Installationshandbuch:TeilundHadminEinrichten - Versionsgeschichte

Schoffer: kat

2012-03-09T10:05:49Z

kat

← Nächstältere Version		Version vom 9. März 2012, 12:05 Uhr
Zeile 82:		Zeile 82:
	----		----
	<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>


			[[Kategorie:ArchivArktur40]]

Schoffer: Archiv

2009-05-01T09:23:08Z

Archiv

← Nächstältere Version		Version vom 1. Mai 2009, 11:23 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
	{{~~fertig~~}}		{{Archiv}}

Schoffer: Schützte „Installationshandbuch:TeilundHadminEinrichten“ [edit=sysop:move=sysop]

2008-05-16T15:04:55Z

Schützte „Installationshandbuch:TeilundHadminEinrichten“ [edit=sysop:move=sysop]

← Nächstältere Version	Version vom 16. Mai 2008, 17:04 Uhr
(kein Unterschied)

Schoffer: 12 Versionen

2008-03-04T22:54:13Z

12 Versionen

← Nächstältere Version	Version vom 5. März 2008, 00:54 Uhr
(kein Unterschied)

Schoffer: Optik

2005-12-28T15:15:11Z

Optik

← Nächstältere Version		Version vom 28. Dezember 2005, 17:15 Uhr
Zeile 23:		Zeile 23:


	:
	:[[bild:Admininterface1.png\|Anwender wählen]]		:[[bild:Admininterface1.png\|Anwender wählen]]
	:
	:''Abbildung: Anwender wählen''		:''Abbildung: Anwender wählen''

Zeile 32:		Zeile 30:


	:
	:[[bild:Admininterface2.png\|einzelne Anwender wählen]]		:[[bild:Admininterface2.png\|einzelne Anwender wählen]]
	:
	:''Abbildung: einzelne Anwender wählen''		:''Abbildung: einzelne Anwender wählen''

Zeile 41:		Zeile 37:


	:
	:[[bild:Admininterface3b.png\|Admins freischalten]]		:[[bild:Admininterface3b.png\|Admins freischalten]]
	:
	:''Abbildung: Admins freischalten''		:''Abbildung: Admins freischalten''

Zeile 50:		Zeile 44:


	:
	:[[bild:Admininterface4.png\|Nutzer eintragen]]		:[[bild:Admininterface4.png\|Nutzer eintragen]]
	:
	:''Abbildung: Nutzer eintragen''		:''Abbildung: Nutzer eintragen''

Schoffer: Domänenadministrator

2005-12-23T16:49:40Z

Domänenadministrator

← Nächstältere Version		Version vom 23. Dezember 2005, 18:49 Uhr
Zeile 70:		Zeile 70:
	=== Verwaltung des LDAP ===		=== Verwaltung des LDAP ===

	Starten Sie einen Browser und geben Sie die Adresse https://Arktur/ldapadmin ein. Sie werden nach Benutzername und ~~passwort~~ gefragt. Geben Sie Ihre normalen Nutzerdaten ein.		Starten Sie einen Browser und geben Sie die Adresse https://Arktur/ldapadmin ein. Sie werden nach Benutzername und Passwort gefragt. Geben Sie Ihre normalen Nutzerdaten ein.

	Weitere Informationen können Sie im Kapitel [[Administratorhandbuch:LDAP\|LDAP-Server]] im Administratorhandbuch nachlesen.		Weitere Informationen können Sie im Kapitel [[Administratorhandbuch:LDAP\|LDAP-Server]] im Administratorhandbuch nachlesen.
Zeile 81:		Zeile 81:
	==== Der Nutzer "adm" ====		==== Der Nutzer "adm" ====

	Das Recht "HAdmin" zu sein, gibt das Recht, sehr viele Änderungen am LDAP-Baum ~~machen~~ zu dürfen. Er hat also etwas mit Nutzerverwaltung zu tun. Das Recht, Domänenadministrator zu sein ist an eine spezielle Gruppe gebunden. In dieser Gruppe ist der Nutzer "adm". Diesem können Sie ein Passwort ~~verpassen~~. Danach kann er sich auf dem Client anmelden und hat automatisch alle ~~Rechte~~ auf dem Client.		Das Recht "HAdmin" zu sein, gibt einem Nutzer das Recht, sehr viele Änderungen am LDAP-Baum vornehmen zu dürfen. Ein HAdmin hat also etwas mit Nutzerverwaltung zu tun. Das Recht, Domänenadministrator zu sein, ist an eine spezielle Gruppe gebunden. In dieser Gruppe ist der Nutzer "adm". Diesem Nutzer können Sie ein gültiges Passwort geben. Danach kann er sich auf dem Client anmelden und hat automatisch alle eines Administrators auf dem Client.

	==== Andere Nutzer ====		==== Andere Nutzer ====

	Eine einfache Lösung, die auch im Samba Handbuch steht, wäre im LDAP eine Gruppe Domänen-Admins anzulegen (muss eine passende SID haben, die mit -512 endet~~) und~~ die entsprechenden Benutzer dieser Gruppe zuzuordenen. Beim Aufnehmen eines Rechners in eine Domäne wird ~~nämlich~~ diese spezielle Domänen Gruppe in die lokale Administratoren Gruppe aufgenommen. Die Mitgliedschaft in dieser Gruppe hat auf Linux-Clients und den Arktur-Schulserver keinerlei Auswirkungen, d.h. die Benutzer haben deswegen noch keine erweiterten Rechte auf dem Linux Dateisystem usw. (im Gegensatz dazu, wenn Sie Benutzer in einem echten NT Netz zur Gruppe der Domänen-Admins hinzufügen).		Eine einfache Lösung, die auch im Samba Handbuch beschrieben steht, wäre im LDAP eine Gruppe Domänen-Admins anzulegen. Diese Gruppe muss eine passende SID haben, die mit -512 endet. Nun können Sie die entsprechenden Benutzer dieser Gruppe zuzuordenen. Beim Aufnehmen eines Rechners in eine Domäne wird diese spezielle Domänen-Gruppe dann in die lokale Administratoren-Gruppe aufgenommen. Die Mitgliedschaft in dieser Gruppe hat auf Linux-Clients und auch auf den Arktur-Schulserver keinerlei Auswirkungen, d.h. die Benutzer haben deswegen noch keine erweiterten Rechte auf dem Linux Dateisystem usw. (im Gegensatz dazu, wenn Sie Benutzer in einem echten NT-Netz zur Gruppe der Domänen-Admins hinzufügen).


	----		----
	<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>

Schoffer: root im LDAP

2005-12-23T16:43:32Z

root im LDAP

← Nächstältere Version		Version vom 23. Dezember 2005, 18:43 Uhr
Zeile 72:		Zeile 72:
	Starten Sie einen Browser und geben Sie die Adresse https://Arktur/ldapadmin ein. Sie werden nach Benutzername und passwort gefragt. Geben Sie Ihre normalen Nutzerdaten ein.		Starten Sie einen Browser und geben Sie die Adresse https://Arktur/ldapadmin ein. Sie werden nach Benutzername und passwort gefragt. Geben Sie Ihre normalen Nutzerdaten ein.

	Weitere Informationen können Sie im Kapitel [[Administratorhandbuch:LDAP\|LDAP]] im Administratorhandbuch nachlesen.		Weitere Informationen können Sie im Kapitel [[Administratorhandbuch:LDAP\|LDAP-Server]] im Administratorhandbuch nachlesen.

	'''Hinweis:''' Eine Anmeldung als "root" ~~geht nicht~~.		'''Hinweis:''' Eine Anmeldung als "root" macht keinen Sinn, denn er besitzt im LDAP nur Gastrechte.

Schoffer: fertig gesetzt

2005-12-11T15:55:21Z

fertig gesetzt

← Nächstältere Version		Version vom 11. Dezember 2005, 17:55 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
	{{~~zumTest~~}}		{{fertig}}

Schoffer: Entwurf

2005-12-01T22:56:25Z

Entwurf

← Nächstältere Version		Version vom 2. Dezember 2005, 00:56 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
	{{~~Uberarbeiten~~}}		{{zumTest}}


	== Administration der Nutzer ==		== Administration der Nutzer ==

	Teil- und Hauptadmins besitzen abgestufte Berechtigungen, ACLs und weitere Rechte für Nutzer und Gruppen zu vergeben und zu ändern.		Teil- und Hauptadmins besitzen abgestufte Berechtigungen, ACLs und weitere Rechte für Nutzer und Gruppen zu vergeben und zu ändern.

			=== Berechtigungen der Teiladmins und Hauptadmins ===


			Ein Teiladmin (TAdmin) hat das Recht, Nutzer und deren Rechte zu verwalten.

			Ein Hauptadmin (HAdmin) hat neben dem Recht Nutzer zu verwalten, auch noch das Recht alle anderen Einstellungen im LDAP zu verwalten - '''also Vorsicht!'''

			'''Beachten Sie:''' Beide haben mit Rechten auf dem Server zu tun, nichts jedoch mit Rechten auf einem Clientrechner. Die Rechte auf dem Client werden vom lokalen Administrator vergeben.


			=== Teiladmin und Hauptadmin einrichten ===


Zeile 43:		Zeile 56:


	Hier können Sie nun einen Anwender aus der Liste ~~eintragen oder diese Freigabe wieder löschen.~~		Hier können Sie nun einen Anwender aus der Liste als Teil- oder als Hauptadmin eintragen oder diese Freigabe wieder löschen.




	~~== Materialsammlung für das Kapitel ==~~

	~~'''Mail 1:'''~~

	~~1. Wir hatten die Hoffnung, ein User mit Einordnung~~ als ~~HAdmin genießt am Client die Rechte eines Domänenadmins (sprich kann Software installieren). Wenn dem wirklich so sein sollte, haben wir was falsch gemacht.~~


	Dem ist nicht so. Das Recht "HAdmin" zu sein, gibt das Recht, sehr viele Änderungen am LDAP-Baum machen zu dürfen. Es hat also etwas mit Nutzerverwaltung zu tun. Das Recht, Domänenadministrator zu sein ist an eine spezielle Gruppe gebunden. In dieser Gruppe ist der Nutzer "adm". Diesem musst Du ein Passwort verpassen. Danach hat er alle Rechte auf dem Client!


	~~2. Wir hatten die Doku so verstanden, das es möglich wäre, sich mit HAdmin Rechten an phpladapadmin anzumelden~~ - ~~ging nicht.... Wenn wir den Text richtig verstanden haben geht es mit root selbst nicht,~~ oder?


	~~Nein, root geht nicht. Du gibst aber bitte https://Arktur/ldapadmin~~ als ~~Adresse ein. Dann die~~
	~~normalen Nutzerdaten.~~

	~~Gruss Reiner~~


	~~----~~


	~~'''Mail 2:'''~~

	1. Wir hatten die Hoffnung, ein User mit Einordnung als HAdmin genießt am Client die Rechte eines Domänenadmins (sprich kann Software installieren). Wenn dem wirklich so sein sollte, haben wir was falsch gemacht. Wie sieht's aus? Was müssen wir tun, um diesen Traum zu verwirklichen


	~~Da schmeisst Du etwas durcheinander.~~

	~~Ein Teiladmin hat das Recht Nutzer zu verwalten.~~

	~~Ein~~ Hauptadmin ~~hat neben dem Recht Nutzer zu verwalten, auch noch das Recht alle anderen Einstellungen im LDAP zu verwalten (also Vorsicht!).~~

	~~Beides hat mit Rechten auf dem Server zu tun, nichts jedoch mit Rechten auf einem Clientrechner.~~

	~~Die Rechte auf dem Client werden vom lokalen Administrator vergeben. Falls Du serverbasierte Profile eingerichtet hast, dann gelten~~ diese ~~Rechte automatisch auf allen Clients.~~

	Da ist die Lösung Deines Problems: Melde Dich an einer Station als lokaler Administrator (ohne Netzwerk) an. Dann richte einen neuen Nutzer mit Administrator-Rechten ein. Diesen Nutzer darf es aber noch nicht wo anders geben. Danach wird der gleiche Nutzer auch auf Arktur eingerichtet. Nun melde Dich unter dieser neuen Kennung an eben diesem Client an und wieder ab. ~~Damit wird das servergespeicherte Profil übertragen und Du bist in Zukunft lokaler Admin auf allen Schulrechnern.~~

	~~Wenn wir den Text richtig verstanden haben geht es mit root selbst nicht, oder?~~


	~~Nein, denn root darf nur auf dem Server selbst, nicht jedoch auf dem Client als Nutzer existieren.~~		=== Vergabe von Rechten ===

	mit ~~freundlichen Grüßen Uwe~~		Sie können nun mit den Mitteln ihres Clientbetriebssystems die Rechte von Nutzern auf Dateien und Verzeichnisse auf den Serverlaufwerken einstellen.

			Die Beschreibung finden Sie im Kapitel [[Benutzerhandbuch:Rechteverwaltung\|Rechteverwaltung]] im Benutzerhandbuch.

	~~----~~		Weitere Informationen zum Thema [[Administratorhandbuch:ACL\|Access Control Lists]] können Sie im Administratorhandbuch nachlesen.


	~~'''Mail 3:'''~~		=== Verwaltung des LDAP ===

	~~Die Rechte auf dem Client~~ werden ~~vom lokalen Administrator vergeben~~. ~~Falls Du serverbasierte Profile eingerichtet hast, dann gelten diese Rechte automatisch auf allen Clients~~.		Starten Sie einen Browser und geben Sie die Adresse https://Arktur/ldapadmin ein. Sie werden nach Benutzername und passwort gefragt. Geben Sie Ihre normalen Nutzerdaten ein.

			Weitere Informationen können Sie im Kapitel [[Administratorhandbuch:LDAP\|LDAP]] im Administratorhandbuch nachlesen.

	~~Es war meines Wissens nach~~ nicht vorgesehen dass das funktioniert und bei den nächsten Windows Versionen (oder auch Service Packs) würde ich mich nicht darauf verlassen, dass das noch funktioniert. Die Rechte die ein Benutzer hat haben nämlich nichts mit dem Profil zu tun. Interessant ist viel eher, in welchen Gruppen der Benutzer Mitglied ist, und das		'''Hinweis:''' Eine Anmeldung als "root" geht nicht.
	~~steht eigentlich in einem Teil der Registry, die nicht im Profil ist~~.

	Da es dennoch funktioniert scheint irgendwas von Windows durcheinandergewürfelt zu werden (wäre ja nix neues, das ganze Profil Konzept ist krank). Nur ob das auch in Zukunft so bleibt ist ne andere Frage.

			=== Domänenadministrator ===

	~~Da ist die Lösung Deines Problems: Melde Dich an einer Station als lokaler Administrator (ohne Netzwerk) an. Dann richte einen neuen~~ Nutzer mit Administrator-Rechten ein. Diesen Nutzer darf es aber noch nicht wo anders geben. Danach wird der gleiche Nutzer auch auf Arktur eingerichtet. Nun melde Dich unter dieser neuen Kennung an eben diesem Client an und wieder ab. Damit wird das servergespeicherte Profil übertragen und Du bist in Zukunft lokaler Admin auf allen Schulrechnern.		==== Der Nutzer "adm" ====

			Das Recht "HAdmin" zu sein, gibt das Recht, sehr viele Änderungen am LDAP-Baum machen zu dürfen. Er hat also etwas mit Nutzerverwaltung zu tun. Das Recht, Domänenadministrator zu sein ist an eine spezielle Gruppe gebunden. In dieser Gruppe ist der Nutzer "adm". Diesem können Sie ein Passwort verpassen. Danach kann er sich auf dem Client anmelden und hat automatisch alle Rechte auf dem Client.

	Eine andere, einfache Lösung die auch im Samba Handbuch steht, wäre im LDAP eine Gruppe Domänen-Admins anzulegen (muss eine passende SID haben, AFAIK absolut ohne Garantie muss die mit -512 enden) und die entsprechenden Benutzer dieser Gruppe zuzuordenen. Beim Aufnehmen eines Rechners in eine Domäne wird nämlich diese spezielle Domänen Gruppe in die lokale Administratoren Gruppe aufgenommen. Die Mitgliedschaft in dieser Gruppe hat auf Linux keinerlei Auswirkungen, d.h. die Benutzer haben deswegen noch keine erweiterten Rechte auf dem Linux Dateisystem usw (im Gegensatz dazu wenn man Benutzer in einem echten NT Netz zur Gruppe der Domänen-Admins hinzufügt) Ich mache das in meinem Netz daheim (kein Arktur), funktioniert ganz ohne Roaming Profiles (brauche ich daheim nicht) sehr gut. Alle Benutzer sind lokale Admins :) (oder auch :()		==== Andere Nutzer ====

	~~Viele Grüße Michael~~		Eine einfache Lösung, die auch im Samba Handbuch steht, wäre im LDAP eine Gruppe Domänen-Admins anzulegen (muss eine passende SID haben, die mit -512 endet) und die entsprechenden Benutzer dieser Gruppe zuzuordenen. Beim Aufnehmen eines Rechners in eine Domäne wird nämlich diese spezielle Domänen Gruppe in die lokale Administratoren Gruppe aufgenommen. Die Mitgliedschaft in dieser Gruppe hat auf Linux-Clients und den Arktur-Schulserver keinerlei Auswirkungen, d.h. die Benutzer haben deswegen noch keine erweiterten Rechte auf dem Linux Dateisystem usw. (im Gegensatz dazu, wenn Sie Benutzer in einem echten NT Netz zur Gruppe der Domänen-Admins hinzufügen).


	----		----
	<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>

Schoffer: Bilder eingefügt

2005-12-01T20:27:00Z

Bilder eingefügt

← Nächstältere Version		Version vom 1. Dezember 2005, 22:27 Uhr
Zeile 5:		Zeile 5:

	Teil- und Hauptadmins besitzen abgestufte Berechtigungen, ACLs und weitere Rechte für Nutzer und Gruppen zu vergeben und zu ändern.		Teil- und Hauptadmins besitzen abgestufte Berechtigungen, ACLs und weitere Rechte für Nutzer und Gruppen zu vergeben und zu ändern.


			Melden Sie sich als ''sysadm'' an und wählen Sie


			:
			:[[bild:Admininterface1.png\|Anwender wählen]]
			:
			:''Abbildung: Anwender wählen''


			den Punkt "Anwender" aus,


			:
			:[[bild:Admininterface2.png\|einzelne Anwender wählen]]
			:
			:''Abbildung: einzelne Anwender wählen''


			dann unter "Einzeln",


			:
			:[[bild:Admininterface3b.png\|Admins freischalten]]
			:
			:''Abbildung: Admins freischalten''


			den Menüpunkt "Admins".


			:
			:[[bild:Admininterface4.png\|Nutzer eintragen]]
			:
			:''Abbildung: Nutzer eintragen''


			Hier können Sie nun einen Anwender aus der Liste eintragen oder diese Freigabe wieder löschen.




	== Materialsammlung für das Kapitel ==		== Materialsammlung für das Kapitel ==