Он уже сказал что ему нужно для подстёгивания. Техпис.

Юзание опенсурца это вопрос доверия. Если сабж разовьется и будет сразу внутри дистрибута то велкам ! Если нет то увы. А пока на RHEL/CentOS делаем yum install ipa-server и все :)

Очевидно, «излучаю & пытаю»

А так - «далучыць» (присоединить) имеет однокоренного родственника в русском - «разлучить». Да и «пытанне» (вопрос) тоже имеет родственника - «пытку». Да белорусский язык это. Далучыцца да пытання в переводе - присоединиться к вопросу.

Очень рад, что я учился у таких людей как вы :)

Хотелось бы знать, вы пробовали отправить патч для кербероса в апстрим? Было бы классно если не пришлось бы пересобирать керберос из сорцов.

И было бы классно увидеть сорцы на гитхабе. В любом случае, рано или поздно понадобиться багтрекер и ревьювинг кода :)

А «самба4» - вот когда она появится и мы её заценим, тогда посмотрим на то, сколько нерешенных проблем это принесет - а проблем будет очень много (я изучал этот вопрос, если что).

А можно поподробнее? Куча народу уже сейчас успешно использует Samba4 в гетерогенных сетях. Каких косяков можно ожидать? И хотелось бы увидеть сравнение по функциям Вашей системой с той же Samba. Я не специалист, но пока из описания задач не вижу никакой разницы...

Хмм... Интересно.

Если честно, то в последнее время сам озадачился аналогичной проблемой... Но результаты ТС крайне интересны. В любом случае автору — успехов.

==== По ряду комментариев. ==== Samba4 здесь ни при чём. Это эмуляция AD, а она не нужна. Потому что сам по себе AD это перевранный LDAP+Kerberos. Таким образом, в топку вослед за AD.

FreeIPA? В топку. Просто и без затей.

Я ведь только спросил есть ли в вашем проекте данный функционал

Так я и ответил - для меня в той модели какую я хочу реализовать, rwm просто не нужен. Идея - сделать такую связку, которая была бы самодостаточна и не нуждалась в стройных подпорках синхронизации с ActiveDirectory, cross-realm trust и т.д. и т.п.

Сравнение не вполне корректно, поскольку самба и ODirectory делают похожие вещи, но только по-разному.

И если я правильно понял, то в ODirectory отказывается от SMB в пользу кербероса(я имею ввиду часть, отвечающую за аутентификацию)

Каких косяков можно ожидать?

Виндовый клиент лично у меня вызывает нехорошие ассоциаци с Novell Direcrory Server, который для своего времени(лет 10 назад) был довольно неплох, но в итоге загнулся. Да и геморно наверно будет поддерживать работу на разных версиях и архитектурах венды.

Наложение патчей на керберос в некоторых случаях может повлечь конфликты при обновление его версии, а так же проблемы безопасности с участками, которые непокрываются тестами.

Кстати а ты что наделал уже костылей к самба3 что ли ?

Ни в коем разе.

Я вобще хотел изначально сделать сугубо виндового клиента, но позже понял, что мне всё равно придется патчить kerberos, ибо MITовская реализация case-sensitive, а винда в зависимости от фазы луны меняет регистры в именах приципалов - я лично видел от одной и той же винды в течение трех дней после перезагрузок CIFS/HOST.REALM, cifs/host.REALM, cifs/host.realm, cifs/HOST.REALM и cifs/HOST.realm :-(

Затем стало ясно, что создавать руками принципалов для хостов и юзеров станет «больно», и пришлось сделать набор скриптов под администраторские функции.

Затем стало понятно, что смена пароля должна делаться через одно место для всех источников, и пришлось писать плагин для kadmin'овский плагин.

Ты видать мало юзал этот ИПА. Он нужен как замена АД для линухов !

Он непригоден как «замена AD для линухов». Это IDM - а AD и глобальный каталог это несколько другое, вообще-то. Сначала я его пытался к делу пристегнуть, но почитав про то как FreeIPA'вцы предлагают делать то, что мне нужно, перекрестился, пожелал им удачи и выкинул FreeIPA из головы.

Успехов no-dashi!!!

И по существу - может быть стоит сделать обзор чем решение ТС отличается от FreeIPA, Spacewalk, Samba4.

Почему допил OpenDirectory выгоднее, чем допил FreeIPA и Samba4?

И вообще насколько сложно скрестить OD с FreeIPA чтобы получить бонусы того и другого ? ;)

Да и геморно наверно будет поддерживать работу на разных версиях и архитектурах венды.

А как вы думаете, почему я выбрал C# для разработки виндового клиента??? В том числе и для облегчения поддержки и развития, и независимости от архитектуры :-)

Кстати и политика «делаем программы-врапперы под системные вызовы» отсюда же - если присмотритесь, то заметите, что шарповский код не содержит практически никаких завязок на Win32, вообще. Только выбор C:\ProgramData или ~/.samhelper на основании переменных окружения - это как раз чтобы облегчить себе жизнь и поддержку.

Зная украинский и русский вопросов с пониманием белорусского вообще не возникает. Говорить, конечно, даже не берусь.

Каких косяков можно ожидать?

Разных. ПО любой сложности без косяков не бывает, а сложное клиент-серверное приложение, в котором сервер разрабатывается под уже готового клиента - тем более.

И вообще насколько сложно скрестить OD с FreeIPA чтобы получить бонусы того и другого ? ;)

Несложно. Вы вообще можете взять только виндового клиента и прикрутить к FreeIPA - ничего невозможного нет. И самбу можете к ней же прикрутить - тоже возможно.

Я против 389 DS, поскольку OpenLDAP гораздо более динамично развивающийся проект с гениальной совершенно инфраструктурой бэкендов и оверлеев. Предполагается ли всё-0таки возможность использования OpenDirectory не с протухшим уже очень давно RedHat Directory Server'ом, не шибко изменившимся со времён своего отпочкования делением от iPlanet'а, а с OpenLDAP'ом, где всё как-то лучше, проще, понятнее и роднее?

оффтоп, но

вопросов с пониманием белорусского вообще не возникает

- это неправда. С устной речью -возможно, но письменный литературный белорусский очень сложный, и для понимания сложнее даже чем польский, который сам по себе попроще. Съездите в Полоцк, в национальный музей белорусской культуры, почитайте там хотя бы просто подписи к экспонатам - будете очень удивлены тем, что вообще ничерта непонятно! Я натуральным образом эти таблички в английском переводе читал.

Потому что сам по себе AD это перевранный LDAP+Kerberos.

Ну да. И OpenDirectory, насколько я понял, работает точно также - LDAP+Kerberos. Так что либо оба нужны, либо оба в топку :). Но мне хотелось бы понять разницу именно в решаемых задачах...

Почему допил OpenDirectory выгоднее, чем допил FreeIPA и Samba4?

Потому что FreeIPA идёт нога в ногу со временем, а по сути никому не нужен и никуда не идёт. А Samba 4 - реализация дикой идеи велосипедостроения с каталогом, куда ничего, кроме богомерзкого виндодомена не воткнуть. На этом фоне OpenDirectory выглядит разумным проектом с определёнными чётко поставленными целями, опирающийся на уже существующие компоненты, а не пилящий своё AD с блекджеком и девушками лёгкого поведения.

Сравнение не вполне корректно, поскольку самба и ODirectory делают похожие вещи, но только по-разному.

Вот и мне так кажется. Просто, на мой взгляд, софт стоит сравнивать по решаемым задачам. А уж какими методами авторы их решают - дело десятое (с точки зрения пользователя, разумеется).

в ODirectory отказывается от SMB в пользу кербероса(я имею ввиду часть, отвечающую за аутентификацию)

Ну так и в Samba4 точно также.

Так что либо оба нужны, либо оба в топку

Вы слово «перевранный» принципиально не прочитали? Одно дел решение, основанное на стандартах и другое дело - его переосмысление девелоперами Microsoft в кошмарном сне после слишком плотного ужина мухоморами.

Замечательные вопросы! Тоже очень хотел бы увидеть на них ответы :).

куда ничего, кроме богомерзкого виндодомена не воткнуть.

Не понял, что куда не воткнуть? Linux-машины прекрасно присоединяются к этому домену. В чем проблема-то?

Смотрел пару серий south park на белорусском. Проблем не возникло. Была конечно пара слов, которые я не понял. Но из контекста догадался. Читать по белорусски не умею, т.к. не знаю белорусских букв.

Одно дел решение, основанное на стандартах и другое дело - его переосмысление девелоперами Microsoft в кошмарном сне после слишком плотного ужина мухоморами.

И какие стандарты нарушает Samba4?

Каких косяков можно ожидать?

Давайте посмотрим на то, что нам предложит Samba4 к моменту релиза? Навскидку - у вас будут проблемы с репликацией (они даже между двумя windows-контроллерами частенько бывают), будут проблемы с расширением схемы для не-windows клиентов, нормально администрировать это всё вы сможете только с windows-систем. Это только то что «на поверхности».

И еще раз повторюсь - я ставлю целью вообще избавиться от необходимости в ActiveDirectory. В любой её реинкарнации - будь то Windows(r) Serer (tm) или Samba4 (c).

Потому что FreeIPA идёт нога в ногу со временем, а по сути никому не нужен и никуда не идёт.

а можно тут немного пояснить, почему и чем не нужен, и почему никуда не идет?

Я против 389 DS, поскольку OpenLDAP гораздо более динамично развивающийся проект с гениальной совершенно инфраструктурой бэкендов и оверлеев

По пунктам - да, использовать OpenLDAP можно, и ничего сложного в этом нет.

Фактически, «серверная часть» у меня вообще не завязана на модель сервера LDAP. Закиньте в схемы OpenLDAP файлы схем MIT Kerberos и samba, исправьте сценарий раздачи прав на элементы каталога - и на здоровье, используйте OpenLDAP.

Возможно потребуется поправить скрипты создания объектов и определения членства в группах - я полагаюсь на RFC'шные схемы с классами posixAccount и posixGroup и членство в группах в стиле RFC2703bis с перечислением членов групы в uniqueMember, если с первыми двумя у OpenLDAP всё в порядке, насколько я помню - то насчет третьего не уверен.

И еще раз повторюсь - я ставлю целью вообще избавиться от необходимости в ActiveDirectory.

Хорошая цель, opensource аналог AD написанный одним человеком за период укладывающийся в одну человеческую жизнь это круто!

Понял вопрос.

И OpenDirectory, насколько я понял, работает точно также - LDAP+Kerberos.

Да. Но только M$ в своём AD всё на фиг переврала. Во-первых, там перевранный Kerberos. Работал с OpenAFS (тут то же Kerberos используется), так с оффтоповыми клиентами было столько «секесу» из-за M$-kerberos'а который постоянно путался под ногами, что ни в сказке сказать, ни на форуме в паблике написать. Одно могу сказать — в M$ мастера по перевиранию чужого кода под свои «маркетинговые ожидания» сидят. Такого издевательства над вполне свободным MIT Kerberos я откровенно не ожидал.

Во-вторых, сущности, которыми оперирует AD это просто изврат полнейший. Одни «групповые политики» чего стоят. Они специфичны для M$. Т.е., ни что другое, не поражённое клиентом от M$, здесь использовано быть не может. А для меня это например, не вариант, т.к. сеть получается не гетерогенная. А если ещё вспомнить о «контроллерах домена», то вообще станет очень грустно. Тут можно продолжать список, но факт в том, что когда M$ чего-то там лепечет про «управление сетями», то автоматически не подразумевается ни каких гетерогенных сетей. Т.е., M$ опять взяли за основу нечто из свободного мира, сделали это «LDAP-совместимым» и уверяют всех что у них самая толковая реализация.

По этой причине лично я не ожидаю Samba4, т.к. в итоге я предвижу офигенную головную боль по очередному подвязыванию к идеологии AD всего что только можно. Автор данного решения (уважаемый no-dashi) прав здесь на 100%. Надо не цепляться за AD, а отказываться от него всеми доступными методами.

Есть не какие-то «LDAP-совместимые» вещи, есть просто LDAP (я вот с OpenLDAP морочусь), есть не что-то похожее на Kerberos, есть просто MIT Kerberos. Вот от этого и надо исходить, вводя свои, либо модифицируя существующие схемы.

Давайте посмотрим на то, что нам предложит Samba4 к моменту релиза?

Давайте, конечно, но судя по тому, что они выпустили бета-версию, вряд ли стоит ожидать появления новых функций.

Навскидку - у вас будут проблемы с репликацией

С чего бы это?

они даже между двумя windows-контроллерами частенько бывают.

Не могу сказать, что ни разу с таким не сталкивался, но всегда оказывалось, что это мой собственный косяк (рассинхронизация времени, переполнение дисков, повреждение файловой системы и т. п. вещи).

будут проблемы с расширением схемы для не-windows клиентов

Да вроде AD-схемы нормально расширяются. Вряд ли реализация AD в Samba4 наложит какие-то дополнительные ограничения.

нормально администрировать это всё вы сможете только с windows-систем.

Хотите сказать, что Samba4 не предлагает никаких средств администрирования? Я просто четвертую версию еще не смотрел, но с третьей самбой никаких проблем в плане администрирования не было.

И еще раз повторюсь - я ставлю целью вообще избавиться от необходимости в ActiveDirectory.

Но ведь фактически Вы переписываете его заново, реализуя практически те же функции.

Можно пример задачи, которая решается с помощью OpenDirectory, но не решается в рамках AD?

Ну и верно выше отметили - существенный минус OpenDirectory по сравнению с AD - необходимость установки клиента на рабочие станции. В свое время именно это привело к победе AD над аналогичным решением от Novell...

Пффф....

написанный одним человеком за период укладывающийся в одну человеческую жизнь это круто!

А зачем что-то переписывать? Модификация схем хранения информации это что теперь — переписывание кода? Да полноте, милейший! Вы и впрямь знаете что такое LDAP и как он устроен (работает)?

Но только M$ в своём AD всё на фиг переврала. Во-первых, там перевранный Kerberos.

Да вроде в Samba 4 стандарный Kerberos используется.

Одни «групповые политики» чего стоят. Они специфичны для M$. Т.е., ни что другое, не поражённое клиентом от M$, здесь использовано быть не может.

Ну так расширьте схемы AD под свои нужды.

По этой причине лично я не ожидаю Samba4, т.к. в итоге я предвижу офигенную головную боль по очередному подвязыванию к идеологии AD всего что только можно.

Это верно, но все дело в том, что эта «головная боль» уже в прошлом :). Собственно говоря, именно указанные Вами причины и привели к тому, что разработка Samba 4 заняла так много времени ;). Но сейчас эта задача фактически решена. По крайней мере, судя по множеству положительных отзывов о ее внедрении именно в гетерогенных сетях.

Вот от этого и надо исходить, вводя свои, либо модифицируя существующие схемы.

Это замечательно, если в Вашей сети нет Windows-машин. Но мы же вроде про гетерогенные сети говорим? Одним из главных достоинств Samba 4 является ее «нативность» для Windows-машин. Более того, возможна постепенная миграция с контроллеров домена под управлением Windows Server на Samba 4.

MITовская реализация case-sensitive,

Зачем митовская то ? Стандартная виндовая без проблем пашет. Сейчас затык токо в одном, ипа-юзера нужно мапить на локальных юзеров ( А это не удобно. Вот как бы сделать автосоздание юзера ? И было бы круто.

Это IDM - а AD и глобальный каталог это несколько другое,

Стоп. Во первых от фрееипа нужно - это авторизация и разграничение прав. Типа - такие то юзера имеют в своей группе и только на компах своей группы судо и такие то права СЕ. Ну и т.д. И на запуск таких сервисов.

Если же установка,обновление софта и т.д. для этого уже есть другой инструмент ( спайсвалк ) причем ипа входит в него как система авторизации. Вообще почитай про спайс-валк чтоли ...

Позвольте не согласиться с вами, сударь.

А зачем что-то переписывать?

Я и не говорил что переписывать.

Вы и впрямь знаете что такое LDAP и как он устроен (работает)?

Достаточно для того чтобы поднять Samba + OpenLDAP

Ну и верно выше отметили - существенный минус OpenDirectory по сравнению с AD - необходимость установки клиента на рабочие станции. В свое время именно это привело к победе AD над аналогичным решением от Novell

Как человек, заставший «те времена» вживую (начиная с NetWare 3.10), я бы сказал так - причина была не в том, что надо было ставить клиента (ставят ведь тот же оффис и всяческий бизнес-специфичный софт?), сколько в том, что в самом начале была допущены ошибки - чтобы юзер мог входит на NT с новеловским клиентом, нужно было сделать ДВА действия - завести юзера на нетвари и завести юзера в винде (в домене, или на рабочей станции - не важно, важно что действий два). Вторая ошибка - что за клиента требовали деньги. Это и было ошибкой, а вовсе не необходимость установки софта.

Сейчас ситуация другая - есть множество открытых продуктов, которые просто надо связать и заставить работать вместе. Ну и обеспечить некоторую (вовсе не полную, в этом необходимости нет) интероперабельность с продуктами MS. И кроме того, компьютер снова стал персональным и то что раньше абсолютно требовало сервера, сейчас может работать на мобильном телефоне. Следствие - расползание от «компания сотрудников имеет во всех видах» к «компания от сотрудников требует результата и предоставляет ресурсы».

Вот как бы сделать автосоздание юзера ? И было бы круто.

Твою мать, &^%$(#*!!!!! А что, по-твоему делает OpenDirectory client для винды?!?!?! Он как раз и создает юзеров и группы, вытаскивая их из LDAP, синкает членство в группах, удаляет юзеров и группы когда они удалены из винды и т.п.

Тьфу - очепятался - удаляет юзеров и группы когда они удалены из LDAP, конечно же.

И "да" и "нет".

Да вроде в Samba 4 стандарный Kerberos используется.

По идее, должен быть он.

Ну так расширьте схемы AD под свои нужды.

А зачем? Если отказаться от самой идеи AD, то всё становится намного проще. А отказаться мне например пришлось, т.к. например оффтоповый Outlook весьма погано работает с адресной книгой в OpenLDAP. Честно говоря, заставить работать конечно же можно, но телодвижений столько, что проще по организации забить на Outlook и либо поставить Thunderbird, либо на Linux-машинах использовать evolution (со всеми существующими там пирогами и плюшками в виде расширений). Одна из решаемых задач при помощи OpenLDAP — создание единой «адресной книги» по контактам как внутри организации, так и вне её.

Я искренне хочу одной простой вещи — не усложнять, а упрощать себе жизнь посредством технологий.

Это верно, но все дело в том, что эта «головная боль» уже в прошлом :).

Возможно. Но я просто задолбался ждать. Надоело, знаете ли. По этой причине и начал в своё время неторопливо думать в том же направлении что и уважаемый ТС.

Это замечательно, если в Вашей сети нет Windows-машин.

Мало и остаётся всё меньше. Нет практически ни одной задачи, которая в «среднестатистической» организации не могла бы решаться на Linux/Mac (если очень хочется и бабки жгут карман как солнце). Если говорить про разрабов, то в таких условиях оффтоп им вреден.

Одним из главных достоинств Samba 4 является ее «нативность» для Windows-машин. Более того, возможна постепенная миграция с контроллеров домена под управлением Windows Server на Samba 4.

По поводу «нативности», да, согласен. Пока это проблема. И не особо горю её решать, т.к. по всей видимости, скоро их у меня не будет вообще. Хотя, зарекаться не буду.

А вот по поводу миграции с AD, не согласен. Сама по себе такая миграция предполагает что есть откуда мигрировать. Т.е., до миграции с AD, надо чтобы он был. А что если это новая, развёртываемая сеть? Покупать на него доп. лицензию с тем, чтобы потом мигрировать? А зачем? В особенности, если по большому счёту, он не так уж и необходим. Как следствие, и его бесплатный аналог то же не так уж и необходим.

Забавны, кстати, апдейты в практически каждый вторник, когда принтеры по всей сети, которая пользуется AD, могут поотлетать. Т.е., начался апдейт, server прикрывает соединения, апдейтится, всё хорошо... А принтеры хоп и не работают после апдейта. У админов очередной праздник... Весело... Движуууха... :)))

Ну, тогда Вы понимаете что...

... задача вполне решаема даже одним человеком. Дай Бог ему здоровья и успехов. :)

Одним из главных достоинств Samba 4 является ее «нативность» для Windows-машин

Но не забудем, что «нативность» обеспечиваетсятолько для Enterprise/Ultimate изданий, кои надо приобретать за отдельные деньги. С учетом того, что для парка из 30 машин «дельта» составит порядка 200 тысяч, всё становится несколько интересней, не так ли?

Нет практически ни одной задачи, которая в «среднестатистической» организации не могла бы решаться на Linux/Mac (если очень хочется и бабки жгут карман как солнце).

Могу Вам только позавидовать ;). У меня, увы, полно Windows-only софта. Например, управляющий софт к куче оборудования (спектрофотометры, амплификаторы, микроскопы, проточные цитофлюориметры и т. п.).

Т. е., до миграции с AD, надо чтобы он был.

Разумеется :).

А что если это новая, развёртываемая сеть?

А часто Вы сталкиваетесь с подобными примерами (в организации вообще нет никакой IT-инфраструктуры)?

Покупать на него доп. лицензию с тем, чтобы потом мигрировать? А зачем?

Конечно, незачем :). Можно сразу поднять контроллеры на Samba4 ;).

В особенности, если по большому счёту, он не так уж и необходим. Как следствие, и его бесплатный аналог то же не так уж и необходим.

Понимаете, мы обсуждаем решение для гетерогенной сети. Конечно, если у Вас мало, или вообще нет Windows-машин, AD Вам не нужен. Но и такую сеть сложно назвать гетерогенной ;).

Т.е., начался апдейт, server прикрывает соединения, апдейтится, всё хорошо... А принтеры хоп и не работают после апдейта.

Странно, никогда с таким не сталкивался...

Да. Абсолютно согласен.

И это то же, собственно, я об этом забыл сказать. Я сказал что для новых сетей такая «нативность» на фиг не нужна.

Но не забудем, что «нативность» обеспечиваетсятолько для Enterprise/Ultimate изданий, кои надо приобретать за отдельные деньги.

Да, разумеется.

С учетом того, что для парка из 30 машин «дельта» составит порядка 200 тысяч, всё становится несколько интересней, не так ли?

Во-первых, существуют различные скидки и корпоративные лицензии (я не в курсе деталей). Во-вторых, это только кажется, что сумма велика. Ведь можно и по-другому посчитать. Средняя зарплата сотрудников, работающих за этими машинами - ну пусть будет тысяч 50 в месяц. Или 2 тыс. р. в день. Плюс еще стоимость аренды помещений, накладные расходы и т. п. вещи. Получается, что 200 тыс. р. - это два дня работы офиса. Учитывая, что приобретается это все на несколько лет - не такая уж и большая сумма, не находите?

Мое мнение - стоимость OS давно уже перестала быть существенной при расчете TCO. Потому что просто теряется на фоне остальных расходов...

А по-русски можно?

«Далучаюся да пытання» - по белорусски это «+1» или «присоединяюсь к вопросу».

«Далучаюся да пытання» - по белорусски это «+1» или «присоединяюсь к вопросу».

Спасибо, выше уже пояснили :).

Читать по белорусски не умею, т.к. не знаю белорусских букв.

Да такие же как и в русском + I (русский аналог буквы И) и Ў (у нескладовае, грубо говоря русское У).

Средняя зарплата сотрудников, работающих за этими машинами - ну пусть будет тысяч 50 в месяц

Вы по маськве то не считайте, ладно? Средняя зряплата сотрудника за компом в офисе (если это не программист) порядка 20 тысяч, а то и меньшь (средняя ЗП по россии порядка 16 тысяч, если что). А средняя норма прибыли порядка 10%.

Вы по маськве то не считайте, ладно?

Я, вообще-то, из Питера ;).

Средняя зряплата сотрудника за компом в офисе (если это не программист) порядка 20 тысяч, а то и меньшь (средняя ЗП по россии порядка 16 тысяч, если что).

Кошмар :(. Неужели в Челябинске все так плохо? В Питере этих денег даже на еду не хватит...

Но в любом случае, пусть будет не 2 дня работы офиса, а 5 дней. На фоне нескольких лет это все равно потеряется...

для Ъ, это аналог AD?