Muss ich Windows Server erwerben, um Richtlinien festzulegen oder die Domänenanmeldung zu aktivieren?

Sie können Linux mit der SAMBA-Software als Domänencontroller einrichten. Nein, Sie müssen also keine Lizenzen für Windows Server erwerben, sondern nur für Domänenanmeldungen.

Ein gewöhnlicher LDAP-Server reicht jedoch nicht aus.

AFIK, Sie können sogar Gruppenrichtlinien mit freier Software anwenden. SAMBA v4 unterstützt sicherlich Gruppenrichtlinien, obwohl ich nicht klar bin, ob Sie tatsächlich Clientzugriffslizenzen lizenzieren sollten. Tools wie "Likeewise" und "Centrify Express" haben meiner Meinung nach behauptet, dies zu tun, obwohl sich beide Websites seit meinen letzten Referenzen verschoben oder geschlossen haben. Ich habe das eigentlich nicht gemacht, also kann ich nicht sicher sein, wie einfach es ist. Ebenso ist Open Teil von BeyondTrust.

Das SAMBA WIKI enthält auch einige grundlegende Anweisungen, obwohl diese etwas veraltet erscheinen. Es sieht so aus, als könnten Sie die meisten Dinge mit SAMBA tun, solange Sie v4 verwenden.

AKTUALISIEREN:

Um die Frage zu beantworten, warum LDAP allein nicht ausreicht. Active Directory basiert zwar zum Teil auf den LDAP-Standards, hat jedoch eine Reihe proprietärer Ergänzungen für Windows. Sie müssen über Nicht-LDAP-Dienste verfügen, die auf Client-Anmeldungen, Gruppen, Lizenzen, Gruppenrichtlinien und vieles mehr reagieren.

LDAP dagegen ist ein Standard und ein Protokoll, das aus X.500 hervorgegangen ist. Es wurde entwickelt, um ein Verzeichnis (in der Tat global) der Benutzer und zugehörigen Ressourcen für X.400-basierte E-Mail-Systeme bereitzustellen. X.500 war für die meisten Dinge übertrieben und erforderte einen sehr komplexen Client, der für die meisten PCs der Zeit zu schwer war. So wurde LDAP ( Lightweight Directory Access Protocol) geboren. Im Wesentlichen ist es jedoch nur ein Mechanismus, um Benutzer- und ähnliche Daten aus einem sehr großen Verzeichnis von Elementen abzurufen. Es genügt, Standardabfragen zu übernehmen und Ergebnisse auf standardmäßige Weise zurückzugeben. Es ist natürlich etwas mehr dran, aber das ist das Wesentliche.

Ein Samba 4-Domänencontroller sollte alle von Ihnen beschriebenen Funktionen bereitstellen. Es unterstützt insbesondere Gruppenrichtlinien und Authentifizierung, die Sie bereits erwähnt haben, solange Sie sich an einen einzelnen Server halten. Das Setup ist nicht zu schwer, solange Sie sich an die Dokumentation halten.

Wie bereits erwähnt, wird ein Standard-LDAP-Server jedoch nicht ausreichen. Bei der Kombination von LDAP, Kerberos und Dateidiensten auf dem Domänencontroller ist Windows ziemlich wählerisch, und alle unterscheiden sich geringfügig von der Standardisierung.

Die Einschränkungen, über die die Leute oft sprechen, sind meist mehr Komplikationen beim Setup als echte Einschränkungen, und alle kommen nur dann zum Tragen, wenn Sie mehr als nur einen einzelnen Server betrachten. In diesem Fall fehlen in Samba 4 Teile der Replikationsreplikation für Inbuild-Richtlinien. Sie benötigen ein Skript, um dies zu umgehen. Das andere Problem, das dann ins Spiel kommt, ist, dass die NTP- und die Kerberos-Authentifizierung separate Dienste sind und für Ihren ersten Server konfiguriert werden müssen. Ich würde sagen, sobald Sie die ersten beiden Server ausgeführt haben, ist es nicht zu umständlich, um sie zu verwalten. Die anfängliche Kurve für die Einrichtung einer Samba 4-Umgebung mit mehreren Servern kann jedoch recht hoch sein.

Natürlich können kommerzielle Distributionen, wie beispielsweise unser UCS, es einfacher machen, Samba 4 zum Laufen zu bringen und zu verwalten, aber darunter befindet sich dieselbe Software, die wir in 10000 Benutzerumgebungen verwenden.