Newsgroup: it.comp.os.linux.sys
Titolo: proxy LDAP verso Active Directory per autenticazione Unix/Linux

ciao a tutti.
qualcuno di voi è riuscito in una simile "impresa"?
Perché vorrei fare questo?
- vorrei sfruttare utenze già esistenti.
- ho più di cento server linux e vorrei evitare di dover configurare
  kerberos su ciascun server.
- ho una quarantina di server Aix e non credo che sia impresa facile (o
  addirittura possibile) riuscire a farli autenticare su AD.
Ho trovato questa guida:
http://ebook.sikurezza.org/wiki/OpenLDAP_e_Microsoft_Active_Directory
Ma non è esattamente quello che cercavo. Secondo me OpenLDAP in questo
caso viene chiamato "proxy" in modo improprio... e infatti nella guida,
a un certo punto si parla di "importazione" da A.D. e di provisioning
sul "proxy".
Ma quando mai? Io non devo importare alcun dato, perché un proxy ldap
non ha nessuna base di dati, ma al massimo una cache volatile.
Il prodotto proxy che per il momento mi sconfinfera di più è il
seguente:
http://download.oracle.com/docs/cd/E19476-01/821-0506/configuring-vdp.html
Però non facendo parte di alcuna parrocchia, la discriminante non
sarebbe il prodotto, quanto il risultato. Quindi, niente provisioning,
e niente dati ulteriori .... poi eventualmente valuterei di redirigere
richieste proxy per sudo, o per gestire le stampanti su un altro LDAP,
ma questo è un altro discorso.
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 ma questo è un altro discorso.
Non mi è ben chiaro cosa tu debba esattamente fare, però...
Se ti interessa,ti dico cosa ho fatto io e come.

 Se ti interessa,ti dico cosa ho fatto io e come.
Premetto che tempo fa lo feci su un notebook e funzionò, ma ricordo
qualcosa di vagamente farraginoso, che vorrei evitare su 150 server
server. Comunque, SI che mi interessa, parla a ruota libera se ti va.


 
c'è un problema comunque (FORSE!): potrò mettere sudoers su Active
Directory?
Io avrò sudo, e un'altra cosa che voglio evitare e di dover mantenere
il file sudoers su 100 macchine differenti.
In questo caso, e nel caso in cui AD non potesse ospitare sudo, il proxy
mi verrebbe in aiuto perché potrebbe smistare le richieste su ldap
differenti...
Giuro che non ho ancora gugolato per questa cosa di AD+sudo.... 


 server. Comunque, SI che mi interessa, parla a ruota libera se ti va.
Poca roba, tutto sommato: nsswitch.conf, krb5.conf e i vari pam.
Se poi hai esigenze particolari, potresti dover mettere mano allo0 schema ldap.

 differenti...
Devi solo verificare la possibilità di modificare opportunamente lo schema ldap
di AD.

 Il perché è presto detto: una simpatica "feature" di AD su 2003 SP2 (IIRC)
Rectius: SP1.


[...]
dai un'occhiata
http://www.likewise.com/products/likewise_enterprise/supported_platforms.php
e vedi se la versione open copre tutte le possibilità.
per quanto riguarda sudo
http://www.likewise.com/products/likewise_enterprise/role-based-access-control.php
ciao
michele

 differenti...
Scusa l'ignoranza, ma non ti basta pam_ldap dove il problema di sudo non 
esiste?
Nicola.
P.S. io sto' imparando kerberos e qualcuno vuole gia' farne a meno. Non sono 
mai al passo con i tempi :P
-- 
chi va pian va san e va lontan

 esiste?
Non ti capisco. Io voglio sudo sul directory server e questo vuol dire
che io non avrò /etc/sudoers ma che le regole sudo saranno lette sul
Directory Server.
Hai mai visto dei file sudo di svariati kbyte, sparsi su centinaia di
macchine?
Personalmente, in grandi aziende, ho avuto a che fare con file sudo di
un migliaio di righe, che poi venivano replicati tutte le notti con
"rcp" (oggi si usa "scp") su centinaia di server.
Questo è ciò che voglio evitare assolutamente.
Quanto a kerberos, volevo semplificare quanto più possibile, ma a
quanto pare con la mia "trovata" andrei a complicare le cose
ulteriormente.
Massimiliano

 Se poi hai esigenze particolari, potresti dover mettere mano allo0 schema ldap.
Do' un'occhiata anche al suggerimento di Marcio Macaluso dopo di che,
mi butto a capofitto.
Grazie ;-)
Massimiliano

 "rcp" (oggi si usa "scp") su centinaia di server.
In caso di mal di testa da configurazione scp aiuta sempre.
Nicola.


 michele
Lo sto scaricando. Vediamo se è roba buona che fa per me...
Massimiliano

 qualcuno di voi è riuscito in una simile "impresa"?
Io no perche` non ci ho mai provato, ma guarda FreeIPA, che dovrebbe fare al 
caso tuo
Enrico

 Nicola.
Certo. A questo punto faccio un scp di /etc/passwd e /etc/shadow e non
ho bisogno nemmeno di LDAP.


 deve accedere certi file.... blablabla....
Uh, questo si che è fico. Adesso che lo so posso delegare a qualcun altro il 
riavvio di oracle :P
Grazie, Nicola.


 altro il riavvio di oracle :P
Se dobbiamo scherzare, scherziamo pure. Altrimenti renditi conto che
una azienda con N server, e con N addetti nell'IT non può dare
privilegi amministrativi a decine o centinaia di persone, che
normalmente, per lo svolgimento del loro lavoro, devono solo fare uno
stop/start di un servizio.
Altresì, non vorrei essere chiamato da qualcuno, e ricevere
incident/change solo per fare lo stop/start di un servizio.
Per questo motivo esiste sudo. E per questo stesso motivo qualcuno usa
sudo over ldap.
Chiaro che se lavori in un posto dove gli addetti dell'IT sono un
massimo di 5 persone, allora questo discorso è assolutamente inutile.
p.s.: anni addietro ho lavorato in un posto dove c'erano 600 HP-UX, più
tot. linux e solaris e gestivano il file sudoers con "rcp". Puoi
immaginare il manicomio che ne venica fuori. 



Facebook: Massimo Bacilieri

 stop/start di un servizio.
Scusa ma la storia del riavvio di Oracle è vera, non stavo mica scherzando! 
Mi rompono i maroni con un unico e solo database Oracle.


 scherzando! Mi rompono i maroni con un unico e solo database Oracle.
C'e` qualcosa che non mi torna, perche` riavvii Oracle? In genere non e` 
necessario a meno che non si faccia un cold backup tramite RMAN 
(scriptabile, pero`)
Enrico

Il giorno Fri, 04 Feb 2011 01:02:58 +0100
Enrico 'Henryx' Bianchi <enrico....@gmail.com_INVALID_> ha scritto:

mmmh... questo è sicuramente tra i più interessanti. Me ne parlava
un collega e mi disse una cosa che adesso sto realmente riscontrando
nella documentazione: il client SSSD ha capacità di funzionamento
offline (tramite caching e cavoli suoi) in stile Active Directory.
Ciò da un lato vorrebbe dire che dovrei integrare un server apposta (e
questo mi rompe un po') ma da un altro lato mi eviterebbe problemi in
caso di problemi di connessione con i server del dominio windows.


Enrico 'Henryx' Bianchi wrote:

No, niente cold backup.
Il problema è che abbiamo un programma in java che fa qualche casino quando 
viene aperto n volte. Viene superato un qualche limite su oracle, non mi 
ricordo quale e si impalla tutto. Sono in attesa che mi sistemino il 
programma in questione.


 programma in questione.
Posto che il programma e` sicuramente da sistemare, fai fare un tuning ad 
Oracle da una persona competente, da quando sviluppo ed amministro tale 
database non ho mai dovuto riavviarlo se non per motivi veramente critici 
(e.g. riavvio della macchina) o per motivi realmente necessari (e.g. 
riconfigurazione del file INIT.ORA). Ad occhio, direi che hai superato il 
numero massimo di cursori aperti ed hai qualche impostazione strana sulla 
gestione delle connessioni
Enrico

 gestione delle connessioni
Si, mi pareva una roba del genere.
Personalmente penso che oracle serva solo in una mega azienda con 10.000 
dipendenti. Soprattutto credo che di persone competenti riguardo un tale 
mostro ce ne siano gran poche. Giusto un mese fa ho notato (lato utente, mio 
malgrado) il casino che ha fatto la Regione Veneto con questo database.
Grazie, Nicola.


 database.
Cosa e` successo?
Enrico

> database.
A causa della burocrazia informatica ho dovuto inserite dei dati nel loro 
database usando le maschere nel sito della Regione. Per effettuare alcuni 
controlli avevo bisogno di leggere da remoto il loro database. Così per 
autorizzarmi alla lettura delle mie tabelle, sono riusciti a cancellarmi 
tutti i dati che avevo gia' inserito. Più tardi sono riuscito ad avere 
l'accesso al database, ma non alle mie tabelle (erano di qualcun altro) :P
Alla fine ho rinunciato e ho fatto a mano (beh, non io in verità) il 
controllo che avevo da fare.
Nicola.
<OT>
Ultimante la pubblica amministrazione ha deciso di rompere le b.... con i 
loro super siti web: bisogna passare la giornata a compilarsi a mano le loro 
stupide maschere su dei stupidi server che spesso non vanno. A volte però la 
pubblica amministrazione è evoluta, allora basta mandargli un file nel loro 
formato con le loro credenziali, ma ovviamente per spedire il file (se non è 
troppo grosso, vedi Regione Veneto) devi cliccare 10 volte sul loro sito 
web. Ok, qui' si puo' intervenire di python e curl.
Naturalmente se il sito web non gira devi chiamare il numero verde, 
aspettare 40 minuti, chiamare il nuovo numero che ti danno, e aspettare 
ancora, sperando che il camionista li' fuori, con la merce caricata da 5 ore 
non ti spacchi l'ufficio.
E poi, che cavolo! Possibile che gli enti dello stato non si mettano 
d'accordo per fare un unico e solo sistema di accesso/credenziali/firma?
La cosa divertente è che il tutto viene passato come un favore all'utente.
Bene, non ci resta che aspettare il SISTRI... 
</OT> 
