Migrationsleitfaden Version 3.0

nommen werden sollen. Vielmehr erfolgt hier eine einmalige Anmeldung an einem Key
Distribution Center (KDC, gelegentlich auch als Kerberos Domänencontroller bezeichnet).
Der Benutzer erhält nach erfolgter Anmeldung ein Ticket, das eine definierte Gültigkeitsdauer
hat und mit dem er sich dann gegenüber allen weiteren Diensten authentifizieren
kann. Nach Ablauf der Gültigkeit des Tickets muss sich der Benutzer erneut authentifizieren.
Durch den Einsatz von Kerberos muss die Passwortdatenbank nur noch
auf besonders vertrauenswürdigen Systemen (den Kerberos-Servern) vorhanden sein.
Andere Systeme brauchen keinen Zugriff mehr auf die Passwortdatenbank. Mit Hilfe von
Kerberos-Tickets kann außerdem Single Sign-On implementiert werden, indem Tickets
zum Zugriff auf alle im Netzwerk bereitgestellten Dienste verwendet werden (sofern die
entsprechenden Applikationen Kerberos unterstützen).
Um ein feingranulares Rechtesystem zu realisieren, das definiert, welche Objekte und
Attribute durch welche Benutzer gelesen oder geändert werden dürfen, implementieren
die meisten Verzeichnisdienste ein System von Access Control Lists (ACLs), das mit den
ACLs auf Dateisystemebene zu vergleichen ist.
Vor diesem Hintergrund werden nachfolgend die in der Überschrift genannten Themen
hier gemeinsam betrachtet.
1 Produkte / Technologien
1.1 Linux und Samba mit OpenLDAP und Kerberos (MIT/Heimdal)
Samba ist eine freie Software, die das SMB-Protokoll (Server-Message-Block-Protokoll)
und das CIFS (Common Internet File System) für Unix- und Linux-Systeme nutzbar
macht. Das SMB-Protokoll und dessen Erweiterung CIFS sind Windows-Protokolle für
u.a. Datei- und Druckdienste. Samba wurde erstmals 1992 veröffentlicht. Das Kernteam
zur Entwicklung von Samba umfasst ca. 20 Personen, die von einigen Firmen unterstützt
werden 160 . Samba liegt aktuell in der Version 3.026a vor. Gemäß der unter
http://samba.sernet.de/ 161 veröffentlichten Erklärung des Samba-Teams werden alle
Versionen ab der Version 3.2 unter der GNU General Public License in der Version 3
veröffentlicht. Demnach sollte die aktuelle Version noch unter GPLv2 stehen.
OpenLDAP ist die Implementierung eines LDAP-Servers als Open Source Software 162 .
Sie steht unter der OpenLDAP Public License V2.8.
Kerberos 5 ist ein Protokoll zur sicheren Authentisierung innerhalb offener Netze, die
zum Beispiel auf dem TCP/IP Protokoll basieren. Kerberos wurde am MIT (Massachusetts
Institute of Technology) 163 entwickelt und ermöglicht auch die Realisierung von
Single Sign-On, das heißt eine einmalige Anmeldung im Netz ist ausreichend, um alle
Dienste und Programme, für die eine Berechtigung besteht, nutzen zu können. Die Spezifikation
ist im RFC 4120 beschrieben. Eine freie, weit verbreitete Implementierung des
160 http://www.samba.org
161 Stand 01.11.2007
162 http://www.openldap.org
163 http://www.kerberos.org/
Seite 188