Onko kellään Mobile Account -käytössä

[tkt]

Onko kenelläkään Mobile Account käytössä? Siis käyttäjätunnus, jonka kotihakemisto on verkossa ja kopio ko. hakemistosta paikallisella koneella? Hakemistojen synkronointi on valinnaisesti automaattinen tai manuaalinen.

Päivitin OpenLDAP-palvelinta ja samalla muokkasin sen jäljittelemään Applen OpenDictionary-hakemistopalvelua. Kotihakemistot määrittelin verkkoon siten, että ne liitetään koneeseen Applesharella istunnon aluksi. Tämä siis normaalisti tietokoneluokkaympäristössä, jossa käyttäjätunnuksia on satoja. Aikaisemmin käytettiin tavallista RFC2307-määrittelyn mukaista LDAP-hakemistoa ja kotihakemistolevy liitettiin NFS:llä. Nämä tunnukset ovat pelkkiä verkkotunnuksia ja kotihakemiston on siis aina verkkopalvelimella.

Äsken tuli mieleen kokeilla millainen on Applen Mobile Account -järjestelmä. Sen käyttöönotto verkkotunnuksella tehdään Käyttäjätunnukset-säätimellä valitsemalla Mobile Account -rasti. Uudelleen loggauksen jälkeen kotihakemisto kopioitiin verkosta työasemalle (saattaisi mennä toisinkin päin) ja käytössä oli paikallinen hakemisto. Valikkorivillä oli uusi ikoni (kaksi mökkiä), josta sai valita kotihakemistojen synkronoinnin tai mobile-asetukset. Minulla oli (ja on) käytössä automaattinen synkronointi ja se vaikuttaa pikaisesti testattuna tarkastavan hakemistojen sisällön ainakin sisään ja ulos loggautuessa.

Järjestelmään kuuluu siis tiedostopalvelin (AppleShare) ja tietohakemistopalvelin (OpenLDAP, Linux/BSD). Ko. palvelut voivat olla myös samassa verkkopalvelimessa.

Lyhyen testauksen perusteella pidän mahdollisena, että töissä muutan henkilökunnan tunnukset verkkotunnuksilla ja kotihakemistot mobile-hakemistoiksi. Tällä hetkellä kannettavien (ja työasemien) tunnukset ovat pääasiassa paikallisia ja verkkolevyä käytetään manuaalisesti. Mobile-hakemiston käyttö mahdollistaa esimerkiksi vaivattoman tietojen turvakopioinnin ja koneen vaihdon.

Myös ns. kotipalvelimille järjestelmästä on hyötyä. Kannettavan tiedot voidaan automaattisesti synkronoida ja omiin tietohin pääsee käsiksi, vaikka oma kone ei olisikaan välittömästi käytettävissä. Järjestelmä voidaan toteuttaa edullisesti ja käyttöjärjestelmä riippumattomasti. Hiukkasen vaivaa pitää nähdä, mutta käyttöönoton jälkeiset hyödyt kyllä kompensoivat sen reilusti.

--Ari

[NOx]

Lyhyen testauksen perusteella pidän mahdollisena, että töissä muutan henkilökunnan tunnukset verkkotunnuksilla ja kotihakemistot mobile-hakemistoiksi. Tällä hetkellä kannettavien (ja työasemien) tunnukset ovat pääasiassa paikallisia ja verkkolevyä käytetään manuaalisesti. Mobile-hakemiston käyttö mahdollistaa esimerkiksi vaivattoman tietojen turvakopioinnin ja koneen vaihdon.

Nykyisellään tuo jo toimii käytettävästi. Synkkauksen logi: ~/Libary/Logs/MirrorAgent.log. Synkkaus lennosta ei välttämättä toimi. Asialla ei oikeastaan ole isoa merkitystä kun loginin ja logoutin yhteydessä toimii varmasti. Riittää kun ohjeistaa käyttäjät toimimaan oikein.

Myös salasanan vaihtamisen kanssa on ollut ongelmia, ei tahdo aina toimia jos käyttäjä pakotetaan vaihtamaan salasanaa seuraavalla loginilla. Syytä en ole keksinyt. Ei auta yhtään kun virheilmoitus on se klassinen "The home folder for the user account is located on an AFP or SMB server".

Siinäpä ne isoimmat murheet. Olipa kotikansiot sitten kiinteästi serverillä tai cachetettu työasemaan niin jouheasti toimii eikä login vie merkittävästi enempää aikaa kuin tavallisessa työasemassakaan. Multiple Usersin käytöstä tässä yhteydessä ei ole kokemuksia eikä ole tarvetta kokeillakaan.

[mkv]

Moi,

pystysitkö opastamaan tiedonjanoisen oikeille apajille, kiinnostaisi tuossa pari asiaa. Eli olisi kiva tietää mitä OpenLDAPille pitää tehdä jotta moisen Mobile Accountin saa sen avustuksella toimimaan ja toinen, olisikohan tuohon hakemistojen synkronointiin palvelimelle/palvelimelta jotain ohjetta? Kysyn tätä täällä vaikka varmasti googlellakin löytäisin, koska luulen että asiassa kannattaa kuunnella kokeneempien neuvoja kun ldap ja apple on molemmat aika uusia tuttavuuksia, vaikka muuten unixadmin olenkin.

Markus

[tkt]

Ei mikään ihan pieni kysymys olekaan. Vastataanpa näihin käänteisessä järjestyksessä.
Kun Mobile Account on käytössä, niin sykronointi tapahtuu lähes itsestään. Loggautumisten yhteydessä tarkastetaan muutokset ja synkronoidaan kansiot. Manuaalinen mahdollisuus on esim valikkorivin mökki-ikonin kautta.



--Ari

[tkt]

Tietohakemistona voi käyttää Mac OS X Serverin OpenDirectory -palvelua tai yleistä OpenLDAP-palvelinta. Ensin mainitun löytäminen voi olla aika hankalaa, vaikka kyllä niitä kaupasta rahalla saa.
OpenLDAP:n asennuksen yleisiä ohjeita voi katsoa esimerkiksi openldap.org:n sivuilta http://www.openldap.org/doc/admin/quickstart.html. Tässä yhteydessä en ajatellut puuttua siihen. Oletetaan, että nyt on yleinen OpenLDAP-palvelin pystyssä ja siinä on geneerinen RFC 2307-mukainen käyttäjätietokanta.

Ensimmäiseksi pitää muuttaa /etc/openldap/slapd.conf -tiedostoa.

Alkumäärittelyissä varmistetaan, että määrittelyt sisätävät seuraavat:
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/samba.schema
include /etc/openldap/schema/apple.schema

Katsotaan myös, että oheiset määritykset löytyvät:
allow bind_v2
schemacheck off

Seuraavaksi lisätään kantaan Apple Directory Services mukaiset määrittelyt:

dn: ou=Mounts,dc=tol,dc=oulu,dc=fi
ou: Mounts
objectClass: top
objectClass: organizationalUnit

dn: cn=server.example.fi:/users,ou=mounts,dc=example,dc=fi
cn: server.example.fi:/Users
objectClass: mount
objectClass: top
mountDirectory: /Network/Servers/
mountType: url
mountOption: net
mountOption: url==afp://;AUTH=NO%20USER%20AUTHENT@server.example.fi/Users

dn: uid=testi19,ou=People,dc=example,dc=fi
objectClass: person
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
objectClass: inetOrgPerson
objectClass: apple-user
objectClass: extensibleObject
objectClass: organizationalPerson
uid: testi19
shadowMin: 7
shadowMax: 120
shadowWarning: 7
shadowInactive: -1
loginShell: /bin/bash
apple-generateduid: 101A9682-29F7-4CAB-9312-68B8B6006B17
uidNumber: 25262
apple-mcxflags:: PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz4KPCFET0NUW
VBFIHBsaXN0IFBVQkxJQyAiLS8vQXBwbGUgQ29tcHV0ZXIvL0RURCBQTElTVCAxLjAvL0VOIiAiaH
R0cDovL3d3dy5hcHBsZS5jb20vRFREcy9Qcm9wZXJ0eUxpc3QtMS4wLmR0ZCI+CjxwbGlzdCB2ZXJ
zaW9uPSIxLjAiPgo8ZGljdD4KCTxrZXk+c2ltdWx0YW5lb3VzX2xvZ2luX2VuYWJsZWQ8L2tleT4K
CTx0cnVlLz4KPC9kaWN0Pgo8L3BsaXN0Pgo=
sn: Testi
cn: Testi, Yhdeksantoista
gecos: Testi Yhdeksantoista
shadowLastChange: 13242
givenName: Yhdeksantoista
gidNumber: 500
homeDirectory: /Network/Servers/server.exaple.fi/Users/testi19
apple-user-homeurl: <home_dir><url>afp://server.example.fi/Users</url><path>testi19</path></home_dir>
shadowExpire: 99999
mail: Yhdeksantoista.Testi@example.fi
ou: staff
ou: tol
ou: Oulu
authAuthority: ;basic;

Ylläolevassa käyttäjämäärittelyssä lihavoidut tekstit pvatMaciä varten tehtyjä muutoksia. Apple-generateduid -tunnus saadaan luotua helposti komennolla uuidgen.

Kun oheiset muutokset on tehty LDAP-kantaan, niin on hyvä varmistaa, että palvelimella (server.example.fi) on jaossa kotihakemisto (Users) AppleSharella.

Seuraavat muutokset kohdistuvat sitten Mac OS X -työasemaan. Käytetään Hakemistopalvelut (Directory Access) -ohjelmaa. Varmistetaan, että rasti on kohdassa LDAPv3.

Määritellään uusi LDAP-palvelinviite. Palvelimen IP-osoite viittaa LDAP-palvelimeen. LDAP-kuvakseksi (LDAP Mapping) asetetaan ensin Open Directory Server, joka vaihdetaan Custom-määrittelyyn. Search Base -määrittely dc=example,dc=fi asetetaan myös tässä vaiheessa.

Custom-määrittelyssä valitaan Tietuetyyppi ja Attribuuttilistasta
>Users
>Groups
>Mounts
ja muutetaan niiden Search Base vastaamaan yllä olevan LDAP-määrittelyn mukaisia arvoja (dn: uid=testi19,ou=People,dc=example,dc=fi).
>Users -> Search Base ou=People,dc=exaple,dc=fi
>Groups -> Search Base ou=Group,dc=exaple,dc=fi
>Mounts -> Search Base ou=mounts,dc=exaple,dc=fi

Hyväksytään muutokset OK:lla ja käydään katsomassa, että uusi vastamääritelty LDAP-kuvaus on mukana Hakemistopalvelut Autentikointi-välillehdellä. Jos ei ole, niin valitaan Search-kentästä Custom ja painetaan Add-nappia.

Nyt sitten ei tarvita kuin kasa onnea ja ulosloggaus. Takaisin tullessa kirjautumisikkunassa pitäsi nyt olla uutena käyttäjänä Other... tai Muu..., jolla voi kirjautua koneeseen käyttäen LDAP-kantaan määriteltyä tavallista Unix-salasanaa.
Jos on erityisen hyvä tuuri, niin loggautuminen onnistuu. Kerrassaan käsittämättömän hyvän tuurin vallitessa ehkä ei tulekaan tuo NOx:n mainitsema ainoa (erittäin kuvaava) virheilmoitus.

Kun loggautuminen onnistuu ja kotihakemisto on paikallaan, niin voidaa ko. verkkokäyttäjälle valita edellisessä postissa mainittu Mobile-valinta (siirrettävä tunnus).

--Ari

[mkv]

miehen työn olet tehnyt tuon kimpussa, ansaitset palkkioksi 10 pistettä ja merkin!

EDIT: Tulipa heti alkuun ongelmia. Kopsin tuon apple.scheman ensin omasta tiger 10.4.6:sta, en saanut toimimaan. Sitten kokeilin täältä http://www.spack.org/wiki/AppleOsxInteg ... thOpenLdap linkitettyä apple.schemaa, sama juttu. Kun yritän käynnistää Ldap-palvelinta, saan virheilmoituksen:

Checking configuration files for : /etc/openldap/schema/apple.schema: line 200: AttributeType not found: "authAuthority"

Serveri on Tao Linux 4, jossa OpenLDAP 2.2.13-4 RPM:stä tuoreeltaan asennettuna. Googlella tuota herjaa etsiskelin, näemmä moni muukin törmännyt samaan

Markus

[tkt]

miehen työn olet tehnyt tuon kimpussa, ansaitset palkkioksi 10 pistettä ja merkin!

EDIT: Tulipa heti alkuun ongelmia. Kopsin tuon apple.scheman ensin omasta tiger 10.4.6:sta, en saanut toimimaan. Sitten kokeilin täältä http://www.spack.org/wiki/AppleOsxInteg ... thOpenLdap linkitettyä apple.schemaa, sama juttu. Kun yritän käynnistää Ldap-palvelinta, saan virheilmoituksen:

Checking configuration files for : /etc/openldap/schema/apple.schema: line 200: AttributeType not found: "authAuthority"

Serveri on Tao Linux 4, jossa OpenLDAP 2.2.13-4 RPM:stä tuoreeltaan asennettuna. Googlella tuota herjaa etsiskelin, näemmä moni muukin törmännyt samaan

Markus

Tietenkin jotain unohtui. Tämän tein joskus aikaisemmin, kun apple-määrittelyt eivät tahtoneet tarttua. Siis /etc/openldap/schema/apple.schema-tiedostossa on muutettu hieman tietojen järjestystä.

# authAuthority on siirretty tahan myohemmasta
attributetype (
1.3.6.1.4.1.63.1000.1.1.2.16.1
NAME 'authAuthority'
DESC 'password server authentication authority'
EQUALITY caseExactIA5Match
SUBSTR caseExactIA5SubstringsMatch
SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

# User object class.

objectclass (
1.3.6.1.4.1.63.1000.1.1.2.1
NAME 'apple-user'
SUP top
AUXILIARY

Jas vastaavasti authAuthority:n myöhempi esiintymä on kommentoitu pois noilla risuaitamerkeillä.

Tietysti järkevämpää olisi ollut korjata muutetun apple.schema-tiedoston nimi esimerkiksi apple-muutettu.schema tms. ja käyttää sitä slapd.conf-määrittelyissä. Tällöin ei olisi helpompi muistaa tehty muutos esimerkiksi päivitystilanteessa.

--Ari

[juksu]

Hei, kiitoksia hyvistä ohjeista

Onkos tähän olemassa vielä jotain kikkaa, jolla ennen sisäänkirjautumista saisi käynnistettyä PPP, VPN tai 802.1X yhteyden?

Kiitos!