Obecna dokumentacja ZimaOS nie opisuje natywnego uwierzytelniania LDAP ani Active Directory dla kont właściciela/członków lub udziałów Samba. Obsługiwany model wieloużytkownikowy nadal opiera się na lokalnych kontach członków ZimaOS z uprawnieniami przypisywanymi do poszczególnych udziałów.
Wątek źródłowy był prośbą o dodanie funkcji, zgłoszoną przez użytkowników homelabów i małych firm, którzy chcieli korzystać z tożsamości domenowych. IceWhale nie ogłosiło w odpowiedzi obsługi LDAP, dlatego nie konfiguruj serwera LDAP w Dockerze, zakładając, że Samba w ZimaOS automatycznie z niego skorzysta.
Co obecnie obsługuje ZimaOS
Aktualny przewodnik ZimaOS dotyczący wieloużytkownikowej konfiguracji Samba opisuje lokalne konta członków, hasła, dostęp gościnny i uprawnienia do folderów.
Dlaczego uruchomienie OpenLDAP w Dockerze nie wystarczy
Kontener LDAP może udostępniać usługę katalogową aplikacjom obsługującym LDAP, ale warstwa kont ZimaOS/Samba nadal wymaga jawnej integracji z LDAP/SSSD/winbind. Obecna dokumentacja ZimaOS nie opisuje tej integracji.
Korzystaj z LDAP na poziomie aplikacji, jeśli jest obsługiwane
Możesz nadal korzystać z dostawcy tożsamości i łączyć z nim poszczególne aplikacje, takie jak Nextcloud lub inne oprogramowanie obsługujące LDAP/OIDC. Pozwala to centralnie zarządzać logowaniem do aplikacji, nawet jeśli ZimaOS nadal używa lokalnych kont NAS.
Oddziel administrację NAS
W przypadku systemu domowego lub małego biura lokalne konto właściciela/administratora zmniejsza ryzyko, że awaria katalogu uniemożliwi zarządzanie pamięcią masową.
Konfiguruj dostęp do SMB za pomocą lokalnych kont członków
Utwórz konto członka ZimaOS dla każdego użytkownika, który potrzebuje dostępu do SMB, przypisz mu tylko wymagane udziały i wyłącz dostęp gościnny do poufnych folderów.
Nie zmieniaj Samba bez zastanowienia w członka domeny
Dołączenie Samby do AD zwykle wymaga Kerberos, winbind/SSSD, NSS/PAM, poświadczeń komputera, DNS i trwałej konfiguracji. ZimaOS to system operacyjny w stylu urządzenia appliance, dlatego niezarządzane zmiany pakietów lub konfiguracji mogą zostać utracone albo wejść w konflikt z wbudowaną usługą udostępniania.
Hybrydowa architektura tożsamości
Dostawca LDAP / OIDC
├─ Nextcloud
├─ Inne aplikacje Docker
└─ Usługi wewnętrzne
Lokalne konta ZimaOS
├─ Właściciel/administrator
└─ Konta członków SMB
Nie zapewnia to jednokrotnego logowania wszędzie, ale jest rozwiązaniem, którym można zarządzać w ramach obecnych możliwości produktu.
Przydatne informacje na temat bezpieczeństwa znajdziesz w przewodniku po kontroli dostępu.
Korzystaj z jednego źródła tożsamości dla każdej warstwy
Jeśli aplikacje korzystają z LDAP, a SMB w ZimaOS używa lokalnych kont członków, wyraźnie poinformuj użytkowników o tym podziale. Unikaj tworzenia identycznych nazw użytkowników z różnymi hasłami, chyba że masz zasady zarządzania hasłami, ponieważ może to sprawiać wrażenie, że jednokrotne logowanie nie działa.
Twórz osobną kopię zapasową usługi katalogowej
Jeśli uruchamiasz OpenLDAP, Authentik, Keycloak lub inną usługę tożsamości w Dockerze, jej baza danych oraz dane podpisywania i konfiguracji wymagają osobnej kopii zapasowej. Utrata dostawcy tożsamości może zablokować użytkownikom dostęp do wszystkich podłączonych do niego aplikacji.
Nie uzależniaj odzyskiwania dostępu do NAS od LDAP
Zachowaj co najmniej jedno lokalne konto właściciela ZimaOS, które może zarządzać pamięcią masową nawet wtedy, gdy kontener katalogu, DNS lub sieć są niedostępne. Zapewni to możliwość odzyskania dostępu w razie awarii usługi tożsamości.
FAQ
Czy ZimaOS może obecnie dołączyć do Active Directory?
W dokumentacji bieżącej wersji ZimaOS nie opisano oficjalnego procesu dołączania do AD/LDAP.
Czy mogę uruchomić OpenLDAP w ZimaOS?
Tak, jako aplikacje Docker, ale nie oznacza to automatycznie, że Samba w ZimaOS będzie się w nich uwierzytelniać.
Czy aplikacje Docker mogą korzystać z LDAP?
Tak, jeśli każda aplikacja obsługuje LDAP lub inny protokół tożsamości.
Jakich użytkowników używać w SMB?
Korzystaj z bieżących lokalnych kont członków ZimaOS i uprawnień przypisanych do poszczególnych udziałów.
