Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:client [2019/01/29 07:18]
flacco [invis Server - Client Integration]
+++ invis_server_wiki:client [2020/06/06 08:21]
flacco [3. Test der Konfiguration]
@@ Zeile 2: / Zeile 2: @@
 Unabhängig vom Betriebssystem des ins Netzwerk zu integrierenden Clients, müssen Sie diesen PC zunächst in IP-Netz des invis-Servers integrieren. Eine entsprechende Anleitung finden Sie **[[https://wiki.invis-server.org/doku.php/invis_server_wiki:administration#geraete_und_computer_ins_netzwerk_integrieren|hier]]**.
-===== Windows - ab Windows 7 =====
+===== Domänen-Integration =====
+==== Windows - ab Windows 7 ====
-==== 1. Hintergrund: Server-gespeicherte Profile ====
+=== 1. Hintergrund: Server-gespeicherte Profile ===
 Im Unterschied zu Windows XP und 2000 birgt Windows 7 (wie auch der Vorgänger Vista) ein verstecktes Problem in sich, wenn mit sogenannten //Roaming Profiles// also Server-gespeicherten Profilen innerhalb einer Domänen-Struktur gearbeitet wird.
@@ Zeile 19: / Zeile 20: @@
 Meldet sich ein neuer Benutzer erstmalig an seinem PC an, wird sein Profil und damit auch die Bibliotheksverzeichnisse erstellt. Verfügt der Benutzer über ein ihm gehörendes persönliches Verzeichnis auf einem Fileserver können dort Pendants der Verzeichnisse (Dokumente, Musik, Videos. usw.) erstellt werden. Anschließend werden die lokalen Verzeichnisse gelöscht und mit dem Kommando //**mklink**// stattdessen Verknüpfungen erzeugt die auf die Entsprechungen im persönlichen Verzeichnis zeigen. Windows wird sich nicht darüber beklagen, dass dort keine Indizierung möglich ist.
-==== 2. Vorgehensweise - Domänenbeitritt ====
+=== 2. Vorgehensweise - Domänenbeitritt ===
 Für den Domänenbeitritt müssen die Zugangsdaten eines zum Anlegen von Benutzerkonten berechtigten Benutzers auf dem Domain-Controller bekannt sein. Für einen Windows PDC ist dies in aller Regel der zentrale Administrator und für einen Samba PDC ist dies der Benutzer //root//.
@@ Zeile 36: / Zeile 37: @@
   - Meldet das Script keine Fehler ist der Domänenbeitritt abgeschlossen.
-==== 3. Fehlerquellen ====
+=== 3. Fehlerquellen ===
 Es gibt einige Ursachen für ein Fehlschlagen des Domänenbeitrittes. Die Häufigste darunter ist eine vor dem Domänenbeitritt erfolgte Anmeldung am Domain-Controller unter X-beliebiger Benutzerkennung, etwa um auf ein freigegebenes Verzeichnis zuzugreifen.
@@ Zeile 46: / Zeile 47: @@
 Wichtig ist also, dass der DNS-Dienst auf Ihrem invis-Server in Betrieb ist, davon ist auszugehen, wenn ansonsten alles funktioniert. Sollten Sie dem der Domäne hinzuzufügenden PC etwa statisch Adressen für DNS Server gegeben haben, dürfte dass die Ursache für ein Fehlschlagen des Domänenbeitritts sein.
-==== 4. Script zum Verschieben der Bibliotheken ====
+=== 4. Script zum Verschieben der Bibliotheken ===
 <code>
@@ Zeile 77: / Zeile 78: @@
 Ist der Server ein "invis Server", wird ein bereits personalisiertes Script beim Anlegen eines neuen Benutzers über das invis Portal automatisch erzeugt und in der Freigabe //Service// im Unterverzeichnis <file>winscripts</file> abgelegt. In der Service-Freigabe wird auch der oben erwähnte Registry-Patch vorgehalten.
-===== Linux Clients mit SSSD integrieren =====
+==== Linux Clients mit SSSD integrieren ====
-Anbindung von Linux-Clients an einen invis-Server. Die folgende Beschreibung orientiert sich an **Ubuntu 12.04 LTS** und **Linux Mint 17 "Qiana"** (Getestet auch mit Linux Mint 13 "Maya"), gilt aber prinzipiell auch für andere Linux-Distributionen.
+Die Integration eines Linux-Clients in eine ActiveDirectory Domäne ist grundsätzlich kein Problem. In der Praxis ergeben sich allerdings verschiedene Möglichkeiten dies zu tun. Darüber hinaus unterscheiden sich auch die verschiedenen Linux-Distributionen voneinander, was sich auf die Integration auswirken kann. Nicht zuletzt wegen unterschiedlicher Paketnamen der benötigten Software.
-Kern der Beschreibung ist die Anbindung eines Linux-Clients an eine LDAP-gestützte Benutzerverwaltung mit Hilfe des noch recht jungen System Security Services Daemon (SSSD). Nicht alle Distributionen haben den SSSD bereits vollständig integriert, daher muss in vielen Fällen wie beim hier gezeigten Ubuntu die Einrichtung vollständig manuell durchgeführt werden.
+invis-Server ist ein openSUSE Spin-Off Projekt. Daher dürfte es kaum verwundern, dass wir auch bei der Client-Anbindung "openSUSE Leap" den Vorzug geben. Geschehen ist dies in der Form, dass wir für openSUSE Leap ein eigenes invis-Server Client-Paket gebaut haben welches es ermöglicht den Domänenbeitritt in wenigen Schritten automatisiert durchzuführen.
+Für andere Distributionen ist Handarbeit angesagt. Die entsprechenden Beschreibungen orientieren sich an **Ubuntu 12.04 LTS** und **Linux Mint 17 "Qiana"** (Getestet auch mit Linux Mint 13 "Maya"), gelten aber prinzipiell auch für andere Linux-Distributionen oder Versionen.
+Unabhängig ob automatisiert oder manuell, wir nutzen für die Anbindung eines Linux-Clients an eine LDAP-gestützte Benutzerverwaltung aus dem Hause RedHat stammenden System Security Services Daemon (SSSD). Nicht alle Distributionen haben den SSSD bereits vollständig integriert, daher muss in vielen Fällen wie beim hier gezeigten Ubuntu die Einrichtung vollständig manuell durchgeführt werden.
 SSSD erschließt der Linux-Welt einen Vorteil, der bisher nur Windows-Nutzern zugänglich war. Er bietet die Möglichkeit einer Offline-Anmeldung. D.h. Ein Benutzerkonto steht auf einem Client auch dann zur Verfügung, wenn keine Verbindung zum Server besteht. Spannend vor allem für die Nutzung auf Notebooks.
@@ Zeile 89: / Zeile 94: @@
 //**Achtung:** Bevor Sie damit beginnen Linux-Clients in Ihr Netzwerk zu integrieren, müssen Sie auf Ihrem invis-Server den NFS-Dienst aktiviert haben. Wie das geht, lesen Sie **[[https://wiki.invis-server.org/doku.php/invis_server_wiki:installation:post-110#nfs_fileserver |hier]]**//
-==== openSUSE Leap ====
+=== Vorab ===
+Die Nutzung der Anbindung eines Linux-Clients an eine ActiveDirectory Domäne kann innerhalb oder von außerhalb des lokalen Netzwerkes erfolgen. Die Nutzung von Außerhalb erfordert eine VPN-Verbindung unter Verwendung von openVPN.
+Die Anbindung eines "extern" genutzten PCs sollte, wenn möglich innerhalb des ActiveDirectory-Netzes erfolgen. Möglich ist die Anbindung zwar auch von Außen, Sie werden dabei allerdings von einem "Henne und Ei" behindert.
+Bei einem "Beitritt von außen" müssen sie sich bereits vor dem Domänenbeitritt per VPN mit dem Netzwerk Ihres invis-Servers verbinden und dies als Benutzer "root". Diese Verbindung brauchen Sie später nicht mehr, später verbindet sich der Nutzer per VPN. Kurz, der Betritt von außen ist wesentlich umständlicher als von innen.
+=== openSUSE Leap ===
 Für openSUSE Leap basierte Clients stellen wir ein eigenes Setup-Paktet über unsere Repositories zur Verfügung, mit dem sich der ganze Vorgang der Client-Anbindung automatisieren lässt. Unter der aktuellen openSUSE Leap 42.3 lässt sich das entsprechende Repository wie folgt einrichten:
@@ Zeile 95: / Zeile 108: @@
 <code>
 invis-client:~ # zypper ar https://download.opensuse.org/repositories/spins:/invis:/unstable/openSUSE_Leap_42.3/spins:invis:unstable.repo
+</code>
+... und Leap 15.0:
+<code>
+invis-client:~ # zypper ar https://download.opensuse.org/repositories/spins:/invis:/15:/stable/openSUSE_Leap_15.0/spins:invis:15:stable.repo
 </code>
@@ Zeile 112: / Zeile 131: @@
 </code>
-Beantworten Sie die Fragen und das wars.
+Beantworten Sie die Fragen und das war's.
+Es werden folgende Informationen benötigt:
+  - Die Domäne, der Sie beitreten möchten und
+  - das Passwort des Domänenadministrators.
-==== Manuelle Anbindung - online Clients ====
+=== Manuelle Anbindung - online Clients ===
-=== 1. Freigaben einbinden ===
+== 1. Freigaben einbinden ==
 Zur Anbindung eines Linux-Clients an den Server müssen zunächst die Server-Freigaben **home** und **shares** per NFSv4 ins lokale Verzeichnissystem eingehängt werden. Dazu sind in der Datei <file>/etc/fstab</file> folgende Einträge vorzunehmen:
@@ Zeile 132: / Zeile 157: @@
 linux:~ # sudo apt-get install nfs-common
 </code>
-=== 2. Benutzerverwaltung ===
+== 2. Benutzerverwaltung ==
 Die folgenden Erläuterungen beschreiben die Anbindung eines Linux-Clients an einen invis-Server, sowohl AD, als auch Classic. Für die Anbindung von openSUSE Leap (42.x) an einen invis AD Server steht in unserem Github-Repository inzwischen ein Client-Setup-Script zur Verfügung, welches die Anbindung vollständig automatisch durchführt.
@@ Zeile 413: / Zeile 438: @@
 //**Hinweis:** Wenn es sich beim Client-PC um einen Dualboot-system mit Windows und Linux Betrriebssystem handelt, genügt es den Domänenbeitritt mit Windows vorzunehmen und anschließend wie zuvor gezeigt  eine Keytab zu generieren und in das Linux-Betriebssystems zu kopieren. Alle anderen Konfigurationsschritte müssen auf dem Linux-Client trotzdem durchgeführt werden.//
-=== 3. Test der Konfiguration ===
+== 3. Test der Konfiguration ==
 Mit