ZimaOS no documenta actualmente la autenticación nativa con LDAP o Active Directory para sus cuentas de propietario/miembro ni para los recursos compartidos de Samba. El modelo multiusuario compatible sigue basándose en cuentas de miembros locales de ZimaOS con permisos por recurso compartido.
El hilo original era una solicitud de función de usuarios de laboratorios domésticos y pequeñas empresas que querían identidades de dominio. Ninguna respuesta de IceWhale anunció compatibilidad con LDAP, así que no configures un servidor LDAP en Docker suponiendo que Samba de ZimaOS lo utilizará automáticamente.
Qué admite ZimaOS actualmente
La guía multiusuario de Samba de ZimaOS actual documenta las cuentas de miembros locales, las contraseñas, el acceso de invitados y los permisos de las carpetas.
Por qué ejecutar OpenLDAP en Docker no es suficiente
Un contenedor LDAP puede ofrecer un servicio de directorio para las aplicaciones compatibles con LDAP, pero la capa de cuentas de ZimaOS/Samba sigue necesitando una integración explícita con LDAP/SSSD/winbind. La documentación actual de ZimaOS no contempla esa integración.
Usa LDAP a nivel de aplicación cuando sea compatible
Aun así, puedes ejecutar un proveedor de identidades y conectar aplicaciones individuales, como Nextcloud u otro software compatible con LDAP/OIDC, a este. Así puedes centralizar los inicios de sesión de las aplicaciones aunque ZimaOS mantenga cuentas NAS locales.
Mantén separada la administración del NAS
En un sistema doméstico o de una oficina pequeña, mantener local la identidad del propietario/administrador reduce la posibilidad de que una interrupción del servicio de directorio te impida administrar el almacenamiento.
Asigna el acceso SMB a miembros locales
Crea un miembro de ZimaOS por cada usuario que necesite acceso SMB, asigna solo los recursos compartidos que requiera y mantén desactivado el acceso de invitados en las carpetas sensibles.
No conviertas Samba a ciegas en miembro de un dominio
Unir Samba a AD normalmente implica Kerberos, winbind/SSSD, NSS/PAM, credenciales de equipo, DNS y configuración persistente. ZimaOS es un sistema operativo de tipo appliance, por lo que los cambios no gestionados en los paquetes o la configuración pueden perderse o entrar en conflicto con el servicio de archivos compartidos integrado.
Una arquitectura de identidad híbrida
Proveedor LDAP / OIDC
├─ Nextcloud
├─ Otras aplicaciones Docker
└─ Servicios internos
Cuentas locales de ZimaOS
├─ Propietario/administrador
└─ Cuentas de miembros de SMB
No es inicio de sesión único en todas partes, pero se puede mantener con los límites actuales del producto.
La guía de control de acceso ofrece un contexto útil sobre seguridad.
Usa una única fuente de identidad por capa
Si las aplicaciones usan LDAP, pero SMB de ZimaOS usa miembros locales, documenta claramente esa diferencia para los usuarios. Evita crear nombres de usuario idénticos con contraseñas diferentes, salvo que tengas una política de gestión de contraseñas, ya que puede parecer que el inicio de sesión único no funciona.
Haz una copia de seguridad del servicio de directorio por separado
Si ejecutas OpenLDAP, Authentik, Keycloak u otro servicio de identidad en Docker, debes hacer copias de seguridad de su base de datos y de los datos de firma y configuración por separado. Si pierdes el proveedor de identidad, los usuarios pueden quedarse sin acceso a todas las aplicaciones conectadas a él.
No hagas que la recuperación del NAS dependa de LDAP
Mantén al menos una cuenta local de propietario de ZimaOS que pueda administrar el almacenamiento, incluso cuando el contenedor del directorio, el DNS o la red no estén disponibles. Así tendrás una vía de recuperación durante las interrupciones del servicio de identidad.
Preguntas frecuentes
¿Puede ZimaOS unirse a Active Directory actualmente?
No hay ningún flujo oficial documentado para unir ZimaOS a AD/LDAP en la documentación actual.
¿Puedo ejecutar OpenLDAP en ZimaOS?
Sí, como aplicación Docker, pero eso no hace que Samba de ZimaOS se autentique automáticamente mediante ella.
¿Pueden las aplicaciones Docker usar LDAP?
Sí, cuando cada aplicación es compatible con LDAP u otro protocolo de identidad.
¿Qué debo usar para los usuarios de SMB?
Usa las cuentas locales de miembros de ZimaOS actuales y los permisos por recurso compartido.
