活动目录与OpenLDAP

坚持开源，如果我正确地阅读你的问题：

• 你不关心Exchange
• 你不需要对XP设置进行微小的控制 – 我喜欢组策略主要是为了节省pipe理员/销售人员，开发人员大多需要我避开他们的头发
• 你比Windows更适合使用* nix

AD在pipe理窗口方面很好，但如果你不需要这样的话，那么你就会为自己买一个学习曲线，这不会带来很多好处。

2个警告

• 如果你有时间/兴趣来推动自己更多的东西，这是一个很好的方式来提供。
• WSUS是控制工作站/服务器补丁的好方法。 如果你不能只是翻转所有机器上的“自动”开关，这可能会推动平衡到SBS（如果SBS做WSUS？）

您将从Active Directory中获得很多您使用OpenLDAP获得的好的function。 其中主要是单点login（即在所有客户端和服务器计算机上运行的一个用户帐户）和组策略。

我喜欢开源软件，但在Samba 4成熟之前，Active Directory为Windows 2000和更新的客户端计算机提供了最佳的pipe理体验。

如果没有使用第三方软件，那么Windows XP客户端就没有基于标准的LDAP身份validation。 在这里阅读我的答案重新：Kerberos与Windows XP的集成 – 使用OpenLDAP的经验将是非常类似的（除了你需要像pGINA之类的第三方软件，使LDAP身份validation工作）： 如何让Windows XP的身份validationKerberos或Heimdal

是否使用Windows Small Business Server取决于您想要花费多less（SBS的客户端访问许可证的初始成本和成本超过了“纯粹的Windows”），以及您是否将从额外的“特征”。 我更喜欢将Windows SBS看作廉价的Windows和Exchange捆绑软件（我从来不使用过于复杂的设置和恶劣的pipe理工具）。我倾向于像Windows和Exchange Server一样pipe理Windows SBS，并且它工作正常非常好。

具有Active Directory，Microsoft DHCP / DNS，WSUS（用于提供客户端计算机更新）的Windows Server以及用于处理configuration用户/计算机环境和安装软件的一些组策略对象将极大地减轻您的pipe理负担，并使未来的计算机更加轻松。 Exchange的启动和运行并不困难（最大的问题是让你的邮件从互联网stream向它 – 很多人似乎并不了解DNS和SMTP是如何协同工作的）。

假设你的安装是由一个知道自己在做什么的人来执行的，而且你事后处理得很好，那么对于你来说，没有什么pipe理上的麻烦。 我写下了那些对Windows和Exchange不可靠的信息感到不满的人，因为他们通常会遇到问题，因为他们（a）使用劣质硬件，长期付出代价，或者（b）无法pipe理软件。 我的Windows SBS安装一直回到安装后运行良好的4.0版本，您也可以安装一个。

如果您对这些产品没有任何经验，我build议与一位有信誉的顾问合作进行安装，并让您开始在pipe理上自给自足。 如果我知道一本书，我会推荐一本好书，但是我几乎读过所有这些书的人都很不高兴（他们通常都缺乏现实生活中的例子和案例研究）。

有很多咨询顾问可以低成本地让你离开地面（你正在谈论的设置，假设你自己要做“散装”工作，感觉就像一天半到两天的时间基本的Windows和Exchange安装，对我），可以帮助你“学习绳索”。 大部分劳动力正在迁移您现有的用户环境（将其现有文档和configuration文件迁移到其新的AD帐户的漫游用户configuration文件中，并redirect“我的文档”文件夹等），如果您select这样做。 （我想，只是因为这会让用户长期更快乐，更高效）。

您应该计划备份设备和备份pipe理软件，冗余磁盘服务器计算机（ 最低 RAID-1）和某种电源保护（UPS）。 我期望用低端服务器的许可成本和电源保护硬件，你可以在Windows SBS门户大约3500美元到4000美元。 就我个人而言，我会指定大概10到20个小时的安装劳动，这取决于你对自己需求的熟悉程度，以及你想要学习的工作有多less，而不是让安装人员去做。

以下是我在您的部署中看到的典型安装任务的高级列表：

• 物理设置服务器电脑，UPS等
• 安装Windows，Exchange，WSUS，基础设施服务，服务包，备份pipe理软件，UPSpipe理软件等
• 讨论文件共享（权限，共享文件位置，目录层次结构）。
• 创build用户帐户（漫游configuration文件夹，“我的文档”文件夹等），安全组，通讯组，基本GPO。
• 讨论现有电子邮件数据的迁移并制定战略，对DNS进行更改以直接将电子邮件发送到Exchange。
• 讨论用户环境迁移到新的AD帐户。 如果需要进行迁移的培训，则制定迁移程序。
• 将客户端计算机和用户configuration文件试点迁移到域中。
• 讨论日常系统pipe理任务（密码重置，更改用户组成员身份，查看备份成功/失败通知，监控WSUS和更新安装），讨论常见问题，故障排除和解决scheme，进行问答环节。
• 为将来的活动提供build议（自动化软件安装，VPN连接等）

OpenLDAP可用于检查密码，但主要是集中pipe理身份。 AD集成了ldap，kerberos，DNS和DHCP。 这是一个比OpenLDAP本身更全面的系统。

从pipe理angular度来看，您可以简单地在一对win2k3服务器上安装AD，并将所有的UNIX系统指向它，并仅使用AD服务器进行密码检查。 使用pam使用Kerberos进行密码检查和使用本地密码文件进行授权是非常简单的。 它不像完整的AD集成那么好，但实现起来也是微不足道的。

AD linux集成的优劣

使用AD作为Kerberos服务器来validation本地帐户

你也应该看看Fedora目录服务器 （显然现在是正式的“389目录服务器”），基于Netscape LDAP代码库。 它是RedHat以其品牌销售的，因此被积极维护。 我听说在某些方面它比OpenLDAP更好，尽pipe我从来没有用过它。 在function上它可能比OpenLdap更接近于AD，它实际上只是一个完全成熟的目录系统的核心。

还有Apache Directory Server ，它是纯Java的，看起来也是积极开发的。

既然你们没有任何经验，就会有与学习曲线相关的成本（主要是时间）。 从维护的angular度来看，只有当您添加/删除帐户或修改其属性（名称/地址更改）时，您才真正需要联系LDAP。 这两个都很容易完成。 从实现的angular度来看，您希望能够有最简单的时间允许客户端进行通信的目录：Active Directory更容易，因为Windows客户端可以本地“交谈”域控制器和文档以允许Ubuntu /其他Linux从ADauthentication是随时可用的。 如果您希望Windows客户端能够通过openLDAP进行身份validation，则需要一个SAMBA服务器来侦听请求（openLDAP本身不执行此操作）。 Samba将允许您使用openLDAP进行身份validation，同时允许类似Windows的文件共享。

AD提供诸如组策略和其他pipe理方式的东西，使用openLDAP解决scheme不会变得很容易，安装Windows Server的基本部署并将其与XP / Vista / 7客户端集成是非常简单的，而Ubuntu客户端的集成是与AD和openLDAP相当的难度。

诸如Suse SLES和Redhat Enterprise Server（或CentOS）这样的产品使得Win和Linux的集成比Ubuntu或者Debian Servers更容易，但是仍然需要学习很多东西。

如果成本问题，您可以创build一个Linux的设置和一些额外的软件，如硝基比特集团的政策，这将允许相当数量的function，但陡峭的学习曲线。