@Frank
Das hört sich sehr interessant an. Wie hast du das mit den Hashwerten gelöst? Soweit ich rausfinden konnte speichert AD das Passwort im UnicodePwd-Attribut und das lässt sich angeblich nicht auslesen. Liest dieses Tool dies aber aus?
Welche Passwort Hashes liest du auf OpenLDAP Seite aus? Ich hätte das userPassword als ssha, das sambaLMPassword und das sambaNTPassword. Wie die beiden letzten gehasht sind weiß ich leider nicht. Sehen ungefähr so aus: C73A93DDFE0E8BBB2109ABBC3467B123
Von meinem Verständnis her müsste doch sichergestellt sein, dass der zu kopierende Hashwert in beiden Verzeichnisdiensten mit derselben Methode gehasht wurde, oder?
@Mark
"Supports bidirectional password synchronization with Windows Active Directory" wäre zwar ne Tolle Sache, aber so wie sich das liest ist es ein aufgebohrtes OpenLDAP und ein OpenLDAP habe ich ja schon (und an dem darf ich auch NIX ändern).
Aber wenn ich da gerade lese, dass du der Gruppenrichlinien-Spezialist bist ;-) ...
Szenario:
-alle Benutzerkonten in OpenLDAP
-Sambadomäne für die Windows PCs
-Unabhänge AD 2003 R2 Gesamtstruktur mit einem external Trust in die Sambadomäne
-In der der AD Domäne gibt es einige WindowsPC-Konten, aber keine Benutzerkonten
-In der AD Domäne gibt es lokale Grupen welche als Mitglieder Benutzerkonten aus der Sambadomäne enthalten
-Ich melde mich an einem PC an, der Mitglied der AD Domäne ist. Da in der AD Domäne aber kein Benutzerkonto vorhanden ist muss ich mich an der Sambadomäne (also mit meinem OpenLDAP-Konto) anmelden.
So. Gibt es irgendeine Möglichkeit Gruppenrichtlinien auf Benutzerebene anzuwenden? Computerkonten Ebene funktioniert, da diese ja in der AD Domäne sind. Aber auf Benutzerebene will das nicht klappen.
Das ist nämlich der große Hintergrund hinter der ganzen Sache. Man wünscht sich Gruppenrichtlinien-Steuerung, kann und will aber nicht von OpenLDAP weg und am bisherigen System darf auch nix geändert werden.
Vielen Dank für Eure Hilfe!
Grüße
Gunter
