Schoffer: kat

2012-03-16T13:23:46Z

kat

← Nächstältere Version		Version vom 16. März 2012, 15:23 Uhr
Zeile 54:		Zeile 54:
	----		----
	<div align="right">[[FAQ:Arktur4\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[FAQ:Arktur4\|zurück]] \| [[Hauptseite]]</div>


			[[Kategorie:ArchivArktur40]]

Schoffer: Archiv

2009-03-08T16:49:04Z

Archiv

← Nächstältere Version		Version vom 8. März 2009, 18:49 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
	{{~~Frei~~}}		{{Archiv}}

Schoffer: frei

2008-03-31T13:57:36Z

frei

← Nächstältere Version		Version vom 31. März 2008, 15:57 Uhr
Zeile 1:		Zeile 1:
			__NOTOC__
			{{Frei}}


	== LDAP und ADS ==		== LDAP und ADS ==

Schoffer: 3 Versionen

2008-03-04T22:34:18Z

3 Versionen

← Nächstältere Version	Version vom 5. März 2008, 00:34 Uhr
(kein Unterschied)

Schoffer am 27. Juni 2006 um 21:02 Uhr

2006-06-27T21:02:37Z

← Nächstältere Version		Version vom 27. Juni 2006, 23:02 Uhr
Zeile 49:		Zeile 49:

	----		----
	<div align="right">[[FAQ\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[FAQ:Arktur4\|zurück]] \| [[Hauptseite]]</div>

Schoffer: FAQ:LDAPundADS wurde nach FAQ:Arktur4/LDAPundADS verschoben

2006-06-27T20:50:07Z

FAQ:LDAPundADS wurde nach FAQ:Arktur4/LDAPundADS verschoben

← Nächstältere Version	Version vom 27. Juni 2006, 22:50 Uhr
(kein Unterschied)

Schoffer am 19. April 2006 um 10:38 Uhr

2006-04-19T10:38:01Z

Neue Seite

== LDAP und ADS ==

'''Frage:'''

Ich habe mal gehört, dass Windows-LDAP nicht ganz kompatibel wäre, und es deshalb problematisch ist, wenn im Zusammenspiel Arktur, Win-Server der Win-Server LDAP führt.

Kann man dazu etwas Konkretes sagen?

'''Antwort:'''

Das ist im Prinzip richtig: ADS beruht auf einem aufgebohrten LDAP-Protokoll. Allerdings verwendet Microsoft eigene Schema-Daten, die zum offiziellen Standard nicht wirklich kompatibel sind.

Hintergrund: Alle Objekte und Attribute erhalten eine interne Nummer. Diese Nummern vergibt offiziell die IANA, die auch für IP-Adressen zuständig ist. Microsoft hat eigene Nummern vergeben und diese nicht mit der IANA abgestimmt.

Was bedeutet das konkret: Normale Tools (z.B. PHP-Scripte) können zu einem ADS-Server mit LDAP V2-Protokoll Kontakt aufnehmen und die Anfragen normal stellen, wie sie auch Arktur beantworten könnte. Die M$-eigenen Tools können nur mit einem ADS-Server umgehen, nicht mit einem normalen LDAP.

Für Arktur bedeutet das zweierlei:

1. Ein direkter Kontakt zum ADS-Server per LDAP bringt nichts, weil die
Attribute nicht stimmen. Alle Posix/Linux-Attribute fehlen, erst die kosten-
pflichtigen Erweiterungen für Unix-Systeme ergänzen diese.

2. Eine Authentifizierung ist über das Windows-Protokoll möglich, entweder
per winbind oder per ntlm-auth

In der Praxis empfiehlt sich eine Art Mittelweg: Der Windows-Server wird "trusted" in eine Domäne eingebunden. Das ist folgendermaßen zu verstehen: Der Windows 2000-Server hat eine Domäne "Sonne", in der die Nutzer eingetragen sind. Nun soll Arktur dazu kommen und diese Nutzer mit übernehmen. Später soll vielleicht der Windows-Server verschwinden.

Arktur bekommt die Domäne "Schule".

Die Arbeitsstationen werden in die neue Domäne "Schule" normal eingebunden. Nur wie soll sich ein Nutzer, der in der Domäne "Sonne" ist, nun anmelden? Dazu muss Arktur vermitteln. Er hängt den Server der Domäne "Sonne" als "trusted" in seine Domäne ein (dazu dient ein net-Befehl, bitte nachschlagen). Arktur führt eine ID-MAP, die alle Objekte von Sonne auf eine eigene ID in "Schule" mappt. Windows erkennt Objekte anhand ihrer SID. Dieses Mapping wird im LDAP geführt - ist also nachvollziehbar. Zudem muss der winbind-Daemon die Authentifizierung übernehmen. Der kann wenn gewünscht den Datenverkehr mitschneiden, so dass:

Jeder Nutzer, der sich über diesen Weg angemeldet hat, einen Eintrag
im LDAP bekommt mit Nutzername und Passwort

Für diesen Nutzer ein Homeverzeichnis erstellt wird und das Profil beim
zurückschreiben statt auf dem Windows-Server nun auf dem Linux-Server
liegt.

Diesen Weg gehen viele Firmen zur "sanften Migration".

Ich hoffe das reicht als Erklärung.

-- aus einer Mail von ReiKla.

'''Anm. d. Red.:'''

Unter [[Administratorhandbuch:LDAP|LDAP]] im Administratorhandbuch finden Sie eine LDAP-Kurzanleitung.

----
<div align="right">[[FAQ|zurück]] | [[Hauptseite]]</div>