Centrale gebruikers authentificatie voor NT4/5 HPUX en Linux

[qless]

Wat zou ik het best hiervoor kunnen gebruiken?
RADIUS of LDAP? of een vorm van Samba? of NIS verhaal?

Systemen:
HP UX 9/10.2/11 (9 vervalt binnenkort)
Linux Slackware 8.0
Windows NT 4 Servers
Windows NT 4 Clients
Windows 2000 Clients
Windows XP Clients
Windows 95

Bedoeling is dus 1 server te gebruiken voor authentificatie van al deze systemen. (eventueel ook de squid proxy server e.d.)

[mavink]

Ofwel linux-server met samba gebruiken als authenticator, ofwel via een pam-module (was het nou pam_smb of smb_pam?) de linuxmachines laten authenticeren bij een Windows domaincontroller. Beide opties werken volgens mij zonder problemen.

[wica]

Jammer genoeg is samba met pam_auth niet genoeg.

Die windows clients/servers kunnen via samba
Linux kan via NIS(+) of LDAP het beste gaan.
Weet miet wat HPUX doet. Maar denk ook wel een vorm van ldap.

Wat ik in de tussen tijd geleerd heb. Is dat LDAP de beste oplossing is.
Het is vrij veel werk. Maar als je een maal de basis van LDAP draaiende hebt. Zul je er veel meer in onder brengen voor je user auth.

Ops. Zie dat je ook squid proxy auth wilt gaan gebruiken. Dan kan je niet zonder LDAP als je te minste niet op 100 plaatsten users wilt aanmaken en passwd's wilt aanmaken/veranderen.

Voor mee info mail me ff

[MoBi]

Novell heeft daar iets iedeaals voor uit gevonden: E-Directory. Maar ja, je hebt geen novell. Of zou je een novell server erbij kunnen plaatsen?

[wica]

E-Directory draaid toch ook op linux? of was dat alleen de client?

[Mark]

E-Directory draait niet op HP-UX (alleen Solaris en Linux). Ik denk dat LDAP de beste keus zou zijn hiervoor, aangezien al deze systemen kunnen communiceren met LDAP. Het is trouwens niet belangrijk wat je clients zijn, het gaat erom wat de server platformen kunnen spreken.

Eventueel zou radius ook nog een mogelijkheid zijn, echter zou ik voor LDAP gaan, dit omdat dit ook werkt met een directory-structruur (alla NDS/AD) en hier meer toekomst in zit als in radius.

[mvdejong]

NIS/NIS+ is voor alle platforms beschikbaar, en makkelijker dan LDAP om op te zetten, maar LDAP heeft de toekomst en is waardevoller om als ervaring op je CV te kunnen zetten (ik weet niet of je beschreven probleem hobby of werk is).

[wica]

Is NIS(+) beschikbaar voor Windows en Mac ?

[mavink]

pam_smb is volgens mij ook wel onder HPUX werkend te krijgen. Of heeft dat helemaal geen PAM ondersteuning?
Anders is LDAP inderdaad ook een optie. Kan vast wel in combinatie met Active Directory ofzo, of anders een LDAP-server op een linuxplatform.

[wica]

HPUX ondersteund PAM

[qless]

Novell komt er hier niet meer in de ICT manager is blij dat ie niet NOG een systeem erbij heeft. (net als mac, ook eruit)

Dus ik zou het best op (voorkeur) HPUX een LDAP server draaien, en vervolgens op alle HPUX en Linux machines LDAP clients en op de NT PDC een LDAP client moeten hebben.

Kan je dan met LDAP aparte "groepen" aangeven?
Zodat ik kan zeggen "Pietje" zit in groep NT, groep UX en groep SQUID, en mag dus van de systemen gebruik maken, maar niet van bv Linux?

[Sihaya]

Als je al een NT pdc hebt kun je ook winbind gebruiken. Dit draait op hpux en linux. Het zorgt voor de authenticatie en de name services.

qless schreef op 19 september 2002 @ 09:45:

Kan je dan met LDAP aparte "groepen" aangeven?
Zodat ik kan zeggen "Pietje" zit in groep NT, groep UX en groep SQUID, en mag dus van de systemen gebruik maken, maar niet van bv Linux?

Pam-ldap ondersteund dit standaard maar je moet wel een aangepast schema gebruiken kijk anders op open-it.

[Verwijderd]

Wij gebruiken een NT PDC als autthenticator, en op linux gebied gebruiken we samba/winbind voor intergratie met de NT authenticator.

Het idee is als volgt: Elke (*nix) service die gebruik kan maken van pam en samba/winbind kan zijn authenticatie uitlaten voeren door pam_winbind.so. In feite worden de username /passwrd combinatie naar de NT pdc gestuurd, die een goed / fout code terug stuurd.

Wij hebben op deze mannier sendmail / pop3 / squid / telnet en ssh werkend gekregen.

Er zijn 3 gotha's om rekening mee te houden.
pop3 en squid gebruiken plain text authenticatie, zodat je dit eigenlijk alleen in een trusted omgeving kan gebruiken

winbind genereerd bij starten dynamisch UID's en GID's. Deze worden niet gecached, maar worden als samba opnieuw gestart worden opniew gegenereerd. Je moet het start script dus uitbreiden met een chown script wat de homedirs en /var/spool/mail rechten fixed.

als je sendmail op deze mannier gebruikt, ben je afhankelijk van de NT pdc, mocht deze onderuit gaan, wordt alle mail gebounced als user unkown. Je moet dus ook een soort watchdog script gebruiken wat sendmail stopt indien pdc niet meer bereikbaar is.

Afgezien van deze 3 tekortkomingen, werkt het hele concept perfect bij ons, en is nu ongeveer een 7 maanden in productie.

[Verwijderd]

toevoeging:
Ondersteuning van verschillende groepen is denk ik niet, zover ik weet, maar in de pam config kan je gebruik maken van pamlistfile.so (wordt standaard gebruikt bij ftp) zodat je naast /etc/ftpusers ook een /etc/squidusers en een /etc/sshusers etc kan maken. Gebruikers die hier in staan kunnen dan niet inloggen.
Let wel ff op de rechten van die file, want bv squid draaid onder group nogroup dus, rechten op /etc/squidusers moet dus zijn root:nogroup en mode 640 .
Voor squid gebruiken we dan:
auth required pam_listfile.so item=user sense=deny file=/etc/squidusers onerr=fail
Meestal wordt er gebruik gemaakt van onerr=succeed, maar als het dan niet werkt zie je nix terug in de logfiles, en op deze mannier dus wel.