Dotaz: ldap samba a několik "ou"

[jnovacek]

Tak a opět potřebuji radu. Konečně už mi funguje samba s LDAP. Mám v úmyslu udělat následující věc. Nechci dávat všechny uživatele do Users, ale v Users chci vytvořit dalších organizačních jednotek a do nich dávat jednotlivé uživatele (jsme škola - tak podle tříd). Ti by se pak přihlašovali včetně své organizační jednotky.
Je toto možné zrealizovat. Na netu nevím pod čím hledat.
Předem děkuji Jirka

Odpovědi

[VSi]

Je možné uživatele "rozhodit" do podřízených OU. Jako součást přihlašovacího jména to pokud vím nelze. Musela by být podpora minimálně v Sambě a nss_ldap.

Stejně je ale dobré mít všechny loginy unikátní nezávisle na OU. Až ten LDAP budete chtít použít na něco jiného (třeba poštovní server), tak se vám to bude hodit. Podpora pro "skládání loginu z OU" by totiž musela být v každé aplikaci, která LDAP využívá, a to není.

Takhle nějak to funguje na Novellu login.ou.tree - když jsem se s Novellem setkal v praxi, stejně měli loginy unikátní, právě kvli zmíněným dalším službám (mailserver, externí aplikace na účtování tisku ap.).

Ještě k těm třídám - mám zkušenosti z prostředí školy a doporučuji třídy oddělit buď pomocí OU, nebo jednoduše pomocí skupin. Pozor na to, že názvy tříd se každý rok mění, takže je dobré skupiny pojmenovat třeba podle roku nástupu ročníku - dejme tomu S-2008-A (studenti - r. 2008 - tř. A).

Ještě si dobře rozmyslete systém pojmenování účtů studentů. Já jsem zvolit 4 znaky příjmení + 2 znaky jména (aby to bylo krátké a zapamatovatené) a každý rok se vyskytne několik "kolizí", které se dají řešit třeba číslem na konci. Výchozí heslo dávám datum narození s tím, že při prvním přihlášení dojde ke změně. Určitě není dobré dát všem stejné úvodní heslo, protože ve škole se pak určitě najde vtipálek, který změní hesla u mnoha dosud navyužitých účtů. (já to celé generuji pro nové uživatele každý rok ze školní evidence, takže vytvoření účtů pro 4 mové třídy je na pár minut).

Ještě pozor na výchozí nastavení limit na počet vrácených záznamů v OpenLdap - v debianu bylo 500 a když jsem dosáhl > 500 uživatelů v jedné OU, začaly se dít strašné věci. Lze změnit v konf. souboru.