LDAP. Настройка отказоустойчивого LDAP сервера

  • Tutorial
The Internet Engineering Task Force (IETF)В этой статье я расскажу вам о сервере службы каталогов 389 Directory Server (он же Fedora Directory Server, он же Redhat Directory Server). Так уж повелось, что для доступа к серверу каталогов используется протокол LDAP. Если вы не работали с LDAP, я очень рекомендую ознакомиться со статьями в Wikipedia (тут про cлужбу каталогов, а тут про протокол LDAP).

Итак, сначала кратко о том, зачем же вообще использовать сервер службы каталогов (далее — LDAP-сервер). LDAP-сервера, в основном, применяются для централизованного хранения учетных записей, и всего, что с ними связано. LDAP-сервер представляет собой иерархическую БД, а значит в нем можно хранить любые данные.

Казалось бы, вполне логичен вопрос: а почему именно LDAP? Что мешает хранить учетные записи в MySQL или PostgreSQL? Ответ очевиден — ничего =)

Но над любой RDBMS служба каталогов обладает целым рядом преимуществ:

  • Это стандарт. Многие приложения поддерживают аутентификацию/авторизацию через LDAP;
  • Данные хранятся как иерархическое дерево, что позволяет делать эффективные операции поиска, выделив нужную часть дерева;
  • Число операций чтения в тысячи раз превышают число операций записи, в связи с этим появляется огромное число плюсов: нет необходимости применения транзакций и rollback'ов, репликация работает без проблем, которые присущи RDBMS;
  • Приложение должно видеть одну и ту же информацию на всех серверах службы каталогов, если сервер не хранит информацию, нужную клиентскому приложению, он может сам запросить ее у другого сервера или перенаправить само приложение к другому серверу;
  • Из-за описанных выше свойств службы каталогов, этот сервис отлично масштабируется горизонтально.


Выбор сервера службы каталогов пал на 389 Directory Server. История этого LDAP сервера тесно связана с компанией Netscape (если интересно, почитать историю можно тут).



Ключевые особенности этого LDAP-сервера:

  • Мультимастер репликация. На все сервера, участники MM-репликации, можно записывать данные одновременно, причем конфликты репликации разрешаются автоматически благодаря ведению changelog базы и системе автоматического разрешения конфликтов. MM-репликацию можно комбинировать с master-slave и каскадной репликацией, благодаря чему можно получить гибкий и масштабируемый сервис. Так же поддерживается частичная репликация, что крайне полезно, если мы не хотим, чтобы некоторые данные присутствовали на реплике;
  • Мощный механизм ACL. С помощью ACL можно указать кому, когда, на каком LDAP-сервере, с каким атрибутом и какое действие выполнять. ACL хранится вместе с данными как операционные атрибуты, благодаря этому для них, как и для других данных, работают операции репликации и резервного копирования.
  • Синхронизация с Microsoft Active Directory. Поддерживается двунаправленная синхронизация пользователей, групп и паролей (для синхронизации паролей из AD в 389-ds необходимо поставить специальный софт на каждый контроллер домена)
  • SSL/TLS. Простой поддержкой SSL/TLS сейчас никого не удивишь. 389-ds поддерживает аутентификацию/авторизацию на основании SSL-сертификатов. Так же есть возможность шифрования атрибутов при записи на диск. При ручном вводе ключа при запуске сервера это может защитить от утечки данных путем копирования файлов с БД.
  • Управление сервером через протокол LDAP. Сервер поддерживает конфигурацию путем изменения атрибутов в cn=config, большинство параметров применяются без перезагрузки сервера. Так же на сервере можно запускать резервное копирование/восстановление и другие task-и путем добавления новой записи в cn=tasks,cn=config.
  • Plugins. Весь функционал реализован в виде plugin-ов (MM-репликация, синхронизация с AD, ACL, и т.п.). Написать и добавить свой plugin довольно легко, т.к. имеется хорошая документация с примерами.


После обзора возможностей 389 Directory Server познакомимся поближе с его структурой.

Общая структура 389 Directory Server



389 DS состоит из нескольких компонентов.

  • Сам сервер каталогов. Это приложение ns-slapd, именно этот процесс принимает и обрабатывает запросы от клиента, производит репликацию, читает и записывает данные в базу, передает управление плагинам, и т.д.
  • Сервер администрирования (Administration Server). Он управляет сервером каталогов. Сервер предоставляет интерфейс управления через протокол HTTP(S), так же предоставляет веб-интерфейс для просмотра логов и статуса репликации. Физически это apache + модули для управления ns-slapd.
  • Консоль администрирования. Java-приложение, которое подключается к серверу администрирования и позволяет настраивать сервер каталогов через удобный интерфейс. Есть версия под windows и linux, под mac os работает через проброс X-сессии с linux-машины.


Сначала я хотел написать теоретическую и практическую части отдельно, но потом стало ясно, что первая часть стала бы слишком скучной, а вторая слишком сухой. Поэтому сразу за куском теории будет идти практическое применение.

Итак, задача. Необходимо настроить отказоустойчивый сервис службы каталогов. Для этого настроим два сервера, настроим multimaster-репликацию между ними и поднимем перемещающийся IP-адрес (pacemaker + openais).

image

Если один из серверов станет недоступен, другой возьмет на себя этот IP и сервис продолжит работу.

image

После восстановления сервера данные будут реплицированы на него и IP-адрес переключится обратно на LDAP00, или же, в зависимости от настройки кластера, останется на LDAP01.

image

На одном сервере может быть несколько изолированных инстансов ns-slapd со своими настройками, схемой, правилами репликации и т.д. Чтобы иметь возможность управлять этими инстансами из консоли управления на каждом сервере должен стоять сервер Administration Server (далее admin server). admin server сам нуждается в одном инстансе LDAP сервера, поскольку хранит там run-time конфигурацию. По умолчанию конфигурация admin server хранится вместе с пользовательскими данными, но я считаю это небезопасным, поэтому у нас будет два инстанса на каждом сервере: один будет содержать конфигурацию для admin server-а, а второй данные. В такой схеме в случае отказа одной из нод сохраняется не только работоспособность LDAP-сервиса, но и возможность управления им.

Для нашего сервиса службы каталогов мы используем два сервера ldap00 и ldap01. На каждом из них будут установлены два инстанса LDAP сервера, один для нужд admin server-ов, второй для наших данных.
План установки будет такой:
  1. Установка первого сервера на ldap00;
  2. Настройка репликации на ldap00;
  3. Установка и настройка ldap инстанса на ldap01;
  4. Установка admin server-а на ldap01;
  5. Установка и настройка ldap инстансов для хранения пользовательских данных.


Установка первого сервера на ldap00



Готовые rpm собраны в репозитории EPEL для Centos, RHEL и Fedora Core. Если у вас одна из этих систем — подключите репозиторий EPEL и выполните установку через yum.

Мы используем SLES, поэтому нам пришлось собирать все пакеты под эту систему в нашем OpenSUSE Build Service. Если у вас debian/ubuntu — прочтите этот документ.

Вместе с 389 DS идет набор perl скриптов, которые используются для установки инстансов сервера.

Вот некоторые из них:

  • setup-ds.pl — устанавливает инстанс LDAP-сервера, сервер создается не подключенным к admin server-у;
  • setup-ds-admin.pl — устанавливает admin server, при необходимости устанавливает инстанс LDAP-сервера для хранения своей конфигурации;
  • register-ds-admin.pl — подключает инстанс к admin server-у, при необходимости устанавливает admin server;
  • remove-ds.pl — удаляет инстанс;
  • remove-ds-admin.pl — удаляет admin server и все инстансы;
  • dsktune — выводит параметры системы, которые нужно изменить, чтобы добиться большей производительности.


Для начала запустим dsktune:

ldap00:~ # dsktune
389 Directory Server system tuning analysis version 10-AUGUST-2007.

NOTICE: System is x86_64-unknown-linux2.6.27.42-0.1-xen (1 processor).

NOTICE: The net.ipv4.tcp_keepalive_time is set to 7200000 milliseconds
(120 minutes). This may cause temporary server congestion from lost
client connections.

WARNING: There are only 1024 file descriptors (hard limit) available, which
limit the number of simultaneous connections.

WARNING: There are only 1024 file descriptors (soft limit) available, which
limit the number of simultaneous connections.


Утилита написала о системных параметрах, которые нужно подкрутить. В моем случае это net.ipv4.tcp_keepalive_time и лимит открытых файлов.

tcp_keepalive_time — это время от последнего посланного пакета до первой посылки keepalive. При большом значении, если клиент «умер», соединение останется открытым долгое время (по умолчанию 120 минут). Установим это значение в 10 минут.

echo 600 > /proc/sys/net/ipv4/tcp_keepalive_time

Добавим в /etc/sysctl.conf:

net.ipv4.tcp_keepalive_time = 600

для увеличения лимита открытых файлов добавляем в /etc/security/limits.conf:

* - nofile 8192

запускаем еще раз dsktune и убедимся, что у нас все готово для установки.

Теперь запускаем скрипт setup-ds-admin.pl
Нас спросят, хотим ли мы установить 389 Directory и Administration Server, согласны ли мы с лицензией, еще раз запустят dsktune и, наконец, появится меню выбора типа установки.

Choose a setup type:

1. Express
Allows you to quickly set up the servers using the most
common options and pre-defined defaults. Useful for quick
evaluation of the products.

2. Typical
Allows you to specify common defaults and options.

3. Custom
Allows you to specify more advanced options. This is
recommended for experienced server administrators only.

To accept the default shown in brackets, press the Enter key.

Choose a setup type [2]:


Выбираем третий пункт (мы же experienced server administrators =) )

Далее будет предложено указать FQDN и имя/группу, от которого(ой) будет запускаться LDAP-сервер.

If you do not yet have a configuration directory server, enter 'No' to
be prompted to set up one.

Do you want to register this software with an existing
configuration directory server? [no]:


Тут нас спрашивают, хотим ли мы использовать существующий сервер каталогов для сохранения информации о сервере. Так как это наш первый сервер, отвечаем No.

Далее идут вопросы об admin server-е: administrator ID, пароль, Administration Domain, ответы на них оставляем по умолчанию (кроме пароля).

Затем надо будет указать, какой порт будет слушать LDAP-сервер. Мы договорились, что это инстанс, который хранит лишь конфигурацию для admin server-а, поэтому пересаживаем его на порт 6389. Далее указываем Directory server identifier. Назовем свой инстанс config-instance. На вопрос о суффиксе корневого дерева отвечаем по умолчанию, корневого дерева в этом инстансе не будет, так что его потом можно удалить.

Затем нас ждет вопрос о Directory Manager DN.

Directory Manager — это пользователь с правами root-а в LDAP-сервере. У каждого инстанса есть свой локальный Directory Manager.

Далее следуют вопросы о пароле к Directory Manager-у, хотим ли мы поставить примеры записей в наш root suffix и хотим ли мы заполнить наш новый инстанс какими-нибудь данными, спросят имя порта, IP-адрес и имя пользователя от которого admin server будет работать. После этого последний раз спросят подтверждение и начнут установку.

Настройка репликации на ldap00



Для подключения к серверу нужно поставить и запустить консоль управления 389-console.

image

В качестве Adminstration URL нужно ввести адрес admin server-а и порт который вы указали при установке.

Далее мы попадаем в панель управления серверами. У нас сейчас только один инстанс, выберем его.

image

Из консоли управления удаляем суффикс dc=edu,dc=scalaxy,dc=local

image

У нас остался всего один суффикс и база, в которой находятся конфигурационные данные для admin server-а.

Теперь немного теории о принципах репликации.

В репликации участвуют два типа серверов, supplier и consumer.

supplier — сервер, который копирует реплику на другой сервер.

обязанности supplier сервера:
  • отвечать на запросы клиентов на чтение и запись;
  • поддержание информации о состоянии изменений реплики;
  • инициализация репликации на consumer сервера.

supplier сервер должен быть всегда доступен, поскольку запись производится только на этом сервере, а потом реплицируется на другие севера.

Если связь с supplier сервером будет потеряна, то запись в каталог станет невозможна.

consumer — сервер, который сохраняет реплику с другого сервера. В случае с мультимастер репликацией, два сервера одновременно являются supplier-ом и consumer-ом.

consumer должен:
  • отвечать на read запросы клиентов;
  • пересылать запросы на обновления данных на сервер;
  • при получении запроса на добавление, удаление или обновления записи, запрос пересылается на supplier сервер.

Каждый supplier сервер имеет свой changelog, в котором хранится информация обо всех изменениях, которые произошли на реплике.

Supplier сервер повторяет эти изменения на каждом consumer сервере.

Теперь, когда мы немного подкованы теоретически, можно настраивать мультимастер репликацию инстанса с конфигурацией.

Ведение changelog-а изменений по умолчанию выключено, включается он во вкладке Replication. Changelog включается для всех баз одновременно.

Дальше включаем репликацию для базы NetscapeRoot. Необходимо указать Replica ID и Supplier DNs.

Supplier DN — это имя пользователя, которому разрешено выполнять репликацию на LDAP-сервере. Такого пользователя нужно создать на всех LDAP-серверах, которые участвуют в мультимастер репликации.

Быстрее всего это сделать через утилиту ldapmodify. Эта утилита позволяет модифицировать данные в LDAP в интерактивном режиме или брать команды из ldif файла.

ldapmodify -h 127.0.0.1 -p 6389 -x -D "cn=root" -W
Enter LDAP Password:
dn: cn=replication manager,cn=config
changetype: add
objectClass: inetorgperson
objectClass: person
objectClass: top
objectClass: organizationalPerson
cn: replication manager
sn: RM
userPassword: <password>
passwordExpirationTime: 20380119031407Z


Ответ должен быть
adding new entry "cn=replication manager,cn=config"

Итого, у нас получилось:

image

Сразу же создадим Replication Agreement для второго сервера. В контекстном меню для базы NetscapeRoot выбираем New Replication Agreement и заполняем аналогичным образом:

image

Нас предупредят, что подключение к серверу невозможно (так как его еще нет), доходим до последнего пункта, ставим Do not initialize consumer.

Установка и настройка ldap инстанса на ldap01



Теперь нужно настроить второй LDAP-сервер. С ним несколько иначе, т.к. установка admin server-а должна уже происходить в установленный LDAP-сервер и первичную настройку мы будем производить из консоли с помощью утилиты ldapmodify (что является нехилым плюсом, если стоит задача разобраться, как же работает этот сервер каталогов).

Сначала на втором сервере с помощью скрипта setup-ds.pl нужно создать инстанс, который не управляется admin server-ом.

Ответы на вопросы скрипта аналогичны предыдущим.

После установки LDAP-сервера подключаемся к нему через ldapmodify и настраиваем.

Подключение производится примерно так:

ldapmodify -h 127.0.0.1 -p 6389 -D "cn=root" -W

1) Включаем changelog:

dn: cn=changelog5,cn=config
changetype: add
objectclass: top
objectclass: extensibleObject
cn: changelog5
nsslapd-changelogdir: /var/lib/dirsrv/slapd-ldap01/changelogdb


changelogdir должен указывать на директорию с названием вашего инстанса.

2) добавляем пользователя replication manager:

dn: cn=replication manager,cn=config
changetype: add
objectClass: inetorgperson
objectClass: person
objectClass: top
objectClass: organizationalPerson
cn: replication manager
sn: RM
userPassword: <passowrd>
passwordExpirationTime: 20380119031407Z


20380119031407Z означает, что срок действия пароля не ограничен.

3) Создаем суффикс netscaperoot:

dn: cn="o=netscaperoot",cn=mapping tree,cn=config
changetype: add
objectclass: top
objectclass: extensibleObject
objectclass: nsMappingTree
nsslapd-state: backend
nsslapd-backend: NetscapeRoot
cn: "o=netscaperoot"


4) Создаем базу для суффикса netscaperoot:

dn: cn=NetscapeRoot,cn=ldbm database,cn=plugins,cn=config
changetype: add
objectclass: extensibleObject
objectclass: nsBackendInstance
nsslapd-suffix: o=netscaperoot


Кстати, 389 DS по умолчанию для хранения записей каталога использует модифицированную версию нереляционной базы данных Berkeley DB. Если есть желание, подробнее вы можете прочитать тут.

5) Создаем корневой o=NetScapeRoot:

dn: o=NetscapeRoot
changetype: add
objectClass: organization
objectClass: top
o: NetscapeRoot


6) Разрешаем репликацию для o=netscaperoot:

dn: cn=replica,cn="o=netscaperoot", cn=mapping tree, cn=config
changetype: add
objectClass: nsDS5Replica
objectClass: top
nsDS5ReplicaId: 2
nsDS5ReplicaRoot: o=netscaperoot
cn: replica
nsDS5Flags: 1
nsDS5ReplicaBindDN: cn=replication manager,cn=config
nsds5ReplicaChangeCount: 0
nsds5ReplicaPurgeDelay: 604800
nsDS5ReplicaType: 3


Не забываем изменить nsDS5ReplicaId на номер вашего сервера (nsDS5ReplicaType — тип репликации, 3 — multimaster).

На данном этапе у нас уже есть настроенная репликация в одну сторону с ldap00 на ldap01.

Последним этапом будет:

7) Настройка репликации от ldap01 на ldap00:

dn: cn=Multimaster replication, cn=replica, cn="o=netscaperoot", cn=mapping
tree, cn=config
changetype: add
objectClass: top
objectClass: nsDS5ReplicationAgreement
cn: Multimaster replication
description: replication for netscaperoot
nsDS5ReplicaBindDN: cn=replication manager,cn=config
nsDS5ReplicaBindMethod: SIMPLE
nsds5replicaChangesSentSinceStartup:
nsDS5ReplicaCredentials: <password>
nsDS5ReplicaHost: ldap00.edu.scalaxy.local
nsDS5ReplicaPort: 6389
nsDS5ReplicaRoot: o=netscaperoot
nsDS5ReplicaTransportInfo: LDAP
nsds5replicaUpdateInProgress: FALSE


nsDS5ReplicaBindDN — имя пользователя, от имени которого будет производится репликация
nsDS5ReplicaCredentials — пароль

8) Первичная инициилизация репликации с ldap00 на ldap01:

На первом сервере выполняем эту команду:
dn: cn=Multimaster replication,cn=replica,cn="o=netscaperoot",cn=mapping tree,cn=config
changetype: modify
replace: nsds5beginreplicarefresh
nsds5beginreplicarefresh: start


Эта команда реплицирует данные с ldap00 на ldap01, эта операция обязательна, тк на втором сервер сейчас пустой o=netscaperoot.

Теперь мы имеем полностью реплицируемые каталоги с конфигурацией admin server-а.

Установка admin server-а на ldap01



Нужно поднять admin server на втором сервере. Запускаем скрипт register-ds-admin.pl

Когда нам предложат указать Configuration directory server URL, вводим LDAP URL второго сервера ldap://ldap01.edu.scalaxy.local:6389/o=NetscapeRoot

Дальнейшая настройка тривиальна, следуем указаниям скрипта.

Установка и настройка ldap инстансов для хранения пользовательских данных



Теперь подключаться через консоль управления можно к любому admin server-у.

На каждом из серверов в Server Group создаем новый инстанс LDAP server-а, это будет LDAP-server, в котором мы будем хранить наши данные.

image

Настраиваем мультимастер репликацию между двумя инстансами по тому же принципу (теперь вы можете настроить репликацию как через GUI, так и через консоль).

Поздравляю! Вы настроили отказоустойчивый сервис службы каталогов! Далее нужно настроить openais+pacemaker, чтобы исключить простои в работе сервиса.

Использовалась документация:
directory.fedoraproject.org/wiki/Documentation
www.redhat.com/docs/manuals/dir-server

Similar posts

AdBlock has stolen the banner, but banners are not teeth — they will be back

More
Ads

Comments 44

    +3
    В закладки, однозначно!
    Понемногу перевожу одну «подшефную» контору на linux, ваша статья очень пригодится!
      0
      Может кат чуть-чуть выше разместить?
        +2
        Шикарно.
        Хорошо описано что можно сделать из LDAP сервера.
        Жду второй части.
          0
          Да, интересна интеграция с AD, и можно ли полностью заменить AD? Особенно что касается групповых политик.
            +1
            Под интеграцией я имел ввиду синхронизацию пользователей, групп и паролей. Замена AD теоритически возможна, но политики нужно будет все-равно из-под windows настраивать.
          0
          Заменить то можно. Но вы получите домен уровня NT4, тобишь вернётесь назад в 2000 год. Полноценно реализовать домен уровня win2k3/win2k8 пока нельзя. По поводу груповых политик, их можно реализовать частично.

          В прочем, для малых и средних организаций, домен уровня NT4 может очень даже пригодиться.
            0
            да, жаль. Может таки Samba4 дождемся когда-нибудь.
              0
              Врятли её дочждёмся когда либо. Слишком долго ждём.
              Ждём с 2006 года, пока даже бета версии не вышло. Только alpha релизы.
                +1
                Да, грустно, согласен с вами. AD — одна из сильнейших «игл» Microsoft. Офис уже почти заменим, ОС — тоже, набор повседневного софта — тоже. А вот AD, тут все пока непросто.
                  0
                  Думаю, в 2011 вы слезете с этой иглы ;-) По крайней мере я сам этого очень жду.
                    0
                    Просветите тёмного — что случится в 2011?
                      0
                      А, видимо таки выход Samba4. Ну, к тому времени MS тоже может шагнуть далеко вперед и захочется новые функции тоже видеть в Samba. Но я надеюсь, что хотя бы базовый функционал заработает к этому времени.
                        +1
                        Сильно подозреваю, что многим малым и средним за глаза хватит функционала nt4, а уж уровня доменов windows2003 — точно.
                          –1
                          Да, так и есть. Но тяга к «свежачку» всё же никуда не подевалась. )
                            +1
                            Любой каприз за деньги работодателя? ;-)))))))
                              0
                              А то! Почему нет? К тому же «свежачки» порой вполне себе даже «полезняшками» оказываются.
                    +1
                    Я в институте поднимал Windows домен на Samba. К тому же имелись отдельные профили для групп со своими правами доступа к рабочему столу и к сетевым ресурсам. К примеру у студентов курса системного анализа должны быть определенные иконки на раб столе связанные с курсом. У другой группы другие. У учителей полный доступ. Логирование входа в систему + квоты на домашние папки.
                    Для небольших предприятий вполне можно обойтись сервером Samba. Во всяком случае все задачи которые были поставлены мне вполне быстро решались. Сервер работает уже который год без моего вмешательства.
                      0
                      Если вы полностью заменили ОС от MS, то AD вдруг оказывается ненужным, правда? Если очень хочется — есть eDirectory, но его ценник вас не порадует.
                        0
                        Ну, максимализм в этом вопросе не лучшая стратегия. Переход от MS к OpenSource — процесс длительный, торопиться тут нельзя, важно не прерывать бизнес-процессы. Да и с полным переходом на OpenSource по-прежнему хочется иметь централизованное управление, которое у AD получается очень хорошо.
                          +1
                          Полностью согласен, за исключением того что управлять парком машин под управлением GNU/Linux с помощью MS AD — это, на мой взгляд, верх извращения.
                            0
                            тут дело в другом. В силу специфики всё тех же бизнес-процессов, далеко не все машины можно и нужно переводить на Linux. А управлять всеми хочется из единой консоли. Желательно OpenSource'ной.
                      +2
                      Код Samba4 достиг состояния, когда он запущен в продакшен на нескольких тестовых площадках.

                      В кратце план следующий — совместить третью версию (file server и winbind) с кодом четвертой версии (active directory) и получить новый продукт, который содержит файловый сервер и сервер печати, identity mapping и контроллер домена совместимый с Active Directory. Файловый сервер сейчас полностью кластеризуем, с полной Windows семантикой и сейчас он расширен для включения SMB2 и полной поддержки Windows ACL.

                      Все это требует большой работы, но ребята из Samba team верят, что возможно завершить её в 2010 году. Планируют продолжать выпускать версии из ветки 3.x добавляя в них новый функционал из ветки 4.x, что-бы в итоге получить «настоящий» релиз 4.0

                      — Вольный перевод новости за декабрь 2009 из news.samba.org. Кстати, примерно к тому-же времени обещают релиз openchange, opensource exchange alternative.
                        –1
                        «в продакшен на нескольких тестовых площадках» — это сильно
                          +1
                          Не вижу повода для иронии
                      0
                      У samba4 сейчас, на сколько я знаю, статус экспериментальной версии откуда проверенные фичи выносят в samba3, так что вероятно она так никогда и не выйдет, просто перетянут нужный функционал в третью ветку.
                    0
                    Синхронизация обычно используется если у вас уже есть инфраструктура с AD, и вам нужно иметь одинаковых пользователей в обоих базах.
                      0
                      Кстати, по поводу синхронизации.
                      389 DS ведь не позиционируется как вторичный контроллер домена? Я имею в виду если ипользовать его в связке с AD Windows 2008, что бы при обрушении Windows 2008 сеть оставалась работоспособной.
                        +2
                        Конечно нет. 389 DS и AD совешенно разные инфраструктуры.
                      +3
                      Кажется первая развёрнутая русскоеязычная статья про Fedora\CentOS DS. Спасибо, очень интересно!
                        0
                        не RDMBS а RDBMS.
                          0
                          Спасибо, поправил очепятку.
                          0
                          А никто не настраивал авторизацию в Solaris через RHDS/OpenLDAP? А то мануалов куча, но пока 100% работоспособного найти не удалось :(
                          • UFO just landed and posted this here
                              0
                              Скриптик — это ldapclient? Можешь тогда кокретную команду указать? Ибо у меня id user выдает данные, а вот залогиниться user не может. Хотя от рута su — user работает.
                              • UFO just landed and posted this here
                            +1
                            не, спасибо. мы уж как-нибудь по старинке. на виндах.
                              +3
                              Многие приложения поддерживают аутентификацию/авторизацию через LDAP

                              На данный момент аутентифицировать пользователя через LDAP не рекомендуется. Третья версия протокола говорит что вы не должны это использовать simple bind для доступа к непубличным данным LDAP. Должен использоваться StartTLS и SASL. SASL при этом привязывается к сторонним механизмам аутентификации. К примеру к Kerberos V.

                              Число операций чтения в тысячи раз превышают число операций записи, в связи с этим появляется огромное число плюсов: нет необходимости применения транзакций и rollback'ов, репликация работает без проблем, которые присущи RDBMS;

                              Насчет транзакций тут не совсем правда. В случае если у вас есть multimaster то такие операции еще как присутсвуют, но для серверов. В противном случае у вас будет происходить повреждение целостности данных. К тому же если говорить про канонический LDAP там нет понятия multimaster, его ввел Microsoft. В канонической версии master, может быть только один из-за того как раз что нет транзакций и требуется только один источник изменения.
                                +1
                                Насчет транзакций вы совершенно правы, при обновлении записи клиентским приложением они не используются.

                                Мне кажетяся использования LDAP + SASL + kerberos не всегда нужно. Вполне можно ограничиться запрещением операции bind, если нет StartTLS.
                                  0
                                  *использование
                                    0
                                    Мне кажетяся использования LDAP + SASL + kerberos не всегда нужно. Вполне можно ограничиться запрещением операции bind, если нет StartTLS.

                                    Тогда будет LDAPv2 уже :)
                                      0
                                      Не будет. LDAP v3 это не только новые методы аутентификации.
                                        0
                                        Как минимум OpenLDAP сервер, без включения второй версии протокола не даст использовать simple bind.
                                  0
                                  > google for domains

                                  google apps? или что это такое?
                                    0
                                    Поддерживается двунаправленная синхронизация пользователей, групп и паролей
                                    А как насчёт синхронизации контактов (как SMTP-контактов, так и X400-контактов)?

                                    В одном месте называете ns-slapd, в другом ns-sldap… Вы уж определитесь однозначно с порядком букв в этом названии.

                                    Only users with full accounts can post comments. Log in, please.