Active Directory under MacOSX
Snarvei til bærbare maskiner
Snarvei til mobile brukere (for å cache brukere)
Snarvei til informasjon om script for å melde maskinen inn i AD
Les mer om HomeSync (synkroniserer lokal harddisk med hjemmeområdet)
Snarvei til konvertering mellom NetInfo-brukere og Active Directory-brukere
Problemer med å melde inn i AD?
BakgrunnHer skal vi vise hvordan man setter opp en maskin med Active Directory (AD). Maskinen henter da all informasjon om brukere fra AD-serveren og dette gjør at "vanlige" brukere kan logge seg inn og få montert UiO-hjemmeområdet på alle MacOSX-maskiner på UiO som kjører dette. Nytt driftsopplegg (osx-daily) som vil være klart i løpet av 2006 gjør at man kan begrense hvem som kan logge inn og også styre SSH-innlogging. Se dokumentasjon om det nye driftsopplegget her: http://www.usit.uio.no/it/mac/driftsopplegg/ |
 |
Konfigurering
Start programmet Directory Access som du finner i /Applications/Utilities.
1) Flippen "Services"
Velg å aktivisere og konfigurere Active Directory.
Hak av og trykk "configure".
Legg til at du skal være med i
- Directory forest uio.no (kjører du 10.4 behøver du ikke fylle inn dette)
- directory domain uio.no
- computer ID er maskinnavnet ditt (merk at dette skal stemme med DNS)
- Heter maskinen macintosh.uio.no, skal du her skrive macintosh.
- Er du usikker på dette, eller mangler navn - kontakt unix-drift@usit.uio.no
Er du IT-ansvarlig eller lignende med korrekte rettigheter (medlem av uiolkpc), kan du nå trykke BIND-knappen. Autentiser deg med vanlig UiO brukernavn og passord. Du vil få tilbakemelding dersom noe går galt, eller du ikke har korrekte rettigheter. Er du ikke IT-ansvarlig må du ta kontakt med denne personen eller ta kontakt med USIT.
Under ser du en film som viser aktivisering av Active Directory under MacOSX 10.4.1 (filmen krever quicktime7)
For de teknisk interesserte
Du kan også fjerne eller melde maskinen inn i AD via kommandolinja. Under er en film som viser dette (krever quicktime7). Denne kommandoen kjører i eksemplet som root. Skal du kjøre det som administrator må du bruke sudo foran kommandoen, samt at du må oppgi administrators passord.
MERK: Du må sjekke filene som ligger under /Library/Preferences/DirectoryService/ også. Filene er xml-filer og enkle å skjønne syntaksen på. Disse filene styrer f.eks aktivisering av Active Directory. Det enkleste er å se hvordan filene på en annen maskin med Active Directory aktiv ser ut.
Når du er ferdig trykker du "ok". I det siste vinduet trykker du "Apply".
VIKTIG: Maskiner som kjører MacOSX 10.4.x skal nå ikke behøve å gjøre noe mer, men sjekk gjerne at flippen authentication og contact inneholder Active Directory (se mer under).
2) VIKTIG: Flippen "Authentication"
Når går du til "authentication"-flippen.
Velg her "custom path". Etter dette skal du klikke på knappen "Add"
Nå får du opp en liste over autentiseringsmetoder du kan legge til. Velg "Active Directory/uio.no" Klikk Add.
3) VIKTIG: Flippen "Contacts"
Nå får du opp en liste over autentiseringsmetoder du kan legge til. Velg "Active Directory/uio.no" Klikk Add.
Nå er du ferdig og kan trykke "Apply now"-knappen nederst i det høyre hjørnet.
MERK: MacOSX 10.4
Under MOSX 10.4 er det ikke nødvendig å legge noe til under Contacts og authentication hvis man følger standard-innstillingene. Det holder å sjekke at "All domains" er lagt til (se bildet under).
MERK: Vær sikker på at du har trykket ned "Apply"-knappen.
Script i osx-daily som melder maskinen inn i AD
Det er et script i osx-daily som også kan brukes for å melde maskinen inn i AD. Scriptet kjøres ved å starte programmet Terminal som administrator og skrive:sudo -H bash
Tast inn administrators passord. Teksten du skriver vil ikke vises på skjermen. Trykk return. Skriv så
/etc/usit.osx.daily/sbin/add_to_AD
Følg instruksene på skjermen.
For en liste over opsjoner kan du skrive
/etc/usit.osx.daily/sbin/add_to_AD -help
Bærbare maskiner/mobile kontoer
Bærbare maskiner, eller der det er hensiktmessig med cachete brukere, må skru på "mobile accounts" - ellers kan ikke brukeren logge inn når maskinen befinner seg utenfor UiO-nettet. Mobile accounts lagrer brukeren i Netinfo-databasen, på samme måte som en lokal bruker, men informasjonen oppdateres hver gang maskinen kobler seg til sin faste plass på UIO-nettet.
MacOSX 10.4
MERK. VIKTIG: Det er oppdaget en feil i MacOSX 10.4.x som gjør at maskiner som haker av for "create mobile accounts..." vil fryse og låse seg. Det finnes noen omveier rundt dette.
- Slå av automount - se mer instrukser under vårt oppsett av HomeSync: http://www.usit.uio.no/it/mac/brukere/homesync/
- Skru av "use UNC path...": http://www.usit.uio.no/it/mac/brukere/active_dir/unc_off.png
- Fjern krysset som står foran "Use UNC path from Active Directory to derive network home location". Dette vil gjøre at UiO-området ikke automatisk vil montere seg, men dette kan monteres manuelt etter at du har logget inn som vist her
- Et nyttig alternativ er dog å sette opp bærbare maskiner med HomeSync aktiv. HomeSync vil automatisk synkronisere hjemmeområdet og lokal maskin når hjemmeområdet er montert. For dokumentasjon rundt dette, se denne siden: http://www.usit.uio.no/it/mac/brukere/homesync/
Logg inn og sjekk at den cachede brukeren som skal bruke maskinen fungerer som normalt før du plugger maskinen av fra nettet.
MacOSX 10.3
Bærbare maskiner må hake av for "cache last user logon for offline operations" (10.3) dersom de skal bruke AD. Dersom man haker av for "confirmation", må man svare "create" på spørsmål om de vil lage seg en "mobile account" (klikk her for skjermbilde).
Dette vil igjen gjøre at brukeren som logger seg inn vil bli lagret lokalt på maskinen slik at man kan plugge ut nettverket og/eller flytte seg til et annet nett med fortsatt mulighet til å logge seg på mot maskinen. Kobler du deg på et annet nett vil selvsagt ikke hjemmeområdet dukke opp, men alle filer lokalt på harddisken vil være tilgjengelig på normal måte.
Merk at man må logge på minst én gang og trykke create for at dette skal fungere.
La en gruppe administrere maskinen
Man kan la en gruppe personer administrere maskinen ved å gjøre følgende:Gå til flippe "administrative" (bilde er fra MacOSX 10.4 Tiger):
Hak av for "allow administration by" og skriv inn gruppenavnet til den aktuelle gruppen. Som eks har vi brukt "studio-drift" - dvs "uio\studio-drift". Medlemmer av gruppen vil få administrative rettigheter i det de logger seg inn. Vær dog oppmerksom på at dette bare skal brukes i helt spesielle tilfeller der dette er nødvendig.
Kontroll
Sørg for at du gjennomfører den fullstendige prosedyren med alle 3 "flippene".
For å sjekke om det hele fungerer, kan du nå starte Terminal og skrive "id <brukernavn> - f.eks "id macadm" for å få informasjon om denne brukeren.
Fungerer Active Directory skal informasjonen se noenlunde ut som over.
I bruk
Personer med godkjente uio-brukernavn og passord kan nå logg seg på. Dermed vil de få automatisk opprettet et lokalt område på maskinen der de kan lagre filer (dersom det ikke eksisterer allerede) og UiO-hjemmeområdet vil automatisk bli montert over smb. Ønsker man å ta vare på filer som lagres lokalt til maskinen må man kopiere dette til UiO-hjemmeområdet, ellers kan man risikere at det blir slettet. Skal du kopiere filer til UiO-hjemmeområdet for backup kan du bruke drag & drop, men vi anbefaler å pakke/komprimere filer eller mapper som skal arkiveres slik det vises her: http://www.usit.uio.no/it/mac/brukere/smb/
Automatisk lagring til server
Vi har pr i dag ingen offisiell politikk rundt dette, men vi har erfart at det er mulig å lagre visse ting automatisk til hjemmeområdet og/eller at backup dit fungerer bra. Documents-mappen kan være viktig. Innstillinger ligger som regel under ~Library, men det er liten vits å ta backup av hele denne mappen, da den tar mye plass og inneholder mange "unødige" filer. Ta i utganspunktet heller vare på ~Library/Preferences, Safari, Mail og eventuelt Keychain.
- MacOSX 10.4 har verktøy som kan hjelpe. Les om HomeSync her: http://www.usit.uio.no/it/mac/brukere/homesync/
Alternativt om man ønsker (eller kjører 10.3) kan man la Documents-mappen peke til serveren. Kopier først hele Documents-mappen inn på UiO-området (merk at det er begrenset med plass på serveren og at man ikke skal "dumpe" alt inn her. Merk også at filer med Resourcefork kan bli ubrukelige - les mer her). Deretter kan du slette mappen som ligger lokalt på maskinen (Dra den til papirkurven og tøm den). Vha programmet Terminal kan du så lage en symbolsk link til Documents-mappen på UiO-området. Vær sikker på at du står under /Users/<brukernavn> ved å skrive "cd /Users/<brukernavn>". Skriv så "ln -s /Volumes/<brukernavn>/Documents Documents" (merk store og små bokstaver). Du bytter selvsagt <brukernavn> med det aktuelle brukernavnet. Skriv "ls -l" og sjekk at det står "Documents -> /Volumes/<brukernavn>/Documents" (med korrekt brukernavn) der.
Lagre "alt" på server
Pr i dag anbefaler vi ikke dette, fordi det er begrenset plass på serverne til USIT, det blir mye nett-aktivitet, pluss at maskinen da vil cache programmer til server. Det er dog mulig mulig å slå på denne funksjonaliteten vha kommandoen dsconfigad. Se man dsconfigad for mer informasjon.
Rydding på maskin
På maskiner som har mange brukere og som lagrer alt på lokal harddisk må man av og til rydde, ellers kan det bli fullt. Man bør derfor være oppmerksom, eller gjøre alle brukere oppmerksom på at innholdet som ligger lokalt på maskinen kan bli slettet. Det er mange måter å slette innhold på maskinen og man kan lage seg faste rutiner på dette - f..eks kan man ha ukentlige script, logouthooks etc. Ønsker man rått og brutalt og rydde en maskin er det dog nok å kjøre kommandoen "rm -rf /Users/*" som root. Dette vil slette alt innhold under /Users/ (vær oppmerksom med bruker junior). Et nytt lokalt område vil så bli opprettet når man logger inn neste gang. Ønsker man å bare å slette en enkelt mappe kan man bruke kommandoen "rm -rf /Users/<brukernavn>". Bytt <brukernavn> med det aktuelle brukernavnet.
Kontakt macadm dersom du ønsker mer informasjon eller automatiserte rutiner.
Overgang til AD fra lokale brukere
Brukere som har blitt opprettet før Active Directory har blitt konfigurert (dvs at de ligger lokalt på maskinen) og som har et UiO-brukernavn, vil ikke benytte seg av Active Directory. Disse må derfor slettes før de kan benytte seg av AD. Brukere som root og junior skal selvfølgelig ikke slettes.
Du har to valg for å slette lokale brukere.
- Gå inn i system preferences->accounts. velg den aktuelle kontoen og trykk minus-knappen. Her vil man få opp valg om innhold skal slettes umiddelbart, eller om man skal ta vare på alt innhold (som da vil bli pakket sammen som et dmg-image som man kan ha aksess til i ettertid for overflytting av f.eks dokumenter).
- Man kan også bevare alt "slik det er" ved å bruke kommandolinjen som administrator: "sudo nicl / -delete /users/<brukernavn>". Dette sletter brukeren fra den lokale Netinfo-databasen, men samtidig tar den vare på alt innhold brukeren har lokalt på maskinen. Dermed må man gjøre følgende etter at man har aktivert AD: Kjør kommandoen "sudo chown -R <brukernavn> /Users/<brukernavn>". Dette vil gi korrekt eierskap og rettigheter over filene som brukeren "eier" på harddisken. Dermed vil alt innhold bli som før på maskinen, bortsett fra at man nå får montert hjemmeområde og autentiserer mot AD. Merk at dette selvsagt bare går for aktive kontoer ved UiO.
Har du problemer med AD
Dersom maskinen allerede ligger i AD
Dersom det var du som meldte inn maskinen tidligere kan du prøve å melde inn på nytt og svare ja på at du ønsker å tvinge gjennom ny bind når du får spørsmål om dette. Hvis ikke må du kontakte windows-drift@usit.uio.no og be om at maskinen slettes fa AD før du går videre.
Maskiner som blir borte fra AD vil bli slettet etter en viss periode (90 dager) fra AD og må derfor gjøre hele prosedyren om igjen dersom de senere ønsker å bruke dette på nytt.
Hvis du generelt har problemer
Prøv først å melde inn en gang til. Dersom det fortsatt ikke fungerer, må du sjekke at maskinen ikke ligger i AD fra før og samtidig være sikker på at du er medlem av gruppen uiolkpc. Ligger maskinen i AD fra før, må du ta kontakt med windows-drift@usit.uio.no for å få den slettet. Dersom maskinen fortsatt ikke vil inn i AD, anbefaler vi å hake av for "prefer this domain server" under flippen "administrative" og skrive inn enten "nidhogg.uio.no", "verfolne.uio.no", "heidrun.uio.no" eller "ratatosk.uio.no" (bare en av gangen) som servere. Kontakt oss dersom du da fortsatt har problemer.
Redaksjon: MacAdm, macadm@usit.uio.no
Forfatter: Dag Tore Antonsen, d.t.antonsen@usit.uio.no
Dokument opprettet: 09.02.2004, endret: 14.09.2006