Directory Server e autenticazione LDAP

[NexusSistemi]

Buongiorno a tutti.
Avrei bisogno di un chiarimento sul pacchetto "Directory Server".
Da quanto ho capito leggendo la documentazione questo servizio dovrebbe permettere di accentrare il database di autenticazione degli utenti.
Nella documentazione si legge:

"

Impostare la DiskStation come Server directory per fornire un servizio autenticazione account

"

e poi nelle voci di configurazione:

"

Inserire la Password con la password per i client LDAP per eseguire l'autenticazione con il server LDAP

"

Una volta attivato e configurato il Directory Server, configurato l'ldap ed eventualmente attivato il DNS, come va fatta la configurazione lato client?
Come si configura il client per utilizzare l'utente definito nell'ldap?
Normalmente, in un ambito Active Directory, questo avviene effettuando il join al dominio ma in questo contesto non credo risulti possibile (mancherebbe almeno kerberos).

Vi ringrazio fin d'ora per le eventuali risposte.
Carlo

[ilsindaco66]

Dal lato client che OS hai?

[dMajo]

Il directory server crea un secondo database di utenti sul nas in formato ldap. AD di MS oltre ad avere un db ldap ha inoltre estensioni proprietarie delo schema ed un sacco di servizi aggiuntivi basati su di esso a supportarlo. Il server ldap non sostituirà mai un DC AD. Fra le altre cose in un dominio AD è sempre consigliabile avere almeno due DC distinti. Altrimenti in caso di down non ti loghi più su nessuna macchina.
Inoltre le GPO, WSUS e similari non sono disponibili con il server ldap.
Per sostituire gli utenti locali di windows nel logon con quelli del nas, oltre ad installare LDAP devi installare GINA(pGINA) su tutti i PC.

Attenzione che nel caso di più nas gli altri saranno client di quello con il serevr ldap e a quel che ne so questo non è replicabile, se va giù quello con il directoryserver sei fritto. Non è come in un dominio dove tu hai più DC e se uno è down un'altro verrà utilizzato per l'autenticazione.
Se intendi fare ciò ti conviene avere una/due piccole macchine che eseguano windows server con il ruolo DC ed i nas a sua volta, come gli altri PC, client di dominio. Eventualmente potrebbero bastare anche due piccole mobo che facciano eventualmente il boot in pxe dal/dai nas, tanto un DC non richiede grosse risorse.

Cerca nel forum ufficiale usando "gina" e "pgina" come chiavi di ricerca.

[ilsindaco66]

In effetti dalla domanda postata anche se si intuiva, non ero sicurissimo che i client fossero macchine windows, per quello che ne so e come è già stato detto da dMajo l'unica soluzione è usare pGina sui PC client, per quello che ho potuto provare il sistema funziona, poi ho abbandonato l'idea proprio per la debolezza dovuta al fatto di poter avere solo una macchina che effettua le autenticazioni, con un problema a quella...

[NexusSistemi]

Vi ringrazio per le risposte.
I client, nella mia ipotesi, sono macchine Windows. Volevo solo capire se si poteva avere un'autenticazione sulla Synology.
Quindi usando Pgina è possibile.

Certo non è un sistema dotato di repliche ma va considerato che moltissime aziende di dimensioni piccole di solito hanno un solo DC.

Se un'azienda fosse dotata di 4 o 5 pc windows, voi consigliereste di accentrare gli utenti su un nas di questo tipo?
Sinceramente, dati i costi anche di licenza un DC lo proporrei solo ad entità aziendali più strutturate.

Tra una soluzione di questo tipo ed una classica "workgroup" con accesso alle condivisione sulla nas voi cosa proporreste?

Grazie e a presto.

[ilsindaco66]

Quanti sono i client e cosa devono poter fare più o meno?

[dMajo]

Vi ringrazio per le risposte.
I client, nella mia ipotesi, sono macchine Windows. Volevo solo capire se si poteva avere un'autenticazione sulla Synology.
Quindi usando Pgina è possibile.

Certo non è un sistema dotato di repliche ma va considerato che moltissime aziende di dimensioni piccole di solito hanno un solo DC.

Se un'azienda fosse dotata di 4 o 5 pc windows, voi consigliereste di accentrare gli utenti su un nas di questo tipo?
Sinceramente, dati i costi anche di licenza un DC lo proporrei solo ad entità aziendali più strutturate.

Tra una soluzione di questo tipo ed una classica "workgroup" con accesso alle condivisione sulla nas voi cosa proporreste?

Grazie e a presto.

Dipende dalle tasche e dagli obiettivi.

Se la business continuity non è un problema e puoi permetterti anche un down (caso del singolo DC) sappi che anche in aziende medio-piccole, spesso dotate di connettività limitata un DC può essere uno strumento utile (eventualmente abbinato al nas per lo storage voluminoso). Sul DC installi DNS, WSUS.
- il dns è oggligatorio per un DC.
- con wsus scarichi di notte gli aggiornamenti (OS e quasi tutti i prodotti MS) per i pc e li distribuisci in automatico sulla lan aziendale. E' poi possibile utilizzarlo anche per distribuire altri software es adobe reader, java ... eventualmente in sinergia con le GPO. In sostanza qualsiasi .msi ma anche.exe sia forzando automaticamente l'installazione (per utente, macchina, gruppo/reparto) che predisponendola così che l'utente finale possa trovare l'elenco delle applicazioni installabili nel pannello di controllo e poi scegliere lui quale installare pur non essendo amministratore del client (eventualmente predisponendo percorsi e opzioni d'installazione)
- con le GPO puoi mappare unità di rete (condivisioni sul nas) in funzione del utente, maccihna, gruppo/reparto. Assegnare la cartella home agli utenti ...
- con le GPO puoi distribuire a tutti i client il certificato SSL, in caso di utilizzo esterno del nas su 5001 o 443 (https) piuttosto che posta pop3/imap con SSL, ed evitare cosi i noiosi messaggi dei browser/client
- usando i profili remoti (roming-profile) puoi permettere a qualsiasi utente di loggarsi su qualsiasi macchina trovando il proprio desktop, la posta e tutte le personalizzazioni.
- se utilizzi un router/firewall che supporta il sso (single-sign-on) puoi gestire i siti/categorie concessi ai vari utenti trasparentemente all'utente e senza che questi debba loggarsi su diverse apparecchiature.

Tutto questo, e molto altro può essere utile anche in una piccola azienda per automatizzare certi lavori, ottimizzare la "ridotta" banda internet a disposizione, impedire che i dipendenti perdano tempo su internet per motivi non aziendali, recuperare velocemente un pc in caso di forzata riformattazione (dopo aver reinstallato l'os, o averlo ripristinato a condizioni di fabbrica, dopo aver aggiunto la macchina al dominio essa installerà automaticamente tutto il software necessario, le patch/service packs e non appena loggato, grazie ai roming-profiles l'utente ritroverà tutte le proprie impostazioni e configurazioni).
La connessione al dominio non funziona su OS Home.

PS. Riguardo al singolo DC.
In caso di singolo DC, questo deve tassativamente (in mia opinione) essere su una VM (anche virtualbox su win7 o qualsiasi altro OS host/sw di virtualizzazione) in modo da astrarre l'OS guest (DC) dal ferro. Ogni notte andrà fatta una shadow della maccina virtuale su disco locale e poi copiata sul nas, conservando le ultime 2/3. In questo modo in caso di guasto al PC/Server e sufficiente prendere il primo pc a disposizione installarvi sopra virtualbox o altro sw di virtualizzazione e riportare così istantaneamente in vita il DC.
Con un nas 1513+ o superiore (dotato di 4 lan) ed uno switch tipo HP1910 i file della macchina virtuale del DC potrebbero risiedere direttamente sul nas e anche il PC host potrebbe essere una piccola mobo mini-itx, disk-less (boot da pxe), con un i5/i7, 8GB di ram e due lan intel da poter eventualmente aggregare.
Poi le scelte fanno ovviamente parte del rischio d'impresa di ogni singolo imprenditore.

[NexusSistemi]

Quanti sono i client e cosa devono poter fare più o meno?

Nella mia ipotesi pensavo a micro-realtà con al max 5 pc che possono presentare due scenari:

1) non hanno server su cui porre i dati e i dati sono distribuiti sui vari pc
2) hanno un server usato solo come fileserver in un contesto workgroup

I client vengono usati per la gestione dei documenti aziendali, accesso ad internet, posta elettronica.

Nel primo caso la nas sarebbe sicuramente un passo avanti.
Nella seconda ipotesi potrebbe esserlo solo nel caso di poter fornire un'autenticazione centralizzata altrimenti le due soluzioni (fileserver solo workgroup e nas) mi sembrano simili.

In tutti gli altri casi il dc è la soluzione auspicabile.