Administrace komentářů

Zkusím nějak popsat:

Na desktopových Windows existují 2 druhy uživatelů: lokální účty a doménové účty. Když používáte klasický způsob přihlašování (ne třeba tu obrazovku s obrázky uživatelů na Windows XP), tak je-li PC v doméně, máte kromě loginu a heslo volbu "přihlásit se k". Vybírá se přihlášení lokální, nebo název domény (může jich tam být víc, ale to se skoro nevidí).

Bez domény má každý počítač jen svou lokální databázi užovatelů (něco jako /etc/passwd na linuxu). Pro každého musíte ručně založit účet na každém PC, které má používat. Na každém PC může být jiné heslo. Taktéž na fileserveru musí mít ten uživatel účet, ideálně se stejným heslem jako jinde. I v případě lokálních účtů si Windows heslo, kterým se uživatel přihlásil, nějak pamatují, a při pokusu o přístup na síťové disky ho zkusí použít.

Dále s tím souvisí to, že Windows udržují tzv. profi uživatele - analogie domovského adresáře na unixech, kde je uložena veškerá uživatelská konfigurace systému a aplikací. Na Windows 2k/XP jsou tyto adresáře v "C:\Documents and Settings". Bez NT domény je profil na každém PC samostatný - to někdy chceme a někdy ne. Doména umožňuje stejné chování jako lokální účty (tzv. lokální profil) nebo sdílení (resp. kopírování tam a zpět) profilu (tzv. cestovní profil). Je dobré rozmyslet, co se hodí víc, protože cestovní profily se moc nehodí pro notebooky provozované mimo síť. Teoreticky se na každém PC může udržovat cache toho profilu pro offline použití, ale ve výsledku to je k vzteku. Nicméně třeba se škole, kde se jeden člověk přihlašuje pokaždé na jiném PC a je žádoucí aby se mu zachovala nastavení, jsou cestovní profily dobrou volbou.

Tedy výhody domény: sdílený seznam uživatelů, který lze použít pro definici přístupových práv na sdílené soubory; možnost použití cestovních profilů; i při použití lokálních profilů se hodí funkce jako logon skript - na automatické připojení disků, automatické úpravy nastavení Windows apod. Jakmile mám PC v doméně, můžu použít doménový administrátorský účet na zálohování nebo vzdálené spouštění příkazů.

NT doména je přibližnou analogií k linuxovému nss_ldap, pam_ldap, a k /home na NFS (tady je jiný princip, ale user-experience je stejný).

Když jsem se díval na pGINA, tak tam snad byla možnost, že se při prvním přihlášení novému uživateli automaticky vytvoří lokální účet. Pak ověřuje heslo na LDAPu, čímž obchází lokální hesla. To může být někdy šikovné chování, záleží na prostředí. Pokud máte hodně uživatelů, tak budou na PC zůstávat dávno nevyužívané účty vč. jejich dat a dočasných souborů (TEMP je součástí profilu), což může být několik stovek MB na uživatele. Potíž bude, když chcete z nějakého PC nasdílet adresář / tiskárnu a nastavit práva jen úpro konkrétního uživatele. Na to potřebuje mít v případě lokálních účtů všude stejná hesla, a to pGINA nezajistí.

Je dobré vědět, že NT doména, jak ji umí Samba 3, je v Microsoft světě už 10 let zastaralá technologie a moc toho neumí. Nástupcem je Active Directory (implementuje ji i Samba 4, zatím to asi není v produkční kvalitě), což je technologie postavená na Kerberosu a LDAPu, které Microsoft trochu upravil. Tam jsou možnosti mnohem větší. Sám jsem ale neměl potřebu je využít.

Klidně se ptej na další věci.