Slipeer 27 мар 2013 в 12:08

Linux в домене Active Directory

6 мин

241K

Системное администрирование *

Туториал

+18

Комментарии 14

AnViar 27 мар 2013 в 12:30

Но сегодня мы пойдём иным путём

В статье не дан ответ зачем это делать

Slipeer 27 мар 2013 в 13:10

В статье не дан ответ зачем это делать

А надо? Разве наличие двух путей к одной цели это плохо?
Если речь идёт о преимуществах данного решения, то, навскидку, я отнесу к ним:

Хорошую повторяемость (сравните последовательность действий этой статье с инструкцией по настройке winbind)
Кэширование данных из каталога (доменный пользователь может войти на ПК, когда домен не доступен, если его учётные данные в кэше)
Для PBIS не требуется формирование в каталоге AD дополнительных атрибутов пользователя
PBIS понимает сайты AD и работает с контроллерами своего сайта.
Большую безопасность (samba создаёт учётку компьютера с не истекающим паролем)
В платной версии (если возникнет такая необходимость) PBIS агент управляем через GPO (хотя это можно и вычеркнуть)

AnViar 27 мар 2013 в 13:13

Четвёртый пункт большой плюс. В Solaris 11.1 это работает из коробки, а в Samba только вялые упоминания о планах в мэйлистах.

m0ps 27 мар 2013 в 19:49

Собственно сабжевый продукт и есть причесанным винбиндом, керберосом и т.д
Преимущества описаны, а вот что касается минусов?.. Насколько я помню — необходимо вводить логин с доменом — это доставляет огромное неудобство для конечных пользователей (не админов).

Slipeer 28 мар 2013 в 03:30

сабжевый продукт и есть причесанным винбиндом

Я бы сказал — «альтернативной реализацией» winbind.

Насколько я помню — необходимо вводить логин с доменом

Никак нет. есть настройка (включена по-умолчанию) позволяющая автоматически подставлять префикс к имени пользователя при входе:

# /opt/pbis/bin/config --details AssumeDefaultDomain
Name: AssumeDefaultDomain
Description: Apply domain name prefix to account name at logon
Type: boolean
Current Value: true
Accepted Values: true, false
Current Value is determined by local policy.
# /opt/pbis/bin/config --details UserDomainPrefix
Name: UserDomainPrefix
Description: Domain short name prefix to be used when AssumeDefaultDomain setting is enabled
Type: string
Current Value: "CONTOSO"
Current Value is determined by local policy.

m0ps 28 мар 2013 в 07:09

Видимо после поглощения Likewise BeyondTrust-ом что-то поменялось, раньше ввод логина в виде domain\user был ограничением Open версии.
Что касается альтернативной реализации winbind — опять же незнаю что сейчас, но раньше Likewise использовал обыкновенную самбу с ее винбиндом и своими надстройками и патчами к ним.
Собственно приятно слышать что продукт развивается и становится все дружественнее к свом пользователям.

НЛО прилетело и опубликовало эту надпись здесь

Slipeer 28 мар 2013 в 05:34

И там тоже оно. Домен пользователей по-умолчанию можно задать при вводе ПК в домен через GUI, но можно и изменить в любой момент в настройках.

dude_sam 3 апр 2013 в 07:15

Спасибо за статью.
После установки likewise на ubuntu и настройки по вашему туториалу я смогу на линукс машине создавать шары с доменными правами, как в обычной windows, т.е. определенной группе или просто списку пользователей давать права на запись и изменение, а остальным только чтение (а то на работе есть AD, а файлопомойка на linux с поднятой самба и кто-то регулярно пакостит, удаляя все).

mrpsycho 12 апр 2013 в 14:46

а еще likewise + acl + git: удобный простой гит сервер, с поддержкой групп АД.

VFedorV 26 фев 2015 в 14:20

Значение параметра устанавливается например так:
/opt/pbis/bin/config RequireMembershipOf «Администраторы^Linux»

у меня так не срабатывало, пока не проставил так:

opt/pbis/bin/config RequireMembershipOf "DOMAIN\\Администраторы^Linux"

VFedorV 27 фев 2015 в 09:33

а может кто подскажет — как разрешить всей группе, указанной ранее (из AD которая) выполнять команды sudo ?! какой формат записи в visudo?
% DOMAIN\\Администраторы^Linux ALL=(ALL) NOPASSWD: ALL — не прокатывает :(

Slipeer 27 фев 2015 в 11:26

Без пробела между % и названием группы
Скорее всего проблема с разделителем домена/группы
Проверьте, что у вас в опции AssumeDefaultDomain — у меня везде true и работает без указания домена

VFedorV 28 фев 2015 в 10:54

благодарю! дело, действительно, было в формате написания — теперь работает :)

Зарегистрируйтесь на Хабре, чтобы оставить комментарий