zacina to vypadat na boj a to nicemu neprospeje.
Bohuzel ano. Omlouvam se za svuj podil viny, trochu me vyprudilo, kdyz na otazku "co to umi noveho?" dostanu odpoved "jestli nevis, co to umi noveho, tak to nepotrebujes"... Ale nechme OT, tisicere diky tobe za kvalitni odpoved.
To je asi spis dotaz na win adminy (coz na rootu asi neni prave mist)
Predpokladam, ze kdyz nekdo chce udelat tak radikalni krok, jakym imho nasazeni uplne nove samby je, ma to trochu osefovane a vi dost dobre, proc to dela...
Navic si myslim, ze GPO je rozsirenejsi jak WPKG, takze pro to clovek najde uz predpripraveny balik snadneji (ano pro wpkg existuji, ale kvalita je z meho pohledu mizerna). A ono ani samo WPKG napr. na noteboocich neni idealni a obcas trpi podivnymi problemy, ktere se spatne hledaji.
GPO neznam, takze nevim, jake baliky pro nej jsou nebo nejsou, ja to mam spojene s msi baliky a ty pomoci wpkg nainstaluju taky. Kvalita potom zalezi na baliku...
Pokud jde o softy, ktere se pomoci wpkg instaluji jinak nez z msi, tak to vrele souhlasim s mizernou kvalitou (myslim, ze by wpkg.org udelalo dobre, kdyby stanovila nejake prisne guidlines, kterych by se autori navodu museli drzet. Nebo rovnou nejaky repozitar jako treba macports...
No a posledni vec: nastavovani politik v registrech misto jejich naklikani v gpedit.msc, to je opruz. S tim souhlasim. Ale je to pro me spis okrajova zalezitost, kterou se mi zatim vyplati vedome zkousnout...
Nevidim duvod, proc by toto neslo udelat i nad samba4 tooly.
Jasne, koneckoncu je to LDAP (i kdyz se trochu obavam preplacanosti tech schemat a ruznych typicky Microsoftich komplikaci...). Otazka zni ale opacne ("co samba 4 prinasi"), takze tohle je irelevantni.
Kerberos to resi a neresi. Ja to udelane mel, ale ve win je s tim vice potizi, protoze win se vuci kerberovi non-AD moc hezky nechovaji.
A bohuzel i mnohe aplikace stale maji s kerberem potize (zvlast kdyz clovek roubuje MIT krb do win).
Asi jsem se vyjadril trochu nesikovne. Chtel jsem rict "ok, tohle by AD-krb vyresil". Problemy s neAD-krb tak nejak predpokladam, mj. proto jsem se do implementace zatim nepoustel. Zas tak moc to nepotrebuju, abych se s tim paral a nakonec zjistil, ze to kvuli nejakym windowsoidnim priblblostem ciste udelat nejde...
Nerozumim proc se ptate (a proto mi to neprijde jako legitimni otazka), kdyz si zaroven sam odpovidate. Mate to odladene a funkcni a nechcete po tom vic, nez co to umi. Takze prechod je pro vas jen prace navic.
Timto odpovite na jakkykoli argument (bud uz to mate nebo to nechcete).
Nee
Ptam se proto, ze by mi treba nekdo, kdo se v tom vyzna, mohl sdelit sladkou novinu, ze AD ma taky tu vlastnost, ze samo bere telefony a ze vsech serveru, kde je nainstalovano, padaji v petiminutovych intervalech tisicovky (cili by prisel s necim, o cem nevim, v tom seznamu jsem to neuvedl, a zaroven je to pro me zajimavy).
Jinak zkusim dat do placu bezpecnost, ktera hovori ve prospech AD - pokud odriznete ukladani starych hashu hesel pro podporu starych windows.
A zase na druhou stranu pridam, ze mi samba 4.0 jeste neprijde natolik odladena, aby na ni prechazel nekdo, kdo chce minimum problemu (staci sledovat mail list samby).
Ten prvni argument docela beru. I kdyz pokud je LDAP spravne nakonfigurovany, tak dostat se k hashum je priblizne stejne tezke jako kompromitovat cely server, takze konkretni cena tehle bezpecnosti navic zavisi na okolnostech... U me je tak mala, ze prevazuje nad tou druhou nevyhodou - upgradu samby se desne bojim, protoze je to uzivateli-nejblizsi hyperkriticka komponenta, ktera se zaroven desive blbe ladi. Po nekdejsich experimentech s oplocky uz se na to bojim sahnout a jsem rad za kazde nove rano, kdy to jede v odladene konfiguraci
----
Jeste jednou velky dik za konstruktivni odpoved.
34 Odpovědí
11999 Zhlédnutí