Autentifikace pomocí LDAPu (diskuse)

[Filip Jirsák]

Přidám jednu radu k updatům OpenLDAP: atributy v LDAP adresáři mají určený nějaký typ, každá třída (className) má navíc některé atributy povinné a některé volitelné – podle toho, kterých tříd je nějaký objekt, podle toho pak má soubor povinných a nepovinných atributů. OpenLDAP býval poměrně "tolerantní" k některým prohřeškům proti těmto pravidlům, ale postupně přitvrzuje. Takže někdy databáze funkční se starou verzí s novou již nenaběhne, protože jsou v ní prohřešky proti těmto pravidlům. Je tedy nutné adresář ze staré verze vyexportovat do LDIF a do nové naimportovat zpět. O takové změně je zpravidla zmínka v changelogu, ale kdo čte chanlegoly před emerge -u world, že…

[Honza "tux" Friesse]

Když jsem se snažil LDAP nakonfigurovat, hodně mi pomohl dokument od Zdenka Burdy na jeho stránkách http://ldap.zdenda.com/.

Škoda, že jste tenhle zápisek nenapsal v době kdy jsem dělal bakalářku.

[xxx]

Sakra, že jsem tuhle adresu neznal před týdnem.

[Zdeněk Burda]

Jestli chceš, poskytnu ti zdroják dokumentu v docbooku ať tam doplníš své texty. Nemám na to teď čas a moc by se mi hodilo kdyby v tom někdo pokračoval. To samé kerberos.zdenda.com V případě spolupráce samozřejmě přidám k dokumentu dalšího autora abych si nenechával zásluhy sám pro sebe.

[Zdeněk Burda]

Taky by se hodilo kdyby to po mě někdo prošel, protože jsem většinu těch textů psal ve vlaku bez přístupu k netu, jen tak z toho na co jsem si zrovna vzpoměl

[Dan Ohnesorg]

Ona ta rada s usporou pismenek pres kratke dn neni az tak uplne koser.

Na dn je pozadavek, aby bylo celosvetove unikatni. Proto se jej doporucuje pro domenu example.com vytvaret ve formatu dc=example,dc=com (drive se pouzivalo o=example,c=com). Obecne duvody proc to tak delat jsou dva, jednak kdyz se budete spojovat s jinou organizaci a nebo uzivatele budou migrovat mezi vice instalacemi, budou mit stale svoje jmeno a nebude s nicim duplicitni. Druhy duvod je kvuli propojovani LDAP stromu. Jednu z moznych odpovedi serveru je, hele ja sice to na co se ptas nevim, ale zeptej se tady. A zjistit kde je tady je prave snazsi, kdyz koren ldapu je stejny jako domena.

[xxx]

Tak tokhle jsou přesně věci, které se člověk přesně z webových tutoriálů nedoví :(. možnosti spojování stromů jsem si přečetl a... ignoroval. To že by nás mohl pohltit nějaký větší strom mě nenapadlo. O té doméně jsem samozřejmě uvažoval, ale nevěděl jsem o tom proč by tam měla být, tak jsem ji prostě oříznul z dc=avc,dc=sh,dc=cvut,dc=com, což se bude dát, v případě potřeby, změnit ještě docela pohodlně.

[Jan Kundrát (jkt)]

Obecne cim driv to zmenis, tim min s tim budes mit prace. A teda nevim, mozna jsem jenom cet vic, ale IIRC byl podobny pozadavek v The LDAP HOWTO zminen celkem citelne :)

[zde]

Není občasný rsync /etc/(passwd|group)* jednodušší a hlavně výrazně spolehlivější? Alespoň dokud nebude k dispozici něco trochu stabilnějšího než je OpenLdap, který leakuje, při častých updatech mrší indexy, má nesmyslný systém ACLek, a když náhodou zrovna běží tak je pomalej jak šnek?

[Jan Kundrát (jkt)]

Neni. Par systemu mi ted takhle funguje (+ navic blesmrt kontrola navic, aby se nesynchronizovalo rootovo heslo), nicmene je to zlo. Clovek musi cekat na propagaci hesla a navic je to proste fuj.

[Jiří (BoodOk) Kadeřávek]

Souhasim. Ja bych ale spise videl potiz v tom, co odkud a kam synchronizovat. Pokud si je admin jist, ze upravuje ucty na jednom centralnim serveru, je to OK reseni. V opacnem pripade ma docela komplikovany problem a jeho reseni se jmenuje OpenLDAP, obecneji pak Directory Server.

[Honza "tux" Friesse]

On není jen OpenLDAP. Fedora Open Directory Server je free, SUN Directory Server je free, a Apache má taky jakýsi svůj LDAP server.

Jinak pokud má člověk vysloveně odpor k LDAP,stačí mu pouze centralizace autentifikací a nevadí mu menší bezpečnost, tak je řešení NIS. Taky je řešení autentifikace proti Sambě.

[Filip Jirsák]

Apache má taky jakýsi svůj LDAP server

Spíš bych řekl "bude mít", zatím to podle jejich webu vypadá tak na alfa verze…

[Honza Jaroš]

Zajímavý článek, díky za něj. Jakožto člověka, který o tom ví asi tak to co vy před týdnem by mě zajímalo: jde použít přihlašování přes LDAP i u notebooků, které nemusí být 100% času online? To jest je možno nějak nacachovat údaje o uživateli pro případ přihlašování v terénu?

[Honza Jaroš]

Částečně si odpovím sám, popis nastavení LDAP ve spolupráci s Kerberem tak, aby fungovalo i offline přihlašování, je zde.

[Honza Jaroš]

A jak tak koukám, problematika cachování je zmíněna na výše uvedeném http://ldap.zdenda.com/

[lefti]

Clanek se mi hodne libil asi si s tim taky zkusim pohrat. btw jaky je vztah Microsoft Active Directory a LDAP?

[Honza "tux" Friesse]

Jen zběžně. Oba jsou to zjednodušenné implementace protokolu X.500, který je taková parní mlátička. LDAP je o trošku menší. Nicméně s X.500 jsou oba kompatibilní, takže jsou kompatibilní i mezi sebou.

Zjednodušeně a nepřesně řečeno. AD je komerční uzavřená implementace LDAPu.

Záleží hodně na schématech, které má LDAP k dispozici. Teoreticky by mělo být možné nahradit LDAPem celé AD, pokud by byla ta schémata. A přesně tohle má být v Sambě 4 (bude využívat OpenLDAP).

To je čistě o tom, co je AD v porovnání s LDAP. Jenže AD je ještě nabalenej Kerberos, PDC a bůhvíco ještě.