Nov 26 2009

Samba/LDAP: Benutzeraccount auf Rechner beschraenken

Wie Ihr merkt beschaeftige ich mich in der letzten Zeit vermehrt mit dem Thema, hier nochmal eben festgehalten wie man einen Benutzeraccount so beschraenkt, dass er sich nur an bestimmten Rechnern anmelden darf:

  • phpLDAPadmin oeffnen und den entsprechenden Benutzeraccount auswaehlen
  • Klick auf “Add new attribute“
  • Im Dropdown Menue des Punkts “Add new attribute” den Punkt “sambaUserWorkstations” auswaehlen und als Parameter die Rechnernamen angeben an denen der User sich anmelden darf, Bsp: dnpw-ab-123$
  • Speichern, fertig

Loeschen kann man das ganze indem man einfach alle Attributparameter loescht und speichert. Mehrere Rechnernamen werden mit Komma getrennt hintereinander angegeben.

Evtl. ist noch interessant unter Windows in den Gruppenrichtlinien (Windows+R -> gpedit.msc) den Punkt “Computerkonfiguration -> Administrative Vorlagen -> System -> Benutzerprofile ->  Benutzer bei Fehlschlag des servergespeicherteten Profils abmelden” zu aktivieren. Ansonsten bekommt der User eine Fehlermeldung das er sich nicht an der Domaene anmelden darf u wird temporaer mit einer lokalen Kopie angemeldet.

no comments   |  tags: , , , , , , , , | posted in Computer, arbeit

Nov 26 2009

Samba Interdomain Trust

Wer Samba PDC-Server betreut, der weiss wovon ich nun rede: Man richtet einen entsprechenden PDC-Server ein, hebt die Clients in die Domaene. Nun kommt eine weitere Abteilung hinzu, es kommt ein weiterer PDC und beides laeuft friedlich nebeneinander her. Nun fangen die beiden Abteilungen an staerker zusammenzuarbeiten, User wechseln hin und her, Raeumlichkeiten werden gemeinsam genutzt, aber im Anmeldebildschirm von Windows erscheint neben dem lokalen Computer immer nur die Domaene in die der Client gehoben wurde.

Abhilfe schafft dort das einrichten eines entsprechenden Interdomain Trust. Dafuer muessen auf den PDC Servern jeweils vertraute Domaenenkontos (mit [I]-Flag) erstellt und anschliessend der Trust hergestellt werden. Dafuer (wenn Samba mit LDAP)

  • smbldap-useradd -i DOMAENENNAME
  • net rpc trustdom establish DOMAENENNAME

Wichtig ist noch, dass winbind laufen muss. Unter Debian muss das mit aptitude install winbind nachinstalliert werden. Ob dann alles funktioniert hat und ob die Benutzerkonten abfragbar sind kann man mit dem Befehl wbinfo -u nachpruefen. Es sollte dann eine Liste angezeigt werden nach dem Schema “DOMAENENNAME\USERNAME”

Zum Nachlesen in der Samba Doku:

no comments   |  tags: , , , , , , , , , , | posted in Computer, arbeit, linux

Okt 2 2008

DatenG(eorg)A(ugust)U(niversitaet)

Jetzt schreibe ich doch noch einen Eintrag in die alte DB vor dem Umzug, naja, dann mach ich den mysqldump halt nochmal. Aber den DatenGAU an unserer Uni kann ich nicht unerwaehnt lassen…

Himuro, alte Socke, gegen Dich haben wir doch auch immer unsere Studentendaten abgeglichen. Nun biste wech… Und nu is auch so einiges mehr wech. Zum Beispiel die Daten die Du weltweit oeffentlich verteilt hast.

Ich bin mal gespannt, wie es jetzt auch mit der Nutzerverwaltung des Studentenwerkes weitergeht, die waren ja schliesslich auch noch an Ihn angeschlossen. Es gibt bestrebungen eine eigene Nutzerverwaltung aufzubauen, obwohl es ein IdentityManagement der Uni/GWDG gibt… Naja, mal schaun…

Wer in der oben genannten Liste nach meinem Namen sucht wird auch bei diesem fuendig. Erfahren von der Luecke hab ich heute Nacht ueber eine Mail auf der Goettinger Chaosliste wo auf einen Artikel bei Netzpolitik aufmerksam gemacht wurde. Dort ist auch eine erste kurze Stellungnahme der Uni zu lesen. Inzwischen sind auch Artikel auf Heise und Golem zu finden. Mal gucken wie es weitergeht… ;-)

[Update]

1 comment   |  tags: , , , , , , | posted in /me, Goettingen, Uni, aktuelles