Newsgroup: it.comp.os.dibattiti
Titolo: [OT] Active Directory e Samba

Lo so che non è il posto migliore per chiederlo ma lo si potrebbe anche
considerare come un dibattito fra due soluzioni software per due sistemi
operativi diversi :P
La domanda è fondamentalmente breve: cosa mi dà in più AD (come sysadmin
principalmente Unix, ma non ho problemi a gestire Windows) rispetto a
configurare un Samba come PDA Windows?
Contando che ho già un LDAP e un DNS montati e funzionanti, quali sono i
vantaggi della soluzione chiavi in mano MS? Facilità di gestione? Roaming
profile? c'è la possibilità di installare sw da remoto o bisogna cmq
rivolgersi a software diversi (tipo ZenWorks)? Tenete conto che il numero
dei client oscillerebbe fra i 100 attuali e i 200 possibili futuri, e che a
parte SAP tutti i server nei quali il sistema si dovrebbe "incastrare"
girano su Linux.
-- 
Vide

  PDA
Ehm, PDC :P
-- 
Vide

 remoto o bisogna cmq rivolgersi a software diversi (tipo ZenWorks)?
Gestione centralizzata degli utenti e delle macchine.
Differenziazione delle politiche in base al concetto della OU di 
appartenenza.
Installazione del software da remoto in base alle OU
Possibilità di delegare la gestione
Possibilità di usare lo schema di AD per la configurazione delle 
applicazioni.
Centinaia di Tools per la gestione.
http://technet2.microsoft.com/windowsserver/en/technologies/featured/ad/default.mspx
Già solo le Group Policy valgono l'installazione di AD.
IMHO.

 Già solo le Group Policy valgono l'installazione di AD.
dire proprio di si.
-- 
Massimiliano



Non conosco Samba e altri software come OpenLDAP quindi parlo solo di
Active Directory. E ridurre in poche righe di un newsgroup che cos'è e
cosa si può fare con AD è impossibile. La cosa migliore sarebbe
comprarsi un buon libro al riguardo e fare pratica con un server
Windows 2003 (ma anche 2000) e iniziarne a capirne le funzionalità.
In sintesi, AD è un database centralizzato e gerarchico che mantiene
l'elenco di utenti, gruppi e password; funge da servizio di
autenticazione e di autorizzazione per il dominio; ha un servizio di
indicizzazione per ricercare gli oggetti del dominio; su AD si basano
e si integrano parecchi applicativi di rete, in primis Exchange
Server, ma altri applicativi come SQL Server, ISA, Sharepoint ecc.. si
trovano a loro agio; AD ha introdotto il concetto di Group Policy e le
GP sono un potente mezzo di gestione degli oggetti e dei client
(dall'installazione remota del software, agli script da assegnare,
alla definizione delle password e delle impostazioni di sicurezza,
alla personalizzazione dei desktop e dei profili ecc...)
Credo che in ambienti client/server puramente Microsoft, AD
semplifichi enormemente le cose.
-- 
Rossano Orlandini

 Già solo le Group Policy valgono l'installazione di AD.
Cos'hanno di così fico le GP? sto leggiucchiando su TechNet ma se mi facessi
un riassunto tu sarebbe più comodo :P
Inoltre...è vero che AD ha problemi se c'è un altro server DNS nella stessa
rete...o che più che altro si deve fare qualche configurazione particolare?
-- 
Vide

 stessa rete...o che piů che altro si deve fare qualche configurazione
Il server DNS per AD deve essere di tipo DDNS. E' consigliabile usare
i DNS di Microsoft ma anche Bind puň essere usato se proprio uno vuole.


se configuri bind come slave per la zona di AD, riceverai un bel po' di 
"schifezze", piu' o meno incomprensibili, ma che comunque funzionano.
-- 
Massimiliano

i DNS di Microsoft ma anche Bind può essere usato se proprio uno vuole.
Right, l'importante che abbia il supporto per i Dynamic Updates (RFC
2136) e i record SRV (RFC 2782). Un qualunque BIND dalla 8.2.2 in su
va bene, però per comodità è meglio usare un DNS Microsoft.
-- 
Rossano Orlandini

 semplifichi enormemente le cose.
Confermo in toto.
La soluzione "migliore" in genere è quella di mettere comunque due
macchine W2K/W2K3 come domain controllers per tutta la gestione
dell'ambiente client (che danno MOLTE meno problematiche rispetto alla
soluzione ibrida) e poi eventualmente integrare l'autenticazione dei
server Unix in Active Directory espandendo lo schema di AD per includere
gli attributi Unix.
http://www.google.com/search?q=Active+Directory+ldap+schema+unix+uid
http://empsystech.com/tech_blog/2005/12/20/active-directory-authentication-for-linux-part-2/
http://enterprise.linux.com/article.pl?sid=04/12/09/2318244&tid=102&tid=101&tid=100
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 gli attributi Unix.
Quindi per te vale AD come soluzione migliore per la directory anche in un
ambiente solo Unix a livello server e quasi tutto Windows livello client?
-- 
Vide

 ambiente solo Unix a livello server e quasi tutto Windows livello client?
Assolutamente Sì. L'uso di AD ti permette di gestire e mettere in
sicurezza i client con le GP (unico vero vantaggio di Windows su Unix in
ambiente client che come noto è l'anello debole e costoso della catena).
Sulle macchine server non ti resta nulla da fare salvo l'integrare
l'autenticazione (cosa che con pam_ldap è banale).
Se fai l'opposto, ovvero metti un PDC su un server Unix con Samba, devi
rinunciare alle GP, devi sbatterti per far funzionare bene le cose tra
client e server (cosa non da poco) e devi comunque mettere in piedi
tutta l'infrastruttura di autenticazione basata su LDAP sui rimanenti
server.
Alla fine fai più lavoro per avere meno funzionalità. Fino all'uscita di
Samba 4 (che supportorà appieno AD con GP), la soluzione migliore,
soprattutto in ambienti medio-grandi, resta sicuramente il mantenimento
di due DC nativi Windows.



The optimist thinks this is the best of all possible worlds.
The pessimist fears it is true.      [J. Robert Oppenheimer]



AD usa i campi service del DNS per gestire per esempio kerberos (e un 
client kerberos puo` fare una dns service query). AD e` un KDC vero e 
priorio, MIT per la precisione, anche se ha una gestione delle 
encryption keys che non e` proprio sicurissima, questo per 
retrocompatibilita` comunque. Il kerberos MIT e` piu` flessibile 
(Heimdal lascialo perdere) se usi anche unix.


 semplifichi enormemente le cose.
Confermo. Se non hai il mio problema (macosx, qualunque linux, aix, 
windows e altri unix sperimentali tipo openbsd, hpux) allora in 
ambienti PURI usa AD.
Se non puoi permettertelo, purtroppo NT e` andato a puttane e dovrai 
andare con samba. Per ambienti molto piccoli basta il backend samba 
senza scomodare ldap.




Risposta da ingegnere ``dipende''.
Nel mio ambiente, no AD sarebbe un bagno di sangue avendo gia` 
AFS/LDAP/K5 e tutto quanto che poggia su questo backend (mail, nntp, 
web, ...). Avrei dovuto fare un sync tra AD e LDAP e non e` la cosa 
piu` comoda. Ho optato per Samba, cosi` sono riuscito ad avere login 
integrati su tutti gli os con desktop comune (una rogna con il profilo 
windows, pero` ci si riesce).
Se gia` hai AD, allora rimani su AD usando samba come client su unix 
(puoi usare anche il modulo pam cosi` da avere tutto su AD).
Se specifichi meglio la tua situazione, quanti server unix e come sono 
usati (web? kerberos? mail?), come li vuoi usare (spool/mail per 
utente, ...)
Samba 4 sara` un PDC/KDC, quindi kerberos. Si vedra`, ancora avoja!


 pezzettini che non e` un bagno di sangue.
E' peggio :-).
Lui deve gestire 200 postazioni di lavoro Windows.
Vogliamo dirgli che HA NECESSITA' ASSOLUTA di AD e delle GPO
se non vuole morire?

 utente, ...)
La situazione è semplice, fondamentalmente di autenticazione al momento non
c'è nulla...ho messo su un LDAP allo scopo che al momento è utilizzato solo
da Jabber e come rubrica. Il prossimo passo sarebbe portare la mail che al
momento è fuori dentro la LAN, in IMAP, e farla autenticare contro LDAP.
Rimane poi quindi il nodo delle postazioni Windows...al momento sono tutti
in un workgroup senza nessun server di auth, l'unico punto comune è un file
server con Samba e stop. Diciamo che anche se sono un centinaio di client
la situazione non è del tutto ingestibile, ma l'auth centralizzata sarebbe
ovviamente un ottimo guadagno. 
La rogna più grossa per cui probabilmente mi serve un Win2003 è la
centralizzazione dei fottuti update di tutti i WinXP...per cui stavo
cercando altri buoni motivi per giustificare la spesa :P
-- 
Vide

 Lui deve gestire 200 postazioni di lavoro Windows.
Al momento sfioriamo le 100 ma qua continuano ad assumere...:P
-- 
Vide

 se non vuole morire?
In +, se configuri bene pdc e bdc hai la ridondanza assicurata con 2
click.. e non è roba da poco...
La cosa + figa, imho, sono le unità organizzative e la possibilità di
applicare group policy in maniera gerarchica: dal sito, dominio, unità
organizzativa... insomma una gestione molto molto molto  granulare...

 Al momento sfioriamo le 100 ma qua continuano ad assumere...:P
Usa AD.
Saluti,
Bluff 

 organizzativa... insomma una gestione molto molto molto  granulare...
Ma dai, č robaccia Microsoft, non puň essere che sia cosi avanzata :-)

 cercando altri buoni motivi per giustificare la spesa :P
AD ti da ldap, ci metti gli schema che vuoi, e per il mondo che 
descrivi, e` la soluzione che *PER TE* risparmia un sacco di rogne. 
L'unico consiglio e` occhio alle policy per user e per host, che e` si 
bene stringerle, ma occhio poi non funziona piu` nulla :)




200 postazioni, direi allora che serve un semplice file server. Ma puo` 
darsi che voglia far autenticare gli utenti ovunque. Insomma non ho 
compreso quanto vuole integrare il tutto e a che livello (mail/web?).


 organizzativa... insomma una gestione molto molto molto  granulare...
Per 100 picci` non comprerei AD per un PDC...


 (mail/web?).
Mmmm, secondo me non hai capito a che serve AD.

Per 100 picci` non comprerei AD per un PDC...
Quale sarebbe la soglia minima? Almeno 1000?  :-)
L'implementazione di un dominio Active Directory fin dalle piccole
realtà comporta, come detto, enormi benefici.
-- 
Rossano Orlandini

Installazione del software da remoto in base alle OU
Domanda: ma questa funziona "veramente" (cioč non solo con qualche
software MS), oppure se devo installare da remoto - per esempio -
Lotus Notes su 100 client, mi tocca studiare e debuggare per un tempo
paragonabile a quello che avrei impiegato a fare le installazioni "a
mano"?

 cercando altri buoni motivi per giustificare la spesa :P
Direi. Già solo la banda che risparmi lo vale.

 Secondo me hai 100 utenti che sono dei veri santi.
Naaaa...semplicemente viaggiano tutti come utenti senza neanche un diritto e
una schiera di software standard messi in fase di preparazione del PC e
stop, non stiamo a toccargli il computer tutto il giorno :P
-- 
Vide


Ma se lo toccano loro....:-). 

 Ma se lo toccano loro....:-).
Come utenti normali fanno pochi danni per fortuna :P
-- 
Vide

Secondo me sbagli...
non mi piace la "robba" di zio bill, ma per me hanno fatto un bel
giochino con AD...
quel tipo di problematiche le hanno risolte veramente bene... poi è
ovvio che per i servizi di rete puoi tranquillamente fare a meno di
microzoz.. però il vantaggio di AD è innegabile.

 microzoz.. però il vantaggio di AD è innegabile.
Dico che semplicemente puo` risparmiare in ambienti cosi`. 100 utenti 
sono pochi pochi pochi.
Basta Samba 3 e un bel po' di disco, magari scsi tipo un tera, costa 
poco ormai (dell fa buoni prezzi, noi compriamo molto da loro), ci gira 
debian (gratise).


 realtà comporta, come detto, enormi benefici.
Ho detto che semplicemente per cose piccole, il costo e` elevato. Per 
100 utenti samba 3, anche senza ldapsam, va benissimo. Risparmi un po', 
poi se soldi ne hai a profusione... beh, non sei come le universita` :)




Io parlo di ambienti eterogenei. Per 100 postazioni spendere soldi per 
AD non mi pare sensato. Non fa nulla che non faccia samba a quel 
livello, a patto di modificare le 2 chiavi del registry di xp 
professional.
Ho evitato AD, e t'assicuro che nulla di AD e` strabiliante a tal punto 
da non potersi fare con sw a basso costo (gratis) che sono 
ultra-necessari in ambiti universitari dove 100 euro sono una grande 
spesa alcune volte.


poi se soldi ne hai a profusione... beh, non sei come le universita` :)
100 utenti sono pochi per una realtà da Corporation americana, ma
rappresentano il classico esempio di realtà italiana. E sono
ampiamente sufficienti per giustificare l'introduzione di Active
Directory e una gestione migliore della rete, credimi.
-- 
Ross

 universita` :)
Guarda che AD si ripaga già dopo 3 PC sfrantecati dal coglione di turno
chesi installa il CD portato da casa.

 spesa alcune volte.
Si vabbè, ciao.
 

 giochino con AD...
AD in sè non è nulla di nuovo, NDS esisteva da qualche anno.
Ciò che hanno fatto di bello con W2K, che dipende anche dalla
disponibilità di AD e che per il momento vedo come unico handicap di
Linux rispetto a Windows per il mercato desktop aziendale, è la
raffinata implementazione delle group policy.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 spesa alcune volte.
Il problema è che 100 euro in ambiente lavorativo sono una cazzabubbola.
Se perdo due ore di tempo per far andare qualcosa, ho già buttato più
dei 100 euro risparmiati, e ti assicuro che per mettere in piedi una
macchina con Samba e istruire l'utonto di turno per gestirla ti costa
ben più di quanto spendi in licenza.
In un'azienda, dal punto di vista della gestione del S.I., AD si ripaga
già a partire dai 10 utenti.
Se poi i server Windows non ricadono sotto la mia responsabilità ancora
meglio :-)


 spesa alcune volte.
Il problema è che 100 euro in ambiente lavorativo sono una cazzabubbola.




AD non e` il massimo quando hai a che fare con unix vari.


 meglio :-)
Abe` qui sempre.


 AD non e` il massimo quando hai a che fare con unix vari.
Ma tu devi gestire 100 client

 Ma tu devi gestire 100 client
*LUI* :)
Se riprendi la mia risposta alla questione e` stata ``AD senza dubbio''.


 *LUI* :)
Occazzo. Mi sono impappinato :-)