Dotaz: Existuje adekvat windows domen

[Radek]

Dobry den,

chtel bych se zeptat, jestli existuje v Linuxu neco, jako system domen ve Windows. Kdyz se uzivatel prihlasi, aby mel svoje nastaveni, svuj adresar na serveru... Predem velice dekuji za odpoved na tuto zacatecnickou otazku.

Radek

Odpovědi

[otula]

Pro windowsové stanice Samba PDC, pro linuxové stanice asi něco, jako nasdílet přes NFS home adresáře

[Radek]

Abych to upresnil. Jde mi hlavne o plovouci profily. Aby se uzivatel mohl prihlasit na kteremkoliv Linux pocitaci v siti a mel stejna nastaveni(nejak stazena ze serveru). Dekuji

[pasmen]

LTSP?

[otula]

Vždyť to je ono. Pokud použiješ Samba PDC, tak to funguje tak, že se při přihlášení uživatele stáhne profil ze serveru, při odhlášení se zase uloží. Připojit /home přes NFS je obdobné, jen se data nestáhnou, ale uživatel trvale pracuje se vzdáleným /home. A odkukoliv se přihlásí, má stejné nastavení (samozřejmě to musí být nastaveno na všech klientech).

[otula]

Ještě bych doplnil, že u linuxových stanic je dobré doplnit ještě ověření hesla proti serveru, na to se používá to, čemu se dříve říkalo Yellow Pages (současný název nevím, protože to nepoužívám, ale soubory s tím související mají v názvu stále yp), nebo by snad mělo jít použít třeba ldap (do jehož konfigurace se mi zatím nepodařilo proniknout)

[Michal Kubeček]

Oficiální název je NIS, ale z bezpečnostního hlediska to není zrovna šťastná volba, vhodnější je LDAP nebo třeba Kerberos.

[Radek]

Takze i kdyz bude server i klienti na Linuxu, tak pro plovouci profily musim pouzit Samba PDC. Neco nativniho, bezpecneho v Linuxu neni. Diky

[otula]

Hm, nic není nemožné, ale pro klienty na Linuxu asi Samba PDC použít nepůjde (jistý si ale 100% nejsem). To připojení /home přes NFS nestačí?

[Radek]

Asi ano. Kazdopadne moc diky za odpovedi a pomoc.Radek

[Filip Jirsák]

Plovoucí profily ve Windows jsou pěkný nesmysl, unixové systémy to mají řešeno daleko lépe. Ve Windows se vám plovoucí profil při každém přihlášení okopíruje na lokální harddisk a při odhlášení se zase kopíruje zpět. Což trvá dlouho; ne pokaždé se to povede; pokud nedojde k odhlášení (třeba pád systému), provedené změny se nepřenesou zpět na server; pokud se přihlásíte vícekrát, na serveru vám zůstane kopie po posledním odhlášení, tzn. pokud provedete změny na více místech, zachová se jen ta z počítače, kde jste se odhlásil jako poslední.

Naproti tomu v unixových systémech si vzdáleně (např. přes NFS) připojíte home, kde jsou uložená veškerá uživatelská nastavení, a pracujete s ním, jako by to byl lokální disk. Veškeré změny se uloží hned, pokud se přihlásíte z více míst, fungují normálně zámky a změny z každého přihlášení se ihned uloží (tj. pokud na jednom počítači změníte obrázek na pozadí plochy a na druhém přidáte odkaz do oblíbených položek, a pak se z obou odhlásíte, zachovají se obě změny).

[Dejv]

Ohledne tech plovoucich profilu... vyjmenovane nevyhody... no, nejsem si uplne jisty, jestli mate pravdu. I v pripada, ze neni server k dispozici, se ke stanici prihlasite stejne jako do domeny (ani to nemusite poznat, ze ten server neni) a mate sva data k dispozici. A az server nabehne, tak se data sesynchronizuji (klidne az pri pristim prihlaseni). Totez se deje v pripade padu. Nejedna se totiz o proste jednoduche kopirovani, ale o synchronizovani dat mezi serverem a stanici.

Pokud se prihlasujete z vice stanic soucasne, netusim, co se stane a jak to dopadne, to otevrene priznavam. Ale situace s jednou stanici vypada tak, jak jsem popsal.

Dejv

[Cubik]

Hm, ale to je asi tak jediná výhoda, kterou roaming profiles oproti řešení s online připojením domovské složky mají. A ty "profily a synchronizace" jsou takový peklo na zemi, že tohle je oproti tomu dar vskutku danajský A to zcela pomíjím bezpečnostní riziko vyplývající z faktu, že ten profil fyzicky zůstane na disku i po odhlášení uživatele, takže kdokoli, kdo jakýmkoli způsobem může získat lokálního administrátora, se na ta data dostane. A mazat je nepomůže (což by stejně odstranilo zmiňovanou výhodu cestovních profilů), protože se to dá bez problémů obnovit nějakou NTFS file recovery utilitou. Řešit by se to nejspíš dalo šifrováním diskového oddílu, ale to mi v tomhle případě připadá jako "drbání se pravou rukou za levým uchem"

[Ash]

Pak asi třeba vzít v úvahu, že ten NFS server by jel na linuxu, kdežto ten doménový to by byly nějaké Widle. Takže tam je asi otázka, co je pravděpodobnější. Jesli to, že server bude zdechlý, a kvůli tomu se vyvine celá věda okolo synchronizace a pod. s uvedenou výhodou funkčnosti offline, nebo jestli server spíš poběží, a pak se to normálně namountuje se všemi uvedenými on-line výhodami :)

[Filip Jirsák]

Jenomže to předpokládá, že máte na té lokální stanici svůj (aktuální) profil nakešován. Což nastává jedině v případě, kdy se pravidelně přihlašujete jenom na jeden počítač, a hlásíte se tam sám (nebo jen pár lidí – není únosné na každém počítači kešovat profil 500 lidí). Ovšem pokud se jeden uživatel hlásí stále na jeden a ten samý počítač, k čemu pak používat cestovní profily?

Pokud server s profily není k dispozici, a je lokálně nakešován starší profil, přihlásíte se s ním (jako cestování v čase to je dobré, pro práci je to ale dost na houby), pokud ani to ne a je lokálně k dispozici šablona pro profily, vytvoří se vám profil nový, prázdný. To samé se stane i v případě, když Windows usoudí, že máte pomalé spojení se serverem. A když se pak odhlásíte, tenhle starý nebo úplně prázdný profil vám vesele přepíše ten nejaktuálnější, který byl na serveru. Řešení je jednoduché – pokud vás Windows přihlásí se starým, poškozeným nebo prázdným profilem, nesmíte se na konci odhlásit, ale musíte natvrdo resetovat počítač. A správce pak jednou za čas musí promazat ty profily, které se takhle na disku hromadí. Že ten tvrdý reset nedělá ani systému ani počítači dobře, to je snad jasné.

Není pravda, že by se cestovní profily aktualizovaly někdy v průběhu uživatelské session – nakopírují se při přihlášení ze serveru na stanici, a při odhlášení zase zpět. Ani nejde o žádnou synchronizaci, ale o prostý výmaz starého profilu a nakopírování profilu nového. Možná si to pletete se stínovou kopií síťových disků, či jak se to jmenuje – tam se opravdu provádí synchronizace, opravdu je to schopné navázat spojení kdykoliv během uživatelské session. Ale týká se to jen síťových mapovaných disků, uživatelský profil (registry apod.) takhle s velkou pravděpodobností sdílet nemůžete (protože informace o mapování síťových disků jsou uloženy v registry, které tedy musíte mít k dispozici před připojením síťových disků).

[Dejv]

Hadat se nebudu , na to nemam dostatek znalosti. Vychazel jsem ze zkusenosti ve strojirenskem podniku, kdy vetsina pocitacu slouzi "vyrobnim ucelum", uzivatele na nich sva data nemaji a ja coby programator chci pri kazde instalaci/implementaci mit sve prostredi a prostredky pro implementaci.

Netvrdim, ze to je kdovijaka vymakana a nezbytna ficura . Jen jsem chtel poukazat na jednu z vlastnosti, kterou jste ve svem puvodnim prispevku neuvedl (neba jsem ji tam nevidel ).

Preji hezky den

Dejv

[Filip Jirsák]

Jen jsem chtel poukazat na jednu z vlastnosti, kterou jste ve svem puvodnim prispevku neuvedl (neba jsem ji tam nevidel )

Já jsem ji tam ale neuvedl záměrně, protože cestovní profily (z Windows NT) tuhle vlastnost (pokud máte na mysli synchronizaci) nemají. Synchronizaci síťových adresářů umí až (asi) Windows XP, a i to lze použít jen na synchronizaci dat (např. složky Dokumenty), ale ne na samotný profil. Stačí si jen uvědomit, že součástí profilu jsou i registry (jejich uživatelská část). Ty Windows ke svému běhu nezbytně potřebují, takže není možné se přihlásit, aniž by se soubory registrů nahrály ze sítě nebo z nějaké lokální starší nebo prázdné kopie.

To co popisujete vy ještě neznamená, že jsou použity cestovní profily.

[Dejv]

Aha, no vidie, ja to rikal, ze nemam dostatek znalosti To, co jsem popsal, opravdu byly cestovni profily (podle nastaveni uzivatelskeho uctu). Ale je taky mozne, ze to uz trochu plantam, je to uz 5 roku zpatky

Myslim, ze nema smysl to tade dale pitvat

Mejte se hezky

Dejv

[Ash]

Chlapi už se konečně dohodněte :D Sám už jsem jak na trní, jestli teda cestovní profily umí nebo neumí synchronizaci (jestli se synchronizují nebo jen rm -fr old && cp new :D).

Vy teď zase říkáte, že jste mluvě o synchronizaci popisoval cestovní profily, takže se tedy synchronizují? Nebo nesynchronizují jak říká kolega? Neni to proboha někde na Wikipedii :D :D

[Filip Jirsák]

Něco trochu je na Technetu Použití cestovních profilů uživatele – opět tam píšou o kopírování při přihlášení a při odhlášení, o synchronizaci tam není nic. Pasáž o tom, jak nebude v případě problémů při přihlášení profil na serveru při odhlášení aktualizován je zajímavá, nicméně moje zkušenost je jiná (ale možná pro to je potřeba nějaká magie, kterou umí Windows Server a Samba ne).

[Cubik]

Když už tady padla tahle otázka, tak bych si s dovolením taky přihřál polívčičku a zajímalo by mě, jestli existuje něco jako náhrada Group Policy, tzn. možnost spravovat skupinu PC s Windows z Linuxu. Že se to dá pomocí Novell Zenworks vím, ale zajímalo by mě, jestli to lze nějak podobně řešit třeba v RHELu? Díky za odpověď...

Mimochodem, roaming profiles Samba skutečně umí, zkušenost s nimi mám pouze na Win2003 Serveru. A tam jsme od jejich nasazení po zralé úvaze upustili, protože to prostě funguje blbě a váže se na ně spousta problémů, které se dost těžko odhalují a ladí, takže je v současné době používáme pouze v případech, kdy jinak doopravdy nemůžeme...

[Jan Včelák]

Teď nedavno vyšla betaverze Samby 4, kterou Group Policy podporuje. Takže řešení je ještě chvilku vydržet. A je možné to spravovat pomocí nástrojů dodávaných Microsoftem.

Samba 3 má features jako Win2k server.. Samba 4 přináší konečně funkcionalitu Win2k3.

Doporučuju podívat se na Samba 4 HOWTO (wiki).

[Filip Jirsák]

"Staré" group policy (z Windows NT 4) můžete používat i na Sambě, je to jen soubor, který přidáte do netlogon sdílení.

[Cubik]

Děkuji Vám oběma, až bude trochu volnějc, vyzkouším obojí.

[ludo]

Velmi pekne riesenie je aj AFS (Andrew file system)...

[Zdeněk Štěpánek]

Teda to jsou mi dohady...

Bezne pouzivam NIS+NFS a funguje to naprosto perfektne. Problem s bezpecnosti to nepochybne ma, to je pravda. Ale na implementaci je to primitivni a hruzostrasne problemy cestovich profilu z woken (ny tytez data jde najednou samba PDC i NIS+NFS) to ani v nejmensim nema.

Argument ze kopie profilo na lokalnim disku je uzitecna v pripade padu serveru je o nicem, protoze k cemu jsou mi data na lokalu kdyz je potrebuju mit na serveru. Navic pokud se klient hlasi z ruznych mist, tak data na lokalu jsou zastarala.

Zaroven bych rekl, ze sdileni pres NFS je mene narocne na sit nez kopirovani celyho profilu.

Zdenek