Migrationsleitfaden Version 3.0

Windows-Client aus auch das UNIX-Passwort ändert. Und umgekehrt können UNIX-
Programme über den PAM- (Pluggable Authentication Module) Mechanismus so eingerichtet
werden, dass sie auch das Windows-Passwort ändern, wenn das UNIX-Passwort
gewechselt wird. Durch richtige Konfiguration stellt die Passwort-Synchronisation somit
kein Problem dar.
Samba 3.0x unterstützt die von Windows NT bekannten Vertrauensstellungen. Diese
können sowohl zwischen Windows- und Samba-Domänen als auch zwischen zwei Domänen,
die beide auf Samba basieren, eingerichtet werden.
1.1.2.2 Einschränkungen bei der Verwendung von OpenLDAP und Samba
Wie bereits erwähnt, entspricht Samba aus der Sicht von Windows-Clients einem Server
auf der Basis von Windows NT. Das bedeutet, dass die mit Active Directory neu eingeführten
Eigenschaften zur Verwaltung von Windows Clients nicht zur Verfügung stehen.
Insbesondere werden Group Policy Objects (GPOs) und die Softwareverteilung via Active
Directory 174 nicht unterstützt. In der Praxis ist es oft völlig ausreichend, diese Features
durch andere Techniken zu ersetzen.
Samba unterstützt die sogenannten System Policies, mit denen sich Registry-Einstellung
für Benutzer, Benutzergruppen und Client-Computer festlegen lassen. Über System-
Policies kann ein Großteil der mit GPOs verfügbaren Einstellungen ebenfalls vorgenommen
werden (Einschränkungen in der Funktion der Windows-Oberfläche, Auswahl
ausführbarer Programme usw.). Die Systemrichtlinien können dynamisch mit dem in
Samba integrierten Werkzeug „editreg― erstellt werden.
Außerdem lassen sich in einer Samba-basierten Umgebung lokale Policies verwenden,
mit denen prinzipiell dieselben Einstellungen vorgenommen werden können wie mit
GPOs. Weil lokale Policies einfach im Dateisystem abgelegt werden, können diese leicht
von einem Prototypen auf eine große Anzahl von Clients synchronisiert werden.
1.1.2.3 Kombination von OpenLDAP und Active Directory
Dort, wo auf die Features von Active Directory nicht verzichtet werden kann, ist es möglich,
Benutzer- und Gruppendaten aus OpenLDAP in das Active-Directory zu replizieren.
Benutzer und Gruppen müssen dann weiterhin nur im OpenLDAP-Verzeichnis gepflegt
werden, stehen aber auch im Active Directory zur Verfügung. Auf diese Weise können
die entsprechenden Eigenschaften (wie etwa GPOs) genutzt werden und der Single-
Point-of-Administration bleibt erhalten. Dabei kann Windows so konfiguriert werden,
dass für beide Teile der Umgebung ein gemeinsamer (Linux basierter) Kerberos-Server
genutzt werden kann. Allerdings ist dies mit der Einschränkung verbunden, dass Windows
95/98/NT basierte Systeme sich dann nicht mehr gegen Active Directory/Kerberos
authentifizieren können. In einer solchen Konstruktion wird deswegen die Authentifizierung
dieser Clients gegenüber Samba/OpenLDAP empfohlen.
174 Softwareverteilung ist nicht Thema dieses Abschnitts und wird daher hier nicht weiter be-
trachtet.
Seite 194