ZimaOS-documentatie beschrijft momenteel geen native LDAP- of Active Directory-verificatie voor eigenaar-/ledenaccounts of Samba-shares. Het ondersteunde model voor meerdere gebruikers blijft gebaseerd op lokale ZimaOS-ledenaccounts met machtigingen per share.
De oorspronkelijke thread was een functieaanvraag van gebruikers met homelabs en kleine bedrijven die domeinidentiteiten wilden gebruiken. IceWhale heeft niet gereageerd met een aankondiging van LDAP-ondersteuning. Configureer dus geen LDAP-server in Docker in de veronderstelling dat ZimaOS Samba die automatisch zal gebruiken.
Wat ZimaOS momenteel ondersteunt
De huidige ZimaOS-gids voor Samba voor meerdere gebruikers beschrijft lokale ledenaccounts, wachtwoorden, gasttoegang en mapmachtigingen.
Waarom OpenLDAP in Docker uitvoeren niet volstaat
Een LDAP-container kan een directoryservice bieden voor applicaties die LDAP ondersteunen, maar de ZimaOS-account-/Samba-laag vereist nog steeds expliciete LDAP/SSSD/winbind-integratie. De huidige ZimaOS-documentatie beschrijft die integratie niet.
LDAP op applicatieniveau gebruiken waar dit wordt ondersteund
U kunt nog steeds een identiteitsprovider gebruiken en afzonderlijke applicaties, zoals Nextcloud of andere software met LDAP/OIDC-ondersteuning, ermee verbinden. Zo kunt u app-aanmeldingen centraliseren, ook als ZimaOS zelf lokale NAS-accounts blijft gebruiken.
NAS-beheer gescheiden houden
Voor een thuis- of kleinzakelijk systeem verkleint het lokaal houden van de eigenaar-/beheerderidentiteit de kans dat een storing in de directoryservice u de toegang tot het opslagbeheer ontneemt.
SMB-toegang met lokale leden instellen
Maak voor elke gebruiker die SMB-toegang nodig heeft een ZimaOS-lid aan, wijs alleen de benodigde shares toe en houd gasttoegang uitgeschakeld voor gevoelige mappen.
Wijzig Samba niet zomaar in een domeinlid
Samba bij AD aansluiten omvat normaal gesproken Kerberos, winbind/SSSD, NSS/PAM, machinegegevens, DNS en permanente configuratie. ZimaOS is een besturingssysteem in appliance-stijl, dus niet-beheerde wijzigingen aan pakketten of configuratie kunnen verloren gaan of conflicteren met de ingebouwde dienst voor het delen van bestanden.
Een hybride identiteitsarchitectuur
LDAP-/OIDC-provider
├─ Nextcloud
├─ Andere Docker-apps
└─ Interne diensten
Lokale accounts van ZimaOS
├─ Eigenaar/beheerder
└─ SMB-gebruikersaccounts
Dit is geen eenmalige aanmelding voor alles, maar met de huidige productgrenzen is het wel goed te onderhouden.
De handleiding voor toegangsbeheer biedt nuttige informatie over beveiliging.
Gebruik per laag één identiteitsbron
Als applicaties LDAP gebruiken, maar SMB in ZimaOS lokale gebruikers gebruikt, leg dat verschil dan duidelijk uit aan gebruikers. Gebruik geen identieke gebruikersnamen met verschillende wachtwoorden, tenzij je een beleid voor wachtwoordbeheer hebt. Dat kan namelijk de indruk wekken dat eenmalige aanmelding niet werkt.
Maak afzonderlijk een back-up van de directorydienst
Als je OpenLDAP, Authentik, Keycloak of een andere identiteitsdienst in Docker draait, moet je de database en ondertekenings-/configuratiegegevens afzonderlijk back-uppen. Als je de identiteitsprovider verliest, kunnen gebruikers geen toegang meer krijgen tot alle apps die eraan gekoppeld zijn.
Laat NAS-herstel niet afhangen van LDAP
Zorg dat je ten minste één lokaal eigenaarsaccount van ZimaOS hebt waarmee je de opslag kunt beheren, ook wanneer de directorycontainer, DNS of het netwerk niet beschikbaar is. Zo behoud je een herstelmogelijkheid tijdens storingen van de identiteitsdienst.
Veelgestelde vragen
Kan ZimaOS zich momenteel bij Active Directory aansluiten?
In de huidige documentatie van ZimaOS wordt geen officiële workflow beschreven om lid te worden van AD/LDAP.
Kan ik OpenLDAP op ZimaOS draaien?
Ja, als Docker-app, maar daardoor worden Samba en ZimaOS niet automatisch zo ingesteld dat ze gebruikers via die app verifiëren.
Kunnen Docker-apps LDAP gebruiken?
Ja, als elke applicatie LDAP of een ander identiteitsprotocol ondersteunt.
Wat moet ik gebruiken voor SMB-gebruikers?
Gebruik de huidige lokale gebruikersaccounts en machtigingen per gedeelde map in ZimaOS.
