活动目录与OpenLDAP

这是一个小公司(12名开发人员)谁没有实施任何集中用户数据库 – 他们已经有机地增长,只是在他们需要的计算机上创build帐户。

从pipe理的angular度来看,它的噩梦 – 十台电脑都有不同的用户账号。 如果用户被添加到一台计算机,他们需要手动添加到其他所有(他们需要访问)。 这远非理想。 随着越来越多的计算机/用户被添加/雇用,前进和业务增长将意味着更多的工作。

我知道某种集中用户pipe理是非常需要的。 不过,我在Active Directory和OpenLDAP之间进行辩论。 目前两台服务器都是简单的备份和文件共享服务器,都运行Ubuntu 8.04LTS。 这些电脑是Windows XP和Ubuntu 9.04的混合体。

我没有活动目录(或真正的OpenLDAP的事情,但我很熟悉Linux)的经验,但如果一个解决scheme超过另一个,那么我保证,我知道这一点。

TCO不是真正的问题。 如果Windows(SBS我假设?)将节省我足够的时间弥补增加的前期成本,那么我认为我应该去解决scheme。

为了我的需要,我应该看什么解决scheme?

编辑:电子邮件是异地托pipe,所以交stream是没有必要的。

    坚持开源,如果我正确地阅读你的问题:

    • 你不关心Exchange
    • 你不需要对XP设置进行微小的控制 – 我喜欢组策略主要是为了节省pipe理员/销售人员,开发人员大多需要我避开他们的头发
    • 你比Windows更适合使用* nix

    AD在pipe理窗口方面很好,但如果你不需要这样的话,那么你就会为自己买一个学习曲线,这不会带来很多好处。

    2个警告

    • 如果你有时间/兴趣来推动自己更多的东西,这是一个很好的方式来提供。
    • WSUS是控制工作站/服务器补丁的好方法。 如果你不能只是翻转所有机器上的“自动”开关,这可能会推动平衡到SBS(如果SBS做WSUS?)

    您将从Active Directory中获得很多您使用OpenLDAP获得的好的function。 其中主要是单点login(即在所有客户端和服务器计算机上运行的一个用户帐户)和组策略。

    我喜欢开源软件,但在Samba 4成熟之前,Active Directory为Windows 2000和更新的客户端计算机提供了最佳的pipe理体验。

    如果没有使用第三方软件,那么Windows XP客户端就没有基于标准的LDAP身份validation。 在这里阅读我的答案重新:Kerberos与Windows XP的集成 – 使用OpenLDAP的经验将是非常类似的(除了你需要像pGINA之类的第三方软件,使LDAP身份validation工作): 如何让Windows XP的身份validationKerberos或Heimdal

    是否使用Windows Small Business Server取决于您想要花费多less(SBS的客户端访问许可证的初始成本和成本超过了“纯粹的Windows”),以及您是否将从额外的“特征”。 我更喜欢将Windows SBS看作廉价的Windows和Exchange捆绑软件(我从来不使用过于复杂的设置和恶劣的pipe理工具)。我倾向于像Windows和Exchange Server一样pipe理Windows SBS,并且它工作正常非常好。

    具有Active Directory,Microsoft DHCP / DNS,WSUS(用于提供客户端计算机更新)的Windows Server以及用于处理configuration用户/计算机环境和安装软件的一些组策略对象将极大地减轻您的pipe理负担,并使未来的计算机更加轻松。 Exchange的启动和运行并不困难(最大的问题是让你的邮件从互联网stream向它 – 很多人似乎并不了解DNS和SMTP是如何协同工作的)。

    假设你的安装是由一个知道自己在做什么的人来执行的,而且你事后处理得很好,那么对于你来说,没有什么pipe理上的麻烦。 我写下了那些对Windows和Exchange不可靠的信息感到不满的人,因为他们通常会遇到问题,因为他们(a)使用劣质硬件,长期付出代价,或者(b)无法pipe理软件。 我的Windows SBS安装一直回到安装后运行良好的4.0版本,您也可以安装一个。

    如果您对这些产品没有任何经验,我build议与一位有信誉的顾问合作进行安装,并让您开始在pipe理上自给自足。 如果我知道一本书,我会推荐一本好书,但是我几乎读过所有这些书的人都很不高兴(他们通常都缺乏现实生活中的例子和案例研究)。

    有很多咨询顾问可以低成本地让你离开地面(你正在谈论的设置,假设你自己要做“散装”工作,感觉就像一天半到两天的时间基本的Windows和Exchange安装,对我),可以帮助你“学习绳索”。 大部分劳动力正在迁移您现有的用户环境(将其现有文档和configuration文件迁移到其新的AD帐户的漫游用户configuration文件中,并redirect“我的文档”文件夹等),如果您select这样做。 (我想,只是因为这会让用户长期更快乐,更高效)。

    您应该计划备份设备和备份pipe理软件,冗余磁盘服务器计算机( 最低 RAID-1)和某种电源保护(UPS)。 我期望用低端服务器的许可成本和电源保护硬件,你可以在Windows SBS门户大约3500美元到4000美元。 就我个人而言,我会指定大概10到20个小时的安装劳动,这取决于你对自己需求的熟悉程度,以及你想要学习的工作有多less,而不是让安装人员去做。

    以下是我在您的部署中看到的典型安装任务的高级列表:

    • 物理设置服务器电脑,UPS等
    • 安装Windows,Exchange,WSUS,基础设施服务,服务包,备份pipe理软件,UPSpipe理软件等
    • 讨论文件共享(权限,共享文件位置,目录层次结构)。
    • 创build用户帐户(漫游configuration文件夹,“我的文档”文件夹等),安全组,通讯组,基本GPO。
    • 讨论现有电子邮件数据的迁移并制定战略,对DNS进行更改以直接将电子邮件发送到Exchange。
    • 讨论用户环境迁移到新的AD帐户。 如果需要进行迁移的培训,则制定迁移程序。
    • 将客户端计算机和用户configuration文件试点迁移到域中。
    • 讨论日常系统pipe理任务(密码重置,更改用户组成员身份,查看备份成功/失败通知,监控WSUS和更新安装),讨论常见问题,故障排除和解决scheme,进行问答环节。
    • 为将来的活动提供build议(自动化软件安装,VPN连接等)

    OpenLDAP可用于检查密码,但主要是集中pipe理身份。 AD集成了ldap,kerberos,DNS和DHCP。 这是一个比OpenLDAP本身更全面的系统。

    从pipe理angular度来看,您可以简单地在一对win2k3服务器上安装AD,并将所有的UNIX系统指向它,并仅使用AD服务器进行密码检查。 使用pam使用Kerberos进行密码检查和使用本地密码文件进行授权是非常简单的。 它不像完整的AD集成那么好,但实现起来也是微不足道的。

    AD linux集成的优劣

    使用AD作为Kerberos服务器来validation本地帐户

    你也应该看看Fedora目录服务器 (显然现在是正式的“389目录服务器”),基于Netscape LDAP代码库。 它是RedHat以其品牌销售的,因此被积极维护。 我听说在某些方面它比OpenLDAP更好,尽pipe我从来没有用过它。 在function上它可能比OpenLdap更接近于AD,它实际上只是一个完全成熟的目录系统的核心。

    还有Apache Directory Server ,它是纯Java的,看起来也是积极开发的。

    既然你们没有任何经验,就会有与学习曲线相关的成本(主要是时间)。 从维护的angular度来看,只有当您添加/删除帐户或修改其属性(名称/地址更改)时,您才真正需要联系LDAP。 这两个都很容易完成。 从实现的angular度来看,您希望能够有最简单的时间允许客户端进行通信的目录:Active Directory更容易,因为Windows客户端可以本地“交谈”域控制器和文档以允许Ubuntu /其他Linux从ADauthentication是随时可用的。 如果您希望Windows客户端能够通过openLDAP进行身份validation,则需要一个SAMBA服务器来侦听请求(openLDAP本身不执行此操作)。 Samba将允许您使用openLDAP进行身份validation,同时允许类似Windows的文件共享。

    AD提供诸如组策略和其他pipe理方式的东西,使用openLDAP解决scheme不会变得很容易,安装Windows Server的基本部署并将其与XP / Vista / 7客户端集成是非常简单的,而Ubuntu客户端的集成是与AD和openLDAP相当的难度。

    诸如Suse SLES和Redhat Enterprise Server(或CentOS)这样的产品使得Win和Linux的集成比Ubuntu或者Debian Servers更容易,但是仍然需要学习很多东西。

    如果成本问题,您可以创build一个Linux的设置和一些额外的软件,如硝基比特集团的政策,这将允许相当数量的function,但陡峭的学习曲线。