加入ActiveDirectory (Win 2k8R2)到OpenDirectory(雪豹)

Question

大多数关于活动目录和开放目录的互操作性的问题都涉及到让Mac客户端看到一个AD并反对它。

我们想要做的是让一个Windows 7工作站完全对抗Open。我们尝试将其设置为NT4类型的PDC，但这并不令人满意。

我们尝试使用pGina和LDAP后端，这允许身份验证，但不支持授权，因此，如果我们挂载NFS共享，用户就有权做他们非常喜欢做的任何事情。对于安全来说不太理想(实际上是完全不能接受的)。

我们尝试使用Samba服务器(比更新的版本)作为中间服务器，以便它知道OD服务器上的LDAP服务器，但使用Samba 4而不是v3。那也没用。我们可以登录，但不能挂载，如果可以的话，我们拥有与pGina相同的权限。如果我们右键单击Windows中的挂载驱动器，并查看NFS，它将返回-2，而不是正确的(映射) UID。

所以我的最终计划是在Windows2008R2虚拟机中使用Active Directory。我想要实现的是让Active Directory从OpenDirectory同步它的用户数据(只读就可以了)。这样，我们就有能力将Windows 7客户端连接到一个“虚拟域”，而虚拟域实际上只是从OD的LDAP获取信息。

我发现的所有信息都是关于如何走另一条路的。

有人知道我们该怎么做吗？

Answer 1

你想做的事也许是可能的。但这取决于一些因素。什么是中央身份商店？是OpenDirectory吗？那么，同步工作反过来会产生什么影响呢？(也就是说，管理AD中的用户并将其同步回OD是否可行？)你的股票存放在哪里？有关系吗？

这可能需要大量的实验和测试，但是您可以使用Centrify Express或同样的Open获得一定程度的成功(尽管我认为它现在已经被重命名了)。正如您已经指出的，这些都是为了让您的非Windows客户端针对AD进行身份验证，而不是相反，但鉴于您已经在考虑使用Wn2k8R2域控制器，这可能是一条路。

Answer 2

除了Active之外，我从未见过任何允许pGina和Novell进行身份验证的东西。

Answer 3

NetIQ (以前的Novell) Identity Manager产品将完全按照您的要求进行--它将同步一个中央用户商店与AD和OD (就我们的目的而言，这将是"openldap")。https://www.netiq.com/products/identity-manager/

您还可以考虑使用eDirectory而不是OD或AD，因为它可以很好地处理两种类型的客户端(以及与中的，eDirectory可以在所有意图和目的上假装为AD )。

这些将是更稳定和可扩展的选择，尽管它们不是免费的。