SAMBA DC Sicherheitsrichtlinien

[madcatt]

Hallo zusammen,
ich hoffe Ihr könnt mir schnell helfen.

Gibt es eigentlich die Möglichkeit mit einem Linux DC ( kenne nur Samba ) auch Sicherheitsrichlinien festzulegen für die Clients? Bin ein Admin jedoch habe ich bis jetzt nur mit der MS Welt zu tun gehabt bzw. mich in dieser Richtung zertifiziert. Suche jetzt neue Herausforderungen und das ist für mich eben die Linux Serverlandschaft.
Suche also nach einer Möglichkeit wie z.B die Benutzerrichlinien in MS Server, so dass ich einem Benutzer der sich mit Win-XP an den Linux Server anmeldet, lokal die von mir bestimmten Rechte zuteilen kann. z.B. keien Systemzeit und Desktop ändern und so weiter und so fort........

Danke schön im voraus für Eure Antworten

Schönen Gruß

Chris

[der2of6]

Du kannst den Client über NT Policies konfigurieren, was recht mühselig ist.
Gurppenrichtlinien wie man sie von 200x Servern kennt werden erst mit Samba4 unterstützt.

Und wann das kommt steht noch in den sternen.

[madcatt]

hmmm, NT-Polices sind doch aber dann lokal und nicht Serverbezogen. Da müsste ich ja jeden einzelnen Client KOnfigurieren und das ist natürlich ziemlich Zeitaufwendig. Dann kann man ja nur hoffen das Samba 4 bald kommt.

Gibt es unter Linux eigentlich eine Alternative zum Samba Server?
Natürlich bezogen auf das Thema DC und Serverprofile und so weiter und so fort?

[mamue]

1.)hmmm, NT-Polices sind doch aber dann lokal und nicht Serverbezogen. Da müsste ich ja jeden einzelnen Client KOnfigurieren und das ist natürlich ziemlich Zeitaufwendig. Dann kann man ja nur hoffen das Samba 4 bald kommt.

2.)Gibt es unter Linux eigentlich eine Alternative zum Samba Server?
Natürlich bezogen auf das Thema DC und Serverprofile und so weiter und so fort?
1.) Jein, Du kannst den user-Zweig auf dem Server ablegen. in [netlogon] kannst Du eine NTConfig.POL ablegen, die Du mit "poledit" (von MS, siehe orktools) erstellen kannst. Letztendlich sind die policies dann aber lokal, auch wenn sie vom Server geladen werden bei der Anmeldung.

2.) Samba-TNG gibt es da noch, ist aber sehr still geworden um das Projekt.

HTH,
mamue

[der2of6]

Du kannst es so machen:

eine ntconfig.pl mit dem NT Editor erstellen.
Neuere Templates auch für 2000 und XP kannst du wenn ich mich recht ensinne auf http://www.gruppenrichtlinien.de/ finden.

Dann musst du nur noch auf jedem Client folgenen eintrag in die Regestreirung einfügen:




Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Update]
"UpdateMode"=dword:00000001
"NetworkPath"="\\sonne\netlogon\ntconfig.pol"


ist zwar nicht so schön wir ein AD, aber einfacher als jeden Client einzeln einzustellen

[madcatt]

Das stimmt, vorallem bei 30 Clients ist es halt ziemlich Zeitraubend.
Mal sehen wie ich das lösen kann. Hab eine weile gegoogelt nach dem Samba 4 und einiges zu dem thema gefunden. Soll schon "betas" geben die lafufen mit AD unterstützung aber leider habe ich noch keine Quelle gefunden um das Paket runter zu laden....

Wenn jemand von euch weis wo es zu finden ist, bitte mal Posten. Danke schön

[der2of6]

Was du auch machen könntest währe, das du den regeintrag einfach automatisch über die logon.bat eintragen lässt, dann geschiet es bei jedem rechner automatisch

[spunz]

es gibt auch kostenpflichtige gpo lösungen für samba => http://www.nitrobit.com/GroupPolicy.html

[mamue]

Das stimmt, vorallem bei 30 Clients ist es halt ziemlich Zeitraubend.

Wenn jemand von euch weis wo es zu finden ist, bitte mal Posten. Danke schön

Ich glaube samba4 ist wohl immer noch alpha oder pre Alpha. Einige Dinge, wie drucken, gehen noch nicht. Das dürfte es daher derzeit nur über svn geben, schon mal gegoogelt?

Ich gehe ganz sicher auch nicht für die policies von PC zu PC. Genau aus diesem Grund erfand auch wohl Mr. Bill oder einer seiner Schergen dieses wunderbare Tool poledit. Die resultierende NTConfig.POL in der [netlogon] Freigabe abgelegt erledigt für Dich den Job so, als würdest Du höchst persönlich am PC des users die EInstellungen in der Registry vornehmen.

mamue

Nitrobit wäre natürlich der noch bessere Weg, weil GPO nicht persistent sind.