Newsgroup: it.comp.os.linux.sys
Titolo: Samba e Single Sign On

Ciao,
 
da un cliente ho un server Linux con Samba 3 (NO Domain Server)
quindi al cambio password l'utente la deve cambiare sia sul
suo pc (Windows) che sul server....
Questo in teoria; in pratica le password non sono mai cambiate.
 
Il server è in una delle 3 sedi, le altre due sono connesse in
VPN tramite ottime linee internet.
 
Nelle due sedi remote non si sono server.
 
Ci sono anche degli utenti con PC portatile che si spostano da una
sede all'altra.
 
Ci sono poi altri apparati, firewall, mail-server (Postfix-Dovecot)
SW Gestionale ecc.
 
 
Nasce l'esigenza, sopratutto per ottemperare alla legge sulla privacy,
di gestire al meglio utenti e password.
 
Quindi tirare su qualcosa che permetta il Single Sign On, la scadenza
delle password, ecc.
 
Credo che l'unica soluzione sia un server Samba 4 con AD, giusto ??
 
Che problemi mi possono dare i PC delle sedi remote e i PC portatili ?
 
In ogni caso pensavo di disabilitare il roaming dei profili.
 
Idee, suggerimenti, alternative  ??
 
Grazie.
 
 
-- 
Stefano L.

 Idee, suggerimenti, alternative  ??
 
Microsoft Windows Active Directory
 
Enrico

 Idee, suggerimenti, alternative  ??
 
Se vuoi stare nel mondo open ho letto di FreeIPA, ma non ho mai avuto il 
tempo di provarlo: 
https://www.freeipa.org/page/About
 
 
Ovviamente se lo provi mi farebbe piacere se condividessi l'esperienza. :-)
 
Ciao e buona giornata,
   Void


Decisamente laconico !
 
Qualche motivazione ?
 
-- 
Stefano L.

 Qualche motivazione ?
 
Funziona e bene. Samba4 mi è sembrato fin dal primo rilascio un ufficio
complicazione affari semplici
 
Enrico

 Credo che l'unica soluzione sia un server Samba 4 con AD, giusto ??
 
No, molte cose le puoi fare anche con un dominio di tipo NT, ovviamnete
anche con samba4.
 
Ma effettivamente mettere in piedi un dominio AD oggigiorno credo sia la
scelta migliore...
 
-- 
  ...di una locomotiva, come cosa viva
  lanciata a bomba contro l'ingiustizia			(F. Guccini)


Se i PC sono tutti Windows con 800 euro di licenza e mezza giornata di 
lavoro (una giornata se fai le cose proprio perfette) hai una soluzione 
che funziona divinamente, che non ti darà problemi, su cui trovi tutto 
il supporto di questo mondo, che ti mette a disposizione gli strumenti 
grafici per gestirla e per delegarne la gestione e che è certificata per 
funzionare in quella modalità con quei client.
 
In alternativa puoi usare Samba 4 che è gratuito, perderci un paio di 
giornate di lavoro tra documentarti e provare tutte le varie cose, 
rispondere alle chiamate del cliente che sicuramente arriveranno, non 
poter andare in ferie perché anche solo per creare un utente devono 
chiamarti, non poter scaricare su nessuno eventuali problemi di 
compatibilità tra client e server, ecc.ecc.
 
Se l'ambiente è Windows usa Windows e vivi felice. Qualsiasi problema 
sarà di Microsoft e tu potrai stare sereno.
 
Nell'altro caso ogni minimo problema che ci sarà (e sicuramente ce ne 
saranno) verrà automaticamente attribuito all'incolpevole Linux.
 
In passato ovunque mi sia stato chiesto ho fatto preventivi da 3k€ per 
il lavoro su Samba4 contro 1.2k€ per Windows comprensivi di licenza.
Se devo rompermi le palle e sentirmele per i tuoi problemi mi devi 
pagare profumatamente.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 In alternativa puoi usare Samba 4 che è gratuito
 
Libero. Non gratuito.
 
 
E mi pare che tu sia un po' drastico, specie per un gruppo che si chiama
'it.comp.os.linux.sys'.
 
E poi, i tool di gestione sono gli stessi. ;-)
 
-- 
  In amore ci vuole fortuna, ma anche un bel culo non guasta.
							(Fabio Fazio)

 Se i PC sono tutti Windows
 
Ma anche se i PC sono Linux, Samba come client (o l'autenticazione LDAP) è
abbastanza buono
 
Enrico
P.S. è bello rileggerti :)

 abbastanza buono
 
io uso con successo LikeWise PBIS (PowerBroker) autoconfigurato sui 
server tramite configuration management.
Supporta sia autenticazione AD sia tramite ticket kerberos sia tramite 
LDAP.
 
--
Massimiliano Adamo
 

 'it.comp.os.linux.sys'.
 
Non è drastico, è pragmatico. Personalmente feci un PDC con Samba3 e Linux,
con il risultato che ogni tre mesi dovevo cambiare manualmente la password
degli sviluppatori (no, mettere i PC nel dominio era un casino che non
risolveva nulla). Passato quel server a AD, e messi i client nel dominio,
magicamente sono spariti tutti i problemi. Senza contare che ho le GPO, cosa
che è un grosso valore aggiunto. Fare il talebano Linux significa solo
complicarsi la vita ad usare un sistema che fin'ora ha dimostrato di coprire
questa attività male e nel modo sbagliato, sia come server, sia come client
(anche se da questo punto di vista ci stanno lavorando, con FreeIPA e Fleet
Commander)
 
Enrico

 
 
si potrebbe essere tentati dal rispondere:
 
- per ambienti piccoli potrebbe non avere senso investire tempo e 
risorse per configurare Samba 4.
 
Ma pure questa affermazione lascia il tempo trova. In ambienti molto 
grandi ho visto quasi sempre Windows AD anche quando i client erano Mac.
 
Ma tu potresti avere dei template predisposti per il deploy di un server 
samba. Che presuppone che presso il client tu abbia una infrastruttura 
per il deploy delle configurazioni.
 
Il discorso e' sempre lo stesso e' la risposta e' dentro di te.... se 
devi farti tutte le configurazioni a manina lascia perdere.

[ot]
 
una curiosita' sull'argomento...
 
esistono DE che alla schermata di login chiedono:
 
- user
- password
- dominio (rilevati in LAN) /locale
 
 
 
grazie


che non e' male.
 
Volevo aggiungere che - in teoria - con Linux potrebbe diventare persino 
piu' semplice di Windows.
In quale caso particolare?
Nel caso in cui disponi di tool per orchestration e disponi anche di un 
configuration management, nel qual caso realizzi "AD as a service".
Tiri su un server con Terraform in circa 60 secondi, e applichi la 
configurazione con il configuration management ed in 5 minuti hai un 
server (*), che magari si fa ad aggiungere alla foresta dei server 
Samba. Oppure tiri su una selva di containers con Nomad, gia' belli e' 
configurati.
Ovviamente, predisporre tutto cio' non e' semplice, ma soprattuto non e' 
rapido....  pero' insomma, e' pura speculazione teorica. Non ho mai 
visto Samba gestito in questo modo.
 
(*) qui ci sono diverse scuole di pensiero: deve fare di piu' il tool di 
orchestration o il tool di configuration management?

la mia era una domanda... 
(mi sono dimenticato il punto interrogativo)
 
 
ci sono DM (tipo lightdm) che riescono a rilevare i domini collegabili?
 
 
 
 
 

 piu' semplice di Windows.
 
No. Ad esempio, non puoi applicare GPO per limitare le utenze a non fare
determinate operazioni (e.g. impostare un proxy differente). Qualcosa si sta
sistemando con il progetto GNOME Fleet Commander, ma per ora non c'è nulla di
simile a AD
 
Enrico


la mia era solo una speculazione, magari un po' insensata.
Io addirittura mi trovo in una situazione in cui anche l'autenticazione 
Linux e' stata demandata ai server Windows.
Quello che volevo dire e' che laddove Samba dovesse (ipoteticamente) 
supportare le GPO, le configurazioni necessarie potrebbero essere 
inviate automaticamente ai server.
 
Io mi trovo nella situazione inversa:
- terraform crea il server e ne gestisce risorse, stato e lifecycle.
- puppet (potrebbe essere salt-stack, ansible, chef) configura il server 
e le applicazioni del caso, e aggiunge il server nel dominio Windows, 
tramite likewise PBIS.
 
A quel punto, se e' configurato a modo, al mattino lanci kinit e per 
tutta la giornata accedi con lo stesso ticket a tutti i server (in 
alternativa usi le credenziali LDAPS).
 
E pure io mi sono riparmiato gli smadonnamenti sia con FreeIPA, sia con 
Samba :)
 
E quando hai AD, il concetto e' che un utente su AD devi averlo 
comunque, quindi, se non ci sono implicazioni di sicurezza, perche' 
duplicare lo sforzo?
 
-- 
Massimiliano

 ci sono DM (tipo lightdm) che riescono a rilevare i domini collegabili?
 
Se parli di GPO, ovviamente non in modo semplice (dico, senza passare a
FreeIPA o cose del genere).
 
Ma se parli di autenticazione, supponendo una corretta configurazione di
winbind, dovrebbe funzionare l'autenticazione con 'NOMEDOMINIO/user' se ci
sono più dominii...
 
-- 
  Non mi interessa sentirmi intelligente guardando in tv dei cretini,
  preferirei sentirmi un cretino di fronte a persone eccellenti.
						(Franco Battiato)

 degli sviluppatori
 
Non so che dirti, a me funziona. ;)
 
 
Sul resto (GPO,...), hai ovviamente perfettamente ragione, anche se la
situazione di effettivo monopolio rende il confronto, comunque, impari.
 
-- 
  Utopia aveva una sorella maggiore,
  che si chiamava Verita` senza errore			(Nomadi)

 situazione di effettivo monopolio rende il confronto, comunque, impari.
 
Non è una questione di monopolio, è una questione di visione. Per capirci,
ad oggi FreeIPA implementa parte delle funzionalità di AD nonostante sia in
circolazione dal 2008. Per la parte di GPO si dovrà aspettare che GNOME rilasci
il progetto Fleet Commander. Windows queste cose le ha dal 1999
 
Enrico

 il progetto Fleet Commander. Windows queste cose le ha dal 1999
 
Boh... se devo essere sincero sincero, trovo le GPO una cosa ormai
''sorpassata'' e assolutamente scomoda da usare, in particolare trovo
indecente la possibilità di non poter ''autodocumentare'' il sistema.
 
Io per dirti starei su Puppet/Ansible/..., sia per la user part che per la
system part.
 
-- 
  La sorte di chi sa fare le cose è che poi gli tocca farle...
							(Loris Tissino)

 system part.
 
Non è la stessa cosa, per farti un esempio, come impedisci ad un utente di
cambiare il proxy impostato sulla macchina?
 
Enrico

 cambiare il proxy impostato sulla macchina?
 
Il 90/95% delle cose che fai con le GPO le puoi fare anche buttando dentro
pezze nel registry, Microsoft fornisce anche un bel foglione di excel con la
conversione policy -> registro:
 
 
https://www.microsoft.com/en-us/download/details.aspx?id=25250
 
 
Quindi lo puoi fare con Puppet (o qualsiasi altra cosa).
 
 
Ma non sapevo che si poteva mettere mano alle GPO direttamente da
powershell. Mi informo, grazie.
 
-- 
  Internet it's the largest equivalence class in the reflexive
  transitive symmetric closure of the relationship:
  ``can be reached by an IP packet from''.		(Seth Breidbart)

 powershell. Mi informo, grazie.
 
Più la vedo e più trovo Powershell decisamente carina, ti permette di
controllare l'intero sistema operativo forse più di quanto si possa fare con la
sola bash sotto Linux, se devi mettere mano a Windows ti conviene studiartela
per bene
 
Enrico