Attualmente ZimaOS non documenta l’autenticazione LDAP o Active Directory nativa per gli account di proprietari/membri né per le condivisioni Samba. Il modello multiutente supportato prevede ancora account locali dei membri ZimaOS con autorizzazioni per ogni condivisione.
La discussione originale era una richiesta di funzionalità da parte di utenti di homelab e piccole imprese che desideravano identità di dominio. IceWhale non ha annunciato il supporto LDAP in risposta, quindi non configurare un server LDAP in Docker dando per scontato che Samba su ZimaOS lo utilizzerà automaticamente.
Cosa supporta attualmente ZimaOS
L’attuale guida multiutente di ZimaOS per Samba descrive gli account locali dei membri, le password, l’accesso guest e le autorizzazioni delle cartelle.
Perché eseguire OpenLDAP in Docker non basta
Un container LDAP può fornire un servizio di directory alle applicazioni che supportano LDAP, ma il livello degli account ZimaOS/Samba richiede comunque un’integrazione LDAP/SSSD/winbind esplicita. La documentazione attuale di ZimaOS non descrive questa integrazione.
Usa LDAP a livello di applicazione, se supportato
Puoi comunque eseguire un provider di identità e collegarvi singole applicazioni, come Nextcloud o altri software con supporto LDAP/OIDC. In questo modo puoi centralizzare gli accessi alle app anche se ZimaOS mantiene gli account NAS locali.
Mantieni separata l’amministrazione del NAS
Per un sistema domestico o di un piccolo ufficio, mantenere locale l’identità del proprietario/amministratore riduce il rischio che un’interruzione del servizio di directory impedisca l’accesso alla gestione dello spazio di archiviazione.
Configura l’accesso SMB con account locali
Crea un membro ZimaOS per ogni utente che necessita dell’accesso SMB, assegna solo le condivisioni di cui ha bisogno e mantieni disabilitato l’accesso guest alle cartelle sensibili.
Non trasformare Samba in un membro di dominio alla cieca
L’adesione di Samba ad AD normalmente richiede Kerberos, winbind/SSSD, NSS/PAM, credenziali macchina, DNS e una configurazione persistente. ZimaOS è un sistema operativo di tipo appliance, quindi le modifiche non gestite ai pacchetti e alla configurazione potrebbero andare perse o entrare in conflitto con il servizio di condivisione integrato.
Un’architettura di identità ibrida
Provider LDAP / OIDC
├─ Nextcloud
├─ Altre app Docker
└─ Servizi interni
Account locali ZimaOS
├─ Proprietario/amministratore
└─ Account membri SMB
Non è un accesso singolo valido ovunque, ma è gestibile con gli attuali confini del prodotto.
La guida al controllo degli accessi fornisce utili indicazioni sulla sicurezza.
Usa una sola fonte di identità per ogni livello
Se le applicazioni usano LDAP, mentre SMB di ZimaOS usa membri locali, spiega chiaramente agli utenti questa differenza. Evita di creare nomi utente identici con password diverse, a meno che tu non abbia una politica di gestione delle password, perché potrebbe sembrare che l’accesso singolo non funzioni.
Esegui separatamente il backup del servizio di directory
Se esegui OpenLDAP, Authentik, Keycloak o un altro servizio di identità in Docker, devi eseguire un backup separato del relativo database e dei dati di firma e configurazione. La perdita del provider di identità può impedire agli utenti di accedere a tutte le app collegate.
Non far dipendere il ripristino del NAS da LDAP
Mantieni almeno un account proprietario locale di ZimaOS in grado di amministrare lo spazio di archiviazione anche quando il container della directory, il DNS o la rete non sono disponibili. In questo modo avrai una procedura di ripristino in caso di interruzioni del servizio di identità.
Domande frequenti
Oggi ZimaOS può unirsi a Active Directory?
Nella documentazione attuale di ZimaOS non è descritto alcun flusso di configurazione ufficiale per l’accesso a AD/LDAP.
Posso eseguire OpenLDAP su ZimaOS?
Sì, come app Docker, ma questo non fa sì che Samba di ZimaOS esegua automaticamente l’autenticazione tramite essa.
Le app Docker possono usare LDAP?
Sì, quando ogni applicazione supporta LDAP o un altro protocollo di identità.
Cosa devo usare per gli utenti SMB?
Usa gli account locali dei membri e le autorizzazioni per ogni condivisione di ZimaOS.
