In heterogenen IT-Umgebungen steht man immer wieder vor der Herausforderung ein zentrales Management zu realisieren. Neben Linux-Computern bieten wir an unserer Forschungseinrichtung einen zentralen Windows-Dienst an. Um diese virtualisierte Windows-Umgebung auf dem aktuellsten Stand halten zu können, ist der Einsatz von Active Directory oder Samba4 inzwischen unumgänglich geworden. Damit standen wir vor der Aufgabe unser aktuelles Management bestehend aus OpenLDAP, Samba3 und Kerberos zu überarbeiten.

1. Zentrales Nutzer- und Hostmanagement
für Linux und Windows
Migration einer gewachsenen IT-Infrastruktur mit
erheblichen Altlasten
Markus Then
Max-Planck-Institut für Kognitions-
Und Neurowissenschaften
Mail: thenmarkus@cbs.mpg.de

2. Unser Institut
Warum UCS?
Herausforderungen
Infrastruktur während der Umstellung
Synchronisation der Daten
Kerberos Cross-Realm-Trust
Schwierigkeiten beim Umstieg
Gliederung

3. Unser Institut
600 Nutzer Accounts
1000 Hosts
Davon rund 200 Windows Laptops / PCs
Großteils Linux-Workstations
Zentraler Windows-Dienst (Citrix)
Kerberos als Single Sign-on Lösung

4. Warum UCS?
AD für neuere Windows-Versionen
Umstieg von Samba3 auf Samba4 notwendig
Unterstützte Upgrade-Pfade
App-Center
Inzwischen freie Software
LDAP als führendes System
Komfortable Weboberfläche
Große Community

5. Herausforderungen
Schlagartige Migration zu riskant
Simulation zu aufwendig / nicht aussagekräftig
Migration im laufenden Betrieb
Migration muss schrittweise erfolgen
Viele spezielle Anforderungen

6. Infrastruktur während der Migration
LDAP
KerberosSamba3
DNSDHCP
UCS
LDAP
Kerberos Samba4
DNSDHCP
MPI
Sync
Trust

7. Synchronisation der Daten
Aktuell nur Nutzer und Gruppen
Mittels udm und ldapmodify
Reset der Counter für die GIDs und UIDs
Vorsicht beim Setzen der RID

8. Kerberos Cross-Realm-Trust
Funktioniert nicht mit Samba-Kerberos
Verwendung eines zusätzlichen Heimdal-Servers
Aktuell:
Nutzermanagement der Workstations hängt an Heimdal-Kerberos
Server noch am alten Kerberos
Problem:
Heimdal und Samba vertrauen sich nicht
Alle Dienste hängen am Samba (z. B. LDAP)

9. Schwierigkeiten beim Umstieg
LDAP Kerberos Authentifikation
Abstimmen der LDAP ACLs
Zusätzliche Passwort-Hashes
Hosts mit mehreren Netzwerkinterfaces
MAC, IP, Name, VLAN
Workflow / Self-Service
PXE-Installationen

10. Vielen Dank für
Ihre Aufmerksamkeit
Kontakt
Markus Then
Max-Planck-Institut für Kognitions-
und Neurowissenschaften
Mail: thenmarkus@cbs.mpg.de
Web: www.cbs.mpg.de