Xác thực LDAP: Windows Server2k3 so với 2k8

Chúng tôi có khoảng 70% người dùng linux, tất cả đều được cấu hình để xác thực với Active Directory thông qua LDAP. Để làm việc này, chúng tôi đã sử dụng "Dịch vụ Windows cho Unix" trong Windows Server 2003 và tất cả đều hoạt động tốt.

Bây giờ chúng ta đang ở thời điểm mà máy chủ chạy phần mềm này đang hơi mệt và sẽ được thay thế bằng một máy mới hơn, chạy Windows Server 2008 (nơi các dịch vụ có liên quan như ánh xạ tên người dùng và thay đổi mật khẩu, v.v., được tích hợp với HĐH).

Và đây là vấn đề: Nếu một người dùng mới được cấu hình thông qua máy chủ Win2k3, thì tất cả đều hoạt động tốt. Nếu điều tương tự được thực hiện thông qua máy chủ Win2k8, thì:

1. Plugin ADS trên máy chủ 2k3 không nhận ra nó và hoạt động như thể các thuộc tính UNIX không bao giờ được đặt.
2. Người dùng không thể xác thực với ADS bằng LDAP.

Có ai gặp phải vấn đề này? Nếu vậy, làm thế nào bạn vượt qua điều này?

Nếu bạn cần thêm thông tin để cung cấp thêm trợ giúp, chỉ cần hỏi và tôi sẽ cung cấp.

Ánh xạ tên LDAP đã thay đổi giữa Win2K3 và 2K8. Ánh xạ mới (để áp dụng trong /etc/ldap.conf) là:

nss_map_attribute uid sAMAccountName
nss_map_attribute uidNumber uidNumber
nss_map_attribute gidNumber gidNumber
nss_map_attribute cn sAMAccountName
nss_map_attribute uniqueMember member
nss_map_attribute userPassword msSFUPassword
nss_map_attribute homeDirectory unixHomeDirectory
nss_map_attribute loginShell loginShell
nss_map_attribute gecos cn
nss_map_objectclass posixGroup Group
nss_map_attribute shadowLastChange pwdLastSet

Xin vui lòng cho tôi biết nếu điều đó giúp. Bạn cũng có thể phải di chuyển người dùng cũ-- Tôi sẽ sử dụng ldapsearch và so sánh người dùng mới và người dùng cũ (nhưng tôi nghĩ họ sẽ chỉ có cả hai thuộc tính, nếu tôi nhớ lại)

Tôi đã quyết định đăng một câu trả lời khác ở đây, vì đây thường là nơi mọi người tìm thấy thông tin họ đang tìm kiếm.

Mặc dù những điều trên vẫn rất hợp lệ và đúng, giờ đây tôi đã tìm thấy một cách dễ dàng hơn nhiều để kết nối khách hàng của mình thông qua AD. Debian bóp (bản phát hành ổn định mới nhất) chứa sssd (một gói có nguồn gốc trong môi trường redhat / fedora), làm cho tất cả điều này trở nên dễ dàng. Khi cài đặt, nó tìm và gợi ý các bộ điều khiển miền và tôi chỉ cần thay đổi rất ít thứ trong tệp cấu hình để làm cho nó hoạt động. Nó hoạt động hoàn toàn tốt với Windows Server 2008 và nó cũng có thể lưu mật khẩu (rất quan trọng đối với người dùng máy tính xách tay).