Newsgroup: it.comp.os.linux.sys
Titolo: Quali vantaggi in openldap rispetto ad un normale file server?

rete con 1 server linux che mantiene i documenti della rete di 10 pc win.
 
1. che vantaggi ci sono nell'utilizzare il sistema openldap rispetto ad 
un normale file-server samba ?
 
2. quando è indispensabile usare ldap? 
 
grazie

 2. quando è indispensabile usare ldap?
 
Quando hai client che capiscono solo LDAP. :)
 
Bye.
 

 
ma nel caso di client windows meglio samba con nome utente e password?.
 


Se hai necessità di più DC, LDAP ti consente di gestire la
sincronizzazione delle informazioni.
 
-- 
In God we trust. All others must bring data
W. E. Deming

 2. quando è indispensabile usare ldap?
 
Possibilmente quando sulla rete ci sono piu` di 9 utenze (intese tra utenze 
fisiche, utenze fittizzie e pc)
 
Enrico
P.S. piuttosto di usare OpenLDAP liscio, usa FreeIPA, in quanto ti risolve 
parecchi problemi (e.g. tra le altre cose installa Kerberos per 
l'autenticazione dei pc)

 utenze fisiche, utenze fittizzie e pc)
 
Che cosa ha di particolarmente significativo il numero 9 in questo caso ?
 
-- 
Stefano L.

 l'autenticazione dei pc)
ora guardo, al massimo ti rompero' le scatole ancora..!
grazie!


Se puoi impara ad usare LDAP perché ti permette di autenticare molte cose. 
Se per esempio hai un server di posta interna usi le stesse credenziali che 
usi con samba. Idem se devi accedere via ssh ad un server linux. Oppure il 
proxy squid.
In altre parole ti permette di avere una sola credenziale per tutto.
Il passo successivo (IMHO) è kerberos. Ma questo lo puoi fare dopo.
 
Nicola.
 
-- 
chi va pian va san e va lontan

 Può essere un valido sostituto?
 
No perche`, come dicevo, il componente LDAP fa parte integrante del sistema
 
Enrico

 Che cosa ha di particolarmente significativo il numero 9 in questo caso ?
 
Potrei anch'io dire che e` solamente per far capire all'OP che LDAP e` 
meglio, ma e` solo per caso che ho detto quel numero :)
Sostanzialmente, quando hai a che fare con una rete formata da un numero 
sufficiente di utenti che possono interscambiarsi un pc, e con un numero 
sufficiente di pc che permettono un login remoto (e.g. file server), LDAP ti 
consente di gestire le operazioni di autenticazione in modo piu` semplice, 
flessibile ed efficiente
 
Enrico


La domanda semmai dovrebbe essere: che vantaggio ha usare samba+ldap 
rispetto a samba standalone ?
 
Risposta: samba+ldap conviene usarlo se vuoi implementare un dominio nt 
per la gestione dell'autenticazione centralizzata degli utenti.
Questo ti permette di avere un db utenti+computer centralizzato (in ldap 
appunto) e condividerlo con piu' domain controller nt-style
(ovvero samba).
 
In pratica e' molto usato da chi non vuole comprare licenze active 
directory.
Nella realtà e' ormai in disuso dato che sia win7 che win2008 NON hanno
piu' il supporto formale a tale dominio, se non abilitando una chiave di 
  registro.
 
Se hai solo una 10 di utenti usa il normale db locale di samba
(non ricordo il nome ma quello che si usa con il comando smbpasswd)
 
Ciaps.

 (non ricordo il nome ma quello che si usa con il comando smbpasswd)
 
Come dice Enrico ne bastano 9 a farti usare ldap.


 l'autenticazione dei pc)
 
Purtroppo FreeIPA, come 389ds, sono molto legati alla distribuzione
Fedora. Conoscete per caso un prodotto più "distribuzione-agnostico"?
"OpenLDAP liscio" è troppo primitivo, a me serve un prodotto che
gestisca almeno la password policy.
 
TIA
 
	Y.


Cosa intendi per password policy?


 Cosa intendi per password policy?
 
Il fatto di impostare regole per la sintassi della password e
soprattutto per la durata e che queste regole vengano gestite dal motore
LDAP stesso e non da uno strato esterno. Quando ho utilizzato "OpenLDAP
liscio" non mi sembrava che funzionasse così.
 
	Y.


Si è come dici tu.
Ma perché non lasciare a samba questo compito? (Ammesso che la cosa possa 
funzionare in altro modo).


 gestisca almeno la password policy.
 
OpenLDAP + Samba, altrimenti FreeIPA (gia` detto?) :P
 
Enrico

 funzionare in altro modo).
 
Ho bisogno di accedere direttamente a LDAP da un'applicazione scritta da me.
 
	Y.


http://www.openldap.org/faq/data/cache/1190.html
 

 
http://www.openldap.org/faq/data/cache/1190.html
 
 
Grazie!
 
Effettivamente l'ultima volta che avevo provato era su OpenLDAP 2.2...
 
	Y.

 Come dice Enrico ne bastano 9 a farti usare ldap.
si puo' essere d'accordo, ma anche no.
C'e' da capire se per 10 utenti vale la pena di smazzarsi per un neofita
l'installazione di samba+ldap+domain controller.

 
 
HAVE YOU BEEN ABLE TO PUT YOUR KEYSTORE ONTO LDAP? o_O
 
Ci ho sbattuto la testa per giorni...e ho ricavato solo bernoccoli :(
 
L'obiettivo era quello di avere una replica multimaster del keystore 
tramite la replica mulstimaster del Directory Server.
 
Infatti, MIT-Kerbreros (così come heimdal) supporta solo la replica master 
slave.
 
Era un piccola chicca in più.
 
p.s.: in realtà io non sto usando freeipa, poiché i repository che trovo 
per Red Hat 5 mi fanno installare solo la versione 1.xx, i cui componenti 
sono tutti un po' obsoleti.
Sto usando pertanto CentOS Directory Server + mit-kerberos.
 
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo


Le policy delle password viene meglio a gestirle con Kerberos e non con 
LDAP. E' più granulare, ti evita di dover usare certificati per un 
eventuale ldap over ssl e comunque kerberos sa il fatto suo in questo 
campo.
 
Comunque, YES, evita OpenLDAP.
 
guarda che volendo ci sono dei port di 389ds per ubuntu... e possibilmente 
anche per debian.


 OpenLDAP + Samba, altrimenti FreeIPA (gia` detto?) :P
 
freeipa usa mit-kerberos ed è facile da fare anche senza freeipa... 
aspetta che guardo su nixnote, dove mi ero segnato tutto....
 
Ecco qui, dal prompt di kerberos:
addpol -maxlife "+180 day" -minlength 6 -minclasses 3 -history 3 utenti 
 
in questo modo hai creato il gruppo "utenti" su kerberos, dove la password 
scade a 180 giorni, deve avere la lunghezza minima 6 e "minclasses" mi 
pare che voglia dire che deve contenere: 1 carattere speciale, una 
maiuscola ed 1 numero (o qualcosa del genere).
 
Quando crei un utente su kerberos, lo associ al gruppo "utenti" in questo 
modo:
kadmin -s <server> -p admin/admin -w admin -q "addprinc -policy utenti -pw 
<password> <user>" 


 Sto usando pertanto CentOS Directory Server + mit-kerberos.
 
Centos 6.2 introduce le ultime modifiche utilizzate da un sistema FreeIPA
 
Enrico

 in questo modo hai creato il gruppo "utenti" su kerberos
 
Uh, avevo inteso Kerberos come un sistema atto ad autenticare le macchine, 
non le utenze fisiche
 
Enrico


Io invece ho sempre pensato che autenticasse gli utenti, non le macchine :P
Al momento però sono solo alla fase di test. Ma l'idea di autenticare un 
utente una sola volta in tutta la rete, non è male.


 FreeIPA
 
Si lo immagino (poiché corrisponde ad una Red Hat 6.x). Da noi però 
abbiamo Red Hat 5.x e ci ho messo su la versione di DS per CentOS 5.x



ora che mi ci fai pensare mi ricordo che fa anche quello che dici tu e che 
sono stato costretto a farlo con i client Aix, in particolare per 
abilitare i servizi telnet/ftp.
 
comunque, YES, con kerberos ci fai l'autenticazione utente e ti risparmi 
di dover installare certificati (che scadono) su tutti i server. E alla 
fine ciò che passerà in chiaro saranno solo le info sui GID/UID e le Home 
Directories... che è una cosa che mi preoccupa poco e nulla.
 
La figata è pure che ti cambi la password senza troppe difficoltà, da 
qualsiasi client, tramite comando "kpasswd"
