Nutzung von Benutzerverzeichnissen in AFP-Netzwerken für LDAP-Benutzer

Vertriebspartner finden

Dieses Dokument erläutert einen Netzwerkaufbau bestehend aus einem HELIOS Server für Fileserverdienste sowie einem separaten LDAP-Server für die Autorisierung. Darüber hinaus beschreibt es, wie LDAP-Benutzer nach der Anmeldung an einem Mac-Client ein netzwerkbasiertes Benutzerverzeichnis bekommen.

Einstellungen am HELIOS Server
Volumeeinstellungen

Ein netzwerkbasiertes Benutzerverzeichnis für einen Mac-Client macht eine spezielle Einstellung auf dem HELIOS Server erforderlich. Für das folgende Beispiel nehmen wir an, dass vmsuse114.dyn.helios.de der Name des HELIOS Servers sei.

Entfernen Sie zuerst den Eintrag für das HELIOS Benutzerverzeichnis („~“) aus den Volumeeinstellungen in HELIOS Admin. Legen Sie dann unter dem Pfad „/Users“ ein neues Volume mit dem Namen „Users“ an und aktivieren Sie die Option Gastzugriff. Setzen Sie außerdem über die Kommandozeile die AFP-Serverpräferenz enableguest:

HELDIR/bin/prefvalue -k Programs/afpsrv/enableguest -t bool TRUE

Existieren bereits Benutzer, kopieren Sie das alte Benutzerverzeichnis mit „dt“ in das neu angelegte Verzeichnis „/Users“ und bewahren Sie die Eigentümer- und Zugriffsrechte mit der Option -p.

HELDIR/bin/dt cp -Rp /home/USERNAME /Users

Legen Sie für neue Benutzer ein Benutzerverzeichnis pro Benutzer an und achten Sie dabei auf die richtigen Zugriffsrechte, z. B.:

HELDIR/bin/dt mkdir /Users/USERNAME
HELDIR/bin/dt chmod 700 /Users/USERNAME
HELDIR/bin/dt chown USERNAME /Users/USERNAME

Diese Berechtigungen gewährleisten, dass nur der Benutzer auf sein eigenes Benutzerverzeichnis Zugriff hat.

Hinweis: Ein bereits vorhandenes Benutzerverzeichnis können Sie hierfür nicht verwenden, da jedes Benutzerverzeichnis ein eigenständiges Volume ist. Liegt das alte Benutzerverzeichnis beispielsweise in „/home/USERNAME“ können Sie kein Volume unter dem Pfad „/home“ anlegen, da dies eine Verschachtelung des Desktopaufbaus bedeutet, welche nicht unterstützt wird.

Autorisierungseinstellungen

Autorisieren Sie den HELIOS Server gegen LDAP, wie auf der Seite HELIOS Authentication Server LDAP beschrieben. In diesem Beispiel wird ein Mac OS X Server („Open Directory“/Password Server) verwendet.

Einstellungen am Mac OS X Server

Diese Beispieleinstellungen wurden an einem frisch installierten Mac OS X 10.7.2 Server vorgenommen.

  • Installieren Sie einen Mac OS X 10.7.2 Server und konfigurieren Sie ihn als Open Directory Master (in diesem Beispiel wird der Host macsupport.helios.de verwendet)
  • Verwenden Sie für den Benutzer „odhelios“ die folgende „Home“-Einstellung:
  • Erweitern Sie die LDAP-Datenbank mithilfe der „Verzeichnisdienste“ um einen „Mounts“-Eintrag für den Server. Diese finden Sie im Programm „Server.app“ im Menü „Werkzeuge“. Sie müssen noch folgende Einträge hinzufügen (weitere Einträge werden automatisch vorgenommen):
    • RecordName
      vmsuse114.dyn.helios.de:/Users
    • VFSLinkDir
      /Network/Servers
    • VFSOpts
      net
      url==afp://;AUTH=NO%20USER%20AUTHENT@vmsuse114.dyn.helios.de/Users
    • VFSType
      url
Einstellungen am Mac-Client

Um einen Mac-Client gegen den LDAP-Server zu autorisieren, autorisieren Sie sich als administrativer Benutzer in „Systemeinstellungen > Benutzer & Gruppen > Anmeldeoptionen“ und klicken Sie auf die Schaltfläche Netzwerkaccount-Server. Fügen Sie den Server macsupport.helios.de hinzu, um die Autorisierung über LDAP zu aktivieren.

Einstellungen überprüfen

(In diesem Beispiel wird der Client „iMac“ verwendet.)

ssh-Anmeldung als LDAP-Benutzer auf dem Client:

$ ssh odhelios@iMac
Password:
Last login: Thu Dec 1 11:11:22 2011
iMac:~ odhelios$ pwd
/Network/Servers/vmsuse114.dyn.helios.de/Users/odhelios

Finder-Anmeldung als LDAP-Benutzer:

Melden Sie sich vom Server ab und dann erneut als Benutzer „odhelios“ an.

Hinweis:
 Machen Sie während dieses Tests nicht vom schnellen Benutzerwechsel auf dem Mac-Client Gebrauch, es sei denn, Sie verwenden bereits Mac OS X 10.7.2. Ältere Versionen des Betriebssystems können hier fehlerhaft in Bezug auf Open-Directory-Benutzer reagieren, falls zusätzlich ein lokaler Benutzer angemeldet ist.