ZimaOS dokumentiert derzeit keine native LDAP- oder Active-Directory-Authentifizierung für Eigentümer-/Mitgliedskonten oder Samba-Freigaben. Das unterstützte Mehrbenutzermodell basiert weiterhin auf lokalen ZimaOS-Mitgliedskonten mit Berechtigungen pro Freigabe.
Der ursprüngliche Thread war eine Funktionsanfrage von Homelab- und Kleinunternehmensnutzern, die Domänenidentitäten verwenden wollten. IceWhale hat keine LDAP-Unterstützung angekündigt. Richte daher keinen LDAP-Server in Docker ein, in der Annahme, dass Samba unter ZimaOS ihn automatisch nutzen wird.
Was ZimaOS derzeit unterstützt
Die aktuelle ZimaOS-Anleitung für Samba mit mehreren Benutzern beschreibt lokale Mitgliedskonten, Passwörter, Gastzugriff und Ordnerberechtigungen.
Warum OpenLDAP in Docker allein nicht ausreicht
Ein LDAP-Container kann Anwendungen, die LDAP unterstützen, einen Verzeichnisdienst bereitstellen. Die ZimaOS-Konto-/Samba-Ebene benötigt jedoch weiterhin eine explizite LDAP-/SSSD-/winbind-Integration. Die aktuelle ZimaOS-Dokumentation beschreibt eine solche Integration nicht.
LDAP auf Anwendungsebene nutzen, sofern unterstützt
Du kannst weiterhin einen Identitätsanbieter betreiben und einzelne Anwendungen damit verbinden, etwa Nextcloud oder andere Software mit LDAP-/OIDC-Unterstützung. So lassen sich App-Anmeldungen zentralisieren, auch wenn ZimaOS selbst lokale NAS-Konten verwendet.
NAS-Verwaltung getrennt halten
Bei einem Heim- oder kleinen Bürosystem verringert es das Risiko, dass ein Verzeichnisausfall dich von der Speicherverwaltung ausschließt, wenn das Konto des Eigentümers oder Administrators lokal bleibt.
SMB-Zugriff mit lokalen Mitgliedskonten einrichten
Erstelle für jeden Benutzer, der SMB-Zugriff benötigt, ein ZimaOS-Mitgliedskonto, weise nur die benötigten Freigaben zu und deaktiviere den Gastzugriff auf sensible Ordner.
Samba nicht blind zu einem Domänenmitglied machen
Die Einbindung von Samba in eine AD-Domäne umfasst normalerweise Kerberos, winbind/SSSD, NSS/PAM, Maschinenanmeldedaten, DNS und eine dauerhafte Konfiguration. ZimaOS ist ein appliance-artiges Betriebssystem. Daher können nicht verwaltete Paket- und Konfigurationsänderungen verloren gehen oder mit dem integrierten Freigabedienst in Konflikt geraten.
Eine hybride Identitätsarchitektur
LDAP-/OIDC-Anbieter
├─ Nextcloud
├─ Andere Docker-Apps
└─ Interne Dienste
Lokale ZimaOS-Konten
├─ Eigentümer/Admin
└─ SMB-Mitgliedskonten
Das ist kein durchgängiges Single Sign-on, lässt sich aber innerhalb der aktuellen Produktgrenzen gut verwalten.
Der Leitfaden zur Zugriffskontrolle bietet hilfreiche Informationen zum Thema Sicherheit.
Verwenden Sie für jede Ebene eine eigene Identitätsquelle
Wenn Anwendungen LDAP verwenden, ZimaOS SMB jedoch lokale Mitgliederkonten nutzt, sollten Sie diese Trennung für Nutzer klar dokumentieren. Vermeiden Sie identische Benutzernamen mit unterschiedlichen Passwörtern, sofern Sie keine Richtlinie für die Passwortverwaltung haben, da dies wie ein fehlerhaftes Single Sign-on wirken kann.
Sichern Sie den Verzeichnisdienst separat
Wenn Sie OpenLDAP, Authentik, Keycloak oder einen anderen Identitätsdienst in Docker ausführen, müssen dessen Datenbank und Signatur-/Konfigurationsdaten separat gesichert werden. Geht der Identitätsanbieter verloren, können Nutzer aus allen daran angebundenen Apps ausgesperrt werden.
Machen Sie die NAS-Wiederherstellung nicht von LDAP abhängig
Behalten Sie mindestens ein lokales ZimaOS-Eigentümerkonto, mit dem Sie den Speicher verwalten können, auch wenn der Verzeichnis-Container, DNS oder das Netzwerk nicht verfügbar ist. So bleibt bei Ausfällen des Identitätsdienstes ein Wiederherstellungsweg erhalten.
FAQ
Kann ZimaOS derzeit einer Active-Directory-Domäne beitreten?
In der aktuellen ZimaOS-Dokumentation ist kein offizieller AD-/LDAP-Beitrittsprozess dokumentiert.
Kann ich OpenLDAP auf ZimaOS ausführen?
Ja, als Docker-App, aber dadurch wird Samba in ZimaOS nicht automatisch darüber authentifiziert.
Können Docker-Apps LDAP verwenden?
Ja, sofern jede Anwendung LDAP oder ein anderes Identitätsprotokoll unterstützt.
Was sollte ich für SMB-Benutzer verwenden?
Verwenden Sie aktuelle lokale Mitgliedskonten und Berechtigungen pro Freigabe in ZimaOS.
