Migrationsleitfaden Version 3.0

Ebenso muss genau analysiert werden, wie die zukünftige Verzeichnisstruktur aussehen
soll. Sicherlich ist es dabei nicht unerheblich, dass eine Ablösung des AD vorgesehen
ist.
2.2.2.1 Migration der Benutzer- und Maschinenkonten
Nach erfolgreicher Implementierung der DCs und des LDAPv3 basierten Verzeichnisdienstes
besteht die Möglichkeit, die notwendigen Benutzer-, Gruppen- und Maschineninformationen
per LDAP aus dem AD zu holen. Dabei muss beachtet werden, dass es
Unterschiede, vor allem in der Bezeichnung der Attribute im AD und im OpenLDAP-
Verzeichnis gibt. Diese müssen durch ein entsprechendes Mapping genau zugeordnet
werden.
Das grundlegende Problem bei der Übernahme dieser Informationen ist, dass die Credentials
aus dem AD nicht ohne weiteres mit übernommen werden können, da diese
durch die Kerberos-Implementierung verschlüsselt abgelegt werden. Es bestehen zwei
Möglichkeiten, diesem Problem zu begegnen. Eine der beiden Möglichkeiten kann wohl
als eine eher theoretische Möglichkeit angesehen werden, da sie einer längerfristigen
Vorbereitung bedarf und als relativ komplex angesehen werden kann. Dabei werden die
Credentials mittels einer Dynamic Link Library (DLL) auf einem AD Server immer dann
abgefangen, wenn diese durch einen Benutzer verändert werden, und in das OpenLDAP
Verzeichnis übertragen. Sollte ein Benutzer in der Zeit, in der diese Aktion durchgeführt
wird, keine Änderung vornehmen, müssten für diesen die Credentials auf einen Standardwert
bei der Übertragung der Informationen aus dem AD zurückgesetzt werden.
Bei der zweiten Möglichkeit werden zur Vereinfachung des gesamten Verfahrens die
Credentials für alle Benutzer zurückgesetzt. Dann ist die Migration für die Benutzer zwar
nicht mehr transparent, mit Blick auf die Verfahrensvereinfachung und den für die Migration
geringeren Zeitbedarf jedoch durchaus vertretbar.
Nach erfolgreicher Übernahme der Informationen aus dem AD können die Samba DCs
die Windows DCs entsprechend ablösen. Diese arbeiten dann wie Windows NT 4.0
DCs.
Abschließend sei noch darauf hingewiesen, dass Samba Version 3.x die Group Policy
Objects unter Windows 2000 nicht unterstützt. Der wesentliche Teil dieser GPOs kann
allerdings über System Policies und lokale Policies realisiert werden.
2.2.2.2 Migration der Kerberos-basierten Authentisierungsinfrastruktur
Eine Migration der Kerberos basierenden Authentisierungsinfrastruktur unter Windows
2000 Server mit AD ist nicht möglich. Dem steht vor allem entgegen, dass die entsprechenden
Schlüssel aus dem AD nicht übernommen werden können.
Will man auch in der neuen Umgebung eine Kerberos basierte Authentisierungsinfrastruktur
verwenden, dann muss eine entsprechende Infrastruktur neu aufgebaut werden.
Hinweise hierzu finden sich in Kapitel II.C 1.1.
Zu beachten ist, dass Gruppenrichtlinien mit den freien Implementierungen von Heimdal
und MIT nicht wie bei Windows 2000 mit Kerberos-Tickets übertragen werden können.
Microsoft hat hierzu eine proprietäre Erweiterung am Kerberos 5 Protokoll vorgenommen.
Seite 217