Windows 2000 mit Arktur als primärem Domänencontroller (PDC)

Transkript

1 Windows 2000 mit Arktur als primärem Domänencontroller (PDC) Der Anbindung von Windows 2000-Clients an eine Domäne kommt eine ganz andere Bedeutung zu, als dies noch bei Win9x-Clients der Fall war. Durch das Rechtesystem unter Windows 2000 muss nämlich standardmäßig der Administrator jedes einzelnen Windows-Rechners jeden einzelnen User (bei Windows 2000: Benutzer ) an jedem Rechner extra einrichten, damit man daran arbeiten kann ein fast unmögliches Vorhaben, wenn man an den Schulbetrieb mit vielen Rechnern und jeweils vielen unterschiedlichen Benutzern denkt. Dieses Problem tauchte bei Win9x-Clients nicht auf, weil dort die Anbindung an die von Arktur verwaltete Domäne in der Regel fast unbemerkt und problemlos im Hintergrund erfolgte. Es gibt drei Möglichkeiten, einen Windows oder XP-Client zur Zusammenarbeit mit Samba zu überreden: 1. Ist der User XYZ unter Samba bekannt, muss er auch am Windows 2000-Client vom lokalen Administrator eingerichtet werden. Anschließend kann er über Netzwerk->Netzlaufwerk verbinden die Samba-Shares nutzen. Ist bei diesem Prozedere das Häkchen unter beim nächsten Anmelden wieder verbinden gesetzt, stehen dem User XYZ bei der nächsten Anmeldung diese Netzwerkverbindungen wieder zur Verfügung. 2. Die Netzlaufwerke p:, t: und u: können auch durch einen Aufruf der logon.bat auf Arktur im Autostart-Ordner hergestellt werden, in dem man in diesem Ordner eine Verküpfung nach \\arktur\netlogon\logon.bat festlegt. Voraussetzung auch hier: Der Benutzer/User muss unter Arktur bekannt sein und er muss am Client bereits eingerichtet sein. Aber aufgepasst: Standardmäßig versucht Windows2000 eine einmal hergestellt Netzwerkverbindung bei jeder Anmeldung erneut herzustellen. Ruft man die logon.bat im Autostart-Ordner auf, so erinnert sich Windows2000 beim nächsten Neustart zuerst an die schon mal hergestellten Verbindungen, aktiviert diese wieder und meldet beim anschließenden Aufruf der logon.bat natürlich, dass der Gerätename bereits benutzt wird. Das ist allerdings kein Beinbruch, sondern nur ein Schönheitsfehler. Will man diese Fehlermeldung vermeiden, trennt man zunächst alle Netzlaufwerke, fügt dann ein beliebiges Netzlaufwerk hinzu und achtet jetzt darauf, dass das Häkchen bei beim nächsten Anmelden wieder verbinden nicht gesetzt ist. Von nun an werden die Netzlaufwerke nur durch die logon.bat hergestellt. Bei beiden Verfahren findet eine Benutzerverwaltung sowohl unter Samba als auch unter Windows2000 statt, ist also bei vielen Rechnern mit vielen unterschiedlichen Benutzern nicht zu empfehlen. 3. Bindet man den Windows 2000-Client in eine Domäne (und nicht nur in eine Arbeitsgruppe) ein, so übernimmt Samba die komplette Benutzerverwaltung und die Einrichtung von Usern an jedem Client entfällt. Dazu kann nun das Profil eines Benutzers auf dem Server gespeichert werden, steht als dem gleichen Benutzer an einem anderen Rechner ebenfalls zur Verfügung. Dieses Verfahren ist im Folgenden beschrieben. Voraussetzung für die Domänenanmeldung ist 1. eine relativ neue Samba-Version, die für Windows 2000-Clients den PDC spielen kann. Ab Arktur 3.2T15 ist ein Anmelden auch von Windows oder WindowsXP-Clients möglich. 2. die Umstellung von Samba auf verschlüsselte Passwörter. Das geschieht auf Arktur in der Datei /etc/samba/smb.conf. In der Sektion [global] muss dazu der Wert encrypted password auf yes stehen. Der Eintrag ist ab Arktur 3.3 standardmäßig so eingestellt. 3. ein Sambapasswort für einen User root. Mit diesem Passwort kann erst ein Windows 2000-Client der Domäne bekannt gemacht werden. 4. ein Maschinenaccount unter Samba für jeden Rechner. Gehen Sie wie folgt vor: 1. Sambaeinstellungen prüfen 1/5

2 Prüfen Sie, ob in der Datei /etc/samba/smb.conf in der [global]-sektion der Eintrag encrypted passwords = yes zu finden ist. Ggf. müssen Sie die Einstellung noch vornehmen und Samba mit smbd stop und smbd start die Konfigurationsdateien neu einlesen lassen. 2. root-passwort für Samba einrichten: (in Arktur 3.5 bereits eingerichtet, Passwort entspricht dem normalen root-passwort) Geben Sie an der Konsole von Arktur ein: smbpasswd a root Sie werden nach einem Passwort gefragt, das nun einzugeben ist. Es sollte sich vom normalen root- Passwort unterscheiden. Nach einem nochmaligen Bestätigen des Passwortes meldet Arktur added root. Nur der (Samba-)root mit diesem Passwort darf jetzt Rechner an der Domäne an- oder abmelden. Übrigens ist der (Samba-)root kein User, mit dem man sich an einem Client-Rechner anmelden kann. Am Windows 2000-Client meldet man sich normal als (lokaler) Administrator an und benutzt die Samba-root-Kennung nur zum ersten Bekanntmachen des Clients am Samba-Server auf Arktur. 3. Maschinen-Accounts für Windows 2000-Clients einrichten Maschinen-Accounts sind notwendig, weil Samba und der jeweilige Client untereinander eine Kennung aushandeln. Ein Rechner, der noch keinen Maschinen-Account bei Samba hat, lässt sich nicht in die Domäne aufnehmen. Für die Einrichtung eines Machinen-Accounts für einen Rechner mit dem Namen PLATZ1 gibt man an der Arktur-Konsole ein: mkntclient PLATZ1 Sie können alternativ auch über das SYSADM-Menü Accounts einrichten. Die erfolgreiche Einrichtung meldet Arktur mit added PLATZ1. Merken Sie sich unbedingt die Schreibweise, sie wird noch bei der Einrichtung der Clients benötigt. Für jeden Windows bzw. XP-Rechner muss ein solcher Eintrag vorgenommen werden. Sie finden übrigens die Maschinenaccounts in der /etc/passwd als Einträge mit einem $-Zeichen, hier also als PLATZ1$... Bevor nun der Client der Domäne hinzugefügt wird, müssen evtl. bereits bestehende Netzwerkverbindungen unbedingt getrennt werden. Das sollte man durch einen Rechtsklick auf das Icon Netzwerkverbindungen überprüfen und ggf. erledigen. 4. Windows 2000 an der Domäne anmelden Wenn alle Vorbereitungen auf Arktur abgeschlossen sind, geht es an den Client. Klicken Sie dazu mit rechts den Arbeitsplatz an, wählen Sie Eigenschaften und anschließend den Karteireiter Netzwerkeigenschaften (WindowsXP: Computername). Sie sehen folgendes Fenster: 2/5

3 Klicken Sie auf Eigenschaften: Geben Sie an, unter welchem Namen der Rechner der Domäne hinzugefügt werden soll, hier PLATZ1. Markieren Sie Mitglied von Domäne und geben Sie den Namen der Domäne an, standardmäßig WORKGROUP. Windows möchte nun wissen, wer diesen Rechner der Domäne hinzufügen darf: Geben Sie hier root mit dem entsprechenden (Samba-)passwort an. Nach kurzer Zeit meldet der Client die erfolgreiche Anmeldung an der Domäne: 3/5

4 Diese Änderung wird nach einem Neustart wirksam. Domänenanbindung von Windows2000-Clients am ODS-Server Arktur Hier kann man bei der Anmeldung auch noch entscheiden, ob man sich an der Domäne oder lokal anmelden will. Meldet man sich an der Domäne an, muss der User nur unter Arktur bzw. Samba bekannt sein, meldet man sich am Rechner lokal an, muss der Windows 2000-Administrator dieses Clients den User als Berechtigter eingetragen haben. 5. Einen Workgroup-User als lokalen Administrator bestimmen Zunächst ist auf dem W2K-Client ja lediglich ein lokaler Administrator angemeldet. Das bedeutet für die Installation von Programmen immer eine lokale Anmeldung. Will man aber z.b. dem User adm alle Administratorrechte übertragen, geht man wie folgt vor. Normale Workgroup-Anmeldung am Client z.b. als adm. Bei einer lokale Anmeldung wird das Procedere nicht funktionieren. Start Systemsteuerung Benutzer/Kennwörter. Sie werden nach dem Passwort des lokalen Administrators gefragt, das Sie nun eingeben. Eingabe eines neuen Users, hier adm mit der Domäne Workgroup. Diesem User Administratorrechte geben. Ab sofort hat der User adm Administratorrechte auf dem W2K-Client, auch wenn er sich über die Domäne anmeldet. Natürlich gilt diese Vorgehensweise auch für XP-Clients (nur Professionel-Version) Mögliche Probleme bei der Installation: Bestehen während der Anmeldung Netzwerkverbindungen? Trennen! Siehe auch Seite 1! Stimmt der Name des Rechners mit dem Namen des Maschinen-Accounts überein? Hat root ein Samba-Passwort? Ist Samba auf verschlüsselte Passwörter eingestellt? Ist auf Arktur eine geeignete Samba-Version installiert? Bei älteren Sambaversionen gelingt zwar auch die Nutzung der Samba-Shares, also Laufwerk p:, t: oder u: durch ein manuelles Herstellen der Netzwerkverbindungen, z.b. mittels eines Aufrufes der logon.bat im Autostart- Ordner, man erhält aber nicht aber die Vorteile einer Domänenanbindung. Vereinzelt ist darüber berichtet worden, dass die Anmeldung an der Domäne erst dann funktioniert, wenn der Rechner einmal an die Arbeitsgruppe WORKGROUP angemeldet wurde. Benutzerrechte stimmen nicht mehr: Wenn bei der lokalen Anmeldung der Benutzer XYZ noch Administratorrechte hatte, so hat er diese nach einer Domänenanmeldung nicht mehr und muss sie über die Systemsteuerung->Benutzerverwaltung am Client erneut erhalten. Dort gibt es nun nämlich zwei verschiedene User: den User XYZ lokal und in der Domäne. Sie können nicht gleichzeitig den Computernamen ändern und den PC in die Domäne aufnehmen. Ändern Sie zunächst den Namen, dann erledigen Sie nach einem Neustart die Aufnahme in die Domäne. 4/5

5 Das beschriebene Verfahren lässt sich auch auf WindowsXP-Clients übertragen, allerdings unter zwei Voraussetzungen: 1. WindowsXP muss als Professionell-Version vorliegen. 2. Man muss den Registry-Patch von der Arktur-Installations-CD einspielen: [CD-Laufwerk]:\software\regedit\WinXP-Domainanmeldung.reg Fragen und Hinweise bitte an Letzte Änderung /5