Installationshandbuch:TeilundHadminEinrichten

Diese Seite sollte nochmals überarbeitet werden. Eine Begründung befindet sich in der Regel unter Diskussion (oben).

Administration der Nutzer

Teil- und Hauptadmins besitzen abgestufte Berechtigungen, ACLs und weitere Rechte für Nutzer und Gruppen zu vergeben und zu ändern.

Materialsammlung für das Kapitel

Mail 1:

1. Wir hatten die Hoffnung, ein User mit Einordnung als HAdmin genießt am Client die Rechte eines Domänenadmins (sprich kann Software installieren). Wenn dem wirklich so sein sollte, haben wir was falsch gemacht.

Dem ist nicht so. Das Recht "HAdmin" zu sein, gibt das Recht, sehr viele Änderungen am LDAP-Baum machen zu dürfen. Es hat also etwas mit Nutzerverwaltung zu tun. Das Recht, Domänenadministrator zu sein ist an eine spezielle Gruppe gebunden. In dieser Gruppe ist der Nutzer "adm". Diesem musst Du ein Passwort verpassen. Danach hat er alle Rechte auf dem Client!

2. Wir hatten die Doku so verstanden, das es möglich wäre, sich mit HAdmin Rechten an phpladapadmin anzumelden - ging nicht.... Wenn wir den Text richtig verstanden haben geht es mit root selbst nicht, oder?

Nein, root geht nicht. Du gibst aber bitte https://Arktur/ldapadmin als Adresse ein. Dann die normalen Nutzerdaten.

Gruss Reiner

---

Mail 2:

1. Wir hatten die Hoffnung, ein User mit Einordnung als HAdmin genießt am Client die Rechte eines Domänenadmins (sprich kann Software installieren). Wenn dem wirklich so sein sollte, haben wir was falsch gemacht. Wie sieht's aus? Was müssen wir tun, um diesen Traum zu verwirklichen

Da schmeisst Du etwas durcheinander.

Ein Teiladmin hat das Recht Nutzer zu verwalten.

Ein Hauptadmin hat neben dem Recht Nutzer zu verwalten, auch noch das Recht alle anderen Einstellungen im LDAP zu verwalten (also Vorsicht!).

Beides hat mit Rechten auf dem Server zu tun, nichts jedoch mit Rechten auf einem Clientrechner.

Die Rechte auf dem Client werden vom lokalen Administrator vergeben. Falls Du serverbasierte Profile eingerichtet hast, dann gelten diese Rechte automatisch auf allen Clients.

Da ist die Lösung Deines Problems: Melde Dich an einer Station als lokaler Administrator (ohne Netzwerk) an. Dann richte einen neuen Nutzer mit Administrator-Rechten ein. Diesen Nutzer darf es aber noch nicht wo anders geben. Danach wird der gleiche Nutzer auch auf Arktur eingerichtet. Nun melde Dich unter dieser neuen Kennung an eben diesem Client an und wieder ab. Damit wird das servergespeicherte Profil übertragen und Du bist in Zukunft lokaler Admin auf allen Schulrechnern.

Wenn wir den Text richtig verstanden haben geht es mit root selbst nicht, oder?

Nein, denn root darf nur auf dem Server selbst, nicht jedoch auf dem Client als Nutzer existieren.

mit freundlichen Grüßen Uwe

---

Mail 3:

Die Rechte auf dem Client werden vom lokalen Administrator vergeben. Falls Du serverbasierte Profile eingerichtet hast, dann gelten diese Rechte automatisch auf allen Clients.

Es war meines Wissens nach nicht vorgesehen dass das funktioniert und bei den nächsten Windows Versionen (oder auch Service Packs) würde ich mich nicht darauf verlassen, dass das noch funktioniert. Die Rechte die ein Benutzer hat haben nämlich nichts mit dem Profil zu tun. Interessant ist viel eher, in welchen Gruppen der Benutzer Mitglied ist, und das steht eigentlich in einem Teil der Registry, die nicht im Profil ist.

Da es dennoch funktioniert scheint irgendwas von Windows durcheinandergewürfelt zu werden (wäre ja nix neues, das ganze Profil Konzept ist krank). Nur ob das auch in Zukunft so bleibt ist ne andere Frage.

Da ist die Lösung Deines Problems: Melde Dich an einer Station als lokaler Administrator (ohne Netzwerk) an. Dann richte einen neuen Nutzer mit Administrator-Rechten ein. Diesen Nutzer darf es aber noch nicht wo anders geben. Danach wird der gleiche Nutzer auch auf Arktur eingerichtet. Nun melde Dich unter dieser neuen Kennung an eben diesem Client an und wieder ab. Damit wird das servergespeicherte Profil übertragen und Du bist in Zukunft lokaler Admin auf allen Schulrechnern.

Eine andere, einfache Lösung die auch im Samba Handbuch steht, wäre im LDAP eine Gruppe Domänen-Admins anzulegen (muss eine passende SID haben, AFAIK absolut ohne Garantie muss die mit -512 enden) und die entsprechenden Benutzer dieser Gruppe zuzuordenen. Beim Aufnehmen eines Rechners in eine Domäne wird nämlich diese spezielle Domänen Gruppe in die lokale Administratoren Gruppe aufgenommen. Die Mitgliedschaft in dieser Gruppe hat auf Linux keinerlei Auswirkungen, d.h. die Benutzer haben deswegen noch keine erweiterten Rechte auf dem Linux Dateisystem usw (im Gegensatz dazu wenn man Benutzer in einem echten NT Netz zur Gruppe der Domänen-Admins hinzufügt) Ich mache das in meinem Netz daheim (kein Arktur), funktioniert ganz ohne Roaming Profiles (brauche ich daheim nicht) sehr gut. Alle Benutzer sind lokale Admins  :) (oder auch :()

Viele Grüße Michael

---

zurück | Hauptseite