Active Directory - Versionsgeschichte

ThomasF: /* Kerberos */

2007-07-05T12:50:12Z

‎Kerberos

ThomasF: /* Probleme von Linux Clients bei der Anbindung an einem Microsoft Server */

2007-07-05T12:25:29Z

‎Probleme von Linux Clients bei der Anbindung an einem Microsoft Server

ThomasF: /* Kerberos */

2007-07-05T12:24:58Z

‎Kerberos

ThomasF: /* Passwortbasierte Methode */

2007-07-05T12:07:14Z

‎Passwortbasierte Methode

ThomasF: /* Passwortbasierte Methode */

2007-07-05T11:40:18Z

‎Passwortbasierte Methode

ThomasF: /* Passwortbasierte Methode */

2007-07-05T11:40:01Z

‎Passwortbasierte Methode

ThomasF: /* Passwortbasierte Methode */

2007-07-05T11:39:05Z

‎Passwortbasierte Methode

ThomasF: /* Passwortbasierte Methode */

2007-07-05T11:22:26Z

‎Passwortbasierte Methode

ThomasF: /* Passwortbasierte Methode */

2007-07-05T11:21:57Z

‎Passwortbasierte Methode

ThomasF: /* Passwortbasierte Methode */

2007-07-05T11:21:34Z

‎Passwortbasierte Methode

← Nächstältere Version		Version vom 5. Juli 2007, 12:50 Uhr
Zeile 116:		Zeile 116:

	Das Thema Kerberos ist etwas umfangreicher.		Das Thema Kerberos ist etwas umfangreicher.
		+
		+	Auch hier benötigen wir unter Linux ein paar Hilfs-Tools ... die Pakete sind wieder je nach Distribution unterschiedlich benannt (z.B krb5-user oder krb5-client ....)
		+	Nach der Installation dieser Tools und deren abhängiger Bibliotheken stehen uns ein paar neue Befehle zur Verfügung ( kinit, klist, kdestroy, kpasswd ...)
		+
		+
		+	... to be continued ...

	==Samba und die ADS==		==Samba und die ADS==

← Nächstältere Version		Version vom 5. Juli 2007, 12:25 Uhr
Zeile 141:		Zeile 141:

	Eine andere Lösung wäre in diesem Fall einen eigenen NFS Server unter Linux für die Linux Clients bereit zu stellen, und die reinen Daten der User an anderer Stelle einzubinden.		Eine andere Lösung wäre in diesem Fall einen eigenen NFS Server unter Linux für die Linux Clients bereit zu stellen, und die reinen Daten der User an anderer Stelle einzubinden.
−
−	~~... to be continued~~

	==siehe auch==		==siehe auch==

@@ Zeile 113: / Zeile 113: @@
 Im Prinzip also nur ldaps ( Port 636 ) anstatt ldap (Port 389)
 ===Kerberos===
 ==Samba und die ADS==

@@ Zeile 78: / Zeile 78: @@
 Die einfachste Möglichkeit unter Linux mit der AD Kontakt aufzunehmen ist bei der Verbindung mitzuteilen wer, welcher User,  die Verbindung wünscht, natürlich im Zusammenhang mit dem entsprechenden Passwort.
-''ldapsearch -x -Hldap://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''
+ ''ldapsearch -x -Hldap://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''
@@ Zeile 108: / Zeile 108: @@
-''ldapsearch -x -Hldaps://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''
+ ''ldapsearch -x -Hldaps://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''

← Nächstältere Version		Version vom 5. Juli 2007, 11:40 Uhr
Zeile 106:		Zeile 106:

	Wenn dann die Zertifikate erstellt und eingebunden wurden klappt auch der verschlüsselte Zugriff :		Wenn dann die Zertifikate erstellt und eingebunden wurden klappt auch der verschlüsselte Zugriff :
		+

	''ldapsearch -x -Hldaps://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''		''ldapsearch -x -Hldaps://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''

@@ Zeile 78: / Zeile 78: @@
 Die einfachste Möglichkeit unter Linux mit der AD Kontakt aufzunehmen ist bei der Verbindung mitzuteilen wer, welcher User,  die Verbindung wünscht, natürlich im Zusammenhang mit dem entsprechenden Passwort.
-<nowiki>ldapsearch -x -Hldap://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W
+''ldapsearch -x -Hldap://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''
-</nowiki>
 Wenn alles richtig konfiguriert ist sollte man nach der Eingabe des Administrator-Passwortes nun die Ausgabe des gesammten LDAP Baums bekommen. Unabhängig von den LDAP spezifischen Hintergrund, was zum Beispiel Objektklassen und Attribute betrifft kann man schon am Aufruf des oben gezeigten Aufrufs mehrere Dinge erkennen.
@@ Zeile 107: / Zeile 107: @@
 Wenn dann die Zertifikate erstellt und eingebunden wurden klappt auch der verschlüsselte Zugriff :
-<nowiki>ldapsearch -x -Hldaps://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W
+''ldapsearch -x -Hldaps://pdc.meinefirma.de -b "dc=meinefirma,dc=de" -DAdministrator@meinefirma.de -W''
-</nowiki>
 Im Prinzip also nur ldaps ( Port 636 ) anstatt ldap (Port 389)

← Nächstältere Version		Version vom 5. Juli 2007, 11:22 Uhr
Zeile 103:		Zeile 103:
	Nun beherrscht der Windowsserver jedoch einerseits keine TLS Verschlüsselung, anderseits ist es aber auch nicht zulässig z.B. über eine unverschlüsselte Verbindung Passwörter zu ändern, mehr noch Passwörter bzw. deren Hashes werden überhaupt nicht angezeigt. Man könnte also darüber diskutieren wozu es überhaupt Sinnvoll sein könnte diese Verbindungart zu wählen. Selbst wenn sich Linux-Clients hier Authentifizieren können ist es mit Sicherheit angebracht darüber nach zu denken diese Simple Binds zu verbieten. Und tatsächlich kann man über die Gruppen-Richtlinien auf dem Server eine verschlüsselte Verbindung erzwingen ( Network security: LDAP client signing requirements )		Nun beherrscht der Windowsserver jedoch einerseits keine TLS Verschlüsselung, anderseits ist es aber auch nicht zulässig z.B. über eine unverschlüsselte Verbindung Passwörter zu ändern, mehr noch Passwörter bzw. deren Hashes werden überhaupt nicht angezeigt. Man könnte also darüber diskutieren wozu es überhaupt Sinnvoll sein könnte diese Verbindungart zu wählen. Selbst wenn sich Linux-Clients hier Authentifizieren können ist es mit Sicherheit angebracht darüber nach zu denken diese Simple Binds zu verbieten. Und tatsächlich kann man über die Gruppen-Richtlinien auf dem Server eine verschlüsselte Verbindung erzwingen ( Network security: LDAP client signing requirements )

−	Tatsächlich kann man dort die Verwendung von SSL erzwingen ... Allerdings muss man für diesen Fall den Windows Server für die Verwendung von SSL konfigurieren [http://www.tools4ever.com/documentation/user-management-resource-administrator/ldap_ad_secure.htm?content=7030 Secure LDAP Active Directory environment]	+	Tatsächlich kann man dort die Verwendung von SSL erzwingen ... Allerdings muss man für diesen Fall den Windows Server für die Verwendung von SSL konfigurieren. Siehe -> [http://www.tools4ever.com/documentation/user-management-resource-administrator/ldap_ad_secure.htm?content=7030 Secure LDAP Active Directory environment]

← Nächstältere Version		Version vom 5. Juli 2007, 11:21 Uhr
Zeile 103:		Zeile 103:
	Nun beherrscht der Windowsserver jedoch einerseits keine TLS Verschlüsselung, anderseits ist es aber auch nicht zulässig z.B. über eine unverschlüsselte Verbindung Passwörter zu ändern, mehr noch Passwörter bzw. deren Hashes werden überhaupt nicht angezeigt. Man könnte also darüber diskutieren wozu es überhaupt Sinnvoll sein könnte diese Verbindungart zu wählen. Selbst wenn sich Linux-Clients hier Authentifizieren können ist es mit Sicherheit angebracht darüber nach zu denken diese Simple Binds zu verbieten. Und tatsächlich kann man über die Gruppen-Richtlinien auf dem Server eine verschlüsselte Verbindung erzwingen ( Network security: LDAP client signing requirements )		Nun beherrscht der Windowsserver jedoch einerseits keine TLS Verschlüsselung, anderseits ist es aber auch nicht zulässig z.B. über eine unverschlüsselte Verbindung Passwörter zu ändern, mehr noch Passwörter bzw. deren Hashes werden überhaupt nicht angezeigt. Man könnte also darüber diskutieren wozu es überhaupt Sinnvoll sein könnte diese Verbindungart zu wählen. Selbst wenn sich Linux-Clients hier Authentifizieren können ist es mit Sicherheit angebracht darüber nach zu denken diese Simple Binds zu verbieten. Und tatsächlich kann man über die Gruppen-Richtlinien auf dem Server eine verschlüsselte Verbindung erzwingen ( Network security: LDAP client signing requirements )

−	Tatsächlich kann man dort die Verwendung von SSL erzwingen ... Allerdings muss man für diesen Fall den Windows Server für die Verwendung von SSL konfigurieren	+	Tatsächlich kann man dort die Verwendung von SSL erzwingen ... Allerdings muss man für diesen Fall den Windows Server für die Verwendung von SSL konfigurieren [http://www.tools4ever.com/documentation/user-management-resource-administrator/ldap_ad_secure.htm?content=7030 Secure LDAP Active Directory environment]
−
−	[http://www.tools4ever.com/documentation/user-management-resource-administrator/ldap_ad_secure.htm?content=7030 Secure LDAP Active Directory environment]

← Nächstältere Version		Version vom 5. Juli 2007, 11:21 Uhr
Zeile 101:		Zeile 101:
	Zweitens "-x" ... prinzipiell nichts außergewöhnliches, denn auch unter Openldap benötigt man -x für Simple Bind Verbindungen. Anderseits bedeutet "Simple Bind" die Übertragung der Passwörter im Klartext, die man überall wo es möglich ist vermeiden sollte. Also mindestens mit einer TLS verschlüsselten Verbindung.		Zweitens "-x" ... prinzipiell nichts außergewöhnliches, denn auch unter Openldap benötigt man -x für Simple Bind Verbindungen. Anderseits bedeutet "Simple Bind" die Übertragung der Passwörter im Klartext, die man überall wo es möglich ist vermeiden sollte. Also mindestens mit einer TLS verschlüsselten Verbindung.

		+	Nun beherrscht der Windowsserver jedoch einerseits keine TLS Verschlüsselung, anderseits ist es aber auch nicht zulässig z.B. über eine unverschlüsselte Verbindung Passwörter zu ändern, mehr noch Passwörter bzw. deren Hashes werden überhaupt nicht angezeigt. Man könnte also darüber diskutieren wozu es überhaupt Sinnvoll sein könnte diese Verbindungart zu wählen. Selbst wenn sich Linux-Clients hier Authentifizieren können ist es mit Sicherheit angebracht darüber nach zu denken diese Simple Binds zu verbieten. Und tatsächlich kann man über die Gruppen-Richtlinien auf dem Server eine verschlüsselte Verbindung erzwingen ( Network security: LDAP client signing requirements )

		+	Tatsächlich kann man dort die Verwendung von SSL erzwingen ... Allerdings muss man für diesen Fall den Windows Server für die Verwendung von SSL konfigurieren
		+
		+	[http://www.tools4ever.com/documentation/user-management-resource-administrator/ldap_ad_secure.htm?content=7030 Secure LDAP Active Directory environment]