Newsgroup: it.comp.os.linux.sys
Titolo: Unix ed AD

Ciao a tutti,
ho necessità di far funzionare una macchina unix come client di un 
dominio AD. L'OS è nello specifico Solaris ma possiamo fare conto che 
sia un qualsiasi linux dato che usa la stessa implementazione MIT del 
servizio kerberos.
Ovviamente non conosco per niente AD ma, leggendo qua e là, mi pare di 
aver capito che è un incrocio fra kerberos server ed ldap; ovvero offre 
la funzionalità di SingleSigOn tipica di kerberos e la feature di 
repository centralizzato tipica di LDAP. I miei dubbi sono più o meno i 
seguenti:
- Il nodo Solaris necessita soltanto di kerberos configurato in modalità 
client?
- L'AD è consultabile come un classico LDAP?
- Io pensavo di fare una cosa del genere: usare il modulo pam_krb per 
l'autenticazione ed il modulo pam_ldap per il setup dell'environment 
dell'utente (cioè per uid e gid, home ecc ec...). Si fa così in genere?
- Su AD esiste uno schema tipo il posixAccount LDAP o qualcosa del genere?
Molto probabilmente metà delle domande che ho fatto sono stupide, ma 
purtroppo ho un'ignoranza totale sul mondo Windows.
Grazie,
AM

 
Consolati, a volte anche chi ci lavora tutti i giorni si sente come te 
.... :-)
Guido

 servizio kerberos.
http://www.likewisesoftware.com/products/likewise_open/index.php
attenzione che solaris 10 e opensolaris non sono supportati in versione
32bit.

GuidoS1966 ha scritto:

Innanzitutto grazie per la risposta.
Diciamo adesso di "voler complicare le cose"; se i domini AD fossero n 
(ne mio caso n=3), sarebbe possibile dire al client unix di verificare 
le credenziali di autenticazione su tutti e 3?
Una cosa del tipo: il primo mi ha risposto picche? Bene, provo il 
secondo....e così via.
Grazie,
AM


Mumble .....
Se i tre domini fanno parte della stessa foresta AD e sono in trust tra 
di loro la cosa e' sicuramente fattibile con Winbind + Samba, ovviamente 
devi indicare il dominio al momento del login esattamente come faresti 
in Windows.
Sempre se sono nella stessa foresta dovrebbe possibile fare una login 
LDAP utilizzando come username l'UPN (User Pricipal Name) e utilizzando 
come LDAP il Global Catalog di un qualunque DC della foresta sulla porta 
  TCP 3268: 
http://technet2.microsoft.com/windowsserver/en/library/24311c41-d2a1-4e72-a54f-150483fa885a1033.mspx?mfr=true
Non sono invece sicuro di come gestire il discorso Kerberos in questo caso.
Non so invece come si comporti SFU in ambiente multidominio, non ho mai 
investigato la cosa.
Se i domino non sono in trust, la cosa direi che diventa molto piu' 
complessa da implementare.
Saluti
Guido

 servizio kerberos.
Io per semplificare le cose, almeno all'inizio, proverei con LikeWise Open, è fatto molto bene ed ha buona documentazione su come funziona AD e 
come si collega con Unix.
Poi magari con Solaris c'è qualcosa di specifico Sun, ma saremmo OT :P
-- 
Vide

GuidoS1966 ha scritto:

Ecco quello che mi sono inventato: fondamentalmente non avevo bisogno 
del SSO ma soltanto di usare il repository AD come backend di 
autenticazione.
Ho messo su un ldap (Directory Server di SUN ma credo si possa fare 
anche con LDAP) con suffisso radice o=globalAD. Ho poi configurato i 4 
seguenti DN:
ou=People,o=globalAD
dc=AD1,ou=People,o=globalAD
dc=AD2,ou=People,o=globalAD
dc=AD3,ou=People,o=globalAD
in Particolare gli AD* dovranno corrispondere ai 3 domini Active 
Directory e non sono altro che degli smart referrals.
Per ora la cosa l'ho provata con 4 ldap e funziona egregiamente; che ne 
dite dovrebbe funzionare anche con AD no?
Grazie,
Alberto