Newsgroup: it.comp.os.linux.sys
Titolo: frontend openldap o proxy openldap

Salve a tutti,
scusate ma avrei bisogno di qualche chiarimento...
abbiamo un server openldap 2.3 non ho in gestione ma che posso
utilizzare solamente per autenticare i client, ora vorrei che alcuni
client microsoft (fuori dal dominio) si potessero autenticare sul
server in questione.
Purtroppo questo non è possibile perchè l'attuale Openldap server non
supporta l'autenticazione kerberos e non ha neanche samba installato,
quindi pensavo ad una seconda macchina che facesse da "proxy" per
girare tutte le richieste ldap (M$) dei client verso il server
openldap.
Se mi installo un server backend openldap con samba potrebbe fare al
mio caso? potrebbe gestire le connessioni dei client e girarle in
formato openldap? Unico requisito è che non deve mantenere tutti i
dati ldap veri e propri ma solamente inoltrare le richieste al server.
grazie mille per eventuali info o link in merito!
bye

 veri e propri ma solamente inoltrare le richieste al server.
non capisco coma fa samba a fare da proxy ldap ... o non capisco questa 
cosa che scrivi.
Il proxy ldap e' un prodotto ben specifico. Credo che in GPL non esiste, 
ma quello di sun e' ad uso gratuito.
Ne esiste anche uno di Oracle (former octetbit).
Probabilmente puoi usarlo anche in combinazione con openldap, ma di 
suggerisco di usare REdHat DS o Sun DS per linux
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

 ma quello di sun e' ad uso gratuito.
no
http://www.openldap.org/faq/index.cgi?_highlightWords=proxy&file=532
però non credo proprio che i client interroghino ldap direttamente.



non fa ne' load balancing, ne high availability. E' una nullita' 
assoluta... perfettamente in linea con tutta la suite openldap.
Ma puo' darsi che per lo scopo di Andrea puo' andar bene.


 assoluta... perfettamente in linea con tutta la suite openldap.
ma perche' tanto odio gratuito ?
non e' obbligatorio postare a muzzo, eh.
ciao,
--
oggei



fra l'altro ho scritto pure una cazzata. Pare che il load balancing sia 
fattibile:
http://www.samag.com/documents/s=9142/sam0405c/
p.s.: non siate fanatici. OpenLDAP ha alcuni limiti evidenti rispetto a 
redhat DS. Vogliamo parlarne o la chiudiamo qui?


 ma perche' tanto odio gratuito ?
Anche se ha utilizzato termini molto duri e discutibili, quello che ha
detto ha un grosso fondo di verita`: OpenLDAP, comparato ad altri server
LDAP (tra cui, vale la pena ricordarlo, c'e` FedoraDS, FLOSS anche lui),
e` molto, ma molto indietro
Enrico


quindi usando RedHat DS (ho visto che c'è anche Fedora DS) è possibile
girare (e riformattare) l'autenticazione degli utenti windows verso
l'Openldap server?
grazie.



no scusa.
redhat DS (o fedora DS o SunDS, che poi sono piu' meno tutti la stessa 
cosa) li usi in alternativa a openldap.
Adesso ricordo una cosa (si tratta di prove che ho fatto tanto tempo fa).
Il proxy ldap di octect bit (che oggi e' di Oracle) ti consente di 
interfacciarti con l'active directory, e - chiaramente - per te e' 
completamente trasparente e farai le tue query al proxy ldap come se le 
facessi ad AD.
Purtroppo ai tempi quel proxy ldap aveva una licenza costosissima.
Tuttavia, credo che con quello della sun potresti fare la stessa identica 
cosa. quello della Sun e' ad uso gratuito - se scarichi JES senza diritto 
al patching - ed e' installabile su Linux.



infatti purtroppo i client M$ non possono loggarsi su Openldap a meno
che questo supporti l'autenticazione SASL/GSSAPI, come il kerberos
utilizzato da winz.
Ma nel mio caso non è usata quel tipo di autenticazione  :(

 non fa ne' load balancing, ne high availability. 
infatti la suite di openldap prevede di farlo mediante replica.
Ma sbaglio o non era richiesto?

 redhat DS. Vogliamo parlarne o la chiudiamo qui?
è fuori dubbio. Volgiamo mettere la replica multimaster? ma questo non
vuol dire che faccia schifo.



obiettivamente lo userei, senza pormi troppi problemi, ma solo in 
progetti abbastanza statici e di dimensioni modeste.
mi pare che openldap non abbia nemmeno gli short-referral (se non ricordo 
male dovrebbero chiamarsi cosi'), che occhio e croce funzionano come una 
joint in SQL (alla faccia di chi diceva che un RDBMS ha il vantaggio di 
avere le joint) ;) .... andare adesso su tutte le funzioni non e' 
semplice. Questa mi e' venuta in mente e questa ho riportato.


 avere le joint)
s/ave/fuma/
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 semplice. Questa mi e' venuta in mente e questa ho riportato.
imho sbagli. Il tuo discorso è come dire: la ruota è rotonda. anche le
pentole lo sono quindi metto le pentole sulla macchina e mi lamento.
che senso hanno le join (e non le canne... ;-P) nei servizi di
directory? non troppe, se l'albero è indicizzato bene.

 s/ave/fuma/
LOL ... ok ok. No joints, but joins.




possono servire.
il database e' gerarchico, e se non vuoi espandere le query facendole 
partire dall'apice dell'albero (possono esserci DS enormi, con centinaia 
di migliaia di dati), tu puoi effettuare le ricerche a un certo livello, 
ed includere altri "sottoinsiemi" che stanno allo stesso livello, usando 
questo sistema dei referral. In questo caso lo usi a vantaggio delle 
prestazioni.
oh... spero di essermi spiegato bene.
Questo era un esempio stupido..... un altro esempio: tu hai piu' di un 
LDAP, ma (ovviamente) potrai fare le query solo su uno e non su 2 
contemporaneamente. Basta inserire dei referral all'altro directory 
server, da un punto specifico ad un punto specifico del tree. Dal punto 
di vista del client questa operazione e' completamente trasparente.
oh ... spero di essermi rispiegato bene :)
Se ti serve espandere la 


 oh ... spero di essermi rispiegato bene :)
mumble mumble.... ma mi sembra che anche openldap ce l'abbia.....

 LOL ... ok ok. No joints, but joins.
troppo tardi ;-)

 mumble mumble.... ma mi sembra che anche openldap ce l'abbia.....
potrebbe chiamarsi referral link o qualcosa del genere.
