Überblick
	System-Voraussetzungen
	-	Betriebssysteme
	-	Unterstützte Server
	Installation und Entfernen
	-	Installation
	-	Upgrade auf eine neue Version
	-	Entfernen von Sharity 3
	Mit Sharity 3 arbeiten
	-	Konfiguration
	-	Ein- und Ausloggen
	-	Authentifizieren mit Kerberos
	-	Der Schlüsselbund
	-	Ressourcen durchsuchen
	-	/CIFS als magisches Verzeichnis
	-	Einloggen und Schlüsselbund-Verwaltung aus der Kommandozeile
	-	Mounten von Freitaben aus der Kommandozeile
	-	Zugriff auf ACLs
	-	Allgemeine Information
	Dateien auf einem Windows-PC freigeben
	-	Konfiguration des Netzwerks
	-	Freigeben eines Verzeichnisses
	-	Namens- und Browsing-Dienste
	Tips und Tricks
	-	Hilfe zu Konfigurations-Optionen
	-	Permanente Mounts
	-	Default Login für Domäne
	-	Ein Default-Konto konfigurieren
	Problembehebung
	-	Erzeugen eines Debug-Logs
	-	Wiederherstellen nach einem Absturz
	-	Fehlersuche bei Kerberos und AD
	Unix Home-Verzeichnisse auf SMB Freigaben
	-	Überblick
	-	Sharity und DirectControl
	-	Integration von Sharity mit anderer Software
	-	Einschränkungen
	Release Notes
	Software-Lizenz

Überblick

Folgende Probleme müssen dazu gelöst werden:

• Authentifizierung. Wenn sich ein Anwender auf einem Unix Computer einloggt, muss das System die Login-Daten beim Domänen-Controller verifizieren.
• Verzeichnisdienst. Informationen, die normalerweise in den Dateien /etc/passwd, /etc/group usw. gespeichert sind, müssen beim Domänen-Controller abgefragt werden.
• Home-Verzeichnisse. Wenn für Windows Anwender automatisch Home-Verzeichnisse als Netzwerklaufwerk verbunden werden, dann wollen sie meist das selbe Home-Verzeichnis auch auf Unix benutzen.

Im restlichen Teil dieses Kapitels werden zwei Herangehensweisen beschrieben. Die erste ist ein kommerzielles Produkt namens DirectControl der Firma Centrify, das Unix Computer in die Windows Domäne integriert. Im zweiten Teil schlagen wir kein spezielles Produkt vor, sondern beschreiben, wie Sharity mit Software von Drittanbietern zusammen arbeiten kann.

Sharity und DirectControl

• Sharity braucht nicht nach Passworten zu fragen. Es kann einfach die Authentifizierungs-Daten von DirectControl benutzen.
• Sharity kann die Zuordnung von Windows Security-IDs (SIDs) auf Unix Benutzer- und Gruppen-IDs (UID/GID) von DirectControl erfragen. Damit ist es möglich, Windows Zugriffskontrolllisten (ACLs) in Unix Dateiattribute zu übersetzen.
• Sharity und DirectControl arbeiten zusammen, um das Netzwerk-Home-Verzeichnis des Benutzers zu finden.

Wo ist das Home-Verzeichnis?

Unix Computer können das Verzeichnis natürlich nicht als Laufwerk "Z:" ansprechen, so wie das Windows tut. Sie müssen es an einem bestimmten Pfad im Dateisystem mounten. Ausserdem können auf einer Unix Maschine mehrere Benutzer geichzeitig eingeloggt sein; die Pfade, auf denen gemountet wird, müssen also für jeden Benutzer anders sein. Üblricherweise werden die Home-Verzeichnisse einfach nach dem Login-Namen des Benutzers benannt, z.B. /home/james.

Sharity muss volle Kontrolle über das Verzeichnis mit den Home-Verzeichnissen haben, weil es dort im Bedarfsfall die Home-Verzeichnisse der Benutzer mounten muss. Wir erreichen das am einfachsten, indem dort ein spezielles Dateisystem (x-homes:) gemountet wird. Wenn sich ein Benutzer einloggt und sein Home-Verzeichnis erstmals benutzt wird, fragt Sharity den Domänen-Controller nach dem Netzwerkpfad des Home-Verzeichnisses und verweist mit einem symbolischen Link zu diesem Netzwerk-Pfad.

DirectControl Konfiguration

/nethome/$domain/$user
/nethome/$user
/home/net/$user

Sharity Konfiguration

LD_LIBRARY_PATH=/usr/share/centrifydc/kerberos/lib:$LD_LIBRARY_PATH
LD_LIBRARY_PATH=/usr/share/centrifydc/lib:$LD_LIBRARY_PATH
export LD_LIBRARY_PATH

x-homes:company.com /nethome

Mit dieser Konfiguration können Sie sich auf dem Unix Computer einloggen und Ihr Home-Verzeichnis wird automatisch gemountet, z.B.:

login: james
Password:
Last login: Fri Nov 3 15:21:29 on tty1
-bash-3.1$ pwd
/nethome/james
-bash-3.1$ ls -l /nethome
lrwxrwxrwx 1 james domainusers 1024 Nov 6 18:12 james -> /CIFS/homes[server.mycompany.com]/james

    main = {
        autoUnmountTimeout = 7200000;   // in ms
    };
    cifs = {
        homesLocalHomeDir = "/home/$user";
    };

autoUnmountTimeout: Wenn ein automatisch gemountetes Verzeichnis so lange nicht benutzt wird, wird es wieder entfernt. Da ein Mount viele System-Ressourcen benötigt, empfehlen wir Ihnen, diese Möglichkeit zu nützen. Bei einem automatischen Unmount können keine Daten verloren gehen, weil Sharity das Verzeichnis bei Bedarf einfach wieder mountet.

homesLocalHomeDir: Wenn sich ein Benutzer anmeldet, fragt Sharity das Home-Verzeichnis vom Domänen-Controller ab. Wenn keines oder kein Netzwerk-Pfad konfiguriert ist, stellt Sharity ein lokales Verzeichnis (auf der eigenen Festplatte) bereit. Die Variablen $user und $domain werden dazu mit dem Unix Login-Namen des Benutzers und der Domäne ersetzt.

Wenn Sie in der Sharity Applikation im Abschnitt "Optionen" die Option "Windows ACLs konvertieren" wählen (siehe Bild rechts), dann berechnet Sharity die Unix Dateiattribute aus dem Windows Security Descriptor und damit aus der Zugriffskontrollliste (ACL) der Datei. Besitzer und Gruppe der Datei werden aus den entsprechenden Windows-Attributen konvertiert und Zugriffsrechte für Besitzer, Gruppe und die Windows-Gruppe "Jeder" berechnet. Bitte beachten Sie, dass der Zugriff auf den Security Descriptor eine zusätzliche Abfrage beim Server erfordert und somit den Durchsatz reduziert.

Integration von Sharity mit anderer Software

Authentifizierung

Authentifizierung mit Kerberos. Wenn Kerberos auf Ihrem System bereits konfiguriert ist, dann sollte Sharity ohne weitere Konfiguration die Kerberos-Tickets nutzen können. Einige Installation verwenden allerdings ungewöhnliche Datei-Namen für den Ticket-Cache. Um sich auch daran anzupassen, kann Sharity nach dem Ticket-Cache suchen. Öffnen Sie die Datei /usr/local/sharity3/etc/config/cifs.cfg in einem Editor und suchen nach krb5credCacheTemplate. Diese Option enthält ein Shell Matching-Pattern, mit dem potentielle Ticket-Cache Dateien gefiltert werden. Die erste Datei, die zu dem Matching-Pattern passt und dem aktuellen Benutzer gehört, wird als Ticket-Cache verwendet. Wenn Sie diese Option permanent ändern wollen, sollten Sie das in der Datei /usr/local/sharity3/var/local.cfg tun. Weitere Infos dazu finden Sie im vorigen Abschnitt.

Authentifizierung mit Passwort. Wenn Sie Kerberos aus irgendwelchen Gründen nicht verwenden können oder wollen, dann müssen Sie irgendwie zum Klartext-Passwort des Benutzers kommen. Dieses Passwort übergeben Sie dann dem Kommando "sharity login", eventuell gleich mit der Option, es im Schlüsselbund als default zu speichern. Das Hauptproblem hier ist es, das Passwort beim Login abzufangen. Wenn die Authentifizierung in Ihrem System auf PAM basiert, machen Sie eine Web-Suche nach pam_extern und pam_script. Beide Module erlauben es, eigene Kommandos in den Login-Prozess zu schleusen.

Verzeichnisdienst

Wenn Sie die Option "Windows ACLs konvertieren" im Abschnnitt "Optionen" der grafischen Benutzeroberfläche aktivieren, dann sollten Sie auch eine Liste zur Umsetzung von Windows Security IDs (SIDs) auf Unix Benutzer- und Gruppen-IDs (UIDs/GIDs) bereitstellen. Diese Liste wird in der Datei /usr/local/sharity3/var/idmap.cfg konfiguriert und das Dateiformat ist auch dort beschrieben. Immer, wenn Sie diese Datei ändern, sollten Sie auch Sharity davon informieren, sodass es die Liste neu Lädt. Das geschieht am einfachsten mit dem Unix HUP Signal an den Prozess sharityd oder mit dem Kommando sharity reload.

Home-Verzeichnisse

sharity mount x-homes:company.com /nethome

sharity mount x-homes: /nethome

/home/james -> /CIFS/homes[server]/james
/home/susie -> /CIFS/homes[server]/susie
...

Einschränkungen

• Gross/Klein-Schreibung. Im gegensatz zur Unix-Tradition ist Windows Dateisystemen die Gross/Kleinschreibung egal.
• Datei-Sperren (file locks). Sharity kann derzeit keine Dateien sperren. Allerdings kann auf den meisten Betriebssystemen erreicht werden, dass beim Versuch, eine Datei zu sperren, keine Fehlermeldung zurückgegeben wird. Die Sperre wird einfach nur nicht durchgeführt.
• Effektive Zugriffsrechte. Die Unix Zugriffsrechte, die Sharity angibt, werden entweder aus den DOS Dateiattributen oder den Windows Zugriffskontrolllisten (ACLs) abgeleitet. In beiden Fällen geht Information durch die Umrechnung verloren. Eine Vorhersage aufgrund der Unix Dateiattribute, ob ein Benutzer auf eine bestimmte Datei Zugriffsrechte hat, ist daher nicht möglich.
• Modifikationszeit von Verzeichnissen. Windows aktualisiert nicht die Zeit der letzten Änderung, wenn in einem Verzeichnis Dateien dazu kommen oder entfernt werden. Unix Applikationen aber auch das Betriebssystem prüfen oft die Gültigkeit von Caches anhand dieser Modifikationszeit. Wenn das Verzeichnis hingegen über Sharity verändert wird, dann setzt es (wenn möglich) auch die Modifikationszeit.
• Symbolische Links. Sharity kann symbolische Links emulieren, indem es auf Windows eine Datei mit ganz speziellen DOS Attributen erzeugt und den Ziel-Pfad hineinschreibt. Dieses Verhalten muss allerdings in den Optionen eingeschaltet werden, weil einige Windows System-Dateien genau diese DOS Attribute aufweisen und daher als symbolischer Link dargestellt werden.
• Hard Links. Sharity kann Hard Links emulieren, indem es die Datei kopiert. Das ist natürlich keine echte Emulation, aber doch die beste Annäherung an einen Hard Link, die mit CIFS möglich ist. Auch dieses Verhalten muss als Option aktiviert werden.
• Unix Devices, Unix Domain Sockets, Pipes. Sharity kann diese Dateisystem-Objekte nicht darstellen.
• Zeitabweichungen bei Datei-Attributen. Abhängig von mehreren Faktoren (wie z.B. Server Betriebssystem, ob die Datei geöffnet ist usw.) können bestimmte Datei-Attribute nicht verfügbar sein. Nur die Datei-Modifikationszeit mit einer Genauigkeit von +/- 2 Sekunden ist immer verfügbar.