להתקין שירות LDAP על כוס תה

היה לי קצת זמן לשרוף אז החלטתי להרים שירות LDAP עבור הבדיקות שלי .בחרתי להשתמש ב slapd שיספק לי את שירותי ההזדהות.

השירות יותקן על 192.168.1.9 עבור הארגון example, נשתמש בשם הלא חוקי example.local
התקנה ראשונית מתחילה בחבילות :

apt-get install slapd ldap-utils

תשאלו להכניס סיסמה עבור המשתמש שינהל את הסביבה (האדמין) ותקבלו תוצאה דומה ל :

Setting up slapd (2.4.40-3) ...

  Creating new user openldap... done.

  Creating initial configuration... done.

  Creating LDAP directory... done.

Setting up ldap-utils (2.4.40-3) ...

Processing triggers for libc-bin (2.19-13) ...

בקשו ממנהל החבילות להגדיר את השרת :

dpkg-reconfigure -plow slapd

תשאלו האם אתם רוצים להתחיל מאפס (ללא שום בסיס נתונים (אני עצלן אז לא)).
תשאלו מהוא הדומיין שברשותכם  נכניס example.local.
עבור השאלה מהוא שם הארגון נמלא example
תתבקשו למלא את הסיסמא עבור המשתמש שינהל את הסביבה.
יש בחירה בין סוגי backend שונים ,בחרתי ב MDB (ברירת מחדל).
לא עבור הסרת בסיסי הנתונים
אישור להעביר את כל הקבצים עבור ההתקנה
מנעתי שימוש ב LDAP2

פתחתי את /etc/defaults/slapd ושיניתי שיאזין רק מקומית :
SLAPD_SERVICES="ldap://127.0.0.1:389/ ldapi:///"


ניצור קובץ בשם access.ldif שיאפשר הרשאות :

dn: olcDatabase={1}hdb,cn=config

changetype: modify

add: olcAccess

olcAccess: {1}to attrs=loginShell,gecos

  by dn="cn=admin,dc=example,dc=local" write

  by self write

  by * read

נטען את הקובץ למערכת ע"י

ldapmodify -Y EXTERNAL -H ldapi:/// -f ./access.ldif

אנחנו מייצרים היררכיה , המשתמשים יהיו מתחת ל People,dc=example,dc=local

יצרת  קובץ People.ldif עם התוכן :

dn: ou=people,dc=example,dc=local

ou: people

description: All people in Open Solutions

objectclass: organizationalUnit

טעינת הקובץ:

ldapadd -x -D cn=admin,dc=example,dc=local -W -f ./People.ldif

יצירת משתמש  :

dn: cn=joeb,ou=People,dc=example,dc=local
objectClass: inetOrgPerson
uid: joeb
sn: Bloggs
givenName: Joe
cn: Joe Bloggs
displayName: Joe Bloggs
userPassword: pwdpwdpwd
mail: joeb@example.local
o: example
title: user
ou: second floor

בשביל למחוק את המשתמש שנוצר :

ldapdelete -x -W -D "cn=admin,dc=example,dc=local"  "cn=joeb,ou=People,dc=example,dc=local"

איך לחבר את המחשב האישי לרשת המשרדית מבוססת וינדוס

יש לי מחשב נייד שמריץ דביאן והייתי צריך להעביר חלק מעבודת הפיתוח ממכונה שמריצה win7 לדביאן.


על מנת לעבוד ברשת המשרדית ראשית נדרשתי ליכולות צפייה במחשבים שמשתפים תכנים באמצעות cifs (windows share) לבצע זיהוי מחשבים לפי wins ולגשת לפנקס הכתובות של שניתן ע"י active directory פעולה זו התבצעה ע"י :

זיהוי מכונת ה AD שרצה ברשת הפנימית :
 nmap 192.168.1.1-254 (או כל רשת פנימית אחרת)

הרבה שרתים אבל מה שאני מחפש זה משהוא שיתן לי גם kpasswd וגם ldap:

 

Nmap scan report for 192.168.1.7

Host is up (0.68s latency).

Not shown: 956 closed ports

PORT      STATE SERVICE

25/tcp    open  smtp

53/tcp    open  domain

80/tcp    open  http

88/tcp    open  kerberos-sec

135/tcp   open  msrpc

139/tcp   open  netbios-ssn

389/tcp   open  ldap

445/tcp   open  microsoft-ds

464/tcp   open  kpasswd5

636/tcp   open  ldapssl

3268/tcp  open  globalcatLDAP

3269/tcp  open  globalcatLDAPssl

 

5060/tcp  open  sip
 

5061/tcp  open  sip-tls
 

מה שמעניין פה במיוחד זה הldap ו kpasswd ופורט 53
פה נבצע הזדהות על גבי קרברוס כנגד Active Directory


לאחר התקנה של krb5-user עורכים את קובץ /etc/krb5.conf ובו מוסיפים מידע עבור הרשת שלנו.
הדומיין הכללי נקרא foobar.com על כן נוסיף ל דומיינים את השרת שלנו:

 
       [realms]
       FOOBAR.COM = {
                kdc = 192.168.1.7
                admin_server = 192.168.1.7
        }  

לאחר פעולה זו נבצע

 
   user@laptop$kinit username@FOOBAR.COM
   kinit username@FOOBAR.COM
   Password for username@FOOBAR.COM:*****

התקינו את המינמום הנדרש מסמבה אצלי זה :

 

sudo apt-get install               \
                python-samba       \                                
                samba-common       \                                
                samba-common-bin   \                               
                samba-dsdb-modules \                              
                samba4-common-bin  \

                winbind 

נכון לרגע אם הכל עבר חלק אתם בעלי יכולת לבצע הצגה של מחשבים ברשת. ממשיכים לקובץ nsswitch.conf ומוסיפים בו wins בשורת ה hosts:

 
hosts:          files dns wins

בקובץ /etc/samba/smb.conf אנו מוסיפים מי יפרסם לנו את שמות המחשבים עלמנת שנוכל לגשת עליהם לפי שם ה netbios שלהם

 
  [global]

  password server = 192.168.1.7
  wins server = 192.168.1.7

בנקודה זו יש לנו יכולת לבצע זיהוי והתחברות לשירותים של שיתוף קבצים , מדפסות וכן הלאה.

ממשיכים לפנקס כתובות מרבית הסיכויים שה dn שלכם הוא אני מניח שאתם משתמשים בפנקס כתובות שיש לו תמיכה ב ldap :

cn=Users,dc=foobar,dc=com
וה basedn שלכם הוא :
CN=John Doe,cn=Users,dc=foobar,dc=com

שימו לב שזה case sensitive, ה CN היה מורכב מ John Doe (כמובן מלאו פה את השם שלכם) ולא שם המשתמש כמו בשרתים קודמים.

בשביל לאתר שרת ה VoIP שלכם חפשו מחשבים שמספקים SIP (בדוגמה שלי מדובר באותו מחשב)

עוד צעד אחד לקרב את הנייד לנייח

התרגלתי יותר מדי לעבודה כשיש תקשורת ועם מחשב יחסית חזק - 

נגיד אני שיש לי כ 1000 אנשי קשר (תמונה , אתר , חברה קשרים ... ) יש לי כיום בעייה לעבוד עם הרשת נופלת:

חלק מהמידע מאוחסן ב Google.

חלק מהמידע מאוחסן ב Facebook.

חלק מהמידע מאוחסן ב Linkedin

יש המון מידע שיושב בCRMים הארגונים.

אהה ונכון יש גם מידע לוקאלי שאני כמעט לא מעדכן (* מחכה שיתקנו כבר באגים מטיריפים).

אילו היה לי פתרון שהיה מאפשר לשמור על המידע בצד שלי בלי לדאוג יותר מדי זה היה מצויין.

מה שאני עושה לפעמים כשאני יודע שאני יוצא לנסיעות ללא תקשורת זה פשוט לבצע export ו import שזה ממש לא תענוג גדול כשאתה עובד ב akonadi.

כשהיה לי מכשיר שתמך בדחיפת מידע משרת אם זה funambol (שאני לא ממש ממליץ ) ואם זה libsynthesis (שהשתמשתי בו בשביל ליצור שרת לעצמי) תמיד היתה לי בעייה עיקרית : 

אני צריך להשתמש גם ב backend לסנכרון (mysql/ ms sql / filestorage ) 

וגם להשתמש ב backend אחר שאפליקציות מהמחשב הנייד צריכות להסתנכרן מולו - אני שומר לפחות פעמים את המידע.

בשביל להתמודד עם הבעיה הזאת ב 2009 אני וחברים יצרנו פרנקשטיין קטן שאפשר לבצע הזדהות , סינכרון קבלת מיילים מנקודה אחת. 

הבעייה - הסביבה היא מאוד רגישה לבעיות - אם השרת נופל לא היה ממש אפשרי להחזיר את המידע מממה שסונכרן.

על מנת לפתור בעיות של מידע כפול יצרתי פנקס כתובות ע"ג ldap , שירות מיילים ע"ג currier וסינכרון יומנים ע"י davmail.

לאחרונה אני רואה שהמצב הזה השתפר - היום מערכות ה PIM מאפשרות שיחזור טוב יותר (פרט לאנשי הקשר ).

נניח ואני מחזיק את אנשי הקשר שלי ב מערכת הקבצים מספיק בשבילי לבצע export ל vcard3 ולדחוף את הקבצים לתיקייה המערכת תדע להתמודד עם זה.

אבל אנחנו משתמשים בakonadi והמצב שם יחסית שונה - 

אקונאדי היא הסביבה האחראית על ניהול המידע והיום המערכת לא ממש  יודעת לעבוד מול מספר מופעים : 

כל מחשב , מכשיר סלולר מתחבר לinstance שלו ועובד מולו.

הבעיה הזאת נתנה רעיון פיתוח לחברה של Kolab ולפי הפירסום הם הולכים לפתח שירות שיאפשר עבודה של מספר מכשירים כלפי סביבת PIM מסונכרנת - 

בצורה כזאת גם המחשב הנייד שלכם יעבוד מול ה ACS (Akonadi Control Server) וגם מכשירי הסלולר שלכם יסונכרנו מולו.

היתרון בפתרון הזה יחסית ברור - אין לך צורך במידע כפול , אקונאדי אחראי לעבודה ולקבל המידע האירגוני מהשרתים , והמכשיר הנייד שלך מסתנכרן מול שרת האקונאדי במקום שרת אחר.

רגע זה נראה לכם מוכר ? נכון .. ראינו משהוא כזה כבר פעם זה לא בערך מה ש QMF ניסה לעשות פעם ?
אז אולי בנקודה כזאת אפליקציה שבנוייה  ב QMF תעבוד מול אקונאדי במקום מול השרת .. (כן בסדר.. ).

אבל משהוא שאנחנו פחות מתייחסים עליו זה היכולת להפריד את שירות ה אקונאדי מהמחשב הנייד שלכם -

המון אנשים כועסים על צריכות הזיכרון והצרות שאקונאדי עושה לנו , תוסיפו את הבאגים המטיריפים שמוחקים את כל תיקיית המיילים שלכם / תקיעת ה IDE שלכם בגלל בעיית תקשורת וקיבלנו הרבה אנשים מאוד מאוכזבים.

נ.ב.

לפי פירסומים זרים syncevolution יודע להתמודד עם מספר מערכות PIM ולדחוף את המידע .

(*) - מאז השידרוג ל QT4 לקוח הכתובות האהוב עלי עובד בצורה גרוע מevolution :

אם אתה צריך לבצע merge , find duplicate אתה חייב להשתמש באפליקציות חיצוניות.

הרבה מאוד מידע הוסר והלך לאיבוד - הסכמה של kaddressbook ב kde4 שונה מkde3.

אני באמת חושב שצריך לחזור להשתמש בסכמה של מוזילה לאחיסון מידע כי היא יחסית לא משתנה יותר מדי, אבל הלקוח של מוזילה לכתובות לא מאפשר עבודה עם מספר נקודות

האם אני באמת צריך את kaddressbook?

התחלתי להשתמש במנהל החלונות הזה איפה שהוא הכל מ kde 3.0 , כאשר התחלפה הקידמות התחילו הצרות אולי אני זקן/שמרן או לא יודע איך לקרוא לזה אבל איבוד השימושיות כבד מנשוא.
עד 4.4 נהגתי לאכסן ולנהל את רשימתץ הכתובות של ב kaddressbook אבל לא ... חייבים לשנות ולהוריד פונקציונאל.
אם בעבר זה היה באג סורר שאיבד מידע במיזוג אנשי קשר אז אכשיו פשוט מעבירים את האשמה לnepomunk.

אז כן, אני שובר את הראש איך אני מכניס ידנית שני פיטצרים לתוכנה (חיפוש אנשי קשר דומים) אבל עדיןן זה פשוט מעצבן!
עם כל הכבוד הסרת האפשרויות הרבה מהתוכנה (כמו חוסר היכולת לערוך את שדות השמות) מורידה יותר ויתר את השימושיות למשתמש הממוצע.

הרי תוכנה זו היא חלק מ kontact חבילה משרדית שמהווה תחליף מלא לoutlook ביחד עם עוד מספר תוכנות אחרות ואכשיו פתאום מוצא את עצמך מחפש פתרונות נוספים בשביל דברים שהיו פעם אפשרויות ברירת מחדל.