Newsgroup: it.comp.os.linux.sys
Titolo: Autenticazione LDAP rete mista linux windows samba AD

Salve
Ho una rete mista con DC Microsoft Windows 2000 server e FileServer
Debian (Samba 3).
I client ovviamente sono misti tra Ubuntu edgy Windows 2000 e Windows
XP.
Al momento solo le macchine windows sono dentro al dominio mentre i
linux sono tutti in un workgroup.
Vorrei dare più omogeneità alla rete inserendo anche i linux nel
dominio e vorrei modificare il fileserver in modo che le condivisioni
siano servite sia via Samba che via NFS (per i client linux).
Per quanto riguarda l'aggiunta dei singoli client linux al dominio
microsoft con un po' di magie si sistema... il problema mi è sorto
sulla gestione dei permessi nelle condivisioni NFS dato che non c'è
una gestione degli uid centralizzata....
L'ipotesi era di installare su una macchina un LDAP per gestire le
autenticazioni dei linux e tenerlo sincronizzato con LDAP di AD in
modo da vere un gestione centralizzata dirattamente su windows, della
creazione utenti, gruppi, modifica password,ecc.
La mia domanda è: Come si puo fare??? c'è qualche metodo o programma
per tenere ben sincronizzato un AD con un ldap su Linux? sto
complicandomi molto la vita mentre esiste un sistema molto più
semplice che non utilizza ldap?
Mi immagino che questo problema sia già capitato a migliaia di Admin e
mi sembra strano che non sia stata trovata una soluzione "pulita" a
questo problema........ per questo mi rivolgo a voi ;)
Qualsiasi consiglio o soluzione è graditissimo!
Grazie a tutti dell'aiuto
Claudio Mari

 Qualsiasi consiglio o soluzione è graditissimo!
Non credo che Samba 3 possa fare da DC in un dominio AD facilmente, ma visto
che a te interessano solo gli UID per NFS, potresti fare uno script che a
colpi di LDIF aggiorna il server LDAP con i valori presi dall'Active
Directory (quelli che ti servono, ovviamente).
E' *abbastanza* raffazzonato su, però potrebbe funzionare.
-- 
Vide
echo '[q]sa[ln0=aln256%Pln256/snlbx]sb3135071790101768542287578439snlbxq'|dc

 XP.
Il server di dominio e' un sistema windows?
Non puoi usare una macchina linux come server con samba e ldap direttamente?

 siano servite sia via Samba che via NFS (per i client linux).
Allora, da quello che ho visto, sia Samba che il modulo pam_ldap possono
leggere una base dati LDAP, mettendo a disposizione gli utenti al
sistema operativo. A questo punto, quindi, io agirei cosi`:
- Configuro Samba e pam_ldap in modo da accedere agli utenti di AD;
- In caso non sia fattibile la lettura degli utenti di AD, eseguo i
  seguenti passi:
    - Creo un nuovo dominio con Samba e LDAP, e vi aggiungo i
      client linux;
    - Replico (a mano, non so se e` possibile replicarla in maniera
      automatica) la base dati AD su LDAP;
    - Stacco le macchine Windows dal vecchio dominio e le aggancio al
      nuovo.
Tieni comunque presente una cosa: Samba non puo` essere utilizzato come
DC, ma puo` fare da PDC
Enrico
P.S. ah, ovviamente il discorso Kerberos non lo metterei in gioco
solamente per questioni di semplicita`

 DC, ma puo` fare da PDC
Sì e così perdi tutte le group policy sui client Windows, che probabilmente
sono l'unica cosa per cui vale la pena installare (e pagare) un server
Windows (non un AD, un server Windows in generale :P).



Esatto....
Non volevo togliere il Dominio Microsoft proprio per questo e per il
dramma di dover ricreare i profili utenti su tutte le macchine
windows....
La soluzione che sto implementando proprio in questo momento è:
Lascio attivo il Dominio Microsoft.
Sul sul file server ho installato SAMBA (configurato per autenticarsi
su AD Microsoft) e Winbind che scrive la lista utenti/uid su un DB
LDAP
Con uno script o qualcosa del genere adesso devo trovare il modo di
sincronizzare le password da AD verso LDAP di Winbind.
Se riesco a sincronizzare il problema dovrebbe essere + o -
risolto.....
Che ne dite???
Qualche suggerimento???
Claudio Mari
Claudio Mari

 sincronizzare le password da AD verso LDAP di Winbind.
Non puoi leggere la password da AD, puoi solo scriverla. Per cui se vuoi
tenere le password sincronizzate fra AD e altro LDAP così come stai dicendo
l'unica soluzione che mi viene in mente è creare una paginetta su un
webserver della Intranet in cui gli utenti possano gestire la loro
password, disabilitando il cambio da CTRL+ALT+CANC in Windows (via group
policy) e il comando passwd nei Linux.


 microsoft con un po' di magie si sistema... 
Con HP-UX e' possibile aggiungere le estensioni posix all'AD Microsoft. Mi
chiedo se queste stesse estensioni non siano riutilizzabili con i client
linux... 
In alternativa puoi mettere in mezzo il DPS di Sun (directory proxy
server) - scaricabile gratuitamente - e provare a reindirizzare certe
ricerche su AD... certo gli attributi posix da qualche parte devono stare.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

   seguenti passi:
credo non sia fattibile: mancano gli attributi posix in AD.


 linux... 
si, devi aggiungere gli attrivuti posix ad AD:
http://docs.hp.com/en/J4269-90017/apg.html
http://enterprise.linux.com/article.pl?sid=04/12/09/2318244&tid=102&tid=101&tid=100


Mandi! V3rRoZ
  In chel d? si favelave...
Vr> Per quanto riguarda l'aggiunta dei singoli client linux al dominio
Vr> microsoft con un po' di magie si sistema... il problema mi è sorto
Vr> sulla gestione dei permessi nelle condivisioni NFS dato che non c'è
Vr> una gestione degli uid centralizzata....
...risolto questo avrai il problema delle ACL: le estensioni ACL per
NFS3 esistono e sono funzionanti solo su kernel decentemente nuovi (mi
pare da 2.6.16 in poi).
Ho in piedi un ambiente misto server samba/client windows e linux ma
non ho mai testato approfonditamente locking e altre cose sugli share a
dopia condivisione NFS/SMB.
-- 
  Anything written for and running under UNIX should be y2k compliant.
  Unix will be fine until the end of the world, which will occur
  Tuesday, January 19, 2038 at 3:14:07 AM (GMT).	(Scott Pallack)