Kerberos LDAP

Samba PDC с Kerberos KDC у меня таки не получится (вроде как, это и называется Active Directory){br]

у меня для тебя плохие новости....
AD это не samba+ldap

AD это не samba+ldap

это samba+ldap+kerberos, а если быть совсем точным - samba4+ldap+kerberos ;)

4.2
http://technet.microsoft.com/en-us/library/cc780036(WS.10).aspx
вот функционал AD 8-летней давности. даже до него не дотягивает

>http://technet.microsoft.com/en-us/library/cc780036%28WS.10%29.aspx

-4.2. Почитал «Active Directory provides:», и нашёл, что из «не уверен, что в ldap+kerberos есть» там только «desktop tools to search Active Directory» (у нас они не на десктопе), «Integration of object names with Domain Name System» (s/\./,dc=/ s/^/cn=/ для ldap-а, керба сама умеет), «Storage for application data» (возможно это про сетевые ФС, тогда нужно таки добавить самбу|nfs|whatever).

А что там появилось нового за 8 лет?

>у меня для тебя плохие новости.... AD это не samba+ldap
Мля...И где ж я это утверждал?

А если оставить проблемы определений, то кто-нибудь знает ответ на изначально поставленный вопрос (он, кстати, не касается AD)?

>кто-нибудь знает ответ на изначально поставленный вопрос

Ответ скорее всего тоже «нет». Т.е. работать будет, но samba кербой пользоваться не станет, т.е. SSO не будет. Проблема в том, что «из коробки» керба пользуетя только при «security=ADS», а убедить samba < 4й в том, что твой ldap+kerberos таки AD ещё не удавалось.

Однако, если «винда отдыхает», то можно заменить samba на что-то более родное, там может быть чуть проще. Кажется новые NFS-ы или fuse/sshfs должны справиться.

Это я всё понял, пасиба. Хотелось немного другого: Я оставляю Samba PDC. Пусть остаётся как есть. Я просто хотел использовать ту БД в LDAP для хранения Kerberos-принципалов.
Т.е. Хотелос бы, чтобы к имеющимся dn uid=username,ou=Users... добавились KDC-атрибуты. Вот и всё. Авторизоваться на linux-машинах буду через нативный kerberos, никаких NT-доменов с winbind-ами.

зачем нужен АД?

Да не нужен он. Хер с ним. Нужен Kerberos.

Выведите меня из разморозки, пожалуйста. А то все что не читаю на тему ldap, ad, kerberos и прочих доменов - не понимаю. Нет четкого описания зачем это нужно, и как это будет работать в виндовс и линукс окружениях. Буду благодарен за линк.

LDAP - протокол службы каталогов («каталог», поскольку его структура напоминает иерархическую структуру файловой системы).
LDAP-сервер - сервер, который имеет за собой БД и обслуживает запросы к этой БД по протоколу LDAP. Он очень хорошо подходит для хранения информации типа учётных записей. Это лишь удобное место хранения. В сетевых взаимодействиях в домене NT он не принимает участия.

Kerberos - протокол аутентификации. Аутентификация происходит через центра выдачи билетов (KDC). Мегакрутой протокол. Пароль ни в каком виде по сети даже не ходят. Можно немного поломать мозги: http://www.ixbt.com/comm/kerberos5.shtml

Active Directory - (поправьте меня) это по сути и есть сервер каталогов с сервером аутентификации (причём, реализация Kerberos там какая-то «своя»). Только это всё как-то велосипедно, с нашлёпкой в виде NetBIOS, который служит не пойми для чего. Типа, помогает найти этот самый контроллер домена у вас в сети. Ну и ещё всякие групповые политики и прочая ерунда.

Насколько я вижу, сейчас та реализация у Samba, которая называется PDC, предоставляет следующие возможности:
- хранилище информации об учётных записях (как правило, LDAP);
- реализация протокола NetBIOS и (по-моему) NTLM для аутентификации;
- реализация протокола SMB для служебных папок, которые требуются для PDC, - это NETLOGON и PROFILE.

Т.е. Kerberos тут рядом нет.

Советую почитать:
http://samba.org/samba/docs/man/Samba-HOWTO-Collection/samba-pdc.html
Только я не понял, нафига они в этом мануале расписывают, что такое Single Sign-On и как это хорошо, в то время, когда этот самый SSO у них самих не реализован.

все что начиная со слов «Active Directory» - не понятно. Кто такой сервер каталогов? Что за служба каталогов такая, зачем нужна, какую функцию выполняет? И еще я не знаю, что такое домен NT. Групповые политики - это как-то относится к линуксу или это чисто вендовое понятие?

Трололо. http://wikipedia.org

Иди учись!

да вот не пойму, нужно ли это мне знать. Углубление в виндовс-технологии приносит больше непонимания, чем знания.

>«каталог», поскольку его структура напоминает иерархическую структуру файловой системы

По правде говоря, потому, что «каталог == перечень, список, исчисляющий какиен. предметы, явления».