Dotaz: Jak na autorizaci linux workstations x windows PDC

[undz]

Dobrý den, hodlám ve škole kde momentálně máme pouze windows (Server je na Windows 2003, slouzi jako PDC,cca 60 workstations jsou na Win XP nebo Win 98), zavest jeste linux zatim na workstation (nejsem hlavni admin site a tak nemuzu premigrovat PDC na sambu). Ale mam k dispozici krome workstation jeste jeden "server" kde muze bezet linux.

Co je cilem : Jednotne uzivatelske jmena a hesla Sdileni domovskych adresaru na win a linux Pristup do sdilenych adresaru v siti pod konkretnim jmenem a heslem prihlaseneho uzivatele

Co je problem : Samba BDC nejde dat k Windows PDC Jak overovat pri prihlasovani na linuxu pres Windows (mozne reseni Pam_SMB ale to plne nevyhovuje)

Jake jsou zpusoby realizace ?

Zatím jsem vymysel jeste jednu alternativní metotu : 1) Pro všechny uživatele by byl jednotný uživatelský učet na linux workstation 2) Po automatickem loginu (třeba přes gdm to je uplně jedno) by se spustil jako by dalsi login (ale prvni ktery by se ptal na neco uzivatele) a tam by uzivatel zadal svoje jmeno a heslo a s temito parametry by se primountovalo pres sambu domovksy adresar a ostatni adresare, a po odhlaseni by se to pekne odmountomalo a odhlasilo a opet by tam cekal prihlasovaci muj skript.

Nevyhody meho reseni : nejde menit heslo na linux workstation ktere by se projevilo na Windows PDC

Nevim jak osetrit aby ten skript muj na prihlaseni po spatne zadanych jmene a hesle nic neudelal akorat se spustil znova, nevim jak mam overovat prave to jmeno a heslo. (AD jak ?)

Je pripadne nejake dalsi reseni ktere by vyhovovalo (nutne aby bylo free tj novel nepripada v uvahu)?

Predem diky za odpovedi

Odpovědi

[Zdeněk Burda]

Nedrzi nahodou windows informace o uctech (kdyz jede jako domenovy radic) v LDAPu? pak by se dalo overovat proti nemu, ne?

[undz]

Drží ale jak přes to ověrovat uživatele, zatím mě napadá možná jednoduší ale fungujucí záležitost prostě příkaz smbmount a když selže tak to uživatele nepustí dál po mojim upravenem prihlasovacim formalari.

Pokud jste to myslel nejak pres pam pres AD (ldap ..) tak to ja opravdu nevim jak to dat do praxe protoze se v windows Active dictonary nevyznam. Ale diky za reakci.

[Martin H.]

Trošlu to asi nechápu, ale Samba skutečně neumí pracovat jako BDC, nicméně pro tvůj případ to snad není nutné. Jestli to dobřě chápu, tak by ti stačilo uvést do Samby Password server = JMENO_NT_SERVERU a na tom NT serveru přidat Samba server do domény (Trusted account).

Potom přihlášení do domény je zároveň platné i pro Samba server.

Více v knize Samba jako server v sítích s Windows nebo na stránkách samba.org.

Nicméně, pokud já vím, starší verze Samby nelze přidat do Active Directory, novou Sambu zatím neznám.

[undz]

Ale ja potřebuju přes něco ověrovat klienty, mě nejde o to udělat si další fileserver.

A jelikož jestli to dobře chápu tak prostě Windows PDC které musí být (to jsem si já nevymyslel ale admin sítě ) nemůže existovat spolu se sambou no a tak nevím na co je mi dobrá tvoje rada no... pokud to chápu dobře tak samba nemůže sdílet informace o uživatelých zároveň s windows a tak prostě nemůžu konvertovat uživatele samby přes nis aby se potom přihlašovaly na klientech, pokud si někdo myslí že to jde tak by mě zajímalo jak.

Prostě potřebuju něco abych to mohl používat jako nis.

[Medved09]

V sambe je vec ktera se jmenuje winbind a ta se stara o prevod uzivatelu na Win PDC na lokalni uzivatele na linuxu prihlasujete se potom takto: Username: WINDOMAIN+winusername Password: winpassword dostanete uid defaultne neco >10000 a z konfigu winbindu cestu k home adresari

doporucuju precist si dokumentaci k sambe,samba-howto, popr knihu zminenou vyse

[undz]

Tak zacal bych podekovanim za reakce, velmi si vazim toho ze mi zde lidi radi.

A mate s tim nejake kladne skusenosti ? s tim winbindem ?

zrovna o tomhle jsem prave uz slysel a od nekolika lidi to bylo kritizovano ze to moc nefunguje.

Samba dokumentaci jsem zbezne procetl nez jsem to sem napsal, takhle hlavne by zajimalo teda jestli to nekomu funguje solidne. Knizku teda mam taky.

[Medved09]

Winbind navazany na Win NT uz mi 2 roky bezi na produkcnim systemu a nemam s nim nejmensi problemy..

[Pavel Treutner]

Pro autentizaci se bezne pouziva pam_smb (proc nevyhovuje?) nebo pam_ldap. Ja jsem se snazil o neco podobneho. Existoval Linuxovy server se Sambou, na ktery jsem nemel pristup, kde byla domena pro Windows klienty. Pouzil jsem tedy pam_smb pro autentizaci, rozbehl winbind a k pripojeni uzivatelskeho adresare jsem pouzil modul pam_mount. Tudiz nepripojuji vsechny domovske adresare, ale jen ten prave prihlaseneho uzivatele (toto reseni jsem zvolil, protoze jsem si nebyl jisty pristupovymi pravy u domovskych adresaru). Nicmene jsem narazil na zcela fatalni nedostatek a tim je nemoznost vytvareni symb. linku na oddilech pripojenych pres Sambu (ani s unix extensions!). Z toho plyne nefunkcnost mnoha programu, napr. OpenOffice.org se ani neda nainstalovat (mam na mysli instalaci uzivatelskeho profilu do sdileneho domovskeho adresare). Neznate nekdo reseni tohoto problemu? Proto jsme se rozhodli pro NIS + NFS (pripadne LDAP + NFS), coz je ve vasem pripade nepouzitelne.

Mozna by si chtelo ujasnit, v cem centralizovana sprava uzivatelu spociva.

1) sdileni informaci o uzivatelich (/etc/passws, /etc/group)

2) autentizace uzivatelu

3) sdileni jejich domovskeho adresare

V bodech 1 a 2 mate pomerne velkou volnost, existuje vice zpusobu, jak to provest. Bod 3 (jak se mi bohuzel zda) je mozne resit jen pomoci NFS. Kdybyste nekdo znal i jiny postup, budu vdecny za pomoc.