LDAP. Настройка отказоустойчивого LDAP сервера

[bondbig]

В закладки, однозначно!
Понемногу перевожу одну «подшефную» контору на linux, ваша статья очень пригодится!

[kettle]

Может кат чуть-чуть выше разместить?

[HidX]

Шикарно.
Хорошо описано что можно сделать из LDAP сервера.
Жду второй части.

[bondbig]

Да, интересна интеграция с AD, и можно ли полностью заменить AD? Особенно что касается групповых политик.

[minicon]

Под интеграцией я имел ввиду синхронизацию пользователей, групп и паролей. Замена AD теоритически возможна, но политики нужно будет все-равно из-под windows настраивать.

[HidX]

Заменить то можно. Но вы получите домен уровня NT4, тобишь вернётесь назад в 2000 год. Полноценно реализовать домен уровня win2k3/win2k8 пока нельзя. По поводу груповых политик, их можно реализовать частично.

В прочем, для малых и средних организаций, домен уровня NT4 может очень даже пригодиться.

[bondbig]

да, жаль. Может таки Samba4 дождемся когда-нибудь.

[HidX]

Врятли её дочждёмся когда либо. Слишком долго ждём.
Ждём с 2006 года, пока даже бета версии не вышло. Только alpha релизы.

[bondbig]

Да, грустно, согласен с вами. AD — одна из сильнейших «игл» Microsoft. Офис уже почти заменим, ОС — тоже, набор повседневного софта — тоже. А вот AD, тут все пока непросто.

[kai]

Думаю, в 2011 вы слезете с этой иглы ;-) По крайней мере я сам этого очень жду.

[bondbig]

Просветите тёмного — что случится в 2011?

[bondbig]

А, видимо таки выход Samba4. Ну, к тому времени MS тоже может шагнуть далеко вперед и захочется новые функции тоже видеть в Samba. Но я надеюсь, что хотя бы базовый функционал заработает к этому времени.

[kai]

Сильно подозреваю, что многим малым и средним за глаза хватит функционала nt4, а уж уровня доменов windows2003 — точно.

[bondbig]

Да, так и есть. Но тяга к «свежачку» всё же никуда не подевалась. )

[kai]

Любой каприз за деньги работодателя? ;-)))))))

[bondbig]

А то! Почему нет? К тому же «свежачки» порой вполне себе даже «полезняшками» оказываются.

[Thomas]

Я в институте поднимал Windows домен на Samba. К тому же имелись отдельные профили для групп со своими правами доступа к рабочему столу и к сетевым ресурсам. К примеру у студентов курса системного анализа должны быть определенные иконки на раб столе связанные с курсом. У другой группы другие. У учителей полный доступ. Логирование входа в систему + квоты на домашние папки.
Для небольших предприятий вполне можно обойтись сервером Samba. Во всяком случае все задачи которые были поставлены мне вполне быстро решались. Сервер работает уже который год без моего вмешательства.

[BmW]

Если вы полностью заменили ОС от MS, то AD вдруг оказывается ненужным, правда? Если очень хочется — есть eDirectory, но его ценник вас не порадует.

[bondbig]

Ну, максимализм в этом вопросе не лучшая стратегия. Переход от MS к OpenSource — процесс длительный, торопиться тут нельзя, важно не прерывать бизнес-процессы. Да и с полным переходом на OpenSource по-прежнему хочется иметь централизованное управление, которое у AD получается очень хорошо.

[BmW]

Полностью согласен, за исключением того что управлять парком машин под управлением GNU/Linux с помощью MS AD — это, на мой взгляд, верх извращения.

[bondbig]

тут дело в другом. В силу специфики всё тех же бизнес-процессов, далеко не все машины можно и нужно переводить на Linux. А управлять всеми хочется из единой консоли. Желательно OpenSource'ной.

[kai]

Код Samba4 достиг состояния, когда он запущен в продакшен на нескольких тестовых площадках.

В кратце план следующий — совместить третью версию (file server и winbind) с кодом четвертой версии (active directory) и получить новый продукт, который содержит файловый сервер и сервер печати, identity mapping и контроллер домена совместимый с Active Directory. Файловый сервер сейчас полностью кластеризуем, с полной Windows семантикой и сейчас он расширен для включения SMB2 и полной поддержки Windows ACL.

Все это требует большой работы, но ребята из Samba team верят, что возможно завершить её в 2010 году. Планируют продолжать выпускать версии из ветки 3.x добавляя в них новый функционал из ветки 4.x, что-бы в итоге получить «настоящий» релиз 4.0

— Вольный перевод новости за декабрь 2009 из news.samba.org. Кстати, примерно к тому-же времени обещают релиз openchange, opensource exchange alternative.

[exename]

«в продакшен на нескольких тестовых площадках» — это сильно

[kai]

Не вижу повода для иронии

[BmW]

У samba4 сейчас, на сколько я знаю, статус экспериментальной версии откуда проверенные фичи выносят в samba3, так что вероятно она так никогда и не выйдет, просто перетянут нужный функционал в третью ветку.

[minicon]

Синхронизация обычно используется если у вас уже есть инфраструктура с AD, и вам нужно иметь одинаковых пользователей в обоих базах.

[HidX]

Кстати, по поводу синхронизации.
389 DS ведь не позиционируется как вторичный контроллер домена? Я имею в виду если ипользовать его в связке с AD Windows 2008, что бы при обрушении Windows 2008 сеть оставалась работоспособной.

[minicon]

Конечно нет. 389 DS и AD совешенно разные инфраструктуры.

[ipdemon]

Кажется первая развёрнутая русскоеязычная статья про Fedora\CentOS DS. Спасибо, очень интересно!

[Flig]

не RDMBS а RDBMS.

[minicon]

Спасибо, поправил очепятку.

[Merlyel]

А никто не настраивал авторизацию в Solaris через RHDS/OpenLDAP? А то мануалов куча, но пока 100% работоспособного найти не удалось :(

[Merlyel]

Скриптик — это ldapclient? Можешь тогда кокретную команду указать? Ибо у меня id user выдает данные, а вот залогиниться user не может. Хотя от рута su — user работает.

[whiplash]

не, спасибо. мы уж как-нибудь по старинке. на виндах.

[norguhtar]

Многие приложения поддерживают аутентификацию/авторизацию через LDAP

На данный момент аутентифицировать пользователя через LDAP не рекомендуется. Третья версия протокола говорит что вы не должны это использовать simple bind для доступа к непубличным данным LDAP. Должен использоваться StartTLS и SASL. SASL при этом привязывается к сторонним механизмам аутентификации. К примеру к Kerberos V.

Число операций чтения в тысячи раз превышают число операций записи, в связи с этим появляется огромное число плюсов: нет необходимости применения транзакций и rollback'ов, репликация работает без проблем, которые присущи RDBMS;

Насчет транзакций тут не совсем правда. В случае если у вас есть multimaster то такие операции еще как присутсвуют, но для серверов. В противном случае у вас будет происходить повреждение целостности данных. К тому же если говорить про канонический LDAP там нет понятия multimaster, его ввел Microsoft. В канонической версии master, может быть только один из-за того как раз что нет транзакций и требуется только один источник изменения.

[minicon]

Насчет транзакций вы совершенно правы, при обновлении записи клиентским приложением они не используются.

Мне кажетяся использования LDAP + SASL + kerberos не всегда нужно. Вполне можно ограничиться запрещением операции bind, если нет StartTLS.

[minicon]

*использование

[norguhtar]

Мне кажетяся использования LDAP + SASL + kerberos не всегда нужно. Вполне можно ограничиться запрещением операции bind, если нет StartTLS.

Тогда будет LDAPv2 уже :)

[minicon]

Не будет. LDAP v3 это не только новые методы аутентификации.

[norguhtar]

Как минимум OpenLDAP сервер, без включения второй версии протокола не даст использовать simple bind.

[maashaa]

> google for domains

google apps? или что это такое?

[mvgolubev]

Поддерживается двунаправленная синхронизация пользователей, групп и паролей

А как насчёт синхронизации контактов (как SMTP-контактов, так и X400-контактов)?

В одном месте называете ns-slapd, в другом ns-sldap… Вы уж определитесь однозначно с порядком букв в этом названии.