Integrace linuxového serveru do domény Windows 2003 - 2 (diskuse)

[Arno3t]

Využívám autorského privilegia vidět článek dřív než ostatní čtenáři k vložení krátké poznámky. V době, kdy jsem ladil konfiguraci linuxového serveru ve firmě, byl na Internetu k dispozici článek s odkazem na soubor pro rozšíření schematu AD. Bohužel před publikací se na svém původním místě již nevyskytoval a ani jsem jej nikde "nevyGooglil". Proto jsem ruční rozšíření schematu vynechal. Velmi podrobný popis jak to udělat najdete u MS.

[Karel Benák]

Dovoluji si upozornit na programek Luma, umi toho cca stejne jako GQ. Jeho vyvoj neustrnul v roce 2003 a podle meho nazoru ma i prijemnejsi ovladani a skvelou lokalizaci. Dle cerveneho trpaslika davam tomuto programu pet a pul pracky Whirpool.

[Ondar]

Poznámka - jakkoli je SFU pěkný, tek AD schema nerozšíří tak, aby bylo kompatibilní s RFC2307:. Tady bych si dovolil dotaz na autora : Jakým způsobem rozšíří schema utilita AD4unix nebo Win 2003 RC2? Jinak pekny clanek....

[Arno3t]

Ohledně Win 2003 RC2 nemůžu napsat vůbec nic, protože jsem se s ním nesetkal. Informaci uvedenou v článku jsem v podstatě náhodou našel na Internetu v jakési důvěryhodně vypadající recenzi.

Můj osobní dojem je, že MS si s RFC2307 moc hlavu nelámal a pro ekvivalentní ůdaje použil své pojmenování. Proto asi nemá moc smysl pokoušet se jejich schema rozšiřovat podle RFC. Asi je lepší přijmout "MS SFU standard".

Nevím jak odpovědět na otázku jakým způsobem rozšíří schema AD4Unix. Před několika měsíci jsem to schema měl ve svém počítači a bylo k dispozici na Internetu, jak už jsem psal ve svém prvním diskusním příspěvku, na Inetu schema zmizelo a já jej taky nemůžu najít. Ze zdrojáků od AD4Unix se přímočaře dostat nedá, ale určitě v nich je. Fakt mě mrzí, že jsem vám předložil černou skříňku místo solidního popisu. Jediné co vím, je to, že rozšíření pomocí AD4Unix je totožné s SFU rozšířením, ale ani tady nevím jistě, zda dokonale. Taky je postačující pro získání ůdajů, které jsou standardně v /etc/passwd a /etc/group. Pokud si AD4Unix nainstalujete na nějaký zkušební server, velkou část atributů a "Object Classes" poznáte podle prefixu "msSFU". V reálném čase bohužel přesnější odpověď dát nedokážu.

[Ondar]

škoda, že nevíte víc - taky jsem slyšel jakési nadějné skazky ohledně RC2 a doufal jsem že se MS pochlapí a neco s tou kompatibilitou schemat udělá (konkrétně jsem slyšel, že MS půjdou právě cestou RFC2307 - což by bylo super).

Další věc - pokud AD4Unix rozšiřuje schema stejně jako SFU, pak nechápu, jaký má tato utilita smysl. SFU rozšíří schema sakumprásk i s AD for Users and Computers utilitou bez problémů a taky zadarmo - a navíc máte jistotu, že to ADC nezboří, protože je to produkt MS.

Poslední věc: koukám, že k AD přistupujete přes plaintext - což je sice nejjednodušší, ale zároveň nejnebezpečnější záležitost. Napadlo mě - LDAP tu máme, Kerberos taky -> proč tedy nezkusit GSSAPI+SASL? Teoreticky by to mělo zafungovat a bylo by bylo naprosto super! Plánujete zmínku o tomto v dalším dílu?

Dík

[Arno3t]

Souhlasím, že by bylo super, kdyby RC2 zahrnovalo RFC2307. Jen si nedokážu představit, jak to udělají při zachování zpětné kompatibility?

Taky se mi ten plaintext nelíbí, ale nedokázal jsem se přes to dostat. Pokud se to někomu povedlo a bude ochoten se o zkušenosti alespoň rámcově podělit, jsem ochoten vše vyzkoušet a pak se o tom rozepsat v nějakém NEpřímém pokračování.

[Arno3t]

MS SFU používá u atributů a "Object Classes" prefix msSFU30, kdežto AD4Unix pouze kratší msSFU. Každé rozšíření schematu obsahuje prvky, které nejsou obsaženy v tom druhém. Jinými slovy: Odlišnost není nepodstatná, ale zároveň není problém upravit naši konfiguraci podle použitého schematu.

[Ondar]

Zajimavy, tak jsem to zkusil:

[ondrejv@hercules ~]$ /usr/kerberos/bin/kinit
Password for ondrejv@PRAGUE.AD.S3GROUP.COM:
[ondrejv@hercules ~]$ /usr/kerberos/bin/klist
Ticket cache: FILE:/tmp/krb5cc_2527
Default principal: ondrejv@PRAGUE.AD.S3GROUP.COM

Valid starting     Expires            Service principal
12/28/05 10:44:10  12/28/05 20:44:16  krbtgt/PRAGUE.AD.S3GROUP.COM@PRAGUE.AD.S3GROUP.COM
        renew until 12/29/05 10:44:10


Kerberos 4 ticket cache: /tmp/tkt2527
klist: You have no tickets cached
[ondrejv@hercules ~]$ ldapsearch -h polaris -b "" -s base -Y GSSAPI
SASL/GSSAPI authentication started

(tady cekam hoodne dlouho)

ldap_sasl_interactive_bind_s: Local error (-2)
        additional info: SASL(-1): generic failure: GSSAPI
 Error: Miscellaneous failure (Cannot contact any KDC for
 requested realm)

Zajimave je, že ve skutečnosti to KDC (řadič AD domény) najde a chvilku si to s ním i povídá (asi tak 4 pakety...)

Fungovat by to ale mělo - nevím co se děje - zkusíte to taky?

[houska]

LDAP password 

je heslo toho uzivatele na domenovem radici/to ktere pouziva pro prihlasovani do windows?

[Arno3t]

Ano, je to heslo pouzivane ve Windows uzivatelem, ktery posila dotaz do LDAP (vztahuje se knemu prihlasovaci retezec za -D v ldapsearch).