NAS: Oprávnění ve Windows, directory server
9.4.2013, Radan Tuhý, návod
Jako uživatelé Windows se nemusíte omezovat na systém oprávnění NASu, ale můžete využít tzv. ACL, jehož aktivace dovoluje spravovat oprávnění přímo z Windows. Nároční uživatelé si také mohou nainstalovat vlastní adresářový server. Přečtěte si, jak na to.
Kapitoly článku:
- Jaké máme možnosti, trocha teorie
- Aktivace, konfigurace a využití ACL
- Instalujeme Synology Directory Server
- Instalace LDAP klienta ve Windows, závěr
Jelikož operační systém Windows neobsahuje zabudovaného LDAP klienta (viz předchozí kapitola), pro lepší využití naší nové adresářové služby, která běží na NASu, bude potřeba nainstalovat software třetí strany.
Pro tento účel jsme zvolili opensource software pGina, který je možné využít již od starého systému Windows XP s nainstalovaným Service Packem 3, a to jak ve 32bitové, tak 64bitové verzi. Vše bylo testováno na operačním systému Windows 7 Ultimate 64bit.
Z výše uvedeného odkazu si stáhneme poslední verzi aplikace, která zabírá jen něco málo přes 1 MB. Spuštěním instalátoru zahájíme poměrně jednoduchou instalaci, ve které odsouhlasíme licenční ujednání a potvrdíme instalační lokaci.
K tomu, aby program mohl fungovat, je nutné mít nainstalovaný .NET 4.0 Full Framework. Je to dáno tím, že 95 % všech funkcí programu je napsáno v jazyce C#.
Pokud náhodou tento Framework nemáme v počítači nainstalován, dojde během instalace k jeho stažení a následné instalaci.
Následně proběhne samotná instalace aplikace pGina a instalační proces je dokončen.
Prvním krokem je spuštění právě nainstalovaného klienta. V nově otevřeném okně se přesvědčíme, že odpovídající služba pGina běží a Credential Provider je registrován a povolen.
V dalším kroku se přepneme do záložky Plugin Selection a vybereme LDAP Authentication. Zaškrtnuté checkboxy u Local Machine můžeme ponechat, ale není to bezpodmínečně nutné.
Následně si označíme řádek LDAP Authentication a klikneme na tlačítko Configure. V nově otevřeném okně je potřeba nastavit připojení k našemu LDAP serveru na NASu, a to následujícím způsobem:
LDAP Host(s): [IP adresa NASu]
LDAP Port: 636
Use SSL: Yes
DN Pattern: [uid=%u,cn=users,dc=domain]
Místo IP adresy je možné zadat také hostname, ale je nutné se ujistit, že jej dokáže námi použitý DNS server přeložit. Zvláštní pozornost je nutné věnovat poslední části, jelikož doménu je nutné odpovídajícím způsobem rozepsat. Výsledná podoba odpovídá tomu, co jsme nastavili během konfigurace adresářového serveru. Výsledek by tedy mohl vypadat přibližně takto.
Další záložka ke konfiguraci je Plugin Order, kde je vhodné (v případě ponechání Local Machine) přesunout LDAP Authentication na první místo, aby primárně probíhala autentifikace oproti LDAP serveru (žádoucí).
Abychom si ověřili, že je vše správně nastaveno, přejdeme do záložky Simulation, ve které vyplníme přihlašovací jméno (bez jakékoli domény) a heslo (které jsme nastavili v Directory Serveru). Po kliknutí na zelenou šipku dojde k pokusu kontaktovat námi definovaný LDAP server za pomocí vložených přihlašovacích údajů. Pokud je vše nastaveno správně, výsledek musí být Success.
Tímto je konfigurace klienta dokončena. LDAP klient běží jako služba, takže po zavření konfiguračního okna si již nemusíme ničeho všímat. Pokud bude potřeba provést autentifikaci, zadáme již pouze přihlašovací jméno a heslo, které jsme si vytvořili v rámci našeho adresářového serveru.
V dnešním článku jsme si ukázali, že i s NASem, jehož operační systém běží na bázi Linuxu, můžeme celkem pohodlně pracovat přímo z operačního systému Windows, respektive využívat vlastnosti, na které jsme z Windows zvyklí. Nelze sice říct, že se jedná o plnohodnotnou náhradu nativního doménového controlleru (na něj bychom potřebovali samostatný server), ale přesto jsme přesvědčeni, že toto řešení bude pro většinu domácích sítí dostačující a efektivní.
Pokud se vám podařilo nastavit váš NAS pomocí adresářové služby, případně využíváte ACL, více uživatelských účtů a alespoň pár uživatelských skupin, dá se říci, že jste obsáhli oblast souborového serveru (File Server), jehož důležitou součástí je právě konfigurace a správa uživatelských oprávnění. V dalších pokračováních se tedy zase zaměříme na další oblast, ve které je možné NAS využívat v praxi.
Pro tento účel jsme zvolili opensource software pGina, který je možné využít již od starého systému Windows XP s nainstalovaným Service Packem 3, a to jak ve 32bitové, tak 64bitové verzi. Vše bylo testováno na operačním systému Windows 7 Ultimate 64bit.
Instalujeme klienta
Z výše uvedeného odkazu si stáhneme poslední verzi aplikace, která zabírá jen něco málo přes 1 MB. Spuštěním instalátoru zahájíme poměrně jednoduchou instalaci, ve které odsouhlasíme licenční ujednání a potvrdíme instalační lokaci.
K tomu, aby program mohl fungovat, je nutné mít nainstalovaný .NET 4.0 Full Framework. Je to dáno tím, že 95 % všech funkcí programu je napsáno v jazyce C#.
Pokud náhodou tento Framework nemáme v počítači nainstalován, dojde během instalace k jeho stažení a následné instalaci.
Následně proběhne samotná instalace aplikace pGina a instalační proces je dokončen.
Konfigurace LDAP klienta
Prvním krokem je spuštění právě nainstalovaného klienta. V nově otevřeném okně se přesvědčíme, že odpovídající služba pGina běží a Credential Provider je registrován a povolen.
V dalším kroku se přepneme do záložky Plugin Selection a vybereme LDAP Authentication. Zaškrtnuté checkboxy u Local Machine můžeme ponechat, ale není to bezpodmínečně nutné.
Následně si označíme řádek LDAP Authentication a klikneme na tlačítko Configure. V nově otevřeném okně je potřeba nastavit připojení k našemu LDAP serveru na NASu, a to následujícím způsobem:
LDAP Host(s): [IP adresa NASu]
LDAP Port: 636
Use SSL: Yes
DN Pattern: [uid=%u,cn=users,dc=domain]
Místo IP adresy je možné zadat také hostname, ale je nutné se ujistit, že jej dokáže námi použitý DNS server přeložit. Zvláštní pozornost je nutné věnovat poslední části, jelikož doménu je nutné odpovídajícím způsobem rozepsat. Výsledná podoba odpovídá tomu, co jsme nastavili během konfigurace adresářového serveru. Výsledek by tedy mohl vypadat přibližně takto.
Další záložka ke konfiguraci je Plugin Order, kde je vhodné (v případě ponechání Local Machine) přesunout LDAP Authentication na první místo, aby primárně probíhala autentifikace oproti LDAP serveru (žádoucí).
Abychom si ověřili, že je vše správně nastaveno, přejdeme do záložky Simulation, ve které vyplníme přihlašovací jméno (bez jakékoli domény) a heslo (které jsme nastavili v Directory Serveru). Po kliknutí na zelenou šipku dojde k pokusu kontaktovat námi definovaný LDAP server za pomocí vložených přihlašovacích údajů. Pokud je vše nastaveno správně, výsledek musí být Success.
Tímto je konfigurace klienta dokončena. LDAP klient běží jako služba, takže po zavření konfiguračního okna si již nemusíme ničeho všímat. Pokud bude potřeba provést autentifikaci, zadáme již pouze přihlašovací jméno a heslo, které jsme si vytvořili v rámci našeho adresářového serveru.
Závěrem
V dnešním článku jsme si ukázali, že i s NASem, jehož operační systém běží na bázi Linuxu, můžeme celkem pohodlně pracovat přímo z operačního systému Windows, respektive využívat vlastnosti, na které jsme z Windows zvyklí. Nelze sice říct, že se jedná o plnohodnotnou náhradu nativního doménového controlleru (na něj bychom potřebovali samostatný server), ale přesto jsme přesvědčeni, že toto řešení bude pro většinu domácích sítí dostačující a efektivní.
Pokud se vám podařilo nastavit váš NAS pomocí adresářové služby, případně využíváte ACL, více uživatelských účtů a alespoň pár uživatelských skupin, dá se říci, že jste obsáhli oblast souborového serveru (File Server), jehož důležitou součástí je právě konfigurace a správa uživatelských oprávnění. V dalších pokračováních se tedy zase zaměříme na další oblast, ve které je možné NAS využívat v praxi.
