Migrationsleitfaden Version 3.0

2.1 Migration von Windows NT DC nach Linux mit OpenLDAP, Samba und
Kerberos
Wie bereits in den Technologiebetrachtungen in den Kapiteln II.C 1.1 und II.E 1.1
festgestellt wurde, stellt ein Linux-System in Kombination mit Samba eine gleichwertige
Alternative zum Windows NT-Server dar. Durch die Hinzunahme des LDAP-
Verzeichnisses „OpenLDAP― wird gegenüber der auf Windows NT 4.0 Server
basierenden Authentisierungsinfrastruktur bereits ein erheblicher Mehrwert geschaffen,
da hiermit u.a. eine deutlich bessere und umfassendere Abbildung der eigenen
Organisation und die Abbildung von zum Beispiel Zugriffsrechten auf diese möglich ist.
Dieser Pfad wird im Migrationsleitfaden auch weiterhin betrachtet, da es noch viele Behörden
gibt, die IT-Infrastrukturen betreiben, die auf Windows NT 4.0 Server basieren.
2.1.1 Funktionaler Vergleich
Windows NT nutzt als Verwaltungs- und Struktureinheit den Begriff Domäne. In den Domänencontrollern
werden Maschinen- und Benutzerkonten und ihre zugehörigen Attribute
im Security Accounts Manager (SAM) gespeichert. Dies geschieht in Form von eingeschränkten
Verwaltungsdiensten (Registries). Die festgelegte Struktur der Attribute und
die beschränkte Skalierbarkeit stellen eine Einschränkung der Nutzbarkeit dar.
Die Nutzung von Linux in Kombination mit Samba und OpenLDAP ermöglicht es, mit
quelloffener Software die Funktionalität von Domänen Controllern nachzubilden. Samba
besitzt eine LDAP-Schnittstelle und kann damit auf OpenLDAP als Datenbank für Benutzer-
und Maschinenkonten zurückgreifen. Somit kann eine echte Verzeichnisdienst basierte
Lösung zur Administration von Benutzer-, Gruppen- und Hostinformationen realisiert
werden.
Samba unterstützt aus Sicht der Windows-Clients das Konzept von PDCs (Primary Domain
Controller) und BDCs (Backup Domain Controller). Ebenso ist es möglich, mit
Samba einen WINS-Service zu realisieren. Die serverseitige Replikation der SAM-
Datenbank zwischen PDC und BDC wird von Samba selbst nicht unterstützt. Dies wird
jedoch durch die Replikation der LDAP-Verzeichnisse realisiert. Die Authentifizierung
erfolgt in Samba über das NTLM-Protokoll (analog zu Windows NT). Sollen Linux Clients
in die neue Infrastruktur integriert werden, so kann die Authentisierung auf diesen über
verschiedene Möglichkeiten realisiert werden, zum Beispiel mit Hilfe des PAM-Moduls
„pam_ldap― 185 über das LDAPv3 Protokoll direkt gegenüber dem LDAP-Verzeichnis oder
mit einen Samba Client gegenüber dem Samba DC.
Eine Kerberos-Authentisierung von Windows Clients, wie sie gegenüber Windows 2000
Server möglich ist, ist gegenüber Samba nicht möglich. Allerdings lässt sich in einer
Umgebung mit Linux, Samba und OpenLDAP ein Kerberos basiertes SSO, zum Beispiel
mit Hilfe der MIT- oder Heimdal-Implementierung des Kerberos 5 Protokolls realisieren
(siehe Kapitel II.C 1.1), sodass eine Authentisierung auch mit Windows Clients gegenüber
dieser möglich ist.
Durch die modulare Bauweise der Samba-Software gibt es verschiedene Wege, den
Samba Domänen Controller (DC) zu administrieren. Neben der Konfiguration per Kom-
185 http://www.kernel.org/pub/linux/libs/pam/
Seite 213