Openldap <-> Active Directory

[swen1 10]

Hi,

 

bei uns läuft seit Jahren ein mit Linux Open-LDAP zur zentralen Userverwaltung für alle Dienste, und das soll auch so bleiben. Nun soll ein Exchange-Server (nur zur gemeinsamen Nutzung von Kalendern) angeschafft werden. Eine wirkliche Alternative konnte ich bislang nicht finden, also versuche ich eine Verbindung zwischen Openldap und ActiveDirectory herzustellen.

 

Hat sowas auch schon mal jemand versucht? Was habt Ihr für Erfahrungen bzw. Ideen das umzusetzen?

 

Mit einer doppelten Nutzerverwaltung habe ich mich dabei schon fast abgefunden (eine automatische Synchronisation scheint unmöglich, oder?). Aber auf jeden Fall muss es möglich sein, dass Passwort per Skript zu ändern. Damit hab ich noch 2 Problemchen. Erstens hab ich noch nicht gefunden, wo das Passwort gespeichert wird. Und zweitens welcher Verschlüsselungsalgorithmus wird dort verwendet? Meine Idee war, bei Passwortänderungen (geht hier über ein Webformular) eine LDIF-Datei zum Update von Active Directory zu erzeugen, und das gelegentlich per Skript einzupflegen. Geht das so?

 

Bin für jeden Tip dankbar!!!

 

Gruß Swen

[BuzzeR 10]

... es gibt zum einen, einen sehr interessanten Beitrag zu OpenLDAP<->AD

im aktuellen Linux-Magazin und zum anderen ist auch das Schema von W2k3

keine statische Angelegenheit ... Du kannst da schon etwas dran drehen.

 

Hier vielleicht ein kleiner Verweis zu einem anderen Beitrag von mir ...

http://mcseboard.de/showthread.php?t=60036

 

Gruß

Marco

[swen1 10]

Hi,

 

hab das Passwort gefunden :D , es steht immer noch in der sam :shock: (das hät ich nie gedacht). Bei Openldap steht das mit im Verzeichnis ... . Steht das wirklich nur in der sam? Damit such ich nun eine Möglichkeit das Passwort per Befehl bzw. Skript zu ändern (also so ähnlich wie passwd bei Linux). Geht das irgendwie auch bei Windows? Goggle war nicht sehr auskunftsfreundlich.

 

Das Linux-Magazin hab ich da, der Artikel bezieht sich (wie alles was ich bis jetzt gefunden habe) aber darauf, die Nutzerverwaltung in AD zu haben. Bei mir ist der Weg aber andersrum. Werde das jetzt trotzdem mal genauer durchlesen, vielleicht sind ja doch paar gute Tipps drin.

 

Danke!

 

Gruß Swen

 

edit: das mit dem Passwort hat sich erledigt (net user ..), trotzdem wäre ich für weitere Hinweise oder Ideen sehr dankbar!

[Velius 10]

Kann nicht sein.....

 

Bei AD befindet sich das Passwort eines Benutzers nicht in der SAM, da diese inaktiv ist. Diese wird nur geladen, wenn der Verzeichnisdienst Wiederherstellungsmodus gestartet wird (eben um das AD zu reparieren; wäre wohl schwer möglich das Verzeichnis neu zu laden wenn dieses gerade benutzt oder gar beschädigt ist).

 

Die Passworter stehen wohl in der NTDS.dit. Daran ranzukommen geht wohl nahezu unmöglich, denn nur MS weiss wie verschlüsselt und abgelegt.

 

 

Gruss

Velius

 

 

P.S.: LDAP hat mit Passwörtern nichts zu tun. Da ziehen Protokolle wie Kerberos, usw.