Progetto Technology Watch | Windows Multisite AD

[sgelineau]

Ciao,

ho 19 anni e sto seguendo un contratto di alternanza studio-lavoro (TSRIT, diploma post-diploma biennale) presso la scuola di informatica ENI.

Ho un progetto di osservazione tecnologica: "Migrazione di un'infrastruttura Active Directory multi-sito a Samba". Ho creato un prototipo utilizzando VMware Workstation. Il progetto prevede:

- 3 siti Active Directory: Francia, Spagna e Germania (ciascuno in una sottorete diversa, 10.0.1.X, 10.0.2.X, 10.0.3.X)

- Il sito principale, "Francia", è una VM Debian con un server DHCP + DHCP Relay e un router (3 interfacce in ogni sottorete con port forwarding)

- 1 PC client per ogni sito.

Ho anche installato una VM con CentOS 7. Una volta configurato tutto, purtroppo non sono riuscito ad accedere al dominio (come controller di dominio) nonostante diversi tentativi.

Dopo alcune ricerche, non ho trovato una risposta, quindi chiedo a voi:
Samba 4.7.4 supporta le installazioni multisito?

Grazie in anticipo!

[dcardon]

In questo caso, non esiste il concetto di "sito" nel senso di Active Directory. Si tratta solo di diverse sottoreti IP.

Se i server si vedono tra loro, non c'è alcun filtro e il DNS è configurato correttamente, non ci sono motivi per cui dovrebbero esserci problemi.

Gestiamo domini con decine di controller di dominio, con siti e servizi AD ben configurati. Quindi sì, funziona bene.

Penso che dovresti rileggere la documentazione e controllare le impostazioni IP, DNS e di routing.

Denis

[sgelineau]

Grazie per la risposta. Sì, con "sito" intendevo, ad esempio, un PC nella sottorete tedesca che si autenticherà al controller di dominio tedesco, e così via.

Per i controller di dominio iniziali (l'infrastruttura Windows), sto usando Windows Server 2016, con una foresta che inizialmente era 2016. L'ho downgrade tramite PowerShell a 2008 R2. So che una foresta con un livello funzionale di 2012/2012R2 non è completamente supportata. È corretto?

Supponiamo di utilizzare un'infrastruttura Samba Active Directory, con client che eseguono Windows 10. Per supportare i nuovi GPO su questo sistema operativo, funziona l'importazione del file ADMX contenente questi GPO?

Grazie per l'aiuto.

[dcardon]

Ciao sgelineau,

in effetti Samba4 non supporta i livelli di foresta 2012 e successivi. Inoltre, non dovresti assolutamente avere un controller di dominio 2012, perché anche se la foresta e il dominio sono 2008 R2, ci sono comunque elementi che Samba non supporta (probabilmente relativi agli schemi).

Con un po' di competenza tecnica, puoi migrare un server Windows 2012 o Windows 2016 a un server Samba-AD. Ma non puoi usare la procedura standard e richiede l'uso di script e una conoscenza approfondita di ciò che stai facendo.

Per il supporto di Windows 10, è possibile importare schemi in Samba. Infatti, gli oggetti Criteri di gruppo (GPO) vengono interpretati lato client; Active Directory viene utilizzato principalmente per archiviare le definizioni GPO, un po' come un file server. Se usi Windows 10 per gestire il tuo Samba4-AD, avrai le stesse definizioni GPO e potrai importare altri file ADMX.

Denis

[agauvrit]

Ciao,

ecco una risorsa recente e poco conosciuta che permette di trovare rapidamente i file ADMX e i relativi valori: https://getadmx.com/

Alexandre

[sgelineau]

Salve,

sto per ricostruire la mia infrastruttura su Windows Server 2008 R2. Vi contatterò se dovessi riscontrare ulteriori difficoltà durante l'installazione.

Già che ci sono, se disponiamo solo di server Samba Active Directory che gestiamo tramite strumenti RSAT su una macchina client Windows, abbiamo bisogno di licenze di accesso client (CAL/LAC)?

Grazie per l'aiuto!

Sébastien

[dcardon]

Colgo l'occasione per chiedere: se disponiamo solo di server Samba Active Directory che amministriamo tramite strumenti RSAT su una macchina client Windows, abbiamo bisogno di una "licenza di accesso client" (CAL/LAC)?

Innanzitutto, una doverosa premessa: non sono un avvocato o un esperto legale, ma solo un semplice ingegnere che cerca di capire qualcosa. Le osservazioni che seguono sono le mie interpretazioni personali, frutto di lunghe ore di lettura solitaria sul sito Web di Microsoft, e sono fornite ovviamente senza alcuna garanzia.

Le CAL sono necessarie per accedere ai servizi forniti dai server e esistono diversi tipi di CAL a seconda dei servizi a cui si accede.

La CAL "file", la più comune e quella che ci interessa qui, consente di connettersi a un servizio SMB. Anche se si fa parte di un gruppo di lavoro, se ci si connette a un server MS Windows Server 2012 in un gruppo di lavoro, è necessaria una CAL per tale accesso. In pratica, non ha molto a che fare con il dominio, tranne per il fatto che quando si accede a un dominio, ci si connette alla condivisione SYSVOL, che è una connessione SMB.

La licenza CAL "file" si applica anche a un server di stampa. L'accesso allo spooler di connessione avviene anch'esso tramite il protocollo SMB.

Questa CAL "file" è valida anche per il server WSUS; la connessione avviene tramite HTTP, ma la licenza specifica che se la connessione al server Web IIS è autenticata (come nel caso di WSUS, poiché il client Windows si autentica al server WSUS), è richiesta una CAL "file". Esiste un'eccezione per Windows Server 2003 Web Edition, ma non credo che molti utenti la utilizzino ancora.

Quindi, riassumendo, se si dispone di un Samba-AD, di un file server Samba, ma non di un server di stampa WSUS o Windows, non è necessario acquistare CAL.

Ma se hai un server di stampa Windows, dovrai pagare. È al limite delle leggi antitrust della Commissione Europea, perché non ci sono davvero fornitori di fotocopiatrici che supportino tutte le loro funzionalità su un server di stampa diverso da Windows, ma vabbè.

E anche se hai client Linux o MAC, se si connettono a un file server Windows, dovrai pagare.

Per gestire gli aggiornamenti di Windows, è possibile utilizzare Windows Update o acquistare un altro prodotto sul mercato; le opzioni sono più numerose: IBM BigFix, Dell Kace, ecc. Infatti, abbiamo sviluppato internamente presso TIS una proof of concept per integrare la gestione degli aggiornamenti in WAPT Enterprise Edition. Spero di avere il tempo di completare questo modulo e integrarlo nella prima metà del 2018.

[sgelineau]

Buonasera,

sono finalmente riuscito a completare la migrazione, che, per chi non lo sapesse, era "Migrazione di un dominio Active Directory multisito di Windows Server 2012 a Samba 4". La mia infrastruttura era basata su Windows Server 2012 R2. Ho effettuato il downgrade del livello funzionale del dominio/foresta a 2008 R2, ho installato e integrato un server Windows Server 2008 R2 come controller di dominio. Ho quindi trasferito i ruoli FSMO, forzato la replica (GPO, DNS, ecc.) sul nuovo server e infine ho effettuato il downgrade degli altri controller di dominio a membri del dominio, rimuovendoli poi completamente da Active Directory. Sono riuscito a proseguire la migrazione senza problemi dal mio singolo controller di dominio WS200R8 a due nuovi controller di dominio Samba AD (uno per ogni "sito", come nell'infrastruttura iniziale).

Grazie per tutte le informazioni raccolte, così come per quelle presenti sul vostro sito web e sulla wiki.