FAQ:Arktur4/LDAPSichtUE - Versionsgeschichte

Schoffer: kat

2012-03-16T13:22:54Z

kat

← Nächstältere Version		Version vom 16. März 2012, 15:22 Uhr
Zeile 61:		Zeile 61:
	----		----
	<div align="right">[[FAQ:Arktur4\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[FAQ:Arktur4\|zurück]] \| [[Hauptseite]]</div>


			[[Kategorie:ArchivArktur40]]

Schoffer: Archiv

2009-03-08T16:47:59Z

Archiv

← Nächstältere Version		Version vom 8. März 2009, 18:47 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
	{{~~Frei~~}}		{{Archiv}}

Schoffer: frei

2008-03-31T13:56:30Z

frei

← Nächstältere Version		Version vom 31. März 2008, 15:56 Uhr
Zeile 1:		Zeile 1:
			__NOTOC__
			{{Frei}}


	== LDAP aus Benutzer- und Entwicklersicht ==		== LDAP aus Benutzer- und Entwicklersicht ==

Schoffer: 5 Versionen

2008-03-04T22:34:17Z

5 Versionen

← Nächstältere Version	Version vom 5. März 2008, 00:34 Uhr
(kein Unterschied)

Schoffer am 27. Juni 2006 um 21:01 Uhr

2006-06-27T21:01:41Z

← Nächstältere Version		Version vom 27. Juni 2006, 23:01 Uhr
Zeile 56:		Zeile 56:

	----		----
	<div align="right">[[FAQ\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[FAQ:Arktur4\|zurück]] \| [[Hauptseite]]</div>

Schoffer: FAQ:LDAPSichtUE wurde nach FAQ:Arktur4/LDAPSichtUE verschoben

2006-06-27T20:48:24Z

FAQ:LDAPSichtUE wurde nach FAQ:Arktur4/LDAPSichtUE verschoben

← Nächstältere Version	Version vom 27. Juni 2006, 22:48 Uhr
(kein Unterschied)

Schoffer am 18. April 2006 um 14:54 Uhr

2006-04-18T14:54:09Z

← Nächstältere Version		Version vom 18. April 2006, 16:54 Uhr
Zeile 21:		Zeile 21:

	Nicht zuletzt sammelt LDAP alle Systemdaten. So greift der DHCP-Server auf die LDAP-Einträge zurück. Du kannst den Eintrag ändern und der DHCP-Server weiß sofort Bescheid. In Firmen werden auch DNS-Daten, Mail-Aliases usw. dort verwaltet.		Nicht zuletzt sammelt LDAP alle Systemdaten. So greift der DHCP-Server auf die LDAP-Einträge zurück. Du kannst den Eintrag ändern und der DHCP-Server weiß sofort Bescheid. In Firmen werden auch DNS-Daten, Mail-Aliases usw. dort verwaltet.

			Ein großer Vorteil ergibt sich dabei bei größeren Netzen mit mehreren Servern. Die teilen sich dabei die Nutzerinformationen besser auf. Wenn Du also Windows-Dienste auf zwei oder mehr Server verteilst, sorgt LDAP für identische Nutzerinformationen. Dann kann man auch eine Replikation des Master-LDAP auf dem zweiten Server laufen lassen.

			Wenn Du Linux-Clients nutzt, war das NIS/YP-Protokoll eine der größten Schwachstellen, denn man hat die Nutzerauthentifizierung
			komplett der Arbeitsstation überlassen. War die korrumpiert, war der Server im Grunde schutzlos. Das macht LDAP wesentlich besser.

			Ich lasse zum Beispiel die Proxy-Zugriffe ins Internet nur mit Authentifizierung zu, ohne deshalb alle Nutzer auf dem Proxy-Server
			noch mal führen zu müssen - und ohne das die sich auf diesem Rechner anmelden könnten.

	'''Frage:'''		'''Frage:'''

Schoffer am 18. April 2006 um 13:24 Uhr

2006-04-18T13:24:45Z

← Nächstältere Version		Version vom 18. April 2006, 15:24 Uhr
Zeile 7:		Zeile 7:

	'''Antwort:'''		'''Antwort:'''

			Kurzform: Es gibt EINE Stelle, in der ALLE Nutzerinformationen stehen und in der die maßgeblichen RECHTE vereint sind.
			Du kannst also alle Nutzer dort finden und wesentlich schneller suchen als in der passwd-Datei. Du kannst mehr Informationen speichern, also als Adressbuch nutzen (sogar jpg-Bildchen lassen sich ablegen).

			Ein übliches Problem: Lehrer X will das Passwort von Schüler Y ändern, weil der das vergessen hat. Bislang benötigte man dazu root-Rechte, denn nur root darf die /etc/shadow schreiben und zudem die /etc/samba/smbpasswd. Das Passwort liegt also an ZWEI stellen und muss selbst synchron gehalten werden. Hat das Script einen Fehler, kann man mit den root-Rechten noch ganz andere Sachen machen. Zudem ist der hash-Algorithmus in der /etc/shadow bekanntermaßen schwach.

			LDAP verwaltet alle Passwort-Einträge als Attribute des Objekts (uid=schülerY). Der Lehrer X bekommt das Recht, diese Attribute zu verändern (aber nicht alle beliebigen!). Arktur benutzt wie üblich sha1 als hash-Algorithmus, der als deutlich sicherer gilt.

			Nehmen wir zudem Windows-Attribute: Der LDAP kann diese Aufnehmen, weil die Plätze definitert sind: Mit sambaUserWorkstations lassen sich die Rechner angeben, an denen sich dieser Nutzer anmelden darf. Bislang war es ein Problem, dass sich der Platznutzer "pc1" wirklich nur an PC1 anmelden darf. Mit sambaLogonScript lässt sich für diesen Nutzer ein eigenes Logon-Script vereinbaren, das Vorrang vor dem System-Script hat. Es gibt von viele weitere Attribute, die Samba auswertet. (LogonHours, Password-Länge und
			Gültigkeitsdauer, Komplexität, ...)

			Als besonderen Vorteil habe ich gesehen, dass die Gruppen und die Gruppenzugehörigkeit an die Arbeitsplätze übertragen werden. So kannst Du ein Projekt "Video" anlegen und auf der lokalen Platte einen Bereich dieser Gruppe übertragen, damit dieser Platz für Videoschnitt zur Verfügung steht, aber nicht für alle Nutzer.

			Nicht zuletzt sammelt LDAP alle Systemdaten. So greift der DHCP-Server auf die LDAP-Einträge zurück. Du kannst den Eintrag ändern und der DHCP-Server weiß sofort Bescheid. In Firmen werden auch DNS-Daten, Mail-Aliases usw. dort verwaltet.

			'''Frage:'''

			Wenn LDAP zu einem nicht beherrschbaren und undokumentierten Monster à la Windows Registry führt, kann ich darin keinen Vorteil erkennen.

			'''Antwort:'''

			LDAP ist im Gegensatz zur Registry gut dokumentiert und sehr logisch. Alles ist den Schema-Dateien zu entnehmen, die auch über den LDAP abrufbar sind (ich kann alle zu einem Objekt gehörenden Schema-Einträge direkt abrufen).

			'''Frage:'''

			Behebt LDAP den Geburtsfeler von Linux, daß nämlich die zu einem Dienst gehörigen Informationen z. T. über den gesamten Dateibaum verstreut sind (Paradebeispiel: mysql-Datenbanken)?

			'''Antwort:'''

			Nein. Was Du als Geburtsfehler bezeichnest, hat ja seine Gründe. Normalerweise sollte /usr schreibgeschützt sein, /etc nur auf einer Art RAM-Disk liegen und auschließlich in /var ein Schreibbereich sein, abgesehen von /home für die Homeverzeichnisse. Alle Pakete, die nicht zum Standard gehören, kommen in /opt usw.

			Richtige UNIX-Systeme hatten Plattenstapel, daher diese Aufteilung. Sie hilft aber bei der Backup-Planung sehr.

	-- aus einer Mail von ReiKla.		-- aus einer Mail von ReiKla.

Schoffer am 18. April 2006 um 13:14 Uhr

2006-04-18T13:14:18Z

Neue Seite

== LDAP aus Benutzer- und Entwicklersicht ==

'''Frage:'''

Ich möchte eigentlich nur wissen, was mir LDAP für Vorteile bringt, ohne daß ich erst 500 Seiten Doku lesen muß.

'''Antwort:'''

-- aus einer Mail von ReiKla.

'''Anm. d. Red.:'''

Unter [[Administratorhandbuch:LDAP|LDAP]] im Administratorhandbuch finden Sie eine Kurzanleitung.

----
<div align="right">[[FAQ|zurück]] | [[Hauptseite]]</div>