Názory k článku Nastavení LDAP serveru

Existuje nejaky blbuvzdorny klikatko useru do ldapu vcetne kontroly,generovani unikatnich identifikatoru,generovani widlich hashu na hesla a moznosti skriptovani?
Veskery nastroje(phpldapadmin,gosa,ldapadmin atd) co jsem videl byly dost slozity pro BFU a neumoznovali nadefinovat treba ktere atributy se maji generovat z kteryho skriptu a ktery atributy uzivatel zada rucne.
Zatim pouzivame na jednoduchy zadavani useru program usrmgr z windows nt. Ten ma ale tu nevyhodu je jednak zavislej na sambe, ktera stejne vola skripty ze smbldap-tools a tim padem nemuzu primo nadefinovat ostatni atributy. Kuprikladu atribut mail nebo mailquota.
BFU musi zadat jenom jmeno,prijmeni,skupinu,eventuelne shell program doplni nejaky vygenerovany heslo a konec. Login se vytvori ze jmena a z prijmeni {nejakymskriptem},mail se vytvori{nejakymskriptem}. Cely by to mohlo zvladat import useru aspon z csv.

Pokud vám nevyhovuje phpldapadmi (skutečně jsem ho musel upravit)tak snad jedine použít Novell SuSE Linux Enterprise server. Tam je vše řešeno pomocí Yast v grafice a česky.

Co takhle lam http://lam.sf.net

Docela mi to teď vytrhlo trn z paty. Zrovna potřebuji přetáhnout samba účty do LDAP. Jinak u nás ve firmě jsem to rozchodil už někdy před třemi lety. Ale stále je co se učit.

Migrujete-li sambu z smbpasswd na ldap, doporučoval bych prostudovat nejen tento článek, ale především dokumentaci k sambě: http://us4.samba.org/samba/docs/man/Samba-HOWTO-Collection/passdb.html

Převod účtů ze smbpasswd na ldap podle tohoto článku mi připadá zbytečně složité, když stačí nakonfigurovat správně sambu, uvést v konfiguraci OBA backendy:

passdb backend = passwd, ldapsam:ldap://ldapserver.domena.cz/

a pak spustit pdbedit:

pdbedit -i passwd -e ldapsam

LDAP používám již dlouho, avšak mám ještě několik nedořešených věcí. Možná jste měli stejné problémy a podařilo se Vám je lousknout a můžete se podělit o zkušenosti.

1. Potřeboval bych, aby se na notebooku rovněž mohl přihlásit do Linuxu, ikdyž primární LDAP server je nedostupný, například na cestách apod. Má někdo nějaké funkční řešení? Jak je to řešeno například v Novell eDirectory, nebo v řešení od RedHat?

2. Jak v LDAP evidovat systémové proměnné prostředí u uživatele, tak aby se uživateli zapsaly do systému při přihlášení.

3. Jak v LDAP evidovat vyexportované sdílené položky NFS, tak aby se uživateli přimountovaly při přihlášení.

4. V KDE mi nešlo uživatelsky změnit heslo. Zřejmě nějaký problém mezi PAM a KDE. Pomocí příkazu v shellu to jde.

5. GUI pro kompletní zprávu uživatelských účtů mně rovněž chybí. Tj. můžete mi zkusit poslat návrhy jak by GUI mělo vypadat a co by mělo umět, někdy bych to snad naprogramoval.

>1. Potřeboval bych, aby se na notebooku rovněž mohl přihlásit do Linuxu, ikdyž primární LDAP server je >nedostupný, například na cestách apod. Má někdo nějaké funkční řešení? Jak je to řešeno například v >Novell eDirectory, nebo v řešení od RedHat?

http://www.zdenda.com/pam_ccreds

add 2.

asi bych to delal scriptem v /etc/profiles.d ...

>3. Jak v LDAP evidovat vyexportované sdílené položky NFS, tak aby se uživateli přimountovaly při >přihlášení.

kouknul bych na automount ... mam pocit, že umi kouknout do ldap ...

uz jsme to nasel ... http://ldap.zdenda.com/#id2803661

By me zajimalo, proc kdysi kdosi citil potrebu vymyslet LDAP :) Krome toho, ze nemel co delat... :)

To je jednoduché, LDAP vymysleli právě proto, že měli co dělat. Trápili se totiž s X500 no a tak si to zjednodušili LDAPem :-)

Tak jsem ted chtel presunout ucty pocitacu z ou people do ou computers aby v tom nebyl takovej bordel a se zlou jsem se potazal.
Jsem myslel ze staci po presunu akorat editovat smb.conf a ten konfigurak smbldap-tools. Chyba lavky.
Treba pri zadani getent passwd nevypise ucty pocitacu coz evidentne vadi akorat te sambe(widli klienti hlasi ucet compu v domene nenalezen), i kdyz ma spravne zadano ze compy ma hledat v ou=Computers. Cili otazkou jest, proc to ty sambe vadi a jestli ji to vadi tak jak to nastavit aby nss prohledavalo i ou=People a ou=Computers.

A jeste jedna vec. Podle predchoziho clanku nss tam taky hleda ucty jenom v ou=People a presto to zrejme tady lidem funguje. Japato?
Nevi nekdo jak z bahna ven?

Do /etc/ldap.conf (konfigurace pro nss_ldap):

....
nss_base_passwd dc=firma,dc=cz?sub
nss_base_shadow dc=firma,dc=cz?sub
nss_base_group ou=Group,dc=firma,dc=cz
....

Oním ?sub nss_ldap sděluji, že má prohledávat celý podstrom. Samozřejmě můžete mít adresářovou strukturu vytvořenou trochu jinak, ale teď už by pro vás snad neměl problém si příklad upravit.

Dekuji za odpoved. Stale je co se ucit:) Ted jsem zkousel trosku zaexperimentovat s dalsi moznosti na sekundarnim radici domeny a kupodivu to taky funguje. Prijde mi lepsi prohledavat jenom dve ou, protoze pri prohledavani celyho stromu by lezl jinak do jinych ou kde mam jine veci. Proste jsem uvedl kde ma hledat pro kazdou ou zvlast.

nss_base_passwd ou=People,dc=firma,dc=cz?one
nss_base_passwd ou=Computers,dc=firma,dc=cz?one

nss_base_shadow dc=People,dc=firma,dc=cz?one
nss_base_shadow dc=Computers,dc=firma,dc=cz?one
nss_base_group ou=Groups,dc=firma,dc=cz?one