Samba - sokrétű, komolyabb jogosultság kezelés - lehetséges?

Linux-haladó

Sziasztok!

Van egy cég, ahol eddig egy egyszerű, régi gép Sambával oldotta meg a fájlkiszolgáló szerepét.
Ennél a cégnél szeretnénk kicsit komolyabban megoldani már ezt a dolgot. Bővül a cég, többen lettünk jócskán, vettünk egy komoly vasat erre a célra. A jövőben tervezünk Windows Server op.rendszerrel tartományvezérlést végezni, de legalább addig le kell cserélnünk a jelenlegi fájl kiszolgálót.
Több módot látunk rá, viszont segítségeteket kérném.

1) Feltelepítünk egy Sambát az új fájlkiszolgálóra és valami adminisztrációs felületen keresztül próbáljuk beállítgatni a jogosultságokat. Kéne olyan, hogy csoport, egy user lehessen tagja több csoportnak is és ráadásul valami admin felületen keresztül szeretnénk ezt megoldani. Kb. 100 user számára, legalább 20 csoporttal már nem igazán megoldás az smbadduser konzolban. Tudtok-e valami oylan felületet, amin keresztül megoldható lehet a dolog, úgy is, hogy lássam, jelenleg milyen csoportok, userek vannak, ki hova tartozik, kinek hova van joga? Én a SWAT-ban, webminben ilyet nem láttam, bár kb. két éve néztem utoljára. Akár valami PHP-s felületet, akár valami mást tudtok-e ajánlani?

2) Tudtok-e arról valamit, hogy megoldható-e az, hogy egy Samba egy Windows Serverről authentikáljon? Azaz a Windows Serverre veszek fel usert, ott abajgatom őket csoportokba és valójában a Samba lesz az, aki megfelelő jogok mellett enged írni, olvasni, letárolni? Ez esetben az is előfordulhat, hogy ha a tartományvezérlést még nem is hozzuk be, de magát a Windows Servert - természetesen egy külön vasra - feltelepítjük, felvesszük a felhasználókat és csak authentikációra, user managementre használjuk egy darabig a fájl szerver számára?

3) Esetleg felejtsem el a Sambát erre a célra, csináljunk egy tartományvezérlőt a fentebb említett módon és csatoljuk be valahogy a fájl szerverre szánt vasat egy szintén Windows Server op.rendszerrel?

Mindent előre is kösznökök!

Mono

  • 3092 megtekintés

( xclusiv v | 2011. 10. 03., h – 17:07 )

1. miért nem jó a parancssor? én simán felvenném excel-be, sorokban a user-ek, oszlopokban a csoportok, és szép átlátható formában beXelgetném a csoportokat, mellette pedig pár oszloppal lenne ugyanez a struktúra, csak ott az adduser-es sorok lennének. (pl. A oszlop a név, B-Z oszlop a csoportok (1. sorban a csoport nevével), akkor AB4 a következő képlet lenne =if(B4="X";"adduser "&$A4&" "&B$1) már ha el nem basztam). Aztán ezeket a sorokat összemásolod, ha zavar a sok üres sor akkor azokat kiveszed :). Persze nyilván a user-t létre kell hozni (useradd, passwd, smbpasswd) és a csoportokat is létre kell hozni (groupadd, net groupmap)
Egyébként a winnt idejéből származó user piszkáló is használható (google: srvtools.exe)

2. persze, ezt nevezik domain member server-nek. Főbb szopási helyek: kerberos, timesync, dns; ha ez megy akkor ok.

3. Ha hegybe áll a winserver licensz és a cal, akkor ez se hülyeség.

Egyébként doksit olvass, Samba howto és a samba3 by example is nagyon jó anyag.

( Cseresznye | 2011. 10. 03., h – 17:19 )

"A jövőben tervezünk Windows Server op.rendszerrel tartományvezérlést végezni, de legalább addig le kell cserélnünk a jelenlegi fájl kiszolgálót."

Hozzátok előre a beszerzést, ne szopjatok feleslegesen samba-val. :/

Ha van rá keret, akkor valóban. Ha kevésbé, akkor javasolnék a fileserverre egy OpenFiler-t, aminek a webgui-ján szépen meg lehet oldani a user-ek, group-ok, share-ek kezelését. Viszont DC-nek önmagában nem jó, tehát ha nem akarod mégegyszer migrálni a user-eket, akkor azzal kezdesz, az OpenFiler utána tud a DC-ről authentikálni (persze, ez is csak Samba, csak szépen össze van drótozva egy GUI-val)

( golgota | 2011. 10. 03., h – 17:44 )

acl bekapcsol a linuxos fájlrendszeren, majd inherit acl és simán használod windows alól a windowsos jogosultságkezelőt. Azért nézd meg, hogy mi minek van megfekleltetve a samba doksiban.
Ennyit a guis adminisztrációról.

Ha még ldap-al vagy a már meglevő AD-vel is összelövöd....ihajj....ha még kerberos is van...hujujj...megynílik a világ. :)

( Mono v | 2011. 10. 04., k – 13:39 )

Köszönöm nektek, máshol ajánlották a FreeNAS-t erre a célra, futok vele egy kört, elvileg tartományvezérlőből authentikálni tudna ez is a későbbiekben, így akár alternatíva lenne.

( Zsugabubus | 2011. 10. 04., k – 15:45 )

Első kérdésre:
http://www.ldap-account-manager.org/

Másodikra:
Volt anno a security=server megoldás, de nem túl ajánlott, meg nem is jó. Illetve ha a Win szerverre, mint AD szerverre is gondolsz, akkor lásd következő pont.

Harmadikra:
Be lehet csatolni a sambat AD domainbe, és akkor pont azok a userek/csoportok lesznek láthatóak, amik az AD-ben vannak.