OpenLDAP e pGina vs Active Directory (usando o controlador de domínio Samba4)

Question

Nota: Eu sei que há algumas perguntas falando sobre um tópico similar, mas todas elas tinham alguns anos, portanto eu preferi mencionar minha situação exata para obter a solução mais adequada de acordo com as técnicas de tempo de ser. Quero, por favor, discutir alguns casos diferentes para obter um entendimento completo.

Eu quero gerenciar um sistema de uma empresa ou universidade (casos médios e grandes escala ), e pretendo fornecer os seguintes serviços para os usuários do sistema em um servidor Ubuntu: OpenVPN, Jabber, Git, FreeRadius, E-mail, Redmine e compartilhamento de arquivos samba , etc ... Eu quero que todos os serviços autentiquem usando o mesmo nome de usuário e senha (para buscar o nome de usuário e senha de um sistema de autenticação centralizado, OpenLDAP ou Active Directory (com Samba4 como domínio) controlador)). E quero permitir que os clientes façam o logon nos PCs públicos na empresa ou na universidade usando seu mesmo nome de usuário e senha anteriores , e os PCs públicos dos clientes são < strong> mixture do Windows, Linux, MAC, (e vamos discutir o caso, quando temos apenas clientes Window , então NO mixture ).

Eu costumava usar o OpenLDAP para autenticar todos os serviços mencionados e para fazer login no Windows usando o pGina , sobre o OpenLDAP e era muito bom para mim.

Mas fiquei confuso quando comecei a aprender sobre controladores de domínio para Windows usando o samba4, e não pude tomar uma decisão sobre o que é melhor para mim, pGina, ou é o controlador de domínio Samba4?

Eu sei que no momento em que eu não posso fazer a autenticação de login do Windows contra o OpenLDAP, mas não posso fazê-los de alguma forma se comunicando uns com os outros de usar os benefícios de ambos (caso eu precise do OpenLDAP para fazer algo não disponível em AD)?

Você aconselha usar o OpenLDAP ou o Active Directory (usando o Samba4 como controlador de domínio) e por quê? (levando em consideração o tratamento da autenticação de todos os serviços mencionados e autenticação de login do sistema usando APENAS UM nome de usuário e senha para cada cliente). O que eu poderei fazer (e o que não) se eu usei o Samba4AD e não o OpenLDAP (e o caso oposto). De acordo com o que eu entendi de leituras anteriores, eles disseram que a vantagem do AD é que ele pode gerenciar a política de grupos no Windows. Como a política de grupos pode ser útil para o meu caso? e quais alternativas eu tenho no caso de você aconselhar usar o OpenLDAP?

Para resumir as principais questões:

• No meu caso, o OpenLDAP é preferido ou o Samba4AD DC para autenticar todos serviços + clientes fazem o login com o mesmo nome de usuário e senha? (embora eu entenda que não posso autenticar janelas com o OpenLDAP, mas você pode ter algumas adições para dizer sobre isso).
• Quais são as vantagens de unir os PCs dos clientes a um controlador de domínio pelo Samba4 ao invés de apenas usar o pGina?
• Em caso de falta de recursos em ambos (algo é fornecido em um e não no outro), qual é a solução alternativa para evitar que carece de recursos?

E Por favor, mantenha em consideração que eu prefiro o open source, suporte e soluções ao vivo de longo prazo (logicamente).

Obrigado antecipadamente!

    

Answer 1

Acho que essa é uma pergunta muito ampla para realmente funcionar bem aqui, mas acho que há uma pergunta mais simples: "Estou vendo o Samba4 vs. o OpenLDAP, em que devo basear minha decisão?"

A resposta para essa pergunta é: O Samba4 faz sentido se você precisar de alguns recursos específicos do Windows (ou pelo menos centrados no Windows) que o AD oferece. (E se você não quiser comprar licenças do Windows Server e Client).

Ao considerar o uso do Samba4, você deve pensar nele como sendo equivalente ao Windows Server. Você obtém (a maioria) as mesmas coisas da Microsoft: logon integrado de clientes Windows, gerenciamento usando ferramentas do Windows, ACLs no estilo Windows, diretivas de grupo, replicação de diretórios (mas não no OpenLDAP!) E um diretório compatível com LDAP outras aplicações podem autenticar contra.

Na sua situação:

Eu diria que os recursos mais úteis específicos do Windows que o Samba4 (ou Windows Server) fornece são políticas de grupo e gerenciamento de cliente / arquivo / compartilhamento usando ferramentas do Windows. Nenhum destes parece ser especialmente importante para você agora.

OTOH, eu não estou familiarizado com pGina ou quaisquer outras ferramentas para permitir que os clientes do Windows para autenticar contra OpenLDAP. Não sei se funcionam bem, se são fáceis de configurar e manter. Eles certamente não são tão fáceis de gerenciar como um PC Windows com domínio.

Como outro exemplo:

No nosso caso, tínhamos principalmente clientes Windows com alguns usuários de Linux e Mac e decidimos que ter os clientes do Windows em um domínio do AD era importante, então configuramos o Samba4 e descartamos nosso servidor OpenLDAP. Conseguimos fazer isso porque não tínhamos muitas contas e pudemos criar soluções alternativas para sincronizar senhas entre o OpenLDAP e o AD. Não tivemos problemas com o Redmine, OpenVPN, Owncloud e outros serviços autenticados contra o Samba4.