ZimaOS dokumenterar för närvarande inte inbyggd LDAP- eller Active Directory-autentisering för ägar-/medlemskonton eller Samba-delningar. Den modell för flera användare som stöds är fortfarande lokala ZimaOS-medlemskonton med behörigheter per delad mapp.
Den ursprungliga tråden var en funktionsförfrågan från användare i hemnätverk och småföretag som ville använda domänidentiteter. Ingen från IceWhale meddelade att LDAP stöds, så konfigurera inte en Docker-baserad LDAP-server och utgå från att ZimaOS Samba automatiskt använder den.
Det här stöder ZimaOS i dag
Den aktuella ZimaOS-guiden för Samba med flera användare beskriver lokala medlemskonton, lösenord, gäståtkomst och mappbehörigheter.
Varför det inte räcker att köra OpenLDAP i Docker
En LDAP-container kan tillhandahålla en katalogtjänst för applikationer som stöder LDAP, men ZimaOS-konto-/Samba-lagret behöver fortfarande uttrycklig LDAP/SSSD/winbind-integrering. Den aktuella ZimaOS-dokumentationen beskriver inte någon sådan integrering.
Använd LDAP på applikationsnivå där det stöds
Du kan fortfarande köra en identitetsleverantör och ansluta enskilda applikationer - till exempel Nextcloud eller annan programvara med LDAP/OIDC-stöd - till den. Det kan centralisera appinloggningar även om ZimaOS använder lokala NAS-konton.
Håll NAS-administrationen separat
För ett hemnätverk eller ett litet kontor minskar risken för att ett avbrott i katalogtjänsten låser dig ute från lagringshanteringen om ägarens/administratörens konto är lokalt.
Koppla SMB-åtkomst till lokala medlemmar
Skapa en ZimaOS-medlem för varje användare som behöver SMB-åtkomst, tilldela endast de delade mappar som användarna behöver och håll gäståtkomst inaktiverad för känsliga mappar.
Konvertera inte Samba blint till en domänmedlem
Att ansluta Samba till AD innebär vanligtvis Kerberos, winbind/SSSD, NSS/PAM, maskininloggningsuppgifter, DNS och beständig konfiguration. ZimaOS är ett operativsystem avsett för enheter, så okontrollerade ändringar av paket och konfiguration kan gå förlorade eller hamna i konflikt med den inbyggda delningstjänsten.
En hybrid identitetsarkitektur
LDAP-/OIDC-leverantör
├─ Nextcloud
├─ Andra Docker-appar
└─ Interna tjänster
Lokala ZimaOS-konton
├─ Ägare/administratör
└─ SMB-medlemskonton
Det här är inte enkel inloggning överallt, men det går att underhålla med de nuvarande produktgränserna.
Guiden om åtkomstkontroll ger användbar information om säkerhet.
Använd en identitetskälla per lager
Om program använder LDAP medan ZimaOS SMB använder lokala medlemmar ska du tydligt dokumentera den uppdelningen för användarna. Undvik att skapa identiska användarnamn med olika lösenord om du inte har en lösenordshanteringspolicy, eftersom det kan verka som att enkel inloggning inte fungerar.
Säkerhetskopiera katalogtjänsten separat
Om du kör OpenLDAP, Authentik, Keycloak eller en annan identitetstjänst i Docker behöver databasen och signerings-/konfigurationsdata säkerhetskopieras separat. Om identitetsleverantören går förlorad kan användarna bli utelåsta från alla anslutna appar.
Gör inte NAS-återställning beroende av LDAP
Behåll minst ett lokalt ZimaOS-ägarkonto som kan administrera lagringen även när katalogcontainern, DNS eller nätverket inte är tillgängligt. Det ger en återställningsväg vid avbrott i identitetstjänsten.
Vanliga frågor
Kan ZimaOS anslutas till Active Directory idag?
Nej, det finns inget dokumenterat förstapartsflöde för att ansluta till AD/LDAP i den aktuella ZimaOS-dokumentationen.
Kan jag köra OpenLDAP på ZimaOS?
Ja, som en Docker-app, men det innebär inte automatiskt att ZimaOS Samba autentiserar mot den.
Kan Docker-appar använda LDAP?
Ja, om varje program har stöd för LDAP eller ett annat identitetsprotokoll.
Vad ska jag använda för SMB-användare?
Använd ZimaOS lokala medlemskonton och behörigheter per utdelning.
