La documentation actuelle de ZimaOS ne décrit pas la prise en charge native de l’authentification LDAP ou Active Directory pour les comptes de propriétaire/membre ou les partages Samba. Le modèle multi-utilisateur pris en charge repose toujours sur des comptes membres locaux ZimaOS avec des autorisations définies par partage.
Le fil de discussion d’origine était une demande de fonctionnalité d’utilisateurs de homelabs et de petites entreprises souhaitant utiliser des identités de domaine. Aucune réponse d’IceWhale n’a annoncé la prise en charge de LDAP. Ne configurez donc pas un serveur LDAP dans Docker en supposant que Samba sur ZimaOS l’utilisera automatiquement.
Ce que ZimaOS prend actuellement en charge
Le guide multi-utilisateur Samba de ZimaOS actuel décrit les comptes membres locaux, les mots de passe, l’accès invité et les autorisations des dossiers.
Pourquoi exécuter OpenLDAP dans Docker ne suffit pas
Un conteneur LDAP peut fournir un service d’annuaire aux applications compatibles avec LDAP, mais la couche des comptes ZimaOS/Samba nécessite toujours une intégration explicite de LDAP/SSSD/winbind. La documentation actuelle de ZimaOS ne décrit pas cette intégration.
Utiliser LDAP au niveau des applications lorsqu’il est pris en charge
Vous pouvez toujours exécuter un fournisseur d’identité et y connecter des applications individuelles, comme Nextcloud ou d’autres logiciels compatibles avec LDAP/OIDC. Cela permet de centraliser les connexions aux applications, même si ZimaOS conserve des comptes NAS locaux.
Séparer l’administration du NAS
Pour un système domestique ou de petit bureau, conserver localement l’identité du propriétaire/de l’administrateur réduit le risque qu’une panne de l’annuaire vous empêche de gérer le stockage.
Associer l’accès SMB à des comptes locaux
Créez un compte membre ZimaOS pour chaque utilisateur ayant besoin d’accéder à SMB, attribuez uniquement les partages dont il a besoin et désactivez l’accès invité aux dossiers sensibles.
Ne transformez pas Samba en membre de domaine à l’aveugle
L’intégration de Samba à AD implique généralement Kerberos, winbind/SSSD, NSS/PAM, des identifiants de machine, le DNS et une configuration persistante. ZimaOS est un système d’exploitation de type appliance : les modifications non gérées des paquets et de la configuration risquent donc d’être perdues ou d’entrer en conflit avec le service de partage intégré.
Une architecture d’identité hybride
Fournisseur LDAP / OIDC
├─ Nextcloud
├─ Autres applications Docker
└─ Services internes
Comptes locaux ZimaOS
├─ Propriétaire/administrateur
└─ Comptes membres SMB
Ce n’est pas une authentification unique généralisée, mais cette solution reste facile à gérer dans les limites actuelles du produit.
Le guide de contrôle d’accès fournit un contexte utile en matière de sécurité.
Utilisez une seule source d’identité par couche
Si les applications utilisent LDAP alors que SMB sur ZimaOS utilise des comptes membres locaux, expliquez clairement cette distinction aux utilisateurs. Évitez de créer des noms d’utilisateur identiques avec des mots de passe différents, sauf si vous avez une politique de gestion des mots de passe, car cela peut donner l’impression que l’authentification unique ne fonctionne pas.
Sauvegardez le service d’annuaire séparément
Si vous exécutez OpenLDAP, Authentik, Keycloak ou un autre service d’identité dans Docker, sa base de données ainsi que ses données de signature et de configuration doivent faire l’objet de leur propre sauvegarde. La perte du fournisseur d’identité peut empêcher les utilisateurs d’accéder à toutes les applications qui y sont rattachées.
Ne faites pas dépendre la récupération du NAS de LDAP
Conservez au moins un compte propriétaire local ZimaOS pouvant administrer le stockage, même lorsque le conteneur d’annuaire, le DNS ou le réseau est indisponible. Vous disposerez ainsi d’une solution de récupération en cas de panne du service d’identité.
FAQ
ZimaOS peut-il rejoindre Active Directory aujourd’hui ?
Aucune procédure officielle d’intégration à AD/LDAP n’est documentée dans la documentation actuelle de ZimaOS.
Puis-je exécuter OpenLDAP sur ZimaOS ?
Oui, sous forme d’application Docker, mais cela ne permet pas automatiquement à Samba de ZimaOS de s’y authentifier.
Les applications Docker peuvent-elles utiliser LDAP ?
Oui, lorsque chaque application prend en charge LDAP ou un autre protocole d’identité.
Que dois-je utiliser pour les utilisateurs SMB ?
Utilisez les comptes membres locaux actuels de ZimaOS et les autorisations par partage.
