Comments on Tudo Sobre Nada: Linux e AD

"O serviço que aceita o token pode fazer a mesma c...

2009-02-04T22:03:00.000Z

"O serviço que aceita o token pode fazer a mesma coisa consultando ele próprio a AD. A presença do group membership no próprio token é, como eu disse, uma optimização para evitar esta consulta."

Certissimo, já que na implementação da MS esse segundo passo é evitado.

"Não vou dizer que é isto que os serviços da Microsoft fazem ou não"

No caso do cliente da Vintela o sistema Unix/Linux passa a comportar-se a este nivel como um cliente Windows numa infra-estrutura com AD, isto é utilizando a "optimização" já que passa a ser conhecida por este.

"Tens algum exemplo de uma situação onde seja obrigatório o uso deste campo?"

Não é que seja obrigatório (na realidade não me recordo de nenhuma situação em que apanhasse essa obrigatoriedade), passas é a ter clientes em plataformas distintas a comportarem-se da mesma forma e a usarem este directório exactamente da mesma forma e utilizando muitos dos seus beneficios em todas as plataformas.

«[...]neste caso a autorização é possivel porque o...

2009-02-04T13:39:00.000Z

«[...]neste caso a autorização é possivel porque o serviço que aceita o token kerberos pode determinar da lista no campo correspondente ao PAC se o acesso deve ou não ser permitido para um recurso baseado na ACL aplicada ao recurso em questão.»

O serviço que aceita o token pode fazer a mesma coisa consultando ele próprio a AD. A presença do group membership no próprio token é, como eu disse, uma optimização para evitar esta consulta.

Não vou dizer que é isto que os serviços da Microsoft fazem ou não, por que não sei e porque na prática é indiferente (sabendo que as coisas funcionam, se é o servidor que faz a consulta ou se o campo PAC está sempre preenchido mesmo que o cliente o ignore vai dar ao mesmo).

Tens algum exemplo de uma situação onde seja obrigatório o uso deste campo? (Excluindo o óbvio: implementação alternativa da AD.)

"1. Quando necessários, os nested groups podem ser...

2009-02-03T22:00:00.000Z

"1. Quando necessários, os nested groups podem ser implementados apenas com base no LDAP, as extensões da Microsoft são uma optimização, não uma obrigação."

A confusão aqui é que apenas estás a olhar para a questão da autenticação, mas na implementação da MS o PAC tem informação sobre Group Membership e que pode ser utilizada não apenas para a autenticação como para a autorização... neste caso a autorização é possivel porque o serviço que aceita o token kerberos pode determinar da lista no campo correspondente ao PAC se o acesso deve ou não ser permitido para um recurso baseado na ACL aplicada ao recurso em questão.

Claro que depende da componente aplicacional, e que como te disse no inicio depende dos teus requisitos mas se o teu "mundo" for windows centric podes bem ter necessidade neste nivel de integração, mas como disse se não necessitares os componentes que tens usado são perfeitamente funcionais e competentes.

«[...]o produto suporta Active Directory Nested Gr...

2009-02-03T10:51:00.000Z

«[...]o produto suporta Active Directory Nested Groups por exemplo, informação que está neste campo nos tickets kerberos obtidos da AD[...]»

A relevância no mundo real continua a ser discutível, senão vejamos...

1. Quando necessários, os nested groups podem ser implementados apenas com base no LDAP, as extensões da Microsoft são uma optimização, não uma obrigação.

2. Como é que este suporte se integra nas aplicações?

O nss_ldap suporta nested groups, logo estão disponíveis para todas as aplicações que suportam PAM. Isto significa também que a parte da optimização é tratada pela cache do nscd.

Algum detalhe que me esteja a escapar?

"As diferenças entre o protocolo Kerberos standard...

2009-02-03T00:15:00.000Z

"As diferenças entre o protocolo Kerberos standard e o Kerberos implementado pela AD só são utilizadas pelos clientes Windows (i.e. são um entrave à criação de um substituto da AD, mas irrelevantes na integração de clientes de outras plataformas)."

Não é verdade (por isso dizes que não vês o interesse neste tipo de produtos), mas a verdade é que o produto suporta Active Directory Nested Groups por exemplo, informação que está neste campo nos tickets kerberos obtidos da AD, por isso te digo que não é bem assim como estás convencido.

"eles pelo menos sabem qual a estrutura do PAC do ...

2009-02-02T10:21:00.000Z

"eles pelo menos sabem qual a estrutura do PAC do Kerberos"

As diferenças entre o protocolo Kerberos standard e o Kerberos implementado pela AD só são utilizadas pelos clientes Windows (i.e. são um entrave à criação de um substituto da AD, mas irrelevantes na integração de clientes de outras plataformas).

"vem permitir ao Linux participar em domínios AD. ...

2009-02-01T22:51:00.000Z

"vem permitir ao Linux participar em domínios AD. Isto é falso."

Mais ou menos eles pelo menos sabem qual a estrutura do PAC do Kerberos, nesse sentido podem e devem fazer mais e melhor do ponto de vista da integração.

Estariamos aqui a conversar durante muito tempo se...

2009-02-01T22:48:00.000Z

Estariamos aqui a conversar durante muito tempo sempre com argumentos a favor e contra ;o)

A questão aqui é o de uma organização que tem este directório como um pilar na autenticação dos seus utilizadores e sistemas, e na gestão dos mesmos e na autorização às aplicações ou serviços ou outro tipo de recursos.

Podemos sempre fazê-lo de muitas formas, uma delas pode ser esta, tentar ter consistência e uniformização na utilização deste recurso.

Neste caso estás a falar de uma organização que possui uma infra-estrutura essencialmente com sistema windows e que quer integrar sistemas Unix/Linux e não o contrário.

Percebo o que dizes mas podes sempre comprovar se aquilo te ajuda ou não no teu dia a dia, e se de facto tens mesmo um problema para resolver...

Gostei do teu post e de um modo geral stou de acor...

2009-02-01T22:45:00.000Z

Gostei do teu post e de um modo geral stou de acordo contigo. Não quero deixar passar a oportunidade para recomendar que dês uma vista de olhos no software likewiseopen da Likewise software. Licenciado sobre a GPL v3, este software foi-me muito útil a dada altura quando integrei uma maquina Linux numa rede Windows. Facilitou-me imenso a tarefa e para além disso, tem cliente para Mac OS X, Solaris, HP-UX e AIX.

E integrar a AD no Linux?... beat them on their ow...

2009-02-01T21:20:00.000Z

E integrar a AD no Linux?

... beat them on their own game ... :-)

Tudo depende da definição de banha-da-cobra então....

2009-02-01T17:15:00.000Z

Tudo depende da definição de banha-da-cobra então...

Este tipo de produtos são sempre anunciados como a cura milagrosa que finalmente vem permitir ao Linux participar em domínios AD. Isto é falso.

Eu não disse que não trazem funcionalidades acrescidas, mas a sua utilidade é duvidosa.

Por exemplo, não estou a ver o interesse de expandir o Group Policy para além do Windows. Consigo compreender os problemas que isto tenta resolver, mas é mais um caso de tentar aplicar uma solução que foi criada no contexto do Windows a um contexto Unix, sem ter em conta que se este continua a existir após 40 anos, é porque claramente o problema da gestão de configurações/alterações tem alguma solução melhor ajustada. Tal como existe a necessidade de gerir em conjunto números grandes de servidores Windows, também existe há muitos anos a necessidade de o fazer com Unixes.

A prática demonstra que este tipo de produtos cria mais problemas do que os que resolve. A não ser, claro, para os consultores que não têm de lidar com o dia-a-dia após a instalação inicial.

Não não é banha da cobra, os que conheço melhor sã...

2009-02-01T15:02:00.000Z

Não não é banha da cobra, os que conheço melhor são os da Vintela. Se apenas quiseres fazer o que disseste realmente não necessitas de produtos adicionais, tens o problema resolvido.

Nestes produtos o nivel de integração, e as funcionalidades são estendidas, por exemplo suporte para Group Policies por exemplo, e podes ver aqui:

http://www.quest.com/authentication-services/

Mas estes senhores fazem muitas mais coisas

http://www.quest.com/unix-linux-mac/

No fundo depende sempre dos teus requisitos, sendo certo que nos exemplos acima não necessitas de mais nada.

Victor