Migrationsleitfaden Version 3.0

Neben der Verwendung von Verzeichnisdiensten zur zentralen Speicherung von Benutzer-,
Gruppen- und Host-Informationen steigt der Nutzen von Anwendungen durch den
Zugriff möglichst vieler anderer Applikationen. Auf eine vollständige Liste LDAPkompatibler
Anwendungen wird an dieser Stelle verzichtet. Wichtig ist jedoch der Hinweis,
dass immer mehr Applikationen LDAP-Unterstützung aufweisen, nicht zuletzt die
Microsoft E-Mail-Programme Outlook und Outlook-Express oder das Office-Paket OpenOffice.org.
Diese Anwendungen können sowohl mit OpenLDAP als auch mit Active
Directory als Verzeichnisdienst arbeiten.
1.1.2 Samba
Samba ist als Client-Server-System aufgebaut und besteht aus einer Vielzahl einzelner
Module, die grundlegende Aufgaben bis hin zur Konfiguration und Dokumentation übernehmen.
Da die Module auch ausgetauscht werden können, kann die Konfiguration zum
Beispiel auch über eine Webschnittstelle erfolgen. Sambas Kernmodul heißt Smbd und
stellt Datei- und Druckdienste für die SMB/CIFS-Clients zur Verfügung. Über Samba
können Informationen für Maschinen-Accounts direkt aus dem LDAP-Verzeichnis bezogen
werden.
1.1.2.1 Authentifizierung mit Linux / OpenLDAP und Samba
Samba kann Windows-Clients ähnliche Funktionalitäten wie ein Windows NT-basierter
primärer Domänencontroller (also u.a. File-, Print- und Authentifizierungsservices) zur
Verfügung stellen. Als Datenbank für Benutzerkonten kann Samba dabei auf OpenLDAP
als Verzeichnisdienst zurückgreifen. Insofern stellt die Kombination Samba/OpenLDAP
eine Art Mischform zwischen Windows NT-Domänen und Active Directory dar. Aus der
Sicht von Windows-Clients handelt es sich um eine Windows NT-Domäne (die frühestens
2008 erscheinende Version Samba 4 wird sich in Richtung der Windows Clients wie
ein Active Directory Domänencontroller präsentieren). Hinsichtlich der Administration von
Benutzer-, Gruppen- und Host-Informationen geht es jedoch um eine vollständig verzeichnisdienstbasierte
Lösung mit allen daraus resultierenden Vorteilen. Insbesondere
entfällt bei einer Samba/OpenLDAP-basierten Lösung das von Windows NT bekannte
Skalierungsproblem, das oft die Aufteilung einer Infrastruktur in unterschiedliche Domänen
erforderlich macht.
Bei Verwendung von Linux/OpenLDAP als Verzeichnisdienst für Windows-Clients in
Verbindung mit Samba findet die Authentifizierung der Windows-Clients über das NTLM-
Protokoll statt. Darum müssen im Verzeichnis die gleichen verschlüsselten Passwörter
gespeichert werden wie in der SAM-Datenbank unter Windows NT/2000/2003. Mit dieser
qualitativen Einschränkung (keine Kerberos Authentifizierung für Windows 2000/XP
Clients) ist es somit möglich, auf der Basis von Linux, OpenLDAP und Samba eine vollwertige
Authentifizierung für Windows-Clients aufzubauen.
Dabei scheint es zunächst problematisch zu sein, dass UNIX- und Linux standardmäßig
einen anderen Algorithmus zur Passwort-Verschlüsselung verwenden als Windows
NT/2000. Es ist deswegen bei einer OpenLDAP/Samba-basierten Lösung notwendig,
UNIX- und Windows-Passwörter nebeneinander im LDAP-Verzeichnis zu speichern und
miteinander zu synchronisieren. Aus technischer Sicht ist dies weniger problematisch,
denn Samba kann so konfiguriert werden, dass es bei einer Passwort-Änderung vom
Seite 193