-Verbindung Erzwingen von schreibgeschütztem LDAPv2-Zugriff Ignorieren von LDAP-Server- Verweisen Identifizieren einer LDAP-Verbindung Ändern des Kennworts für die Identifizierung einer LDAP-Verbindung Zuordnen von,,config"-datensatzattributen für LDAP-Verzeichnisse Bearbeiten der RFC 2307-Zuordnung zum Aktivieren der Benutzererstellung Vorbereiten eines schreibgeschützten LDAP-Verzeichnisses für Mac OS X Füllen von LDAP-Verzeichnissen mit Daten für Mac OS X Inhalt Kapitel Verwenden erweiterter Einstellungen des Active Directory-Diensts Zugriff auf Active Directory Konfigurieren des Zugriffs auf eine Active Directory-Domain Einrichten mobiler Bein,,Open Directory" geändert werden Benutzer, die einen Kennwortserver verwenden, können sich nicht anmelden Benutzer mit Accounts in einer freigegebenen Verzeichnis-Domain können sich nicht anmelden Das Anmelden als Active Directory-Benutzer ist nicht möglich Benutzer können sich nicht mit der Kerberos-Identifizierung für die Gesamtauthentifizierung identifizieren Benutzer können ihre Kennwörter nicht ändern Ein Server lässt sich einem Open Directory-Kerberos-Realm nicht hinzufügen Sie müssen ein Administratorkennwort zurücksetzen Inhalt 9 Anhang Mac OS X-Verzeichnisdaten Open Directory-Erweiterungen des LDAP-Schemas Objektklassen im Open Directory-LDAP-Schema Attribute im Open Directory-LDAP-Schema Zuweisen von Standard-Datensatztypen und -Attributen zu LDAP und Active Directory Zuordnungen für,,users" Zuordnungen für,,groups" Zuordnungen für,,mounts" Zuordnungen für,,computers" Zuordnungen für,,computerlists" Zuordnungen für,,config" Zuordnungen für,,people" Zuordnungen für,,presetcomputerlists" Zuordnungen für,,presetgroups" Zuordnungen für,,presetusers" Zuordnungen für,,printers" Zuordnungen für,,autoserversetup" Zuordnungen für,,locations" Standardmäßige Open Directory-Datensatztypen und -attribute Standardattribute in Benutzerdatensätzen Standardattribute in Gruppendatensätzen Standardattribute in Computerdatensätzen Standardattribute in Computergruppen-Datensätzen Standardattribute in Mount-Datensätzen Standardattribute in Config-Datensätzen Glossar Index 10 Inhalt In diesem Handbuch werden die Verzeichnis- und Identifizierungsdienste beschrieben, die Sie mithilfe von Mac OS X Server konfigurieren können. Außerdem finden Sie hier Informationen zum Konfigurieren von Mac OS X Serverund Mac OS X-Client-Computern für Verzeichnisdienste. Open Directory von Mac OS X Server bietet Verzeichnis- und Identifizierungsdienste für gemischte Netzwerke mit Mac OS X-, Windowsund UNIX-Computern. Open Directory verwendet OpenLDAP, die Open-Source-Implementierung von LDAP (Lightweight Directory Access Protocol), um Verzeichnisdienste bereitzustellen. Es ist mit anderen auf Standards basierenden LDAP-Servern kompatibel und kann mit proprietären Diensten wie Active Directory von Microsoft und edirectory von Novell integriert werden. Für das Backend der LDAP-Datenbank verwendet Open Directory die Open-SourceDatenbank,,Berkeley DB". Hierbei handelt es sich um eine äußerst skalierbare Datenbank für eine höchst leistungsfähige Indizierung von Hunderttausenden BenutzerAccounts und anderen Datensätzen. Mithilfe von Open Directory-Plug-Ins kann ein Mac OS X-Client oder Mac OS X ServerComputer Berechtigungsinformationen über Benutzer und Netzwerkressourcen auf beliebigen LDAP-Servern lesen und schreiben sogar vom Microsoft-spezifischen Active Directory-Server.

4 Der Server kann auch auf Datensätze in älteren Verzeichnissen wie NIS und lokalen BSD-Konfigurationsdateien (/etc) zugreifen. Vorwort 11 Über dieses Handbuch Open Directory stellt zudem Dienste für Anmeldung und Identifizierung bereit. Open Directory kann die Kennwörter von Benutzern sicher speichern und überprüfen, die sich bei Client-Computern in Ihrem Netzwerk anmelden oder andere Netzwerk-Ressourcen verwenden möchten, für die eine Identifizierung erforderlich ist. Open Directory kann solche Richtlinien mithilfe von ablaufenden Kennwörtern und Anforderungen an die minimale Kennwortlänge umsetzen. Zudem kann Open Directory Benutzer von Windows-Computern für die Domain-Anmeldung (auch: Domänen-Anmeldung), den Dateidienst und andere von Mac OS X Server bereitgestellte Windows-Dienste (SMB-Dienste) identifizieren. Ein MIT Kerberos-KDC (Key Distribution Center) ist vollständig in Open Directory integriert und bietet eine zuverlässige Identifizierung mit Unterstützung für eine sichere Gesamtauthentifizierung (Single Sign-On). Das bedeutet, dass sich Benutzer nur einmal mit einem einzigen Benutzernamen und Kennwort anmelden müssen, um auf alle Kerberos-fähigen Netzwerkdienste zugreifen zu können. Bei Diensten, die die Kerberos-Identifizierung nicht unterstützen, ermittelt der integrierte SASL-Dienst (Secure Authentication and Service Layer) die Identifizierungsmethode mit der höchsten Sicherheit. Zudem wird die Verfügbarkeit und Skalierbarkeit durch die Verzeichnis- und Identifizierungsreplikation maximiert. Durch das Erstellen von Repliken von Open DirectoryServern können Sie ganz einfach Server für die Ausfallumschaltung und entfernte Server für eine schnelle Client-Interaktion in verteilten Netzwerken nutzen. Neue Merkmale und Funktionen in Version Mac OS X Server Version 10.5 bietet die folgenden grundlegenden Verbesserungen bei Open Directory:  Vereinfachte Konfiguration des LDAPv3-Zugriffs: Das Programm,,Verzeichnisdienste" unterstützt Sie bei der Konfiguration einer Verbindung zu einem LDAPVerzeichnis.  Verbesserte Oberfläche des Programms,,Server-Admin": Server-Admin verfügt nun über eine benutzerfreundlichere Oberfläche.  Verbesserte Identifizierung: Sie können einen Mac OS X-Open Directory-Server mit einem Active Directory-Server verbinden und eine Domain-übergreifende Identifizierung nutzen.  Verbesserter LDAP-Server: Mac OS X Server verwendet OpenLDAP Version 2.3.x und Berkeley DB Version Vorwort Über dieses Handbuch  Verbesserte lokale Domain: Mac OS X verwendet eine lokale Verzeichnis-Domain für die lokale Computeridentifizierung.  Verbesserte Replikation: Sie können eine zweistufige Replikation eines einzelnen Masters nutzen (auch als,,kaskadierende Replikation" bezeichnet). Hierdurch stehen Ihnen bis zu 1056 Repliken eines einzelnen Open Directory- Masters und effizientere Replikgruppen oder eine effizientere Replikauswahl für Kennwortserver, LDAP und Kerberos zur Verfügung.  Verbesserte Verwaltung: Durch die Verwendung einer gestuften Verwaltung profitieren Sie bei der Verwaltung von Verzeichnis-Domains von einer höheren Skalierbarkeit.  Verbesserte Unterstützung für Programme: Sie können Open Directory mit Programmen wie Apple Wiki verwenden. Überblick Dieses Handbuch ist wie folgt untergliedert:  Kapitel 1,,Verzeichnisdienste mit Open Directory" erklärt, was Verzeichnis-Domains sind und wie sie verwendet und strukturiert werden.  Kapitel 2,,Open Directory-Suchpfade" beschreibt Suchpfade mit einer oder mehreren Verzeichnis-Domains sowie automatische, angepasste und rein lokale Suchpfade.  Kapitel 3,,Open Directory-Identifizierung" beschreibt die Open Directory-Identifizierung,,,Shadow"- und,,crypt"-kennwörter, Kerberos, die LDAP-Bindung und die Gesamtauthentifizierung.  Kapitel 4,,Programme zur Planung und Verwaltung von Open Directory" hilft Ihnen, Ihre Anforderungen an Verzeichnis-Domains zu ermitteln, Anforderungen an Verzeichnisse und Identifizierung abzuschätzen, Server als Hosts für gemeinsam genutzte Domains festzulegen, Leistung und Redundanz zu verbessern, mit dem Thema Replikation in einer Umgebung mit mehreren Gebäuden umzugehen und Ihre Open Directory-Dienste sicher zu machen. Dieses Kapitel stellt auch die Werkzeuge vor, die Sie zur Verwaltung von Open Directory-Diensten verwenden.  Kapitel 5,,Konfigurieren von Open Directory-Diensten" enthält Informationen zum Konfigurieren eines Open Directory- Servers sowie zu den verfügbaren Konfigurationen und Funktionen. In diesem Kapitel wird auch erklärt, wie Sie Optionen des LDAPDiensts eines Open Directory-Masters oder einer Open Directory-Replik festlegen und die Kerberos-Gesamtauthentifizierung auf einem Open Directory-Master einrichten.  Kapitel 6,,Verwalten der Daten für die Benutzeridentifizierung" beschreibt, wie Sie Kennwortrichtlinien festlegen, den Kennworttyp eines Benutzers ändern, Administratorrechte für die Open Directory-Identifizierung zuweisen, Kennwörter importierter Benutzer-Accounts zurücksetzen und Kennwörter auf die Open Directory-Identifizierung umstellen. Vorwort Über dieses Handbuch 13  Kapitel 7,,Verwalten von Verzeichnis-Clients" erläutert die Verwendung des Programms,,Verzeichnisdienste" zum Konfigurieren und Verwalten des Zugriffs von Mac OS X-Computern auf Verzeichnisdienste.  Kapitel 8,,Erweiterte Einstellungen für Directory-Clients" umfasst Anleitungen zur Verwendung des Programms,,Verzeichnisdienste" zum Aktivieren, Deaktivieren und Konfigurieren von Diensterkennungsprotokollen. In diesem Kapitel wird auch die Konfiguration von Suchpfaden für Identifizierung und Kontakte erklärt sowie die Konfiguration des Zugriffs auf Verzeichnis- Domains, u. a. LDAP-, Active Directory-, NIS- und BSD-Konfigurationsdateien.  Kapitel 9,,Pflegen von Open Directory-Diensten" enthält Informationen zum Überwachen von Open Directory-Diensten, Anzeigen und Bearbeiten von Verzeichnisdaten mit dem Fenster,,Detailansicht", Archivieren eines Open Directory-Masters und Ausführen anderer Wartungsaufgaben für Verzeichnisse.  Kapitel 10,,Fehlerbeseitigung" beschreibt gelegentlich auftretende Probleme und bietet Lösungsvorschläge, sollten bei der Arbeit mit Open Directory Probleme auftreten. Im Anhang,,Mac OS X-Verzeichnisdaten" werden die Open Directory-Erweiterungen des LDAP-Schemas aufgelistet und die standardmäßigen Datensatztypen und -attribute von Mac OS X genannt. Im letzten Kapitel, dem Glossar, werden Begriffe definiert, die Sie in diesem Handbuch finden.

5 Hinweis: Da Apple regelmäßig neue Versionen und Aktualisierungen von Software veröffentlicht, unterscheiden sich die Abbildungen in diesem Handbuch möglicherweise von Ihrer Bildschirmanzeige. Verwenden dieses Handbuchs Die Kapitel im vorliegenden Handbuch sind in der Reihenfolge angeordnet, in der Sie sie wahrscheinlich benötigen werden, wenn Sie Open Directory auf Ihrem Server konfigurieren und verwalten:  Lesen Sie Kapitel 1 bis Kapitel 3, um sich mit den Open Directory-Konzepten vertraut zu machen: Verzeichnisdienste, Suchpfade und Identifizierung.  Lesen Sie Kapitel 4, wenn Sie Verzeichnisdienste und die Identifizierung und Anmeldung per Kennwort für Ihr Netzwerk planen möchten.  Lesen Sie nach Abschluss der Planung die Anleitungen in Kapitel 5, um Open DirectoryDienste einzurichten.  Wenn Sie Kennwortrichtlinien definieren oder Kennworteinstellungen für einen Benutzer-Account ändern müssen, lesen Sie die Anleitungen in Kapitel Vorwort Über dieses Handbuch  Wenn Sie den Zugriff eines Mac OS X- oder Mac OS X Server-Computers auf Verzeichnis-Domains einrichten oder anpassen, befolgen Sie die Anleitungen in Kapitel 7.  Zum Konfigurieren erweiterter Einstellungen für Benutzer mithilfe des Programms,,Verzeichnisdienste" lesen Sie Kapitel 8.  Ziehen Sie für die laufende Wartung von Verzeichnis- und Identifizierungsdiensten die Informationen in Kapitel 9 zu Rate.  Sollten bei der Verwendung von Open Directory Probleme auftreten, lesen Sie Kapitel 10, um Näheres über mögliche Lösungen zu erfahren. Verwenden der Online-Hilfe Sie können aufgabenbezogene Anleitungen im Programm,,Help Viewer" anzeigen, während Sie Leopard Server verwalten. Die Online-Hilfe können Sie auf dem Servercomputer oder auf einem Administratorcomputer anzeigen. (Ein Administratorcomputer ist ein Mac OS X-Computer mit installierter Leopard Server-Verwaltungssoftware.) Gehen Sie wie folgt vor, um bei einer erweiterten Konfiguration von Leopard Server die Online-Hilfe anzuzeigen: m Öffnen Sie das Programm,,Server- Admin" oder den Arbeitsgruppenmanager und führen Sie danach einen der folgenden Schritte aus:  Öffnen Sie das Menü,,Hilfe" und suchen Sie nach Informationen über die Aufgabe, die Sie durchführen wollen.  Wählen Sie,,Hilfe" >,,Server-Admin-Hilfe" bzw.,,hilfe" >,,ArbeitsgruppenmanagerHilfe", um in der Hilfe zu blättern oder nach bestimmten Hilfethemen zu suchen. Die Online-Hilfe umfasst Anleitungen aus dem Handbuch Serveradministration und anderen Handbüchern für die erweiterte Verwaltung, die im Abschnitt,,Dokumentation zu Mac OS X Server" auf Seite 16 genannt werden. Gehen Sie wie folgt vor, um die neusten Hilfethemen für den Server anzuzeigen: m Vergewissern Sie sich, dass der Server- bzw. der Administratorcomputer mit dem Internet verbunden ist, solange Sie auf die Online-Hilfe zugreifen. Das Programm,,Help Viewer" lädt daraufhin automatisch die neusten Hilfethemen zum Server aus dem Internet und speichert sie im Cache. Wenn keine Verbindung zum Internet besteht, zeigt das Programm,,Help Viewer" die im Cache gespeicherten Hilfethemen an. Vorwort Über dieses Handbuch 15 Dokumentation zu Mac OS X Server Im Handbuch Einführung wird das Installieren und Einrichten einer Standard- oder Arbeitsgruppenkonfiguration von Mac OS X Server beschrieben. Zu erweiterten Konfigurationen enthält das Handbuch Serveradministration Anleitungen für die vorbereitende Planung, die Installation, die Konfiguration und die generelle Serververwaltung. Eine Reihe ergänzender Handbücher beschäftigt sich mit Aspekten der Planung, Konfiguration und Verwaltung bestimmter Dienste. Die PDF-Versionen aller Handbücher stehen auf der folgenden Website für Mac OS X Server zum Laden bereit: Dieses Handbuch... Einführung und Arbeitsblatt für Installation & Konfiguration Command-Line Administration Dateidienste Administration ical-dienste Administration ichat- Dienste Administration Mac OS X-Sicherheitskonfiguration Mac OS X Server-Sicherheitskonfiguration Mail-Dienste Administration behandelt folgende Themen: Installation von Mac OS X Server und erstmalige Konfiguration. Installieren, Einrichten und Verwalten von Mac OS X Server mittels UNIX- Befehlszeilen und UNIX-Konfigurationsdateien. Gemeinsame Nutzung von Serverlaufwerken (Volumes) und Serverordnern durch Clients auf Basis der Protokolle AFP, NFS, FTP und SMB. Einrichten und Verwalten des Diensts,,iCal" für die gemeinsame Kalendernutzung. Einrichten und Verwalten des Diensts,,iChat" für die InstantMessaging-Kommunikation. Erhöhen der Sicherheit für Mac OS X-Computer (Clients) [beispielsweise für Behörden und Unternehmenskunden]. Erhöhen der Sicherheit von Mac OS X Server und des Servercomputers [beispielsweise für Behörden und Unternehmenskunden] Konfigurieren und Verwalten von IMAP-, POP- und SMTP- MailDiensten auf dem Server. Netzwerkdienste Administration Einrichten, Konfigurieren und Verwalten der Dienste,,DHCP",,,DNS",,,VPN",,,NTP",,,IP- Firewall",,,NAT" und,,radius" auf dem Servercomputer. Open Directory Administration Einrichten und Verwalten der Verzeichnis- und Identifizierungsdienste und Konfigurieren der Clients im Hinblick auf die Dienste eines Verzeichnisservers. Einrichten und Verwalten des Diensts,,Podcast- Produzent" für die Aufnahme, Verarbeitung und Verteilung von Podcasts. Bereitstellen gemeinsam genutzter Drucker und Verwalten deren zugeordneter Wartelisten und Druckaufträge. Erfassen und Codieren von QuickTime-Inhalten. Konfigurieren und Verwalten des QuickTime-Streaming-Diensts zum Bereitstellen von Medien-Streams (live oder auf Anforderung). Ausführen einer erweiterten Installation und Konfiguration von Serversoftware und Verwalten von Optionen, die für mehrere Dienste oder den Server als Ganzes gelten. Podcast-Produzent Administration Druckdienste Administration QuickTime Streaming und Broadcasting Administration Serveradministration 16 Vorwort Über dieses Handbuch Dieses Handbuch... System-Imaging- und Softwareaktualisierung Administration Aktualisieren und Migrieren Benutzerverwaltung Webtechnologie Administration Xgrid Administration und Hochleistungs-Computing Mac OS X Server Glossar behandelt folgende Themen: Automatisiertes Verwalten des Betriebssystems und anderer von Client-Computern genutzter Software mittels NetBoot, NetInstall und Softwareaktualisierung. Übernahme der Einstellungen für Daten und Dienste aus einer früheren Version von Mac OS X Server oder Windows NT Erstellen und Verwalten von Benutzer-Accounts, Gruppen und Computern.

6 Konfigurieren verwalteter Einstellungen für Mac OS X-Clients. Einrichten und Verwalten von Webtechnologien (u. a. Web, Blog, Webmail, Wiki, MySQL, PHP, Ruby on Rails und WebDAV). Einrichten und Verwalten von Computer-Clustern aus XserveSystemen und Macintosh-Computern. Informationen zu Fachbegriffen, die im Zusammenhang mit Serverund Massenspeicherprodukten häufig verwendet werden. Anzeigen von PDF-Handbüchern auf dem Bildschirm Wenn Sie die PDF-Version eines der o. g. Dokumente auf Ihrem Bildschirm anzeigen, haben Sie folgende Möglichkeiten:  Sie können die Lesezeichen einblenden, um den Aufbau und die Struktur des Dokuments zu sehen. Durch Klicken auf ein Lesezeichen können Sie direkt zum entsprechenden Abschnitt oder Kapitel blättern.  Sie können ein Wort oder eine Wortgruppe eingeben, um alle Textstellen mit diesem Wort bzw. dieser Wortgruppe anzuzeigen. Durch Klicken auf einen Fundstelleneintrag können Sie direkt zu der jeweiligen Seite blättern.  Sie können auf einen Querverweis klicken, um zu dem Abschnitt zu wechseln, auf den der Verweis Bezug nimmt. Sie können auf einen Weblink klicken, um die betreffende Website in Ihrem Browser zu öffnen. Vorwort Über dieses Handbuch 17 Drucken der PDF-Handbücher Wenn Sie ein Handbuch drucken, können Sie mit den folgenden Maßnahmen den Papier- und Toner- bzw. Tintenverbrauch reduzieren:  Verzichten Sie darauf, die Titelseite zu drucken, um Toner bzw. Tinte einzusparen.  Aktivieren Sie im Dialogfenster,,Drucken" die Option für die Ausgabe in Graustufen oder in Schwarzweiß, um für die Ausgabe auf einem Farbdrucker nur schwarze(n) Tinte/Toner zu verwenden.  Reduzieren Sie den Papierverbrauch, indem Sie auf jedem Blatt/Bogen mehrere Dokumentseiten drucken. Ändern Sie im Druckfenster die Größe auf 115 % (155 % für die Einführung). Wählen Sie dann,,layout" aus dem dritten Einblendmenü aus. Wählen Sie eine der nachfolgend angebotenen Einstellungen für die Option,,Beidseitig", wenn der Drucker die Duplexausgabe unterstützt. Andernfalls wählen Sie,,2" aus dem Einblendmenü,,Seiten pro Blatt" aus und wählen Sie optional,,haarlinie" aus dem Einblendmenü,,Rahmen" aus. (Bei Verwendung von Mac OS X 10.4 oder neuer befindet sich die Einstellung,,Größe" im Dialogfenster,,Papierformat" und die Layouteinstellungen im Druckfenster. ) Da das PDF-Seitenformat kleiner ist als standardmäßiges Druckerpapier, empfiehlt es sich u. U., die gedruckten Seiten auch dann zu vergrößern, wenn Sie nicht doppelseitig drucken. Ändern Sie im Druckfenster oder im Dialogfenster,,Papierformat" die Größe auf,,115 %" (155 % für das Dokument Einführung, das im CD-Format vorliegt). Laden von Aktualisierungen für die Dokumentation Apple stellt in regelmäßigen Abständen überarbeitete Hilfethemen und Neuauflagen der Handbücher bereit. Dabei können neue Hilfethemen auch Aktualisierungen für die letzte Auflage eines Handbuchs enthalten.  Vergewissern Sie sich, wenn Sie neue Online-Hilfethemen ansehen wollen, dass Ihr Server- oder Administratorcomputer mit dem Internet verbunden ist. Klicken Sie danach auf der Hauptseite der Online-Hilfe des verwendeten Programms auf,,immer auf dem neusten Stand", um die neusten Hilfethemen zu laden.  Besuchen Sie die folgende, für die Dokumentation von Mac OS X Server eingerichtete Website, wenn Sie die neusten Auflagen der Handbücher im PDF-Format laden möchten: com/de/server/documentation 18 Vorwort Über dieses Handbuch Weitere Informationsmöglichkeiten Für weitere Informationen stehen Ihnen die folgenden Ressourcen zur Verfügung: Â,,Bitte lesen"-dokumente wichtige Aktualisierungen und spezielle Informationen. Suchen Sie nach diesen Dokumenten auf den Server-CDs.  Mac OS X Server-Website ( Zugang zu umfassenden Produkt- und Technologieinformationen.  Mac OS X Server-Support-Website ( Zugriff auf Hunderte von Artikeln aus dem Apple Support-Bereich.  Apple Service & Support-Website ( com/de/support) Zugriff auf Hunderte von Artikeln aus dem Apple Support-Bereich.  Apple Training-Website ( von Trainern geführte und in freier Zeiteinteilung durchzuarbeitende Trainingseinheiten zur Förderung Ihrer Kenntnisse und Fähigkeiten bei der Serververwaltung.  Apple-Website mit Diskussionsforen (discussions.apple.com) eine praktische Möglichkeit, Fragen, Kenntnisse und Ratschläge mit anderen Administratoren auszutauschen.  Apple-Website mit Mailing-Listen ( com) abonnieren Sie MailingListen, damit Sie mit anderen Administratoren via kommunizieren können.  OpenLDAP-Website ( informieren Sie sich über die Open-SourceSoftware, mit deren Hilfe Open Directory LDAP-Verzeichnisdienste bereitstellt.  MIT Kerberos-Website (web.mit.edu/kerberos/www) lesen Sie Hintergrundinformationen und technische Daten zu dem Protokoll, mit dem Open Directory eine sichere Gesamtauthentifizierung ermöglicht.  Berkeley DB-Website ( lesen Sie Funktionsbeschreibungen und technische Dokumentation zu der Open-Source-Datenbank, die Open Directory für die Speicherung von LDAP-Verzeichnisdaten verwendet.  RFC3377,,Lightweight Directory Access Protocol (v3): Technical Specification" ( führt eine Reihe mit acht weiteren RFC-Dokumenten (Request for Comment) mit zusammenfassenden Informationen und ausführlichen technischen Daten für das LDAPv3-Protokoll auf. Vorwort Über dieses Handbuch 19 1 Verzeichnisdienste mit Open Directory 1 Die Funktion von Verzeichnisdiensten besteht in der zentralen Bereitstellung von Informationen über Computerbenutzer und Netzwerkressourcen in einer Organisation. Vorteile der Verwendung von Verzeichnisdiensten Das Speichern von Verwaltungsdaten in einem zentralen Verzeichnis hat viele Vorteile:  Senkung des Aufwands für die Dateneingabe  Sicherstellung, dass Netzwerkdienste und -Clients über konsistente Informationen über Benutzer und Ressourcen verfügen  Vereinfachung der Verwaltung von Benutzern und Ressourcen  Bereitstellung von Identifizierungs-, Authentifizierungs- und Autorisierungsinformationen für andere Netzwerkdienste In Bildungs- und Unternehmensumgebungen sind Verzeichnisdienste eine ideale Methode zum Verwalten von Benutzern und Computerressourcen. Selbst Organisationen mit nur 10 Mitarbeitern können vom Einsatz eines Verzeichnisdiensts profitieren.

7 Verzeichnisdienste sind doppelt nützlich: Sie vereinfachen die System- und Netzwerkverwaltung und erleichtern den Benutzern die Arbeit im Netzwerk. Mit Verzeichnisdiensten sind Administratoren in der Lage, Informationen über alle Benutzer, wie z. B. zugehörige Namen, Kennwörter und Speicherorte von NetzwerkBenutzerordnern, zentral zu verwalten statt auf jedem einzelnen Computer. Verzeichnisdienste können auch zentralisierte Informationen über Drucker, Computer und andere Netzwerkressourcen verwalten. Durch das Zentralisieren der Informationen über Benutzer und Ressourcen lässt sich der Verwaltungsaufwand für Systemadministratoren senken. Außerdem verfügt jeder Benutzer über einen zentralisierten Benutzer-Account, um sich an jedem autorisierten Computer im Netzwerk anzumelden. 21 Mit einem zentralisierten Verzeichnisdienst und einem für Netzwerk-Benutzerordner konfigurierten Dateidienst stehen einem Benutzer unabhängig davon, wo er sich anmeldet, stets derselbe Benutzerordner, derselbe personalisierte Schreibtisch und dieselben individuellen Einstellungen zur Verfügung. Der Benutzer hat immer Zugriff auf persönliche Dateien im Netzwerk und kann autorisierte Netzwerkressourcen leicht finden und verwenden. Verzeichnisdienste und Verzeichnis-Domains Ein Verzeichnisdienst funktioniert wie ein Mittler zwischen Programm- bzw. Systemsoftwareprozessen, die Informationen zu Benutzern und Ressourcen benötigen, und den Verzeichnis-Domains (auch: Verzeichnis-Domänen), die diese Informationen enthalten. Wie die folgende Abbildung zeigt, stellt Open Directory Verzeichnisdienste für Mac OS X und Mac OS X Server bereit. Benutzer Gruppen Drucker Open Directory Programm- und Systemsoftwareprozesse Computer Aktivierte Volumes VerzeichnisDomains Open Directory kann auf Informationen in mindestens einer Verzeichnis-Domain zugreifen. In Verzeichnis-Domains sind Informationen in einer speziellen Datenbank gespeichert, die für die Verarbeitung vieler Anfragen und für das schnelle Auffinden und Abrufen von Informationen optimiert wurde. Auf Mac OS X-Computern ausgeführte Prozesse können Open Directory-Dienste verwenden, um Informationen in Verzeichnis-Domains zu speichern. Wenn Sie zum Beispiel mit dem Arbeitsgruppenmanager einen Benutzer-Account erstellen, speichert Open Directory den Benutzernamen und andere Account-Informationen in einer Verzeichnis-Domain. Informationen zu Benutzer-Accounts können Sie anschließend im Arbeitsgruppenmanager prüfen, der Open Directory verwendet, um diese Informationen aus einer Verzeichnis-Domain abzurufen. 22 Kapitel 1 Verzeichnisdienste mit Open Directory Andere Programm- und Systemsoftwareprozesse können die in Verzeichnis-Domains gespeicherten Benutzer- Account-Informationen ebenfalls verwenden. Wenn ein Benutzer versucht, sich an einem Mac OS X-Computer anzumelden, verwendet der Anmeldeprozess Open Directory-Dienste, um Benutzernamen und Kennwort zu prüfen: Ver zeichnisdomain Arbeitsgruppenmanager Open Directory Geschichtlicher Hintergrund Wie Mac OS X geht auch Open Directory auf UNIX zurück. Open Directory bietet Zugriff auf Verwaltungsdaten, die bei UNIX-Systemen gewöhnlich in Konfigurationsdateien gespeichert sind, die einen hohen Verwaltungsaufwand verursachen. (Manche UNIXSysteme benutzen immer noch Konfigurationsdateien.) Open Directory übernimmt die Konsolidierung und Verteilung der Daten, was einen einfacheren Zugriff und eine einfachere Verwaltung ermöglicht. Datenkonsolidierung Seit Langem werden Verwaltungsinformationen bei UNIX-Systemen in einer Sammlung von Dateien im Ordner,,/etc" gespeichert, wie in der folgenden Abbildung dargestellt. /etc/hosts /etc/group UNIX-Prozesse /etc/master.passwd Kapitel 1 Verzeichnisdienste mit Open Directory 23 Dieses Schema erforderte, dass jeder UNIX- Computer über seinen eigenen Satz Dateien verfügte, und Prozesse, die auf einem UNIX-Computer ausgeführt wurden, dessen Dateien lasen, wenn sie Verwaltungsinformationen benötigten. Wenn Sie über UNIX-Erfahrung verfügen, kennen Sie wahrscheinlich die Dateien im Verzeichnis,,/etc",,group",,,hosts",,,hosts.eqiv",,,master.passwd" etc. Ein UNIX-Prozess beispielsweise, der das Kennwort eines Benutzers prüfen muss, nutzt die Datei,,/etc/ master.passwd". Die Datei,,/etc/master.passwd" enthält einen Eintrag für jeden Benutzer-Account. Ein UNIX-Prozess, der Gruppeninformationen benötigt, zieht die Datei,,/etc/group" zu Rate. Open Directory konsolidiert Verwaltungsinformationen und vereinfacht so das Zusammenspiel zwischen Prozessen und den von ihnen erstellten und verwendeten Verwaltungsdaten: Open Directory Mac OS X-Prozesse Prozesse müssen nicht länger wissen, wie und wo administrative Daten gespeichert sind. Open Directory ruft die Daten für sie ab. Wenn ein Prozess den Speicherort des Benutzerordners für einen Benutzer benötigt, ruft er die entsprechenden Informationen über Open Directory ab. Open Directory sucht die angefragten Informationen und meldet sie zurück. Detaillierte Angaben dazu, wie die Informationen gespeichert sind, werden dabei weggefiltert, wie die folgende Abbildung veranschaulicht. VerzeichnisDomain VerzeichnisDomain Open Directory Mac OS X-Prozesse 24 Kapitel 1 Verzeichnisdienste mit Open Directory Wenn Sie Open Directory für den Zugriff auf Verwaltungsdaten mehrerer VerzeichnisDomains konfigurieren, nutzt Open Directory die Domains wie erforderlich. Einige in einer Verzeichnis-Domain gespeicherte Daten entsprechen den in UNIX-Konfigurationsdateien gespeicherten Daten. Beispielsweise werden der Speicherort des Benutzerordners, der vollständige Name, die Benutzer- ID und die Gruppen-ID in den Benutzereinträgen einer Verzeichnis-Domain gespeichert statt in der Standarddatei,,/etc/passwd". Eine Verzeichnis-Domain speichert jedoch wesentlich mehr Daten, um Funktionen zu unterstützen, die es nur in Mac OS X gibt, wie z. B. Unterstützung für die Verwaltung von Mac OS X-Client-Computern. Datenverteilung Charakteristisch für UNIX-Konfigurationsdateien ist, dass die enthaltenen Verwaltungsdaten nur für die Computer verfügbar sind, auf denen sie gespeichert wurden. Jeder Computer hat seine eigenen UNIX- Konfigurationsdateien. Bei UNIX-Konfigurationsdateien müssen auf jedem Computer, den ein Benutzer verwenden will, die Benutzer-Account-Einstellungen dieses Benutzers gespeichert sein, und auf jedem Computer müssen die Account-Einstellungen für jeden Benutzer gespeichert sein, der auf den Computer zugreifen können soll. Wenn der Administrator die Netzwerkeinstellungen eines Computers festlegen will, muss er zu dem entsprechenden Computer gehen und die IP-Adresse und weitere Informationen eingeben, die den Computer im Netzwerk identifizieren.

8 Sind Benutzer- oder Netzwerkinformationen in UNIX-Konfigurationsdateien zu ändern, muss der Administrator die Änderungen wiederum auf dem Computer vornehmen, auf dem sich die Dateien befinden. Manche Änderungen, wie beispielsweise Netzwerkeinstellungen, erfordern, dass der Administrator die gleichen Änderungen an mehreren Computern vornimmt. Dieser Ansatz wird schnell unüberschaubar, wenn Netzwerke an Größe und Komplexität zunehmen. Kapitel 1 Verzeichnisdienste mit Open Directory 25 Open Directory löst dieses Problem, indem administrative Daten in einer VerzeichnisDomain gespeichert werden, die ein Netzwerkadministrator von einem Standort aus verwalten kann. Mit Open Directory können Sie die Informationen verteilen und für die Computer, die sie benötigen, und den Administrator, der sie verwaltet, in einem Netzwerk anzeigen lassen. Dies wird in der folgenden Abbildung veranschaulicht. VerzeichnisDomain Systemadministrator Open Directory Benutzer Anwendungsmöglichkeiten für Verzeichnisdaten Mit Open Directory können Netzwerkinformationen leicht in einer Verzeichnis-Domain zusammengeführt und verwaltet werden. Dies ist jedoch nur dann von Nutzen, wenn auf Netzwerkcomputern aktive Programm- und Systemsoftwareprozesse auf die Informationen zugreifen. Mac OS X- System- und -Programmsoftware kann Verzeichnisdaten auf verschiedene Weise nutzen:  Anmeldung: Der Arbeitsgruppenmanager kann Benutzereinträge in einer VerzeichnisDomain erstellen. Mit diesen Einträgen können Benutzer identifiziert werden, die sich an Mac OS X- und Windows-Computern anmelden. Wenn ein Benutzer einen Namen und ein Kennwort im Mac OS X-Anmeldefenster angibt, fordert der Anmeldeprozess Open Directory auf, den Namen und das Kennwort zu prüfen. Open Directory verwendet den Namen, um den Account-Eintrag des Benutzers in einer Verzeichnis-Domain zu suchen, und weitere Daten im Benutzereintrag, um das Kennwort zu prüfen. 26 Kapitel 1 Verzeichnisdienste mit Open Directory  Ordner- und Dateizugriff: Nach der Anmeldung kann ein Benutzer auf Dateien und Ordner zugreifen. Mac OS X verwendet andere Daten aus dem Benutzereintrag, um die Zugriffsrechte des Benutzers für jede Datei oder jeden Ordner zu bestimmen.  Benutzerordner: In jedem Benutzereintrag in einer Verzeichnis-Domain wird der Speicherort für den Benutzerordner des Benutzers gespeichert. In diesem Ordner werden die privaten Dateien, Ordner und Einstellungen des Benutzers abgelegt. Der Benutzerordner eines Benutzers kann sich auf dem Computer befinden, den der Benutzer immer verwendet, oder er kann sich auf einem Dateiserver im Netzwerk befinden.  Netzwerkordner mit,,autoaktivierung": Netzwerkordner können so konfiguriert werden, dass sie automatisch aktiviert werden. Sie werden dann automatisch im Ordner,,Alle" (dem Netzwerkglobus) in den Finder-Fenstern von Client-Computern angezeigt. Informationen über diese Netzwerkordner mit,,autoaktivierung" werden in einer Verzeichnis-Domain gespeichert. Netzwerkordner sind Ordner, Festplatten oder Festplattenpartitionen, die Sie für den Zugriff über das Netzwerk freigegeben haben.  -Account-Einstellungen: Der Eintrag jedes Benutzers in einer VerzeichnisDomain gibt an, ob der Benutzer über den Mail-Dienst verfügt, welche Protokolle verwendet werden sollen, wie eingehende s dargestellt werden, ob der Benutzer auf den Eingang neuer s hingewiesen wird usw.  Ressourcennutzung: Festplatten-, Druck- und -Zuteilungen können in jedem Benutzereintrag einer Verzeichnis-Domain gespeichert werden.  Verwaltete Client-Informationen: Der Administrator kann die Mac OS X-Umgebung von Benutzern verwalten, deren Account-Datensätze in einer VerzeichnisDomain gespeichert sind. Der Administrator nimmt verbindliche Einstellungen vor, die in der Verzeichnis-Domain gespeichert werden und die persönlichen Einstellungen der Benutzer überschreiben.  Gruppenverwaltung: Neben Benutzereinträgen werden in einer Verzeichnis-Domain auch Gruppeneinträge gespeichert. Jeder Gruppeneintrag betrifft alle Benutzer, die dieser Gruppe angehören. Daten in Gruppeneinträgen geben die Einstellungen für Gruppenmitglieder an. Gruppeneinträge regeln auch den Zugriff auf Dateien, Ordner und Computer.  Verwaltete Netzwerkansichten: Der Administrator kann benutzerdefinierte Ansichten konfigurieren, die die Benutzer sehen, wenn sie das Netzwerksymbol in der Seitenleiste eines Finder-Fensters auswählen. Da diese verwalteten Netzwerkansichten in einer Verzeichnis-Domain gesichert werden, sind sie automatisch verfügbar, wenn sich ein Benutzer anmeldet. Kapitel 1 Verzeichnisdienste mit Open Directory 27 Zugriff auf Verzeichnisdienste Open Directory kann für die folgenden Arten von Verzeichnisdiensten auf VerzeichnisDomains zugreifen:  LDAP (Lightweight Directory Access Protocol), ein offener Standard, der häufig in gemischten Umgebungen mit Macintosh-, UNIX- und Windows-Systemen verwendet wird. LDAP ist der native Verzeichnisdienst für freigegebene Verzeichnisse in Mac OS X Server.  Lokale Verzeichnis-Domain, der lokale Verzeichnisdienst für alle Mac OS X- und Mac OS X Server-Versionen ab Version  Active Directory, der Verzeichnisdienst von Microsoft-Servern mit Windows 2000 und  NIS (Network Information System), der Verzeichnisdienst vieler UNIX-Server.  BSD-Flat-Dateien, der überkommene Verzeichnisdienst von UNIX-Systemen. Hintergrundinformationen zu einer Verzeichnis-Domain Informationen in einer Verzeichnis-Domain werden nach Eintragstyp (auch: Datensatztyp) strukturiert. Bei Eintragstypen handelt es sich um spezielle Kategorien von Informationen wie Benutzer, Gruppen und Computer. Eine Verzeichnis-Domain kann für jeden Eintragstyp eine beliebige Anzahl von Einträgen enthalten. Jeder Eintrag stellt eine Sammlung von Attributen dar, und jedes Attribut hat einen oder mehrere Werte. Wenn Sie sich einen Eintragstyp als Tabelle vorstellen, die eine Kategorie von Informationen enthält, dann sind die Einträge die Zeilen und die Attribute die Spalten der Tabelle, und jede Tabellenzelle enthält einen oder mehrere Werte. Wenn Sie zum Beispiel mit dem Arbeitsgruppenmanager einen Benutzer-Account definieren, erstellen Sie einen Benutzereintrag (einen Eintrag (oder Datensatz) vom Typ,,Benutzer"). Die Einstellungen, die Sie für den Benutzer-Account konfigurieren (Kurzname, vollständiger Name, Speicherort des Benutzerordners usw. ), werden zu Attributwerten im Benutzereintrag. Der Benutzereintrag und die Werte der darin enthaltenen Attribute befinden sich in einer Verzeichnis- Domain. Bei manchen Verzeichnisdiensten wie LDAP und Active Directory werden Eintragstypen nach Objektklasse verwaltet.

9 Objektklassen definieren wie Eintragstypen Kategorien von Informationen. Eine Objektklasse definiert ähnliche Informationen, die als Eingaben bezeichnet werden, durch Angabe von Attributen, die eine Eingabe enthalten muss oder kann. Für eine Objektklasse kann eine Verzeichnis-Domain mehrere Eingaben enthalten, die ihrerseits jeweils mehrere Attribute enthalten können. Manche Attribute haben einen einzelnen Wert, andere haben mehrere Werte. Zum Beispiel definiert die Objektklasse,,inetOrgPerson" Eingaben, die Benutzerattribute enthalten. 28 Kapitel 1 Verzeichnisdienste mit Open Directory Die Klasse,,inetOrgPerson" ist eine LDAP-Standardklasse, definiert in RFC Weitere LDAP-Standardklassen und -attribute sind in RFC 2307 definiert. Die Standardklassen und -attribute von Open Directory basieren auf diesen RFCs. Die Sammlung von Attributen und Eintragstypen oder Objektklassen ist eine Blaupause für die Informationen in einer Verzeichnis-Domain. Diese Blaupause wird als Schema der Verzeichnis-Domain bezeichnet. Open Directory verwendet jedoch ein verzeichnisbasiertes Schema, das sich von einem lokal gespeicherten Schema unterscheidet. Wenn Sie eine lokale Konfigurationsdatei für ein Schema verwenden und dazu einen Open Directory-Master nutzen wollen, der Replikserver bereitstellt, besteht die Herausforderung darin, dass Sie die entsprechenden Änderungen auch an jeder Replik vornehmen müssen, wenn Sie am lokalen Schema eines Open Directory-Masters ein Attribut ändern oder hinzufügen. Abhängig von der Anzahl Ihrer Repliken kann der manuelle Aktualisierungsprozess sehr viel Zeit beanspruchen. Wenn Sie die Änderungen von Schemata nicht lokal auf alle zugehörigen Repliken übertragen, erzeugen ihre Replikserver Fehler, wenn Werte für das neu hinzugefügte Attribut an die Replikserver gesendet werden. Zur Vermeidung dieses Ausfallrisikos verwendet Mac OS X ein verzeichnisbasiertes Schema, das in der Verzeichnisdatenbank gespeichert ist und automatisch für alle Replikserver von der replizierten Verzeichnisdatenbank aktualisiert wird. So wird das Schema für alle Repliken synchronisiert und eine größere Flexibilität für Änderungen am Schema erzielt. Die Struktur von LDAP-Verzeichnisinformationen In einem LDAP- Verzeichnis werden Eingaben in einer hierarchischen Baumstruktur angelegt. Bei manchen LDAP-Verzeichnissen wird diese Struktur durch geografische und unternehmensspezifische Einschränkungen vorgegeben. Überwiegend basiert die Struktur jedoch auf Internet-Domain-Namen. In einer einfachen Verzeichnisstruktur befinden sich die Eingaben für Benutzer, Benutzergruppen, Computer und andere Objektklassen direkt unter der root-ebene der Hierarchie, wie die folgende Abbildung zeigt: dc=com dc=beispiel cn=benutzer cn=gruppen cn=computer uid=anne cn=anne Johnson uid=juan cn=juan Chavez Kapitel 1 Verzeichnisdienste mit Open Directory 29 Auf eine Eingabe wird durch das zugehörige Attribut DN (Distinguished Name) verwiesen. Erzeugt wird dieser Name durch das Verbinden des Eingabenamens, der als RDN (Relative Distinguished Name) bezeichnet wird, mit den Namen zugehöriger Vorläufereinträge. Die Eingabe für Anne Johnson könnte beispielsweise als RDN die Angabe uid=anne und als DN die Angabe uid=anne, cn=benutzer, dc=beispiel, dc=com enthalten. Der LDAP-Dienst ruft Daten ab, indem die Hierarchie der Eingaben durchsucht wird. Der Suchvorgang kann bei einer beliebigen Eingabe beginnen. Die Eingabe, mit der die Suche beginnt, ist der Suchbeginn. Sie können den Suchbeginn festlegen, indem Sie den Namen einer Eingabe im LDAPVerzeichnis angeben. Beispielsweise gibt der Suchbeginn cn=benutzer, dc=beispiel, dc=com an, dass der LDAP-Dienst die Suche bei der Eingabe beginnt, deren cn- Attribut den Wert,,benutzer" hat. Sie können auch festlegen, wie weit die LDAP-Hierarchie unterhalb des Suchbeginns durchsucht werden soll. Der Suchbereich kann alle Zweige unter dem Suchbeginn einschließen oder die erste Ebene der Eingaben unter dem Suchbeginn. Wenn Sie Befehlszeilenprogramme für die Suche nach einem LDAP- Verzeichnis verwenden, können Sie den Suchbereich auch so einschränken, dass nur der Suchbeginn eingeschlossen ist. Lokale und gemeinsam genutzte Verzeichnis-Domains An welchem Speicherort Sie die Benutzerinformationen und weitere Verwaltungsdaten Ihres Servers ablegen, hängt davon ab, ob die Daten freigegeben werden müssen. Diese Informationen können in der lokalen Verzeichnis-Domain des Servers oder in einer gemeinsam genutzten Verzeichnis-Domain gespeichert werden. Informationen zur lokalen Verzeichnis-Domain Jeder Mac OS X Computer hat eine lokale Verzeichnis-Domain. Die Verwaltungsdaten einer lokalen Verzeichnis-Domain werden ausschließlich für Programme und Systemsoftware angezeigt, die auf dem Computer mit dieser Domain aktiv sind. Dies ist die erste Domain, die abgefragt wird, wenn sich ein Benutzer anmeldet oder eine andere Funktion ausführt, die in einer Verzeichnis-Domain gespeicherte Daten erfordert. Wenn sich der Benutzer an einem Mac OS X-Computer anmeldet, durchsucht Open Directory die lokale Verzeichnis-Domain des Computers nach dem Eintrag des Benutzers. Wenn die lokale Verzeichnis-Domain den Eintrag des Benutzers enthält (und der Benutzer das korrekte Kennwort eingegeben hat), wird der Anmeldevorgang fortgesetzt und der Benutzer erhält Zugriff auf den Computer. 30 Kapitel 1 Verzeichnisdienste mit Open Directory Nach der Anmeldung könnte der Benutzer die Option,,Mit Server verbinden" aus dem Menü,,Gehe zu" wählen und eine Verbindung zum Dateidienst von Mac OS X Server herstellen. In diesem Fall sucht Open Directory auf dem Server den Benutzereintrag in der lokalen Verzeichnis-Domain des Servers. Wenn die lokale Verzeichnis-Domain des Servers einen Eintrag für den Benutzer enthält (und der Benutzer das korrekte Kennwort eingibt), erlaubt der Server dem Benutzer den Zugriff auf Dateidienste, wie die folgende Abbildung zeigt: Anmelden bei Mac OS X Lokale VerzeichnisDomain Verbindung zu Mac OS X Server für Dateidienste Lokale VerzeichnisDomain Wenn Sie einen Mac OS X-Computer konfigurieren, wird eine zugehörige lokale Verzeichnis-Domain erstellt und mit Einträgen gefüllt. So wird beispielsweise ein Benutzereintrag für den Benutzer erstellt, der die Installation durchführt. Er enthält den beim Einrichten eingegebenen Benutzernamen und das zugehörige Kennwort sowie weitere Informationen, etwa eine eindeutige Benutzer-ID und den Speicherort für den Benutzerordner des Benutzers. Informationen zu gemeinsam genutzten Verzeichnis-Domains Open Directory kann zwar auf jedem Mac OS X-Computer Verwaltungsdaten in dessen lokaler Verzeichnis-Domain ablegen.

10 Powered by TCPDF ( Die eigentliche Stärke von Open Directory liegt jedoch darin, dass es mehreren Mac OS X-Computern die gemeinsame Nutzung von Verwaltungsdaten erlauben kann, indem die Daten in gemeinsam genutzten Verzeichnis-Domains abgelegt werden. Wenn ein Computer für die Verwendung einer gemeinsam genutzten Domain konfiguriert wird, sind die Verwaltungsdaten in der gemeinsam genutzten Domain auch für auf diesem Computer aktive Programme und Systemsoftware sichtbar. Wenn Open Directory den Eintrag eines Benutzers in der lokalen Verzeichnis-Domain eines Mac OS X-Computers nicht finden kann, kann Open Directory die Suche in allen gemeinsam genutzten Domains fortsetzen, auf die der Computer Zugriff hat. Kapitel 1 Verzeichnisdienste mit Open Directory 31 Im folgenden Beispiel kann der Benutzer auf beide Computer zugreifen, weil die gemeinsam genutzte Domain, auf die beide Computer Zugriff haben, einen Eintrag für den Benutzer enthält. Gemeinsam genutzte VerzeichnisDomain Anmelden bei Mac OS X Lokale VerzeichnisDomain Verbindung zu Mac OS X Server für Dateidienste Lokale VerzeichnisDomain Gemeinsam genutzte Domains befinden sich im Allgemeinen auf Servern, weil in Verzeichnis-Domains äußerst wichtige Daten wie die Daten für die Identifizierung von Benutzern gespeichert sind. Der Zugriff auf Server ist normalerweise stark eingeschränkt, um die auf ihnen gespeicherten Daten zu schützen. Außerdem müssen Verzeichnisdaten immer verfügbar sein. Server weisen oft zusätzliche Hardwarefunktionen auf, die ihre Zuverlässigkeit erhöhen, und sie können an USV-Vorrichtungen angeschlossen werden. 32 Kapitel 1 Verzeichnisdienste mit Open Directory Gemeinsam genutzte Daten in vorhandenen Verzeichnis-Domains Manche Organisationen wie Universitäten und weltweit tätige Unternehmen verwalten Benutzerinformationen und andere Verwaltungsdaten in Verzeichnis-Domains auf UNIX- und Windows-Servern. Open Directory kann diese Nicht-Apple-Domains und gemeinsam genutzten Open Directory-Domains von Mac OS X Server-Systemen durchsuchen, wie die folgende Abbildung zeigt. Mac OS X Server Lokale VerzeichnisDomain Gemeinsam genutzte VerzeichnisDomain Windows-Server Active DirectoryDomain Lokale VerzeichnisDomain Mac OS X-Benutzer Mac OS X-Benutzer Windows-Benutzer Die Reihenfolge, in der Mac OS X Verzeichnis-Domains durchsucht, ist konfigurierbar. Ein Suchpfad legt die Reihenfolge fest, in der Mac OS X die Verzeichnis-Domains durchsucht. Erläuterungen zu Suchrichtlinien finden Sie in Kapitel 2,,Open Directory-Suchpfade". SMB-Dienste und Open Directory Sie können Mac OS X Server mit Open Directory und mit SMB-Diensten konfigurieren, um Windows-Workstations bereitzustellen. Bei gemeinsamer Verwendung dieser beiden Dienste können Sie Mac OS X Server als primären Domain-Controller (PDC) oder als Backup-Domain- Controller (BDC) konfigurieren. Open Directory als primärer Domain-Controller (PDC) Mac OS X Server kann als Windows-PDC konfiguriert werden, sodass sich Benutzer von Windows NT-kompatiblen Workstations über Domain-Accounts anmelden können. Ein PDC stellt jedem Windows-Benutzer jeweils einen Benutzernamen und ein Kennwort bereit, mit denen sich dieser Benutzer über jede Workstation mit Windows NT 4.x, Windows 2000, Windows XP und Windows Vista im Netzwerk anmelden kann. Anstatt sich mit einem Benutzernamen und einem Kennwort anzumelden, die lokal auf einer Workstation definiert sind, kann sich der jeweilige Benutzer mit dem auf dem PDC definierten Benutzernamen und Kennwort anmelden. Kapitel 1 Verzeichnisdienste mit Open Directory 33 Derselbe Benutzer-Account, der für die Anmeldung über Windows-Workstations verwendet werden kann, kann auch für die Anmeldung über Mac OS X-Computer genutzt werden. Benutzer mit beiden Plattformen können daher denselben Benutzerordner, denselben -Account und dieselben Druckkontingente auf beiden Plattformen verwenden. Während der Anmeldung an der Windows-Domain können Benutzer ihr Kennwort ändern. Benutzer- Accounts werden im LDAP-Verzeichnis des Servers mit Gruppen-, Computer und weiteren Informationen gespeichert. Der PDC hat Zugriff auf diese Verzeichnisinformationen, weil Sie den PDC auf einem Server eingerichtet haben, der ein Open Directory-Master ist und ein LDAP-Verzeichnis bereitstellt. Darüber hinaus verwendet der PDC den Kennwortserver des Open Directory-Masters für die Identifizierung von Benutzern, wenn sie sich an der Windows- Domain anmelden. Der Kennwortserver kann Kennwörter mithilfe der Identifizierungsmethoden,,NTLMv2",,,NTLMv1" und,,lan-manager" und mit weiteren Methoden prüfen. Der Open Directory-Master kann auch über ein Kerberos-KDC (Key Distribution Center) verfügen. Der PDC verwendet Kerberos nicht für die Identifizierung von Benutzern für Windows-Dienste. Der Mail-Dienst und weitere Dienste können jedoch für die Verwendung von Kerberos konfiguriert werden, um Benutzer von Windows-Workstations zu identifizieren, die über Accounts im LDAP-Verzeichnis verfügen. Ein Benutzer muss den Kennworttyp,,Open Directory" haben, damit sein Kennwort vom Open Directory-Kennwortserver und von Kerberos geprüft werden kann. Ein BenutzerAccount mit dem Kennworttyp,,Crypt" kann nicht für Windows-Dienste verwendet werden, weil,,crypt"-kennwörter nicht mithilfe der Identifizierungsmethoden,,NTLMv2",,,NTLMv1" oder,,lan-manager" geprüft werden können. Beim Server können sich auch Benutzer-Accounts in der zugehörigen lokalen VerzeichnisDomain befinden. Jeder Server mit Mac OS X Server verfügt über einen solchen Account. Der PDC verwendet diese Accounts nicht für die Anmeldung an Windows-Domains, kann sie jedoch für die Identifizierung von Benutzern für den Windows-Dateidienst und andere Dienste nutzen. Benutzer-Accounts in der lokalen Verzeichnis-Domain, die den Kennworttyp,,Shadow" aufweisen, können für Windows-Dienste verwendet werden, weil,,shadow"-kennwörter mithilfe der Identifizierungsmethoden,,NTLMv2",,,NTLMv1" und,,lan-manager" und weiterer Methoden geprüft werden können. Zum Zweck der Kompatibilität unterstützt Mac OS X Server Benutzer-Accounts, die für die Verwendung der traditionellen Technologie des Identifizierungsmanagers (Authentification Manager) konfiguriert wurden, damit Kennwörter in den Mac OS X Server-Versionen 10.0 bis 10.2 geprüft werden können. Nach der Aktualisierung eines Servers auf Mac OS X Server können vorhandene Benutzer ihre bisherigen Kennwörter weiter verwenden. 34 Kapitel 1 Verzeichnisdienste mit Open Directory Ein Benutzer-Account verwendet den Identifizierungsmanager, wenn der Account sich in einer lokalen Verzeichnis-Domain befindet, für die der Identifizierungsmanager aktiviert wurde, und wenn für den Account die Verwendung eines,,crypt"-kennworts festgelegt wurde.