Brauchen wir ein Active Directory?

[JimB 0]

Hallo zusammen,

die Überschrift ist vielleicht etwas doof gewählt aber ich würde euch gerne um eure Einschätzung bitten: ich arbeite als EDV-Mitarbeiter bei einer Fachhochschule. In meinem Arbeitsbereich sind 40 Mitarbeiter mit 40 PCs. Unser sogenannter Internetdienstleister ist ein Rechenzentrum einer neben uns gelegenen Universität. Das Rechenzentrum stellt die Netzwerkinfrastruktur (Leitung, DNS, DHCP, Firewall) zur Verfügung und gibt jedem Mitarbeiter eine ID mit der E-Mails abgerufen werden können, Groupware genutzt werden kann, verschiedene Verwaltungsprogramme für die Studenten und Festplattenplatz (ein Home-Verzeichnis und Projektplattenplatz für jede Abteilung) sowie eine Dropbox ähnliche Cloud.

Bevor ich hier angefangen habe zu arbeiten gibt es 40 PCs mit Windows7 und einem lokalen Benutzeraccount. Die PCs werden von einem Image installiert und dann sozusagen per Hand gewartet. Die Benutzer installieren Updates von Windows und Firefox wenn diese kommen.

Das Rechenzentrum lässt die Administratoren vor Ort leider nicht an den LDAP/Kerberos Server wo die Mitarbeiter ihre ID haben.

 

Würdet ihr in diesem Falle ein eigenes Active Directory aufsetzen um die 40 PCs zu verwalten. Ich könnte den Benutzername ja wie die ID vom Rechenzentrum nennen. Dann müssen sich die Mitarbeiter nicht 2 Accounts und Passwörter merken.

Ich sehe nur das Problem wie ich das AD einrichte wenn ich den DNS und die IP-Adressen des Rechenzentrums nutzen muss und ob ein AD Sinn macht mit nur mir als Zuständigem?

 

Ich bin sehr auf eure Antworten gespannt :)

[NilsK 2.930]

Moin,

 

ich würde eine Zahl von 40 Windows-Rechnern nicht ohne AD verwalten wollen. Dadurch wird vieles einfacher und besser handhabbar. Gerade als "One-Man-Show" wäre das einer rein lokalen Verwaltung deutlich vorzuziehen.

 

Ein AD einzuführen, ist rein technisch betrachtet erst mal nicht weiter wild. Es wird aber natürlich so einiges ändern, sowohl auf technischer als auch auf organisatorischer Ebene. DNS und IP-Adressen sind da schon eher einer der einfachen Aspekte. An deiner Stelle würde ich mal mit dem RZ sprechen, ob sie dich da konzeptionell und technisch unterstützen können.

 

Auch wenn es kein riesiges Netz ist, solltest du ausreichend planen, damit es hinterher nicht unnötig viele Probleme und Fehler gibt. Falls das RZ dich da nicht unterstützen kann, hol dir anderweitig externe Beratung - nur Forenhilfe ist da nicht ausreichend.

 

Gruß, Nils

[lefg 276]

Moin,

 

wäre es auch die Entscheidung deiner Betriebsleitung?

 

Wie sähe es mit Mail aus?

bearbeitet 16. März 2017 von lefg

[Doso 77]

Ja. Falls möglich würde ich da aber die Dienste eures RZ verwenden.

 

Ich arbeite an einer Bildungseinrichtung und hier hat fast jede Organisationseinheit ihren eigenen Verzeichnisdienst. Das ist dann leider etwas viel klein-klein, aber immer noch besser als lokale Benutzerkonten wo man erwartet das die Nutzer die PCs verwalten. Das klappt nämlich wahrscheinlich nicht so toll.

 

Eigenes AD ist halt ggf. schwierig wenn ihr den DHCP nicht kontrolliert um die DNS Einträge dann auf eure Domain Controller zu setzen.

[JimB 0]

Ja. Falls möglich würde ich da aber die Dienste eures RZ verwenden.

...

 

Eigenes AD ist halt ggf. schwierig wenn ihr den DHCP nicht kontrolliert um die DNS Einträge dann auf eure Domain Controller zu setzen.

Ich würde die Dienste des RZ ja gerne verwenden und tut dies auch: DNS, DHCP, E-Mail, Fileserver aber es fehlt halt eine Softwareverteilung, ein Updateserver und eine Benutzerverwaltung. An den Kerberos-Server des RZ komme ich leider nicht ran. Das ging mal mit einer Software: pgina aber das tuts seit Win8 nicht mehr.

Ich habe es auch mit einem Samba/LDAP und OPSI versucht. Ich brauche aber was nicht so gebasteltes damit eine Doku reicht und eine fachliche Vertretung wenn ich mal in Urlaub... bin. Daher dachte ich an ein Active Directory für die Benutzerverwaltung, einen WSUS-Server und "irgendwas einfaches" um automatisch Office, Firefox, Java und Acrobat zu verteilen und aktuell zu halten. Hat da jemand von euch eine Idee?

[lefg 276]

Ich frage nochmals, wie steht deine Betriebsleitung dazu? Die hat doch wohl ein Übereinkommen mit dem RZ der Uni.

 

Und wie verhielte sich das RZ, falls Du eine Domäne baust?

 

Im Grunde ist es, erscheint es zumindest einfach:

 

- einen Router an die Leitung zum RZ, an der anderen Seite dein Netz. Durch das Routing wäre das Netz vom DHCP des RZ getrennt.

 

In deinem Netz ein Server mit DC, DNS, DHCP, WSUS, LUP. oä.

 

Wie schaut es aber aus mit E-Mail? Was ein Mailsystem hat die Hochschule? Stände das weiter zur Verfügung? Wie? Wäre das praktikabel? Oder ein eigner Exchange? Ohne eigenes Mailsystem müssten sich die Benutzer weiterhin das Kennwort des Uni-Mailsystems merken, möglicherwiese selbst ändern.

 

Welches System hat die Uni? Novell eDirectory?

 

Wie sieht es denn bei euch aus mit der Lizenz für das Server OS und den CAL? Hast Du die, die Mittel zur Beschaffung?

bearbeitet 16. März 2017 von lefg

[JimB 0]

Ich frage nochmals, wie steht deine Betriebsleitung dazu? Die hat doch wohl ein Übereinkommen mit dem RZ der Uni.

 

Und wie verhielte sich das RZ, falls Du eine Domäne baust?

 

Im Grunde ist es, erscheint es zumindest einfach:

 

- einen Router an die Leitung zum RZ, an der anderen Seite dein Netz. Durch das Routing wäre das Netz vom DHCP des RZ getrennt.

 

Danke für die Antwort! Ich hatte die Frage nach dem Mail nicht verstanden. Also Mail ist kein Problem. Exchange brauchen wir nicht. Die Mitarbeiter benutzen simples IMAP und mache einen Connector für Outlook (MAPI)

Die "Betriebsleitung" interessiert sich nicht für die IT: hauptsache es läuft mit wenig Personal und Kosten. Die PCs werden hauptsächlich als Schreibmaschine und Internet/Mail genutzt. Ein paar Leute bearbeiten Videos.

 

Worum wir nicht kommen ist die Dienste, die das RZ anbietet auch zu nutzen. Router und eigenes LAN ist untersagt. Daher auch das "Rumgefummele" ohne AD bisher. Keiner traut sich das zu. Das RZ verwendet nur Unix bzw. Linux für alle Dienste und weigert sich "aus historischen Gründen" ein AD oder anderen Verzeichnisdienst für alle anzubieten. Es sei kein Personal da.

An die Software kommen wir über Landeslizenzen günstig ran: Win2016 Server für ca. 200 Euro...

 

Ich bin im Moment soweit, das DHCP nicht das Problem ist, ich muss nur irgendwie die Leute vom RZ dazu bringen ihren DNS-Server mit dem DC kommunizieren zu lassen...

 

Mir wird halt immer eingeredet, "geht nicht, nimmt die AD Alternative mit Samba von der Firma aus Bremen...". Nur damit geht halt nur Benutzerverwaltung und nichtmal GPO richtig.

[DocData 85]

Universitäten bzw. Hochschulen halt. Kenne ich. Gib's auf. Das ist kein technisches, sondern ein organisatorisches Problem. Ich habe das an diversen Hochschulen als Berater erlebt: Da gibt es teilweise Hochschul- oder Universitätsrechenzentren, IT für F&L (nicht vom RZ bereitgestellt), und es gibt z.B. einzelne Lehrstühle oder die Hochschulverwaltung, die dann eine eigene IT hochziehen. Das geht auch bei dir, aber vermutlich nicht ohne externe Unterstüzung, und schon gar nicht ohne die Freigabe vom zentralen RZ. Vor allem dann, wenn du zentrale Dienste, wie z.B. Mail oder DNS (Forwarding) brauchst.

Ein bunter Bauchladen, alles zusammengeflickt, viel Elfenbeinturm-Denken und "F&L sind frei - wie machen also was wir wollen".

bearbeitet 17. März 2017 von DocData

[NorbertFe 2.027]

Freiheit für Forschung und Leere. ;)

[lefg 276]

 

Worum wir nicht kommen ist die Dienste, die das RZ anbietet auch zu nutzen. Router und eigenes LAN ist untersagt.

 

Und welche Dienste sind das?

 

Wie ernst ist das Verbot, was geschähe, wäre zu befürchten, falls Du es nicht einhältst?

 

Ich hab Domänen immer mit AD-integriertem DNS betrieben, fast immer mit dem DHCP auf dem DC.Ob es aber nicht auch anders möglich wäre? Ohne Router dazwischen? Ob ich das nicht mal durchgedacht und ausprobiert hätte, so klein, fein, geheim, so das wahrscheinlich niemand etwas merkt? Es hätte mir wohl in den Fingern gejuckt.

 

Wie wäre aber das Risiko? Den Job riskierte ich nicht für solch eine Spielerei.

bearbeitet 16. März 2017 von lefg

[magheinz 110]

Ich hab jetzt keine Erfahrung in der Zusammenarbeit mit einem HRZ, aber in der Zusammenarbeit mit anderen wissenschaftlichen Einrichtungen. Das Ergebnis: nix geht über ein persönliches Gespräch zwischen zwei Technikern. Oft bekommt man auf dieser Ebene Probleme gelöst und die Entscheider nicken das ab.

Im schlimmsten Fall: Firewall dazwischen, eventuell ein NAT-Gateway und fertig. Dann kannst du dahinter machen was du brauchst.

[DocData 85]

Ich hab jetzt keine Erfahrung in der Zusammenarbeit mit einem HRZ, aber in der Zusammenarbeit mit anderen wissenschaftlichen Einrichtungen. Das Ergebnis: nix geht über ein persönliches Gespräch zwischen zwei Technikern. Oft bekommt man auf dieser Ebene Probleme gelöst und die Entscheider nicken das ab.

Im schlimmsten Fall: Firewall dazwischen, eventuell ein NAT-Gateway und fertig. Dann kannst du dahinter machen was du brauchst.

 

Unis und Hochschulen sind da noch ein wenig eigen. Speziell die Lehrstühle bauen da gerne mal extrem viel eigenes Zeug auf. Das HRZ sollte ja nur zentrale Dienste anbieten. Das reicht normalerweise auf. Aber gerade ingenieurwissenschaftliche Lehrstühle können schon mal total aus der Reihe tanzen, bis hin zu eigenen HPC Umgebungen, weil man auf denen beim HRZ ja nicht das machen kann, was man will.... Anderer Knackpunkt sind die Verwaltungen, die viel mehr wie ein normales Unternehmen ticken, und daher auch gerne so Annehmlichkeiten haben wollen wie Outlook, Kalender, Smartphones etc.

 

Es ist aber auch mittlerweile gar nicht mehr so selten, dass Unis und Hochschulen Exchange für Mitarbeiter und Lehrende anbieten, und ein anderes Produkt für Stundenten. SAP sieht man ja auch immer häufiger an den Unis...

bearbeitet 17. März 2017 von DocData

[magheinz 110]

gerade dann, denke ich, kommt man mit persönlichen Gesprächen relativ weit. Es sind halt mehr als ein Gespräch wenns so denzentral ist.

Die Anforderungen die hier gestellt der werden sind ja eher trivial.

Wir nutzen z.b. auch fasern der benachbarten Uni. Zumindest die Netzwerkleute dort sind vollkommen unkompliziert...

 

[DocData 85]

Missverständnis: Absolut Zustimmung zu deinem Hinweis "Miteinander reden". Anders klappt das eh nicht.

[lefg 276]

 

Router und eigenes LAN ist untersagt.

 

Wer hat das untersagt?