Das zentrale Management von heterogenen Netzwerken ist eine der Stärken von UCS. Von Anfang an war es unser Ziel, eine Plattform zu kreieren, die eine Brücke zwischen den etablierten Standards von Linux/Unix und Microsoft/Windows schlägt, so dass Nutzer aus beiden Welten gleichermaßen profitieren können. Aber wie genau funktioniert dieser Brückenschlag, oder genauer die Synchronisation zwischen OpenLDAP mit den von Linux und Unix Clients bevorzugten Daten, und Samba 4 als Active Directory kompatiblem Service?
Ich möchte Ihnen in diesem Artikel die Unterschiede kurz aufzeigen und erklären, auf welche Technologien wir in UCS gesetzt haben, um den unterschiedlichen Client-Welten den jeweils erwarteten Verzeichnsdienst zur Verfügung zu stellen. Dabei werde ich einen Blick werfen auf den Replikationsprozess via Listener und Notifier für OpenLDAP, auf die DRS-Replikation für Active Directory und den „Univention S4 Connector“, der zwischen Samba 4 und OpenLDAP synchronisiert.
Zwei auf einen Streich – Linux und Windows Systeme parallel managen
Sie möchten ein Windows System in einer UCS-Domäne verwalten? Kein Problem, denn UCS bietet mit der Samba Software Suite Active Directory kompatible Domänendienste an, mit denen Sie einen kompatiblen Ersatz für den Microsoft Windows Domaincontroller bekommen.
Damit Sie Ihre Linux-Clients und -Server und die darauf aufsetzenden Services und gleichzeitig Ihre Windows-Systeme und deren Services managen können, richten Sie auf Ihrem UCS-System neben dem dort vorhandenen OpenLDAP-Verzeichnisdienst noch einen zweiten, AD-kompatiblen Verzeichnisdienst ein. Dieser AD-kompatible Samba-Verzeichnisdienst belegt die Standardports für LDAP 389 und 636 – die von Windows-Systeme als Active Directory-Verzeichnisdienst angesprochen werden. Der UCS OpenLDAP-Verzeichnisdienst verwendet stattdessen die Ports 7389 und 7636. Die (Um-)Konfiguration des verwendeten Ports ist bei OpenLDAP-Clients normalerweise recht einfach möglich, bei UCS-Systemen ist dies bereits automatisch der Fall.
Nun haben wir also einen Verzeichnisdienst für die Linux-Umgebung (OpenLDAP), und einen für die Windows-Umgebung (Samba 4). An dieser Stelle spielt UCS mit der automatischen Synchronisation zwischen beiden Verzeichnisdiensten seine volle Stärke aus. Die Synchronisation erfolgt mit dem von Univention entwickelten „Univention S4 Connector“, der bei relevanten Änderungen in einem der beiden Verzeichnisdienste die Anpassungen sofort in den jeweils anderen Verzeichnisdienst übernimmt, so dass beide Systeme immer über denselben aktuellen Informationsstand verfügen und die beiden Verzeichnisdienste als eine gemeinsame Domäne fungieren können.
Samba 4 übernimmt in diesem Szenario den Kerberos-Dienst und stellt seinen Verzeichnisdienst als DNS-Backend für den Nameserver ISC Bind bereit – beide Services sind essentiell für einen vollwertigen Active Directory-Ersatz.
Wie funktioniert nun die Replikation?
Die Replikation von Verzeichnisdiensten auf andere Server-Systeme bietet Ihnen einige wichtige Vorteile, der wichtigste ist die so mögliche Lastverteilung und Redundanz. Während für OpenLDAP ein hierarchisches Replikationsmodell umgesetzt ist, erfolgt die Replikation in einem Active Directory (und damit natürlich auch bei Samba AD Domaincontrollern) als sog. Multi-Master-Replikation. Das bedeutet, dass jeder Domaincontroller von und mit jedem anderen Domaincontroller replizieren kann. Als technische Komponente kommt hier der sog. Directory Replication Service (DRS) zum Tragen.
Eine Multi-Master-Replikation ermöglicht unter anderem, dass eine Änderung an jedem beliebigen Domaincontroller vorgenommen werden kann. Gleichzeitig bringt sie aber auch gewisse Nachteile mit sich. So kann zum Beispiel eine selektive Replikation nicht so unkompliziert umgesetzt werden. Auch skaliert eine Multi-Master-Replikation weniger gut, da jeder Domaincontroller mit jedem anderen Domaincontroller kommunizieren muss und alleine dadurch eine nicht unerhebliche Last auf den Systemen und auf der Netzwerkebene erzeugt wird. Für diesen Fall bietet Active Directory mit seinem Standort („Site“-)Konzept aber Lösungsmöglichkeiten.
