7. 使用OD+AD管理用戶組和計(jì)算機(jī)

對(duì)于AD管理員不愿意把現(xiàn)有的AD架構(gòu)擴(kuò)展到支持Mac OS X的特定屬性的情況很普遍. 在Windows 2000服務(wù)器上，這個(gè)很容易理解, 因?yàn)锳D架構(gòu)的變更是不可逆的, 這樣一旦犯錯(cuò),除非你重建全部AD架構(gòu)，否則前功盡棄. 在Windows 2003服務(wù)器上, 你可以撤消變更. 所以，這一點(diǎn)明顯改變了，AD架構(gòu)的改變不再?gòu)?fù)雜和重負(fù)的。

因此, Mac管理員更愿意把基本的認(rèn)證和AD集成, 但是AD并不能提供最大控制, 比如控制FInder的屬性和／或應(yīng)用程序的存取控制等. 有一個(gè)幸運(yùn)的妥協(xié)方式. 這一節(jié)我們就探討如何建立AD和OD的交叉認(rèn)證平臺(tái)從而利用用戶組和計(jì)算機(jī)表來(lái)提供(最大)管理.

為了理解雙目錄管理如何工作，理解使用LDAP容器是關(guān)鍵. 簡(jiǎn)便起見, 我將限制在對(duì)三個(gè)容器的討論：用戶，組，和計(jì)算機(jī)。

當(dāng)用戶登錄時(shí)，將發(fā)生下面的事情：

4. 并檢查你的服務(wù)程序已經(jīng)配置為使用AD Kerberos realm, 而不是自己的. AFP服務(wù)很容易檢查:

應(yīng)該可以看見你的AD服務(wù)器的realm在列表中. 如果沒(méi)有，解除綁定后重新綁定.

5. 使用2節(jié)中的方法, 提升Mac OS X服務(wù)器為主OD

6. 如果Home目錄在另外一個(gè)Mac OS X服務(wù)器上, 現(xiàn)在就把那個(gè)服務(wù)器綁定到AD, 并加入到AD Kerberos realm. 在AD插件的高級(jí)選項(xiàng)中, 檢查這個(gè)服務(wù)器沒(méi)有強(qiáng)迫使用本地Home目錄, 而是使用UNC路徑到網(wǎng)絡(luò)Home目錄.

7. 預(yù)先生成網(wǎng)絡(luò)Home目錄:

B. 配置客戶端Directory Utility

客戶端的配置就是混合綁定到OD和AD. 注意順序很重要, 先綁定OD并檢查OD在搜索策略欄的第一個(gè), 如果它不是第一個(gè), 設(shè)置可能沒(méi)配置對(duì), 那么擴(kuò)展的記錄將被忽略.
1. 綁定客戶端到主OD(第3節(jié))
2. 使用AD插件綁定客戶端到AD

C. 配置OD組

如 果AD管理員沒(méi)有擴(kuò)展AD架構(gòu)來(lái)支持?jǐn)U展的用戶屬性來(lái)支持Mac OS X的用戶管理, 那么你無(wú)法管理用戶. 同樣, 你也無(wú)法管理Mac OS X組，如果僅使用AD管理而擴(kuò)展組屬性沒(méi)有得到AD的支持. 如果你建立了雙目錄服務(wù), 那么你可以基于OD的組來(lái)管理用戶和組.

Mac OS X支持嵌套的組, 也就是可以識(shí)別組中組. 如果你希望用AD組管理用戶, 你可以在OD中建立組，然后把AD用戶和組添加到里面. AD的用戶和組實(shí)際上還是存在AD中, 而OD組只是包括了它們的一個(gè)參考. OD組可以提供附加的AD不支持的管理信息.

1. 運(yùn)行Workgroup Manager并用diradmin用戶連接到主OD. 確認(rèn)工作在LDAPv3節(jié)點(diǎn).

2. 點(diǎn)擊組并創(chuàng)建一個(gè)新組.

3. 點(diǎn)擊"Members"標(biāo)簽, 然后是"+"按鈕以打開用戶和組抽屜. 在上面選擇AD節(jié)點(diǎn), AD的用戶和組將顯示在列表中. 選擇一些用戶賬號(hào)(包括你自己), 并拖動(dòng)它們到組成員表中, 然后點(diǎn)擊組標(biāo)簽來(lái)添加一些組. 現(xiàn)在有了一個(gè)以AD用戶和組為成員的OD組, 同樣, 并沒(méi)有復(fù)制這些AD用戶和組, 而只是它們的參考, 所以沒(méi)有必要做同步工作. 保存.

4. 可以寫另外一本書來(lái)介紹管理這些配置, 這里不詳述，但是你應(yīng)該至少變更一個(gè)，來(lái)檢查這個(gè)組的管理工作. 確認(rèn)選定那個(gè)組, 然后點(diǎn)擊在工具欄中的Preferences按鈕. 點(diǎn)擊"Dock"按鈕, 在"Dock Display"標(biāo)簽中, 設(shè)置"Manage these settings"為“Always”和"Position on screen"為"Right".

D. 配置OD計(jì)算機(jī)列表

這一步是可選的--可以僅僅使用組來(lái)管理用戶. 計(jì)算機(jī)表管理方式比較方便，尤其是當(dāng)你管理數(shù)千用戶或者依據(jù)計(jì)算機(jī)的位置來(lái)管理的方式.

1. 在WGM(譯者注:Workgroup Manager)里, 點(diǎn)擊工具欄中的賬號(hào)按鈕, 然后點(diǎn)擊計(jì)算機(jī)組標(biāo)簽(那個(gè)兩個(gè)方框的標(biāo)簽).

2. 創(chuàng)建一個(gè)新計(jì)算機(jī)表, 叫它"Test Lab", 點(diǎn)擊"Members"標(biāo)簽, 然后點(diǎn)擊省略符. 在網(wǎng)絡(luò)瀏覽窗口里可以添加你的子網(wǎng)中的計(jì)算機(jī)到列表中.

3. 點(diǎn)擊工具欄中的Preferences按鈕. 最一般的管理任務(wù)是限制哪一個(gè)用戶和用戶組可以使用哪一個(gè)組的計(jì)算機(jī). 可以使用計(jì)算機(jī)組來(lái)實(shí)現(xiàn). 點(diǎn)擊"Login"按鈕, 然后是"Access"標(biāo)簽.

4. 點(diǎn)擊"Always"選項(xiàng), 然后是"+"來(lái)添加用戶/用戶組到"Access Control List". 添加完畢之后, 點(diǎn)擊"Apply Now"來(lái)保存.

E. 在客戶端登錄來(lái)測(cè)試雙目錄設(shè)置

1. 使用AD賬戶登錄, 注意你的Dock應(yīng)該在屏幕右邊.
2. 登出再用另外一個(gè)管理員組用戶登錄(參考Directory Utility的AD插件), 因?yàn)樗且粋€(gè)管理員組成員，所以登錄時(shí)系統(tǒng)提示可以不使用組管理(WGM)
3. 登出，使用另外一個(gè)不屬于OD組的用戶, 這個(gè)用戶將被禁止登錄.
4. 復(fù)習(xí)第4節(jié)的B，并檢查當(dāng)前登錄用戶獲得的Kerberos證書
5. 在主OD上打開AFP和SMB. 在客戶端, 使用AFP和SMB安裝一個(gè)共享(對(duì)于SMB, 必須明示"http://your.server.edu"), 再檢查Kerberos證書, 這個(gè)功能會(huì)在第10節(jié)中詳細(xì)涉及.

Mac OS X Leopard與目錄服務(wù)(AD/OD)集成寶典(7)