Active Directory与OpenLDAP


16

这适用于尚未实施任何集中式用户数据库的小型公司(12个开发人员)-他们已经有机成长,只是根据需要在计算机上创建了帐户。

从管理的角度来看,这是一场噩梦-10台计算机都具有不同的用户帐户。如果将用户添加到一台计算机,则需要将他们手动添加到所有其他用户(他们需要访问)上。这远非理想。向前发展并发展业务将意味着随着增加/雇用更多计算机/用户而成倍地增加工作量。

我知道,有些类型的集中用户管理的迫切需要。但是,我在Active Directory和OpenLDAP之间进行辩论。当前的两个服务器充当简单的备份和文件共享服务器,均运行Ubuntu 8.04LTS。这些计算机是Windows XP和Ubuntu 9.04的混合体。

我没有使用Active Directory的经验(或者说真正的OpenLDAP,但是我对Linux感到很满意),但是如果一种解决方案胜过另一种解决方案,那么我就可以保证学习到这一点。

前期成本并不是真正的问题,总拥有成本则是。如果Windows(我假设是SBS?)可以为我节省足够的时间来弥补前期成本的增加,那么我认为我应该采用该解决方案。

对于我的需求,我应该考虑实施哪种解决方案?

编辑:电子邮件托管在异地,因此不需要Exchange。


1
不要忘记OpenDS,它可能比OpenLDAP更稳定。
约书亚

Answers:


13

如果我正确阅读了您的问题,请坚持使用开源:

  • 你不在乎交换
  • 您不需要对XP设置进行细微的控制-我喜欢组策略,主要是为了避免管理员/销售人员的身亡,开发人员大多需要我保持冷静
  • 使用* nix比使用Windows更舒适

AD可以很好地管理窗口,但是如果您不需要它,则可以购买自己的学习曲线,而这可能不会带来很多好处。

2警告

  • 如果您有时间/兴趣将自己更多地投入到MS方面,这是一种提供这种方法的好方法。
  • WSUS是控制工作站/服务器补丁的好方法。如果您不能只翻转所有机器上的“自动”开关,则可能会将余额推到SBS(如果SBS是否为WSUS?)

对于“您比Windows更好地使用* nix,” +1,对我而言,这是决定性因素。
Maximus Minimus 2009年

1
SBS“确实”获得了WSUS。WSUS 3.0将安装Windows Server 2003及更高版本。在NT 4.0天内完成了相当数量的Samba,我无法回想起,就像我喜欢的那样。我终于崩溃了,购买了Windows Server 2003 家用许可证(自从97以来,我一直在这里使用Samba作为服务器),因为我想要WSUS和组策略(全部用于两(2)台笔记本电脑和两台( 2)台式机)。组策略不仅用于“锁定台式机”,还用于部署软件,使PC的添加/移动/更改完全自动化,并且通常使事情完全自动化。
Evan Anderson

+1表示我认识到* nix比Windows更舒适,即使我自己很快就将其解雇。由于缺乏资金,我最终不得不这样做。弄清OpenLDAP一直是一个挑战,但应该有所作为。
2009年

您提到服务器正在运行Ubuntu,但是您的工作站正在运行Windows。这是否与应用程序环境有关,即仅某些软件的Windows版本?您可能希望针对应用程序前景制定一个计划,并考虑基于该计划的* IX / Windows服务器。
PdC

19

您将从Active Directory中获得很多不错的功能,而OpenLDAP则没有。其中最主要的是单点登录(即,一个在所有客户端和服务器计算机上均可使用的用户帐户)和组策略。

我喜欢开源软件,但是在Samba 4成熟之前,Active Directory可以为Windows 2000和更新的客户端计算机提供最佳的管理体验。

如果不使用第三方软件,则Windows XP客户端将没有基于标准的LDAP身份验证。在以下位置阅读我的回答:Kerberos与Windows XP的集成-使用OpenLDAP的体验将非常相似(除了您需要像pGINA这样的第三方软件才能使LDAP身份验证有效):如何使Windows XP进行身份验证kerberos或heimdal

是否使用Windows Small Business Server取决于您要花费什么(SBS的初始成本和客户端访问许可证的成本比“普通香草” Windows更多),以及您是否将从其他“特征”。我更喜欢将Windows SBS看作是廉价的Windows和Exchange捆绑软件(具有我从未使用过的过于复杂的设置和粗糙的管理工具。)我倾向于像“普通” Windows和Exchange Server计算机一样管理Windows SBS,并且它可以正常工作这样很好。

具有Active Directory,Microsoft DHCP / DNS,WSUS(向客户端计算机提供更新)和一些组策略对象(用于处理配置用户/计算机环境和安装软件)的Windows Server将极大地减轻您的管理负担,并使添加将来的计算机变得容易。Exchange的启动和运行并不困难(最大的问题与使您的邮件从Internet流向它有关-因此,很多人似乎并不了解DNS和SMTP如何协同工作)。

假设您的安装是由一个知道他们在做什么的人执行的,并且事后您会妥善处理,那么它将在没有很多管理麻烦的情况下运行良好。我注销那些抱怨Windows和Exchange不可靠的人,因为他们通常会遇到问题,因为他们要么(a)使用劣等硬件并从长远来看付出代价,要么(b)没有能力管理软件。我的Windows SBS安装可以一直追溯到4.0版本,并且在安装后的好几年内都可以运行-您也可以安装一个。

如果您对这些产品没有任何经验,我建议您与信誉良好的顾问合作执行安装,并开始着手进行管理。如果知道的话,我会推荐一本好书,但是我对几乎我所读的所有书都感到不满意(通常似乎在现实生活中的例子和案例研究中都缺少这些书)。

有很多顾问可以让您廉价地投入使用(假设您要自己进行“批量”工作,那么您正在谈论的设置就好像花了一天半到两天的时间基本的Windows和Exchange安装,对我来说),并可以帮助您“学习精髓”。如果您选择这样做,则大部分工作将用于迁移现有用户环境(将其现有文档和配置文件迁移到其新AD帐户的漫游用户配置文件中,并重定向“ My Docuemnts”文件夹等)。(我会这样做,因为从长远来看,它将使用户更快乐,更高效。)

您应该计划使用某种备份设备和备份管理软件,即带有冗余磁盘的服务器计算机(最低 RAID-1)以及某种电源保护(UPS)。我希望使用低端服务器,许可成本以及可以在门口安装Windows SBS的电源保护硬件,价格大约为$ 3500.00-$ 4000.00。就个人而言,我会为您指定大约10到20个小时的设置工作,具体取决于您对需求的熟悉程度以及您要教的多少工作,而不是由安装程序来完成。

这是我在像您这样的部署中看到的典型安装任务的高级列表:

  • 物理设置服务器计算机,UPS等
  • 安装Windows,Exchange,WSUS,基础结构服务,Service Pack,备份管理软件,UPS管理软件等。
  • 讨论文件共享(权限,共享文件位置,目录层次结构)。
  • 创建用户帐户(漫游配置文件文件夹,“我的文档”文件夹等),安全组,通讯组,基本GPO。
  • 讨论现有电子邮件数据的迁移并制定策略,更改DNS以将电子邮件直接带到Exchange。
  • 讨论将用户环境迁移到新的AD帐户。如果需要培训以进行迁移,请制定迁移程序。
  • 执行客户端计算机和用户配置文件到域的试验迁移。
  • 讨论日常sysadmin任务(密码重置,更改用户组成员身份,查看备份成功/失败通知,监视WSUS和更新安装),讨论常见问题,疑难解答和解决方案,进行问答环节。
  • 为以后的活动提出建议(自动安装软件,VPN连接等)

我正在使用两台Ubuntu服务器来处理UPS上的备份(均为RAID 10)。我拿到的好书是“系统和网络管理的实践”
Cory Plastek 09年

Limoncelli的书还可以,请记住,那是麦当劳的IT管理学院(用户是客户,必须与该电子邮件保持愉快的联系吗?)ITIL / MOF方法首先是从企业角度出发,用户是副作用的想法。
吉姆B

3
在上述声明中,“ RAID”一词非常接近,这让我有点烦恼。“ RAID不是备份”还不够多。也许您说的是“我要去”复制的Windows Server内容,定期,到Ubuntu的服务器之一“我不会进入宗教夸夸其谈这里,但我会表征策略AA次优的备份策略。
埃文安德森

1
实际上,Samba 3仍然仅提供NT级别的身份验证服务... Samba 4最终将提供AD级别的身份验证。
艾利·佩恩

@Avery:我的糟糕-您是对的:Samba版本!我脸上的蛋...
Evan Anderson

4

OpenLDAP可用于检查密码,但是它主要是一种集中管理身份的方法。AD集成了ldap,kerberos,DNS和DHCP。它是一个比OpenLDAP本身更全面的系统。

从管理角度来看,您可以简单地将AD安装在一对win2k3服务器上,并将所有的UNIX系统指向它,并且仅将AD服务器用于密码检查。使带有pam的unix系统使用kerberos进行密码检查以及使用本地密码文件进行授权非常简单。它不像完整的AD集成那样好,但是实现起来也不容易。

AD linux集成的优缺点

使用AD作为kerberos服务器来验证本地帐户


1

您还应该看看基于Netscape LDAP代码库的Fedora目录服务器(现在显然是正式的“ 389目录服务器”)。它由RedHat以其品牌出售,因此得到了积极维护。我听说它在某些方面比OpenLDAP更好,尽管我自己从未使用过。在功能上,它可能比OpenLdap本身更接近于AD,后者实际上只是完全成熟的目录系统的核心。

还有Apache Directory Server,它是纯Java的,看起来也很活跃。


0

由于您都没有经验,因此学习曲线会产生成本(主要是时间)。从维护的角度来看,您真正需要触摸LDAP的唯一时间就是添加/删除帐户或修改帐户的属性(名称/地址更改)。两者都很容易做到。从实现的角度来看,这是您希望能够最轻松地与客户端进行通信的目录:Active Directory更容易,因为Windows客户端可以本地与域控制器和文档进行“对话”,从而允许Ubuntu /其他Linux从AD进行身份验证很容易。如果希望Windows客户端能够通过openLDAP进行身份验证,则需要SAMBA服务器侦听请求(openLDAP本身不会这样做)。


0

AD提供了诸如组策略和其他管理功能之类的东西,而使用openLDAP解决方案将很难做到这一点,安装Windows Server的基本部署并将其与XP / Vista / 7客户端集成起来非常容易,而Ubuntu客户端的集成则非常简单。与AD和openLDAP具有相当的难度。

诸如Suse SLES和Redhat Enterprise Server(或CentOS)之类的产品使Win和Linux的集成比Ubuntu或Debian Servers更加容易,但是要学习的东西仍然很多。

如果成本是一个问题,则可以使用Linux和一些其他软件(例如Nitrobit组策略)创建设置,该设置将允许相当数量的功能,但学习曲线却很陡。

By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.