Как лучше организовать доменную сеть и централизованную аутентификацию?

Question

[Илья Круглов]

Доброго времени суток!
Предисловие:
Стоит задача развернуть доменную сеть в организации. На данный момент 40 сотрудников, но планируется масштабирование до нескольких сотен.
Сеть гетерогенная - пользовательские хосты как на винде, линуксе, маках.
Хотелось бы использовать опенсорсное решение (бесплатно/импортзамещение), при этом чтобы было удобно в администрировании: GUI, документация/есть решения проблем в интернетах.
Файловая шара не нужна, от домена в первую очередь требуется централизованная аутентификация к внутренним ресурсам компании.
Например УЗ домена example.corp.ru логин i.v.pupkin, пароль qwerty123.
Она же должна подходить к внутренним веб-порталам, jira, bitrix24, gitlab, OpenVPN и множество других прочих сервисов.
Предварительно понравилось решение Samba DC + управление через RSAT, но есть подозрение что данное решение может не подойти.
Как я понял, за "магию" централизованной аутентификации отвечает протокол LDAP. На просторах интернета нашел местами противоречивую информацию (либо я не понимаю).
Просьба подсказать по следующему ряду вопросов:
1) Присутсвует ли LDAP сервер в решении Samba DC? Подходит ли Samba для организации централизованной аутентификации?
2) Samba AD DC несовместима с OpenLDAP?
3) Прочитал что Samba AD DC функционирует на уровне контроллера доменов Windows 2008 R2. Что это значит с точки зрения возможного функционала?
4) Например из документации гитлаба, в перечне поддерживаемых служб каталогов, Samba DC отсутствует. Или же подразумевается что Samba полностью эмулирует Microsoft AD?

P.S
Возможно стоит присмотреться к решению freipa (Не забываем про виндовс и мак машины)?
Но, к сожалению, документации и примеров решения проблем в сети крайне мало.
Свои скилы вижу крайне умеренными, по большей части админил организации на уже на существующей инфраструктуре.

Спасибо за внимание!

Answer 1

[CityCat4]

Присутсвует ли LDAP сервер в решении Samba DC? Подходит ли Samba для организации централизованной аутентификации?

Да, присутствует. Более того - он и в AD присутствует :) Любой контроллер домена можно открыть любым LDAP-браузером и ldapsearch работает прекрасно.
Да, подходит.

Samba AD DC несовместима с OpenLDAP?

В смысле? openldap - часть самбы (в том смысле, что используется в ней, а не часть проекта). Вы совместимы со своей рукой?

Прочитал что Samba AD DC функционирует на уровне контроллера доменов Windows 2008 R2. Что это значит с точки зрения возможного функционала?

Что домен MS увидит в самбе контроллер домена уровня w2k8

Например из документации гитлаба, в перечне поддерживаемых служб каталогов, Samba DC отсутствует

Самба не является отдельной уникальной службой каталогов, это просто AD не на Windows. Причем AD, лишенная многих виндовоспецифичных фишек и поэтому довольно бесполезная. Годится только с голодухи для импортозамещения
Единственное, известное решение кроме самбы - это IPA.
Все, кто поддерживает AD - поддерживает и самбу (а вот причем тут openvpn - я не понял)

Comments

[shurshur]

openldap не часть самбы, это самостоятельное явление, более того, самба может работать без openldap вообще, а openldap без самбы, и основна функция самбы - всё-таки просто сетевые шары.

[CityCat4]

shurshur, Разумеется, openldap - самостоятельный проект, я просто к тому, что он в самбе испольузется. Ну, а насчет основной функции - я бы поспорил :) Вот например, я запускаю только winbindd, чтобы юзеров доменных знать - зачем мне сетевые шары? Это когда-то было да, основной целью было имитировать сеть винды, но самба давно переросла этот уровень.

[shurshur]

CityCat4, он в самбе не используется, а может использоваться, а может и не использоваться. Пользователей можно хранить не только в ldap в принципе, равно как и ldap может быть необязательно openldap.

[Илья Круглов]

CityCat4, Большое спасибо за объемный ответ!
Просто в официальной доке прочитал , что OpenLDAP не относится решению самбы.
Иначе говоря, правильно ли я понимаю, в комплексном пакете самбы - свой проприетарный каталог LDAP максимально приближенный к редакции Майков?

Причем AD, лишенная многих виндовоспецифичных фишек и поэтому довольно бесполезная.

Если не затруднит, можно ли чуть более подробнее? Интересен ваш опыт эксплуатации данного решения.

Домен MS увидит в самбе контроллер домена уровня w2k8

А как это может влиять на функционал? Гугл ничего интересного не рассказал, скорее какие то обновы безопасности.

Что в целом думаете об опенсорсных доменах (ИПА/самба)? Понятно, что под каждую задачу - свой инструмент. Но при условиях возможного масштабирования организации, удобно ли админить все это хозяйство? Перечитав множество информации, часто встречал мнение что по итогу со старой доброй AD спокойнее и удобнее (Безусловно, дело и в прямых руках). Хотелось бы настроить и по большей части не вспоминать.

Спасибо за внимание!

Answer 2

[ky0]

Файловая шара не нужна, от домена в первую очередь требуется централизованная аутентификация к внутренним ресурсам компании.

Вам нужен не домен, а LDAP-каталог в каком-то виде. Берите FreeIPA, там есть вебморда. В Самбе много лишнего и в целом она монстроузная.

Comments

[Илья Круглов]

Большое спасибо за ответ!
1) Подскажите пожалуйста, но ведь freeipa это тоже домен? Просто со своим набором служб/сервисов, отличающихся от редакции Майков?
2) Как я понимаю, freeipa не умеет в GPO? Бегло ознакомился с сайтом проекта, не совсем понимаю для какой цели строят доверительные отношения между доменом AD и freeipa (кейс на примере когда это может потребоваться?)
3) Из официальной доки, не совсем понял, как обстоит с поддержкой маковских клиентских машин. У вас был опыт эксплуатации маков в домене IPA?

Прошу прощения за сумбур в вопросе, тематика новая - пытаюсь разобраться =)

[ky0]

Илья Круглов, вам нужно (судя по описанию вопроса), чтобы пользователи заходили с одними и теми же централизованно управляемыми реквизитами в разные сервисы - это реализуется с помощью LDAP-каталога. Какая ОС у пользователя для логина во внешние сервисы - без разницы.

Домен нужен, если хотите централизованно управлять парком машин на винде. FreeIPA этого не предоставляет, максимум - SSSD на линуксе.