RedHat in Active Directory einbinden - was bringt's?

[-eraz-]

Hallo,

leider finde ich keine wirklich brauchbaren Informationen zu diesem Thema. Also frage ich mal Euch. Welche Vorteile bringt es, ein RedHat in eine Windows2003 Domäne einzubinden?
Bisher habe ich nur herausfinden können, dass bei einem Samba Server die Authentifizierung der Benutzer in der Windows Domäne stattfindet. Ist dies schon der einzige Nutzen ein RHEL ins Active Directory einzubinden, oder gibt es noch weitere?

 

[T-One]

Klar, du kannst auch die Benutzerauthentifizierung für die Anmeldung übers AD laufen lassen. Dazu gibt es auch einige brauchbare Managementprogramme mit denen du über die Windows MMC dann auch Linux-Server administrieren kannst (z.b. zenwork)

Interessant wäre aber zu wissen was du mit dem Rechner machst, dann könnt ich dir auch ein Paar brauchbare Szenarien nennen....

 

[marce]

Frech gesagt: Wenn einem selbst nicht einfällt, was es bringen soll - dann bringt es meist für den konkreten Anwendungsfall auch nichts.

 

[-eraz-]

Ich woll mich einfach mal von den Möglichkeiten überraschen lassen.

Also der Grund warum ich überhaupt auf dieses Thema gekommen bin ist folgender:
Eine andere Abteilung in unserer Firma soll den "Betrieb" unserer Server übernehmen d.h. sie sollen rudimentäre Aufgaben ausführen. Wie z.b. Neustart des Servers bei Problemen, Dienste neu starten, Festplattenauslastung kontrollieren etc. Praktisch wäre es natürlich, wenn sie dies gleich mit ihrem User in der Windows Domäne machen könnten. Aber ich stelle mir halt die Frage, ob ich dies alles Berechtigungsmäßig überhaupt steuern kann.

 

[T-One]

Eine andere Abteilung in unserer Firma soll den "Betrieb" unserer Server übernehmen d.h. sie sollen rudimentäre Aufgaben ausführen. Wie z.b. Neustart des Servers bei Problemen, Dienste neu starten, Festplattenauslastung kontrollieren etc. Praktisch wäre es natürlich, wenn sie dies gleich mit ihrem User in der Windows Domäne machen könnten. Aber ich stelle mir halt die Frage, ob ich dies alles Berechtigungsmäßig überhaupt steuern kann.

Wenn Personen aus einer anderen Abteilung mit den Linux-Servern "arbeiten" sollen und es bei der Abteilung keinen wirklichen Linux-Admin gibt ist vielleicht ein Test der LikeWise-Produkte[1] überlegenswert.
Damit hast du eine komplette Einbindung von Linux-Maschinen ins AD und Administrationsmöglichkeiten über die MMC (reboots, eventlogs, servicemanagement usw.)
Wir haben LikeWise-Enterprise selbst im Betrieb und für größere gemischte Netzwerke ist es sehr empfehlenswert.


Dann gibts noch was von einer Firma namens InterStructures die ein MMC-Snap-In für Linux-Administrationen anbieten, jedoch wurde die Firma vor einiger Zeit aufgekauft und ich kenne den jetzigen Namen des Produkts nicht, aber google wird dir da sicher helfen.

Was dir aber vielleicht auch schon reicht ist eine simple Webmin installation mit AD-Auth, damit du die zur Administration berechtigten User/Gruppen im AD pflegen kannst.

[1] http://www.likewise.com/

 

[-eraz-]

Danke für den guten Tipp

Ich habe nun Likewise Open heruntergeladen und installiert. Funktioniert sehr gut, der Server hängt in der Domäne und Authentifiziert Benutzer durch sie.
Hab da allerdings mal ne securitytechnische Frage: Ein herkömmlicher User darf einen Befehl wie ifconfig oder chmod nicht ausführen. Aber das ist so unglaublich leicht zu umgehen, dass mich das schon sehr beunruhigt.
Man braucht sich als normaler User nur den Befehl chmod aus /sbin ins Homeverzeichnis zu kopieren und von da aus ist der Befehl auch schon auf alles anwendbar für den normalen Benutzer. Ich bin ehrlich gesagt schon sehr überrascht, dass das so einfach ist. Als normaler User kann ich ja quasi trotzdem alles mit nur wenig Aufwand machen.

 

[T-One]

Das sollte nicht funktionieren, les dir nochmal die LikeWise-Doku genau durch, ich glaube du hast da was mit den Berechtigungen falsch gemacht.

 

[-eraz-]

Hmm, seltsam, plötzlich funktioniert es nicht mehr. Vielleicht hab ich das versehentlich mit root gemacht...

Also alles in allem funktioniert das alles ganz toll muss ich sagen.
Eine Frage hätte ich da aber noch: Kann ich Berechtigungen auf einzelne Befehle nur mittels sudoers File vergeben, oder gibts da auch ne einfachere Variante?

 

[marce]

auf welche Befehle?

Je nach dem geht's auch über Gruppenzugehörigkeit und Userkennung. Sudo an sich ist aber eigentlich recht komfortabel und nebenbei auch noch sehr fein granulierbar...

 

[-eraz-]

Welche Art von Befehlen wird sich wohl erst noch mit der Zeit herauskristallisieren. Aber ein typisches Beispiel wäre jetzt mal der reboot Befehl.

Das Problem an Sudo ist, ich kenn mich damit nicht wirklich aus.
Aber wenn's wirklich die beste Möglichkeit ist, dann werd ich mich wohl damit mal ein wenig beschäftigen.