Migrationsleitfaden Version 3.0

Windows DC zum neuen Samba DC, ist der wesentliche Schritt bei der Migration. Dieser
sollte in einer weitgehend gesicherten Umgebung erfolgen. Es sollte somit sichergestellt
sein, dass in dieser Phase nach Möglichkeit keine größeren Änderungen an der SAM
vorgenommen werden. Warum dies sinnvoll ist, verdeutlichen die folgenden Details:
� Nachdem der zukünftige Samba PDC erfolgreich eingerichtet, wurde muss dieser
zunächst als Backup Domänen Controller (BDC) konfiguriert (/etc/smb.conf: „domain
master = no―) und in die bestehende Windows NT Domäne als solcher integriert
werden (net rpc join -U administrator –S %domain).
� Anschließend können die Inhalte der SAM-Datenbank mit dem Befehl
„net rpc vampire –S %domain―
in das OpenLDAP-Verzeichnis überführt werden.
� Nach dieser Übertragung werden weitere Änderungen im Windows NT PDC
(zum Beispiel eine Passwortänderung durch einen Benutzer) nicht mehr in den
Samba-BDC übernommen, daher sollte umgehend der Austausch vorgenommen
werden.
� Abschließend wird der Samba BDC zum Samba PDC umkonfiguriert.
2.1.3 Einführung von Kerberos
Da Windows NT 4.0 Server weder SSO noch das Kerberos 5 Protokoll unterstützt, handelt
es sich hierbei um keine Migration. Die Einführung einer SSO-Lösung beziehungsweise
einer Authentisierung auf Basis des Kerberos 5 Protokolls entspricht einem Neuaufbau
der benötigten IT-Infrastruktur. Die entsprechenden Möglichkeiten sind in den
Technologiebetrachtungen im Kapitel II.C 1.1 dargelegt.
2.1.4 Fazit / Empfehlung
Die Migration von Windows NT 4.0 Server DC auf ein Linux basiertes System unter Nutzung
von Samba, OpenLDAP kann mit Hilfe der beschriebenen Tools und Verfahren auf
eine transparente Art und Weise erfolgen. Funktional bietet das neue System alle Eigenschaften
des Windows NT DC und bietet mit der Einführung eines LDAPv3 basierten
Verzeichnisdienstes einen deutlichen Mehrwert sowie Verbesserungen hinsichtlich Skalierbarkeit
und Performance. Eine Migration kann daher empfohlen werden. Die Möglichkeit,
nunmehr auf Basis des Kerberos 5 Protokolls auch eine sicherere Authentisierung
und ein SSO zu realisieren, stellt einen weiteren Mehrwert dar.
2.2 Migration von Windows 2000 mit Active Directory nach Linux OpenLDAP,
Samba und Kerberos
Die Ablösung von Windows 2000 mit Active Directory durch ein Linux basiertes System
ist grundsätzlich möglich, jedoch funktionieren einige Teile anschließend etwas anders
als vorher. Mit der aktuell stabilen Version von Samba kann eine Windows 2000 Server /
Active Directory Architektur nicht vollständig nachgebaut werden. Wo die Unterschiede
hinsichtlich der Authentisierung liegen, wird nachfolgend im Rahmen der Betrachtung
des Migrationspfades erläutert.
Seite 215