Newsgroup: it.comp.macintosh
Titolo: login ad active directory microsoft

come posso fare il login al dominio della mia lan che ha active directory
con macosx 10.2.7 ?
Grazie

 But they can be taken out of the gun. (Martin Amis)

 wrote:

Non puoi. Con Panther esiste il sistema, un plugin all'uopo, ma l'unico
modo di effettuare una sorta di 'riconoscimento' da parte di Windows
2000 server con Jaguar e' passando attraverso Kerberos +  LdapV3.
Un incubo.
-- 
L'indignazione e' come l'orgasmo
dura un attimo e poi viene sonno

 ha scritto nel messaggio
news:1g64pqx.14nhqqewc44w9N%mh5...@mclink.it...


 Sono passato a panter, sai dove posso reperire il plugin ?
E' gia' installato nel sistema. Vai sull'help e digita 'active
directory' per avere la procedura completa.
Ti prego, per i post futuri, regola il quote.


 ecco, appunto...dove si trova? come funge? :)
Apri 'Accesso directory' ed eccolo li' in cima alla lista, splendido
nella sua perversione.
Configuralo e ti chiedera' di sapere qual'e' il nome del tuo dominio e
quale della tua foresta. Se non hai la foresta usa il nome di dominio
per entrambi i campi. Poi specifica un nome di computer che
l'amministratore di dominio W2K avra' provveduto a registrare dentro AD.
Infine clicca su 'Vincola' ove ti chiedera' un nome utente che abbia i
diritti per farti entrare dentro AD.
Forniscili e... a me non ha funzionato. Prima del 10.3.2 pero'.
E prima anche di riuscire ad inserire, come sembra che sia richiesto
anche se la Inc. pare restia a dirlo, un reverse address per il server
W2k nel DNS del dominio. 
ATTENZIONE: il DNS da utilizzare e' obbligatoriamente quello di W2K.


 ATTENZIONE: il DNS da utilizzare e' obbligatoriamente quello di W2K.
Questa cosa non mi é chiara... puoi spiegarmela meglio così quando torno
in facoltà riferisco all'admin?
grazie
ciao
-- 
/luca
"In me ten paradoxes make one truth,"
Dylan Thomas

 in facoltà riferisco all'admin?
Se sei riuscito a loggarti questa cosa e' gia' stata configurata
correttamente.


 proprio a questa operazione.
Boh, proverollo quando torno in ufficio, ieri da casa continuava a non
trovarmi il server. :-)
La cosa che mi fa un po' incazzare è che la apple la fa facile... su un
pdf che ho trovato tra le pagine relative a osx fa sembrare tutto
facilissimo!!!!


 non sembra funzionare.
A quanto ho capito io *non* devi usare DOMINIO\lrossi, ma solo lrossi.


 lampeggiava :-/
In realta' c'e' un altro giochetto che con Panther puoi utilizzare. Se
ti crei un utente su OsX che abbia le stesse credenziali di un utente
nel dominio AD, puoi configurarti il file krb5.conf in modo che cerchi
di ottenere le credenziali da un server di AD. Fatto tutto questo ti
logghi in OsX, apri una finestra di terminale ed esegui 'kinit'. Questa
operazione ti restituisce un Ticket Granting Ticket, cioe' una
credenziale che ti consente di ottenere altre credenziali dai servizi
Kerberos presenti nel dominio AD.
Orbene, siccome in 10.3 SAMBA e' stato kerberizzato, si dovrebbe poter
accedere in maniera trasparente alle share del dominio AD.


 Ti prego, per i post futuri, regola il quote.
Cosa significa regola il quote? (scusa l'ignoranza)

 
http://www.faqintosh.com/faq.cgi?Faq=0189

 A quanto ho capito io *non* devi usare DOMINIO\lrossi, ma solo lrossi.
Bene, sono pronto per pubblicare un piccolo ricettario per potersi
loggare su un dominio active directory.
1) prendete un dominio AD ed informatevi del suo nome (che deve avere
una forma tipo 
domain.com
, insomma assomigliare ad un nome di dominio
internet) e dell'indirizzo del suo DNS.
2) assicuratevi che l'amministratore di questo dominio abbia inserito
fra i reverse addres del DNS di cui sopra un puntatore al server che
mantiene il Global Catalog. Se questo vi sembra arabo, non
preoccupatevi, riportatelo proprio in questo modo.
3) prendete un bel respiro e lanciate Accesso Directory, smarcate la
voce Active Directory (ovviamente stiamo parlando di Panther) e cliccate
su Configura
4) per semplificare le cose diciamo che anche se il vostro dominio fa
parte di una foresta di domini, voi volete solo autenticarvi per il
vostro dominio
5) specificate sia su 'Foresta Active Directory' che su 'Dominio Active
Directory' l'indirizzo FQDN (Fully Qualified Domain Name) del vostro
dominio e digitate in 'Id Computer' il nome che dovra' avere il vostro
computer quando verra' registrato fra gli oggetti di AD
6) lasciate perdere le opzioni avanzate e cliccate su 'Vincola',
acchiappate il vostro amministratore di dominio Windows e fategli
inserire uno username e password che abbia i diritti sufficienti ad
aggiungere un account di computer al dominio
7) a questo punto dovrebbero accadere strane ed interessanti cose
sull'ultima finestrina che avete aperto, fino ad un messaggio che vi
informa che l'operazione e' riuscita. Chiudete la finestra di Active
Directory e cliccate sul tab 'Autenticazione'
8) cliccate su 'Aggiungi' e selezionate il servizio di autenticazione
Active Directory che avete appena configurato
9) Chiudete Accesso Directory e tornate alla schermata di Login del
vostro OsX e provate ad inserire un nome utente e password che *non*
avete sul vostro macintosh, ma che e' registrato nel dominio AD.
A me la cosa ha funzionato ed ho potuto autenticarmi sul mio Ibook con
delle credenziali riconosciute dai server del dominio AD.
Alla prossima puntata per la gestione della home.


 Una volta loggato che ci hai fatto? :)
Ho aperto tutte le share di dominio senza dovermi ri-autenticare.


 Alla prossima puntata per la gestione della home.
se si esportano i dati del record utente da AD in un file CSV usando
l'utility winzozz csvde, ho notato che la home viene indicata con la
dicitura: \\\\server\\homedirutente
non vorrei che il raddoppio delle backslash mandi in confusione il plugin...

 non vorrei che il raddoppio delle backslash mandi in confusione il plugin...
No, quello e' l'escaping che effettua csvde sui backslash per
esportarli, che non viene effettuato quando l'attributo viene richiesto
programmaticamente.


 Da cosa ti sei accorto che e' un account di tipo amministrativo?
lookupd -d mi informa che il gid è 20
inoltre lo si deduce dal fatto che posso aprire e modificare diverse
preferenze di sistema

 userWithName: provausr2
Dictionary: "DS: user provausr2"
_lookup_agent: DSAgent
_lookup_validation: 1072250124
gid: 20
home: /Users/provausr2
name: provausr2 pr2a pr2b prov...@testw2k3.retelocale.eth
TESTW2K3\provausr2 pr2a pr2b
passwd: ********
uid: 265620616
+ Category: user
+ Time to live: 43200
+ Age: 0 (expires in 43200 seconds)
+ Negative: No
+ Cache hits: 0
+ Retain count:

 non me lo imposta. idee al riguardo? :)
Manco mezza: su questo passo la palla ad altri.


 Manco mezza: su questo passo la palla ad altri.
D'oh :(
Per ciò che riguarda la home, allora...Samba 3 mi fa le bizze ed onestamente
non capisco il perché:
squaraus:~ root# mount_smbfs -U administrator -W TESTW2K3 //quelo/provausr1
/mountpt
mount_smbfs: No credentials cache found krb5_cc_get_principal
Password:
mount_smbfs: tree connect phase failed: syserr = Permission denied
cioè: boh, fallisce già dalla riga di comando. I permessi a livello
condivisione e filesystem su AD sono a posto, però non funza :/
Però...Modificando un parametrino nel file di configurazione del plugin sono
riuscito ad avere il montaggio automatico della home con link sul dock
(nella parte destra), a patto di avrela condivisa sul server 2003 usando il
protocollo di condivisione per Apple.
Dio che fatica!! Però non sono ancora totalmente soddisfatto :/

        ### Sono sempre RiK0
Dal punto di vista del programmatore, un utente e' una periferica 
che scrive ogni volta che si effettua una richiesta di read.
(Peter Williams)



Ehm, stai usando un Windows 2003? Guarda che Apple il plug-in lo ritiene
compatibile solo con il 2000. Mi sa che i tuoi casini derivano proprio
da questo.


 da questo.
Eh bell'affare. Ma lo sanno che è già da un "leggerissimo" periodo di tempo
che è uscito 2003? Sicuramente molto ma molto tempo prima di Panther ://
Quindi che si fa??? Non hanno idea di rilasciare qualche aggiornamento?
Mah, che strane politiche che adottano...E' un peccato, cmq, che si
comportino così.
In ogni caso, il problema di SMB dovrebbe essere la configurazione di
Kerberos sul Mac, più tardi ci ravano sopra. Nel frattempo uso afp per le
home modificando il file ActiveDirectory.plist così:
<key>AD Mount Style</key>
<string>afp:</string>
anziché
<key>AD Mount Style</key>
<string>smb:</string>

 Quindi che si fa??? Non hanno idea di rilasciare qualche aggiornamento?
Beh, ci sono 6 mesi di differenza, ma chiaramente lo sviluppo di roba
del genere sara' durato fra i 18 ed i 24 mesi. Ed, ovviamente, Ms non ti
molla le specifiche di qualcosa neanche quando lo ha rilasciato,
figurati quando ancora e' in beta. Apple ha lavorato sul prodotto piu'
noto ed installato e gia' ha fatto un lavoro enorme.


 Non e' che potremmo farcela lo stesso?
Ma si', ma si'. Del resto, mica vedo tutta 'sta gente con 2003
installato.


 Alla prossima puntata per la gestione della home.
Fantastico!!!
veramente, appenta torno all'uni prendo per le orecchie l'admin e
sperimento il tutto.
(rispondo con infinito ritardo perché durante le feste sono stato
lontano dal portatile... a prop. AUGURI!)
