Atualmente, o ZimaOS não documenta suporte nativo para autenticação LDAP ou Active Directory nas contas de proprietário/membro nem nas partilhas Samba. O modelo multiutilizador suportado continua a basear-se em contas locais de membro do ZimaOS, com permissões por partilha.
O tópico original era um pedido de funcionalidade de utilizadores domésticos e de pequenas empresas que pretendiam utilizar identidades de domínio. Nenhuma resposta da IceWhale anunciou suporte para LDAP; por isso, não configure um servidor LDAP no Docker partindo do princípio de que o Samba do ZimaOS o utilizará automaticamente.
O que o ZimaOS suporta atualmente
O guia de vários utilizadores do Samba do ZimaOS atual descreve contas locais de membro, palavras-passe, acesso de convidado e permissões de pastas.
Porque não basta executar o OpenLDAP no Docker
Um contentor LDAP pode fornecer um serviço de diretório para aplicações com suporte para LDAP, mas a camada de contas/Samba do ZimaOS continua a precisar de integração explícita com LDAP/SSSD/winbind. A documentação atual do ZimaOS não descreve essa integração.
Utilize LDAP ao nível da aplicação, quando suportado
Pode continuar a executar um fornecedor de identidade e ligar-lhe aplicações individuais, como o Nextcloud ou outro software com suporte para LDAP/OIDC. Assim, pode centralizar os logins das aplicações, mesmo que o próprio ZimaOS mantenha contas locais do NAS.
Mantenha a administração do NAS separada
Num sistema doméstico ou de pequeno escritório, manter localmente a identidade do proprietário/administrador reduz o risco de uma falha no serviço de diretório o impedir de gerir o armazenamento.
Configure o acesso SMB com contas locais
Crie uma conta de membro no ZimaOS para cada utilizador que necessite de acesso SMB, atribua apenas as partilhas de que precisa e mantenha o acesso de convidado desativado nas pastas sensíveis.
Não transforme o Samba num membro de domínio sem avaliar as consequências
A adesão do Samba ao AD envolve normalmente Kerberos, winbind/SSSD, NSS/PAM, credenciais de máquina, DNS e configuração persistente. O ZimaOS é um sistema operativo do tipo appliance, pelo que alterações não geridas aos pacotes/configuração podem perder-se ou entrar em conflito com o serviço de partilha integrado.
Uma arquitetura de identidade híbrida
Fornecedor LDAP / OIDC
├─ Nextcloud
├─ Outras aplicações Docker
└─ Serviços internos
Contas locais do ZimaOS
├─ Proprietário/administrador
└─ Contas de membros SMB
Não se trata de início de sessão único em todo o lado, mas é uma solução fácil de manter dentro dos limites atuais do produto.
O guia de controlo de acesso fornece um contexto de segurança útil.
Utilize uma única fonte de identidade por camada
Se as aplicações utilizarem LDAP, mas o SMB do ZimaOS utilizar membros locais, explique claramente essa separação aos utilizadores. Evite criar nomes de utilizador idênticos com palavras-passe diferentes, a menos que tenha uma política de gestão de palavras-passe, pois isso pode dar a impressão de que o início de sessão único não está a funcionar.
Faça cópias de segurança do serviço de diretório separadamente
Se executar OpenLDAP, Authentik, Keycloak ou outro serviço de identidade em Docker, a respetiva base de dados e os dados de assinatura/configuração precisam de cópias de segurança próprias. Se perder o fornecedor de identidade, os utilizadores podem ficar impedidos de aceder a todas as aplicações associadas.
Não faça depender do LDAP a recuperação do NAS
Mantenha pelo menos uma conta de proprietário local do ZimaOS que possa administrar o armazenamento, mesmo quando o contentor do diretório, o DNS ou a rede estiverem indisponíveis. Assim, terá uma forma de recuperar o acesso durante falhas do serviço de identidade.
Perguntas frequentes
O ZimaOS pode aderir ao Active Directory atualmente?
A documentação atual do ZimaOS não documenta nenhum processo oficial para aderir a AD/LDAP.
Posso executar o OpenLDAP no ZimaOS?
Sim, como aplicação Docker, mas isso não faz com que o Samba do ZimaOS passe automaticamente a autenticar através dela.
As aplicações Docker podem utilizar LDAP?
Sim, quando cada aplicação suporta LDAP ou outro protocolo de identidade.
O que devo utilizar para os utilizadores SMB?
Utilize as contas de membros locais atuais do ZimaOS e as permissões por partilha.
