joinActiveDirectory(Win 2k8R2)到OpenDirectory(Snow Leopard)

有关Active和Open目录的互操作性的绝大多数问题都涉及让Mac客户端看到AD和授权

我们想要做的是让Windows 7工作站完全针对开放目录进行authentication。 我们尝试将它设置为NT4型PDC,并且不能令人满意地工作。

我们尝试使用pGina和LDAP后端,这允许身份validation,但不支持授权,因此,如果我们挂载NFS共享,用户有权做任何他们该死的请。 对安全性不理想(实际上完全不能接受血腥)。

我们尝试使用Samba服务器(比Open Directory Server更新版本)作为中间服务器,以便了解OD服务器上的LDAP服务器,但使用Samba 4而不是v3。 那也行不通。 我们可以login,但无法登陆,如果我们这样做,我们享有与pGina相同的权利。 如果我们在Windows中右键单击装入的驱动器,并查看NFS UID,则返回-2,而不是正确的(映射的)UID。

所以我最终的计划是在Windows 2008R2虚拟机中使用Active Directory。 我想实现的是让Active Directory同步来自OpenDirectory的用户数据(只读就可以)。 这样,我们就可以将Windows 7客户端连接到一个“虚拟域”,实际上它只是从OD的LDAP中获取信息。

我发现的所有信息都是关于如何去其他方面。

有谁知道我们怎么能做到这一点?

你想做什么可能是可能的。 这取决于一些事情。 什么是中央身份证? 它是OpenDirectory吗? 同步工作的效果会有什么影响? (即在AD中pipe理用户是否可行并将其同步回OD?)您的股票在哪里存储? 有关系吗?

这可能需要大量的实验和testing,但是使用Centrify Express或者Likewise Open(虽然我认为现在已经重新命名了),您也许能够取得一定程度的成功。 正如你所说的那样,这些是为了让你的非Windows客户端对AD进行身份validation,而不是相反,但是鉴于你已经在考虑使用Wn2k8R2域控制器,所以这可能是要走的路。

我从来没有看到任何东西(除了活动目录),这将允许Windows身份validation以外的pGina和Novell。

NetIQ(以前的Novell)Identity Manager产品将完全按照您的要求进行操作 – 它将在中央用户存储区和AD和OD(我们的目的是“openldap”)之间进行同步。 https://www.netiq.com/products/identity-manager/

您也可以考虑使用eDirectory而不是OD或AD,因为它可以很好地与两种客户端(以及来自Novell Open Enterprise Server的Windows产品的域服务eDirectory可以假装为所有意图和目的的AD)配合使用。

这些将是更加稳定和可扩展的select,尽pipe它们是非自由的。