Identity Management for UNIX

Identity Management for UNIX

Identity Management for UNIX semplifica l'integrazione degli utenti di sistemi operativi Windows negli ambienti UNIX esistenti. Include infatti componenti progettati per facilitare la gestione che semplificano l'amministrazione della rete e la gestione degli account su entrambe le piattaforme.

Con Identity Management for UNIX è possibile:

  • Gestire account utente e password su sistemi Windows e UNIX utilizzando Server per NIS (Network Information Service).

  • Sincronizzare automaticamente le password tra sistemi operativi Windows e UNIX utilizzando Sincronizzazione password.

Per informazioni su Identity Management for UNIX, vedere Panoramica di Identity Management for UNIX.

In questa sezione

Elenco di controllo: distribuire Server per NIS

Elenco di controllo: distribuire Sincronizzazione password

Panoramica di Identity Management for UNIX

Identity Management for UNIX: procedure

Server per NIS

Sincronizzazione password


Elenco di controllo: distribuire Server per NIS

Server per NIS consente a un controller di dominio Servizi dei domini Active Directory (AD DS) basato su Microsoft Windows di amministrare reti NIS (Network Information Service) UNIX. Server per NIS consente di migrare le mappe NIS esistenti dai server NIS basati su UNIX allo schema AD DS e gestire i dati delle mappe utilizzando strumenti da riga di comando o basati sulla GUI di Windows.

Note

Server per NIS può essere installato solo su un controller di dominio AD DS.

 | Operazione | Riferimento
Casella di controllo | Leggere informazioni sulla distribuzione di Server per NIS. | Panoramica di Server per NIS
Casella di controllo | Migrare le mappe NIS (Network Information Service) a AD DS. | Elenco di controllo: eseguire la migrazione delle mappe NIS a Servizi di dominio Active Directory
Casella di controllo | Impostare la frequenza con cui le mappe vengono propagate ai server NIS subordinati, noti anche come slave. | Modificare la frequenza degli aggiornamenti delle mappe
Casella di controllo | Esaminare e, se necessario, aggiungere o rimuovere i server UNIX subordinati nel dominio. | Aggiungere o rimuovere server subordinati UNIX
Casella di controllo | Se necessario, installare Server per NIS in altri controller di dominio, configurati automaticamente come server subordinati. | Installare i componenti di Identity Management for UNIX
Casella di controllo | Installare Sincronizzazione password in tutti gli altri controller di dominio. Questo assicura che quando la password di un utente viene modificata, viene anche aggiornata in tutto il dominio. Server per NIS riceve le password aggiornate quando i dati vengono replicati nel controller di dominio. | Installare i componenti di Identity Management for UNIX

Ulteriori riferimenti

Per ulteriori informazioni su Server per NIS, vedere:

  • TechCenter di Windows Server per Servizi dei domini Active Directory (http://go.microsoft.com/fwlink/?LinkId=48547)


Elenco di controllo: eseguire la migrazione delle mappe NIS a Servizi di dominio Active Directory

Note

Il processo di migrazione è costituito dai tre passaggi seguenti:

  1. Eseguire la migrazione delle mappe NIS a un server basato su Windows.

    • Utilizzando la riga di comando

      Identity Management for UNIX include uno strumento da riga di comando denominato nis2ad che consente di eseguire la migrazione delle mappe da server NIS basati su UNIX a Server per NIS basato su AD DS.

    • Utilizzando la migrazione guidata

      La NIS Data Migration Wizard in Identity Management for UNIX estrae le informazioni necessarie per eseguire la migrazione. Anche quando si utilizza la migrazione guidata, tuttavia, è necessario completare i passaggi 2 e 3, riportati di seguito.

    La migrazione guidata e il comando nis2ad leggono i dati delle mappe dai file di origine mappa NIS, ovvero i file di testo normale a partire dai quali vengono compilati i database delle mappe NIS. Questi file di origine devono essere situati in un percorso accessibile al controller di dominio durante la migrazione, ad esempio un disco sul controller di dominio o una directory condivisa accessibile al controller di dominio.

  2. Informare i server NIS subordinati esistenti, noti anche come slave, del nuovo server NIS master.

    Dopo la migrazione, il server NIS basato su UNIX originale deve inviare un aggiornamento delle mappe a tutti i server NIS subordinati, con il nome del nuovo server master nelle mappe.

  3. Disattivare il server NIS originale.

I server NIS subordinati basati su UNIX possono continuare a funzionare come prima; tuttavia, riceveranno gli aggiornamenti delle mappe dal computer basato su Windows invece che dal computer basato su UNIX. I computer client continueranno a ottenere le mappe o i dati NIS dal nuovo master.

Operazione Riferimento
Casella di controllo

Leggere ulteriori informazioni sulla migrazione NIS (Network Information Service).

Informazioni sulla migrazione di dati NIS

Casella di controllo

Eseguire il backup dei controller di dominio Windows o utilizzare un controller di dominio di prova.

Casella di controllo

Eseguire l'accesso come membro del gruppo Domain Administrators.

Casella di controllo

Identificare il dominio NIS di cui eseguire la migrazione e la modalità di migrazione, tenendo presente quanto segue:

  • È possibile eseguire la migrazione di un solo dominio NIS alla volta, ma si può unire il dominio NIS a un dominio NIS di cui è stata precedentemente eseguita la migrazione.

  • Se non si unisce il dominio, è possibile preservare il nome del dominio esistente o creare un nuovo nome per il dominio di cui è stata eseguita la migrazione.

  • È consigliabile eseguire la migrazione di un dominio NIS a un solo dominio AD DS.

Eseguire la migrazione di NIS in Servizi di dominio Active Directory

Casella di controllo

Assicurarsi che i file di origine delle mappe NIS di cui si desidera eseguire la migrazione siano accessibili al computer in cui è in esecuzione la NIS Data Migration Wizard (i file di origine mappa NIS sono file di testo normale da cui vengono compilati i database di mappe NIS). È possibile rendere questi file disponibili per il computer basato su Windows utilizzando NFS (Network File System) o copiandoli nel computer basato su Windows tramite FTP (File Transfer Protocol). Tutti i file di origine mappa standard e non standard devono trovarsi nella stessa directory.

Informazioni sulla migrazione di dati NIS

Casella di controllo

Identificare le mappe NIS standard di cui eseguire la migrazione e i percorsi di directory dei file di origine mappa, tenendo presente quanto segue:

  • È possibile eseguire la migrazione delle mappe in diversi passaggi, ovvero eseguire prima la migrazione di una mappa e poi delle altre in successione.

  • È consigliabile eseguire la migrazione della mappa delle password prima della migrazione delle altre mappe che si basano su di essa, quali la mappa gruppi o shadow.

  • È necessario eseguire la migrazione della mappa reti prima della migrazione delle netmask.

Eseguire la migrazione e la gestione di mappe standard e non standard

Casella di controllo

Identificare tutte le mappe NIS non standard di cui eseguire la migrazione, i relativi formati e i percorsi di directory dei file di origine mappa. Tutti i file di origine mappa standard e non standard devono trovarsi nella stessa directory.

Eseguire la migrazione e la gestione di mappe standard e non standard

Casella di controllo

Esaminare i file di origine mappa NIS per più voci con la stessa chiave primaria, ad esempio più utenti con lo stesso ID utente (UID) nel file delle password, ed eliminare le chiavi primarie duplicate.

Risolvere i conflitti di migrazione

Casella di controllo

Identificare i contenitori AD DS a cui verrà eseguita la migrazione del dominio NIS.

Casella di controllo

Decidere la strategia di migrazione utilizzando una delle due alternative seguenti. Se sono presenti conflitti tra la voce della mappa esistente e la voce di cui viene eseguita la migrazione, è possibile scegliere uno dei metodi seguenti:

  • Sovrascrivere la voce esistente con i dati della voce di cui viene eseguita la migrazione.

  • Preservare i dati della voce esistente e ignorare la voce di cui viene eseguita la migrazione.

  • Risolvere i conflitti modificando il nome account di Windows in Active Directory. Se oggetti di tipo diverso hanno lo stesso nome, i nomi di entrambi gli oggetti verranno modificati prima della migrazione dei dati.

Procedure consigliate per Server per NIS

Casella di controllo

Decidere se si desidera prima eseguire la NIS Data Migration Wizard senza effettuare la migrazione, per esaminare tutti gli eventi che si verificheranno durante la migrazione (consigliato), o eseguire la migrazione di tutti i dati alla prima esecuzione della procedura guidata. La migrazione guidata può essere configurata per registrare tutti i passaggi della migrazione senza migrare effettivamente i dati in Active Directory.

Procedure consigliate per Server per NIS

Casella di controllo

Eseguire la migrazione delle mappe NIS ad Active Directory, in un computer in cui sono in esecuzione Windows Server e Active Directory.

Eseguire la migrazione di domini NIS

Casella di controllo

Esaminare i file di registro dopo la migrazione, per individuare errori o conflitti. Risolvere i conflitti registrati ed eseguire nuovamente la migrazione delle voci risolte.

Risolvere i conflitti di migrazione

Casella di controllo

Configurare tutti i server NIS subordinati UNIX, noti anche come slave, per l'utilizzo di Server per NIS come server NIS master.

Configurare un server NIS UNIX per utilizzare Server per NIS come server master

Casella di controllo

Configurare tutti i computer client NIS UNIX per l'utilizzo di Server per NIS come server NIS master.

Configurare i client UNIX per utilizzare Server per NIS come server master

Casella di controllo

Impostare le password dei nuovi account utente di Windows, creati dalla migrazione NIS, su un valore temporaneo noto, informare gli utenti della password temporanea e indicare loro di modificare la propria password Windows non appena possibile.

Ulteriori riferimenti

Per ulteriori informazioni su Server per NIS, vedere:

  • TechCenter di Windows Server per Servizi dei domini Active Directory (http://go.microsoft.com/fwlink/?LinkId=48547)


Elenco di controllo: distribuire Sincronizzazione password

Sincronizzazione password consente di integrare reti Windows e UNIX semplificando il processo di gestione di password sicure in entrambi gli ambienti. Con Sincronizzazione password, vengono installati nei computer di rete basati su UNIX alcune utilità che consentono di rilevare le modifiche alle password degli utenti nei computer o nei domini basati su Windows e di aggiornare automaticamente le password su ogni host UNIX su cui gli utenti dispongono di account. È inoltre possibile configurare Sincronizzazione password per modificare la password di Windows dell'utente quando viene modificata la password di UNIX dell'utente.

Note

È possibile installare Sincronizzazione password in uno qualsiasi dei tre scenari seguenti.

  • Si desidera sincronizzare le password in un dominio NIS per cui il server master è un computer basato su Windows in cui è in esecuzione Server per NIS. Vedere Impostare Sincronizzazione password per l'utilizzo con un dominio NIS (server master Server per NIS) in questo argomento.

  • Si desidera sincronizzare le password in un dominio NIS per cui il server master è un server NIS basato su UNIX. Vedere Impostare Sincronizzazione password per l'utilizzo con un dominio NIS (server master basato su UNIX) in questo argomento.

  • Si desidera sincronizzare le password per gli utenti di host basati su UNIX autonomi che si connettono a computer Windows. Vedere Impostare Sincronizzazione password per l'utilizzo con host basati su UNIX autonomi in questo argomento.

Sincronizzazione password può essere installato solo su un controller di dominio Servizi dei domini Active Directory.

Impostare Sincronizzazione password per l'utilizzo con un dominio NIS (server master Server per NIS)

 | Operazione | Riferimento
Casella di controllo | Leggere le informazioni relative a Sincronizzazione password. | Panoramica di Sincronizzazione password
Casella di controllo | Eseguire l'accesso come membro dei gruppi Schema Admins ed Enterprise Admins. |
Casella di controllo | Installare Sincronizzazione password in tutti i controller di dominio. | Installare i componenti di Identity Management for UNIX
Casella di controllo | Impostare la chiave di crittografia password | Impostare la chiave di crittografia password
Casella di controllo | Modificare altre impostazioni in base alle proprie esigenze. Assicurarsi di selezionare la casella di controllo Da UNIX a Windows nell'area Direzione di sincronizzazione password della scheda Generale della finestra di dialogo delle proprietà di Sincronizzazione password. | Impostare la sincronizzazione predefinita; Impostare le proprietà della sincronizzazione per i singoli computer
Casella di controllo | Aggiungere i computer basati su UNIX con cui le password dovranno essere sincronizzate nel caso tali computer non facciano parte del dominio NIS (Network Information Service). Per ogni computer, selezionare il computer nell'elenco, fare clic su Proprietà, deselezionare la casella di controllo Sincronizza modifiche password in questo computer, selezionare la casella di controllo Sincronizza modifiche password da questo computer e quindi scegliere OK. Se si desidera utilizzare valori non predefiniti, è inoltre possibile specificare valori per il numero di porta, la chiave di crittografia o entrambi. | Aggiungere o rimuovere computer per la sincronizzazione

Impostare Sincronizzazione password per l'utilizzo con un dominio NIS (server master basato su UNIX)

 | Passaggio | Riferimento
Casella di controllo | Leggere le informazioni relative a Sincronizzazione password. | Panoramica di Sincronizzazione password
Casella di controllo | Eseguire l'accesso come membro dei gruppi Schema Admins ed Enterprise Admins. |
Casella di controllo | Installare Sincronizzazione password sui computer basati su Windows appropriati. Se è necessario sincronizzare le password degli account locali su un server, installare Sincronizzazione password sul server in questione. Se è necessario sincronizzare le password di domini Windows, installare Sincronizzazione password su tutti i controller di dominio. | Installare i componenti di Identity Management for UNIX
Casella di controllo | Impostare la chiave di crittografia password. | Impostare la chiave di crittografia password
Casella di controllo | Modificare altre impostazioni in base alle proprie esigenze. Assicurarsi di selezionare la casella di controllo Da UNIX a Windows nell'area Direzione di sincronizzazione password della scheda Generale della finestra di dialogo delle proprietà di Sincronizzazione password. | Impostare la sincronizzazione predefinita; Impostare le proprietà della sincronizzazione per i singoli computer
Casella di controllo | Aggiungere il server master NIS (Network Information Service) all'elenco dei computer con cui il computer basato su Windows sincronizzerà le password. | Aggiungere o rimuovere computer per la sincronizzazione
Casella di controllo | Aggiungere i computer basati su UNIX con cui le password dovranno essere sincronizzate nel caso tali computer non facciano parte del dominio NIS (Network Information Service). Per ogni computer, nella scheda Generale della finestra di dialogo Aggiungi computer deselezionare la casella di controllo Sincronizza modifiche password in questo computer, selezionare la casella di controllo Sincronizza modifiche password da questo computer e quindi scegliere OK. Se si desidera utilizzare valori non predefiniti, è inoltre possibile specificare valori per il numero di porta, la chiave di crittografia o entrambi. | Aggiungere o rimuovere computer per la sincronizzazione
Casella di controllo | Specificare quali utenti dispongono delle autorizzazioni necessarie per sincronizzare le password. | Controllare la sincronizzazione delle password per gli account utente
Casella di controllo | Verificare che le configurazioni di Sincronizzazione password su tutti i controller di dominio del dominio siano identiche. |

Configurare computer basati su UNIX per l'utilizzo di Sincronizzazione password

Passaggio Riferimento
Casella di controllo

Installare e configurare SSOD (Single Sign-On Daemon) di Sincronizzazione password sul server master NIS. Assicurarsi di modificare la chiave di crittografia predefinita nel file sso.conf, perché corrisponda alla chiave di crittografia di Sincronizzazione password impostata nei passaggi precedenti, prima di copiarla sul server e modificare il file sso.conf per specificare quanto segue:

  • USE_NIS=1

  • NIS_UPDATE_PATH=Makefile_path, dove Makefile_path è il percorso e nome del makefile NIS, ad esempio /var/yp/Makefile

Installare il daemon di Sincronizzazione password in computer basati su UNIX

Casella di controllo

Copiare il file sso.conf dal server master NIS alla directory /etc di ogni computer in cui è installato il modulo PAM di Sincronizzazione password.

Casella di controllo

In ogni client NIS in cui è stato installato il modulo PAM (Pluggable Authentication Module) di Sincronizzazione password, sostituire il file binario yppasswd con un collegamento al file binario delle password e quindi modificare le righe passwd e shadow del file /etc/nsswitch.conf, come illustrato di seguito:

passwd:  files [NOTFOUND=continue] nis
shadow:  files [NOTFOUND=continue] nis

Installare i componenti di Identity Management for UNIX

Casella di controllo

Avviare il daemon di Sincronizzazione password sul server master NIS.

Avviare o arrestare i componenti di Identity Management for UNIX

Impostare Sincronizzazione password per l'utilizzo con host basati su UNIX autonomi

 | Passaggio | Riferimento
Casella di controllo | Leggere le informazioni relative a Sincronizzazione password. | Panoramica di Sincronizzazione password
Casella di controllo | Eseguire l'accesso come membro dei gruppi Schema Admins ed Enterprise Admins. |
Casella di controllo | Installare Sincronizzazione password in tutti i controller di dominio basati su Windows. Se è necessario sincronizzare le password degli account locali su un server, installare Sincronizzazione password sul server in questione. Se è necessario sincronizzare le password di domini Windows, installare Sincronizzazione password su tutti i controller di dominio. | Installare i componenti di Identity Management for UNIX
Casella di controllo | Impostare la chiave di crittografia password. | Impostare la chiave di crittografia password
Casella di controllo | Modificare altre impostazioni in base alle proprie esigenze. | Impostare la sincronizzazione predefinita; Impostare le proprietà della sincronizzazione per i singoli computer
Casella di controllo | Aggiungere i computer basati su UNIX con cui le password verranno sincronizzate se tali computer non sono membri del dominio NIS (Network Information Service). Per ogni computer, nella scheda Generale della finestra di dialogo Aggiungi computer deselezionare la casella di controllo Sincronizza modifiche password in questo computer, selezionare la casella di controllo Sincronizza modifiche password da questo computer e quindi scegliere OK. Se si desidera utilizzare valori non predefiniti, è inoltre possibile specificare valori per il numero di porta, la chiave di crittografia o entrambi. | Aggiungere o rimuovere computer per la sincronizzazione
Casella di controllo | Verificare che le configurazioni di Sincronizzazione password in tutti i controller di dominio del dominio siano identiche. |

Configurare host autonomi basati su UNIX per l'utilizzo di Sincronizzazione password

 | Passaggio | Riferimento
Casella di controllo | Installare e configurare SSOD (Single Sign-On Daemon) di Sincronizzazione password su tutti i computer basati su UNIX con cui verranno sincronizzate le password. Assicurarsi di modificare la chiave di crittografia predefinita nel file sso.conf, perché corrisponda alla chiave di crittografia di Sincronizzazione password impostata nei passaggi precedenti, prima di copiarla nei computer basati su UNIX. | Installare il daemon di Sincronizzazione password in computer basati su UNIX
Casella di controllo | Specificare gli utenti che dispongono delle autorizzazioni necessarie per sincronizzare le password. | Controllare la sincronizzazione delle password per gli account utente
Casella di controllo | Avviare il daemon di Sincronizzazione password. | Avviare o arrestare i componenti di Identity Management for UNIX
Casella di controllo | Installare e configurare il modulo PAM di Sincronizzazione password su tutti i computer basati su UNIX da cui le modifiche alle password devono essere sincronizzate con password di Windows. | Installare il modulo PAM (Pluggable Authentication Module) Sincronizzazione password

Ulteriori riferimenti

Per ulteriori informazioni su Sincronizzazione password, vedere:

  • TechCenter di Windows Server per Servizi dei domini Active Directory (http://go.microsoft.com/fwlink/?LinkId=48547)


Panoramica di Identity Management for UNIX

Panoramica di Identity Management for UNIX

Identity Management for UNIX semplifica l'integrazione di computer con sistema operativo Windows nell'organizzazione UNIX esistente. Gli amministratori di reti Active Directory possono utilizzare Server per NIS per gestire domini NIS (Network Information Service) e Sincronizzazione password sincronizzerà automaticamente le password tra sistemi operativi Windows e UNIX.

Con delle piccole differenze, Identity Management for UNIX è compatibile con la RFC (Request for Comments) 2307 sugli standard IETF (Internet Engineering Task Force) e pertanto gli attributi NIS e delle password della rete possono essere risolti mediante il protocollo LDAP (Lightweight Directory Access Protocol). Per ulteriori informazioni sulla RFC 2307, incluso un elenco completo di attributi specificati nello schema della RFC 2307, visitare il sito Web del database RFC.

Server per NIS consente di integrare completamente reti NIS UNIX con Windows Active Directory. Identity Management for UNIX include una procedura guidata di semplice impiego utilizzabile dagli amministratori di domini Windows per esportare mappe di domini NIS in voci di Active Directory. Dopo aver completato la procedura, un controller di dominio Active Directory che esegue Server per NIS diventerà il server master del dominio NIS.

Sincronizzazione password consente di modificare automaticamente la password di un utente sulla rete UNIX quando l'utente modifica la propria password Windows e viceversa. Questo consente agli utenti di mantenere una sola password per entrambe le reti.

Sincronizzazione password è supportato nei sistemi operativi seguenti:

  • Hewlett Packard HP UX 11i v1

  • IBM® AIX® versione 5L 5.2 e 5L 5.3

  • Linux

    • Novell® SUSE® Linux Enterprise Server 10

    • Red Hat® Enterprise Linux® 4, versione server

  • SunSM Microsystems Solaris™ 10, solo versioni compatibili con SPARC (Scalable Processor Architecture)

Server per NIS dovrebbe integrarsi bene con qualsiasi sistema operativo o prodotto che utilizzi LDAP.

Vedere anche

  • Identity Management for UNIX
  • Utilità amministrative in Identity Management for UNIX


Utilità amministrative in Identity Management for UNIX

Amministrazione di Identity Management for UNIX

Identity Management for UNIX include una console MMC (Microsoft Management Console) che prevede un metodo basato sull'interfaccia utente di Windows per il completamento di quasi tutte le attività eseguite in Server per NIS o Sincronizzazione password.

Gli strumenti di gestione vengono installati per impostazione predefinita quando si installa Server per NIS, Sincronizzazione password o Identity Management for UNIX per intero.

Aprire la console MMC Identity Management for UNIX

È possibile aprire il sistema di gestione Identity Management for UNIX in uno dei modi seguenti.

  • Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Microsoft Identity Management for UNIX.

  • Fare clic su pulsante Start, scegliere Esegui, digitare idmumgmt.msc nella casella di testo Apri e quindi fare clic su OK o premere INVIO.

  • Nel riquadro della gerarchia della console Server Manager, in Servizi dei domini Active Directory, fare clic su Microsoft Identity Management for UNIX.

Vedere anche

  • Installare i componenti di Identity Management for UNIX


Identity Management for UNIX: procedure

In questa sezione

  • Connettersi a un altro computer che si desidera gestire

  • Installare i componenti di Identity Management for UNIX

  • Avviare o arrestare i componenti di Identity Management for UNIX

  • Rimuovere i componenti di Identity Management for UNIX


Connettersi a un altro computer che si desidera gestire

Per connettersi a un altro computer che si desidera gestire

Eseguire la procedura seguente per gestire Identity Management for UNIX su un computer remoto.

Per connettersi a un altro computer

  1. Aprire Identity Management for UNIX

    Per aprire Identity Management for UNIX, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Identity Management for UNIX. È possibile aprire Identity Management for UNIX da Server Manager espandendo Servizi dei domini Active Directory nel riquadro della gerarchia e quindi selezionando il nodo Identity Management for UNIX.

  2. Eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse sul nodo Microsoft Identity Management for UNIX nel riquadro della gerarchia e quindi scegliere Connetti a un altro computer. Nella finestra di dialogo Seleziona computer fare clic su Altro computer.

    • Nel riquadro Azioni fare clic su Connetti a un altro computer e quindi selezionare Altro computer.

    • Con il nodo Microsoft Identity Management for UNIX nella parte superiore del riquadro della gerarchia evidenziato, scegliere Connetti a un altro computer dal menu Azione. Nella finestra di dialogo Seleziona computer fare clic su Altro computer.

  3. Nella casella digitare il nome o l'indirizzo IP del computer da utilizzare o fare clic su Sfoglia.

  4. Dopo aver identificato o trovato il computer desiderato, fare clic su OK.
Note
  • È necessario eseguire l'accesso con un account appartenente al gruppo Administrators del computer remoto.
  • Per eseguire questa operazione non è disponibile alcuna procedura dalla riga di comando.

Vedere anche

  • Identity Management for UNIX: procedure


Installare i componenti di Identity Management for UNIX

Identity Management for UNIX viene considerato un servizio ruolo, o un sottocomponente software, del ruolo server Servizi dei domini Active Directory (AD DS).

Per installare i componenti di Identity Management for UNIX

Tramite l'interfaccia di Windows

Tramite Windows PowerShell

Tramite riga di comando

Installare Identity Management for UNIX utilizzando l'interfaccia di Windows

Importante

Server per NIS e Sincronizzazione password possono essere installati solo su controller di dominio AD DS.

Per installare i componenti di Identity Management for UNIX

  1. Aprire Server Manager. Per aprire Gestione server, fare clic su Start, scegliere Strumenti di amministrazione e quindi fare clic su Gestione server.

  2. Nel riquadro dell'albero espandere Ruoli.

  3. Nella home page relativa al ruolo per AD DS fare clic su Aggiungi servizi ruolo nell'elenco delle attività comuni della sezione Ruoli.

  4. Nella pagina Selezione servizi ruolo della procedura guidata Aggiunta servizi ruolo selezionare i servizi ruolo Identity Management for UNIX che si desidera installare e quindi fare clic su Avanti.

  5. Se viene richiesto di installare altri servizi ruolo necessari per i componenti di Identity Management for UNIX, fare clic su Sì.

  6. Dopo aver verificato le selezioni, nella pagina Conferma selezioni per l'installazione fare clic su Installa.

    Dopo l'installazione di Identity Management for UNIX è necessario riavviare il computer.
Note
  • Per installare i componenti di Identity Management for UNIX, è necessario appartenere al gruppo Administrators del computer locale.
  • Server Manager è disponibile solo per i membri del gruppo Administrators del computer locale. Per impostazione predefinita, Server Manager si apre quando un amministratore accede al computer. È possibile aprire Server Manager dal menu Start, dalla barra Avvio veloce o da Strumenti di amministrazione.

Installare Identity Management for UNIX utilizzando Windows PowerShell

Per installare Identity Management for UNIX, è possibile utilizzare l'insieme di cmdlet Windows PowerShell per Server Manager.

Per installare Identity Management for UNIX utilizzando Windows PowerShell

  1. Aprire una sessione di Windows PowerShell con diritti utente elevati. A tale scopo, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Windows PowerShell, fare clic con il pulsante destro del mouse sul collegamento a Windows PowerShell e quindi scegliere Esegui come amministratore.

  2. Prima di utilizzare i cmdlet di Server Manager, caricare il modulo Server Manager nella sessione di Windows PowerShell. Digitare il comando seguente e quindi premere INVIO.

    Import-Module Servermanager

    Nota

    Per i cmdlet Windows PowerShell non viene fatta distinzione tra maiuscole e minuscole.

  3. Eseguire una delle operazioni seguenti.

    • Per installare tutti i componenti di Identity Management for UNIX, digitare il comando seguente e quindi premere INVIO. Add-WindowsFeature ADDS-Identity-Mgmt -restart

    • Per installare solo Sincronizzazione password, digitare il comando seguente e quindi premere INVIO. Add-WindowsFeature ADDS-Password-Sync -restart

    • Per installare solo Server per NIS, digitare il comando seguente e quindi premere INVIO. Add-WindowsFeature ADDS-NIS -restart

    Dopo l'installazione di Identity Management for UNIX è necessario riavviare il computer. Il parametro -restart consente di riavviare automaticamente il computer al termine dell'installazione.

    Nota

    Aggiungere il parametro -whatIf al comando per indicare a Server Manager i visualizzare l'elenco di tutto il software installato per impostazione predefinita dal comando. Se si esegue il comando con il parametro -whatIf, non verrà eseguita un'installazione effettiva ma verrà visualizzato solo il software incluso in un'installazione effettiva.

Installare Identity Management for UNIX utilizzando la riga di comando

Gli strumenti da riga di comando di Server Manager consentono di installare o rimuovere ruoli, ruoli server o funzionalità in un prompt dei comandi di Windows. Identity Management for UNIX può essere installato utilizzando la riga di comando di Server Manager poiché è un servizio ruolo del ruolo Servizi dei domini Active Directory.

È possibile eseguire la riga di comando di Server Manager, ServerManagerCmd.exe, da qualsiasi directory sul computer locale. Per eseguire il comando di Server Manager, è necessario essere membri del gruppo Administrators del computer locale.

Importante

A causa delle restrizioni di sicurezza imposte da Controllo dell'account utente in Windows Server 2008 R2, è necessario eseguire ServerManagerCmd.exe in una finestra del prompt dei comandi aperta con diritti utente elevati. A tale scopo, fare clic con il pulsante destro del mouse sull'eseguibile Prompt dei comandi o sull'oggetto Prompt dei comandi nel menu Start e quindi scegliere Esegui come amministratore.

Nota

Per questo comando sono disponibili altri parametri, ad esempio -restart che consente di riavviare automaticamente il computer al termine dell'installazione se necessario per i programmi installati. È consigliabile consultare le informazioni disponibili sui parametri della riga di comando aggiuntivi di Server Manager nell'argomento contenente una panoramica dei comandi di Server Manager nella Guida di Server Manager.

Per installare Identity Management for UNIX utilizzando la riga di comando

  1. Aprire una finestra del prompt dei comandi con diritti utente elevati. A tale scopo, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  2. Digitare uno dei comandi seguenti e quindi premere INVIO.

    • ServerManagerCmd.exe -install ADDS-Identity-Management -restart per installare tutti i componenti di Identity Management for UNIX

    • ServerManagerCmd.exe - install ADDS-NIS -restart per installare Server per NIS

    • ServerManagerCmd.exe - install ADDS-Password-Sync -restart per installare Sincronizzazione password

    Dopo l'installazione di Identity Management for UNIX è necessario riavviare il computer. Il parametro -restart consente di riavviare automaticamente il computer al termine dell'installazione.

    Nota

    Aggiungere il parametro -whatIf al comando per indicare a Server Manager di visualizzare l'elenco di tutto il software installato per impostazione predefinita dal comando. Se si esegue il comando con il parametro -whatIf, non verrà eseguita un'installazione effettiva ma verrà visualizzato solo il software incluso in un'installazione effettiva.

Considerazione speciali per l'installazione o la rimozione di Server per NIS

Dominio NIS

Al momento dell'installazione, Server per NIS crea un dominio NIS (Network Information Service) con lo stesso nome del dominio AD DS, a cui gli amministratori potranno aggiungere utenti, gruppi o computer. Inoltre, gli amministratori potranno eseguire la migrazione dei dati del dominio NIS UNIX a Server per NIS e designare il computer Server per NIS come server NIS master del dominio di cui è stata eseguita la migrazione.

Rimuovere Server per NIS in modalità master

Se si rimuove Server per NIS mentre è in esecuzione su un server master, è necessario verificare che le attività del server master siano state assegnate a un altro server. Se i server NIS subordinati basati su Windows si trovano nei domini supportati dal server master rimosso, è necessario assegnare a uno di questi server il ruolo di server master. Server per NIS non può essere un server subordinato di un server NIS master in esecuzione su un sistema operativo basato su UNIX.

Rimuovere Server per NIS in modalità subordinata

Se si rimuove Server per NIS mentre è in esecuzione come server subordinato, il controller di dominio su cui era in esecuzione continuerà a ricevere gli aggiornamenti delle mappe NIS tramite Sincronizzazione AD DS.

Ulteriori considerazioni

Server per NIS e Sincronizzazione password richiedono alcune ulteriori operazioni di configurazioni per poter operare nell'azienda. Sincronizzazione password richiede l'installazione di specifici componenti su host UNIX che partecipano alla sincronizzazione delle password.

Per ulteriori informazioni sui passaggi di configurazione aggiuntivi, vedere gli elenchi di controllo per le tecnologie seguenti:

  • Elenco di controllo: distribuire Server per NIS

  • Elenco di controllo: eseguire la migrazione delle mappe NIS a Servizi di dominio Active Directory

  • Elenco di controllo: distribuire Sincronizzazione password


Installare il daemon di Sincronizzazione password in computer basati su UNIX

Per consentire a Sincronizzazione password di modificare le password degli utenti su computer con sistema operativo basato su UNIX è necessario installare il daemon di Sincronizzazione password nei computer in questione.

Sistemi operativi basati su UNIX supportati

Sincronizzazione password supporta la sincronizzazione con computer UNIX che eseguono uno qualsiasi dei sistemi operativi seguenti:

  • Hewlett Packard HP UX 11i v1

  • IBM® AIX® versione 5L 5.2 e 5L 5.3

  • Linux

    • Novell® SUSE® Linux Enterprise Server 10

    • Red Hat® Enterprise Linux® 4, versione server

  • SunSM Microsystems Solaris™ 10, solo versioni compatibili con SPARC (Scalable Processor Architecture)

Per installare il daemon di Sincronizzazione password

Importante

Il file sso.conf contiene le chiavi di crittografia e altre informazioni riservate. Per questo motivo deve essere accessibile solo agli amministratori di sistema.

Eseguire la procedura seguente per installare il daemon di Sincronizzazione password in computer basati su UNIX.

Per installare il daemon di Sincronizzazione password

  1. Scaricare il file ssod.tar.gz dal sito Web dei componenti lato UNIX di Identity Management for UNIX (http://go.microsoft.com/fwlink/?LinkId=59120). Salvare il file nella directory /usr/bin o /usr/local/bin del computer UNIX e modificarne il nome in ssod. Il nome del file binario di origine dipende dalla versione di UNIX in uso.

    • Se il computer esegue Hewlett-Packard HP-UX, il nome del file binario di origine sarà ssod.hpx.

    • Se il computer esegue Novell SUSE Linux Enterprise Server, il nome del file binario di origine sarà ssod.sus.

    • Se il computer esegue Red Hat Enterprise Linux, il nome del file binario di origine sarà ssod.rhl.

    • Se il computer esegue Sun Microsystems Solaris, il nome del file binario di origine sarà ssod.sol.

    • Se il computer esegue IBM AIX, il nome del file binario di origine sarà ssod.aix.

  2. Se si utilizza un metodo di copia dei file binari, ad esempio FTP (File Transfer Protocol), per evitare di danneggiare le coppie CR/LF (ritorno a capo/avanzamento riga), copiare il file Sso.cfg dalla directory \Unix\Bins del computer che esegue Windows Server® 2008 R2 nella directory /etc del computer UNIX e modificarne il nome in sso.conf.

  3. Aprire sso.conf con un editor di testo.

  4. Se è stata modificata la chiave di crittografia predefinita, modificare la riga seguente per specificare la nuova chiave predefinita. Questo valore deve corrispondere alla chiave predefinita specificata su tutti i controller di dominio con cui il computer sincronizzerà le password:

    ENCRYPT_KEY=encryptionKey

  5. Se è stata modificata la porta predefinita, modificare la riga seguente per specificare la nuova porta. Questo valore deve corrispondere al numero di porta specificato su tutti i controller di dominio con cui il computer sincronizzerà le password.

    PORT_NUMBER=portNumber

  6. Modificare la riga seguente per specificare un controller di dominio in ogni dominio Windows con cui il computer deve sincronizzare le password. Se durante la configurazione di Sincronizzazione password sui controller di dominio Windows è stato specificato un numero di porta o una chiave di crittografia non predefinita per il computer basato su UNIX, specificare tale valore dove indicato; altrimenti lasciare il valore vuoto:

    SYNC_HOSTS=(domainController[, portNumber [, encryptionKey]]) ...

    Ogni voce dell'elenco deve essere racchiusa tra parentesi e separata dalla voce successiva da uno spazio vuoto.

  7. Se il computer è un server master NIS (Network Information Service) e si desidera sincronizzare le password nell'intero dominio NIS, modificare la riga seguente come illustrato per attivare la sincronizzazione NIS:

    USE_NIS=1

    Se necessario, modificare inoltre la riga seguente per specificare il percorso del makefile NIS:

    NIS_UPDATE_PATH=makefilePath

  8. Impostare le autorizzazioni file di sso.conf per consentire la lettura e la scrittura al solo utente ROOT e negare l'accesso a tutti gli altri utenti.

  9. Se il computer esegue un sistema operativo basato su Linux, copiare /etc/pam.d/system-auth in /etc/pam.d/ssod.


Installare il modulo PAM (Pluggable Authentication Module) Sincronizzazione password

In questa sezione vengono descritte le istruzioni per installare il modulo PAM (Pluggable Authentication Module) su computer in cui è in esecuzione una delle quattro famiglie di sistemi operativi basati su UNIX seguenti:

  • IBM AIX

  • Hewlett-Packard HP-UX

  • Red Hat Enterprise Linux

  • Sun Solaris

Per installare il modulo PAM (Pluggable Authentication Module) su AIX

Eseguire la procedura seguente per installare il modulo PAM su computer in cui è in esecuzione IBM AIX.

Per installare il modulo PAM su AIX

  1. Copiare il file pam_sso.aix dalla cartella \Unix\Bins del disco del prodotto Windows Server® 2008 R2 alla directory /usr/lib/ del computer che esegue IBM AIX.

  2. Modificare il nome file in pam_sso.aix.1.

  3. Nel computer in cui è in esecuzione AIX effettuare l'accesso come root e quindi eseguire il comando seguente:

    chown root /usr/lib/pam_sso.aix.1 chmod 555 /usr/lib/pam_sso.aix.1

  4. Se necessario, creare il file /etc/pam.conf in base ai requisiti di rete, impostando il proprietario su root e le autorizzazioni di base su 644. Per ulteriori informazioni sulla creazione del file pam.conf, vedere la sezione relativa ai moduli PAM in System Management Guides: Security Guide nella documentazione di AIX.

    Di seguito è riportato un file pam.conf di esempio

    #
# Authentication management
#
OTHER   auth     required       /usr/lib/security/pam_aix

#
# Account management
#
OTHER   account  required       /usr/lib/security/pam_aix

#
# Session management
#
OTHER   session  required       /usr/lib/security/pam_aix

  5. Aprire /etc/pam.conf con un editor di testo.

  6. Nella sezione Password management aggiungere la riga seguente:

    passwd password required /usr/lib/security/pam_sso.aix.1

    Di seguito è riportato un file pam.conf di esempio a cui è stata aggiunta la riga in questione.

    #
# Authentication management
#
OTHER   auth     required       /usr/lib/security/pam_aix

#
# Account management
#
OTHER   account  required       /usr/lib/security/pam_aix

#
# Session management
#
OTHER   session  required       /usr/lib/security/pam_aix

#
# Password management
#
passwd   password required       /usr/lib/security/pam_sso.aix.1

  7. Aprire /usr/lib/security/methods.cfg con un editor di testo e aggiungere le righe seguenti alla fine del file:

    PAM: program = /usr/lib/security/PAM

    PAMfiles: options = auth=PAM,db=BUILTIN

  8. Aprire /etc/security/user con un editor di testo e aggiungere informazioni di autenticazione per gli utenti specifici di cui si desidera sincronizzare le password. Ad esempio:

    user1:    admin = false    SYSTEM = PAMfiles[*] AND "compat"    registry = PAMfiles
Nota

È possibile scegliere di modificare la sezione predefinita di /etc/security/user per consentire a tutti gli utenti di sincronizzare le password. In tal caso, per limitare l'accesso a Sincronizzazione password è possibile utilizzare l'attributo SYNC_USERS nel file /etc/sso.conf. Per ulteriori informazioni, vedere Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX. Per disattivare la sincronizzazione delle password da UNIX a Windows, in /etc/pam.conf rimuovere la voce aggiunta al passaggio 6.

Per installare il modulo PAM (Pluggable Authentication Module) su HP-UX

Eseguire la procedura seguente per installare il modulo PAM su computer in cui è in esecuzione Hewlett-Packard HP-UX.

Per installare il modulo PAM su HP-UX

  1. Copiare il file pam_sso.hpx dalla cartella \Unix\Bins del disco del prodotto Windows Server 2008 R2 alla directory /usr/lib/security del computer UNIX.

  2. Modificare il nome del file in pam_sso.hp.1 e quindi impostare i bit della modalità file su 544.

    Nota

    I bit della modalità file di pam_sso.hp.1 devono essere impostati su 544 (o:r-x,g:r--,w:r--). In caso contrario, il funzionamento non sarà corretto.

  3. Sul computer in cui è in esecuzione HP-UX, aprire /etc/pam.conf con un editor di testo.

  4. Nella sezione Password management individuare la riga seguente:

    other    password required      /usr/lib/security/libpam_unix.1

  5. Immediatamente dopo la riga individuata al passaggio precedente, aggiungere la riga seguente:

    other password required /usr/lib/security/pam_sso.hp.1
Nota

Per disattivare la sincronizzazione delle password da UNIX a Windows, in /etc/pam.conf rimuovere la voce aggiunta al passaggio 5. Prima di installare il modulo pam_sso, assicurarsi che il supporto PAM sia correttamente installato e configurato sul computer UNIX.

File di configurazione del modulo PAM per HP-UX di esempio

Negli esempi di file seguenti viene illustrata una configurazione tipica. L'effettivo contenuto di questi file può variare a seconda della configurazione del sistema.

#
# PAM configuration
#
# Authentication management
#
login    auth required  /usr/lib/security/libpam_unix.1
su       auth required  /usr/lib/security/libpam_unix.1
dtlogin  auth required  /usr/lib/security/libpam_unix.1
dtaction auth required  /usr/lib/security/libpam_unix.1
ftp      auth required  /usr/lib/security/libpam_unix.1
OTHER    auth required  /usr/lib/security/libpam_unix.1
#
# Account management
#
login    account required       /usr/lib/security/libpam_unix.1
su       account required       /usr/lib/security/libpam_unix.1
dtlogin  account required       /usr/lib/security/libpam_unix.1
dtaction account required       /usr/lib/security/libpam_unix.1
ftp      account required       /usr/lib/security/libpam_unix.1
#
OTHER    account required       /usr/lib/security/libpam_unix.1
#
# Session management
#
login    session required       /usr/lib/security/libpam_unix.1
dtlogin  session required       /usr/lib/security/libpam_unix.1
dtaction session required       /usr/lib/security/libpam_unix.1
OTHER    session required       /usr/lib/security/libpam_unix.1
#
# Password management
#
login    password required      /usr/lib/security/libpam_unix.1
dtlogin  password required      /usr/lib/security/libpam_unix.1
dtaction password required      /usr/lib/security/libpam_unix.1
other    password required      /usr/lib/security/libpam_unix.1
other    password required      /usr/lib/security/pam_sso.hp.1

Per installare il modulo PAM (Pluggable Authentication Module) su Linux

Eseguire la procedura seguente per installare il modulo PAM su computer in cui è in esecuzione Linux.

Per installare il modulo PAM su Linux

  1. Copiare il file pam_sso.rhl dalla cartella \Unix\Bins del disco del prodotto Windows Server 2008 R2 alla directory lib/security del computer UNIX e modificarne il nome in pam_sso.so.1.

  2. Sul computer UNIX, copiare /etc/pam.d/system-auth in /etc/pam.d/ssod.

  3. Aprire /etc/pam.d/system-auth con un editor di testo e individuare la riga seguente:

    password…..required…../lib/security/pam_cracklib.so…..retry=3

  4. Immediatamente dopo la riga precedente, aggiungere la riga seguente:

    password required /lib/security/pam_sso.so.1

  5. Individuare ed eliminare la riga seguente:

    Password    required    /lib/security/pam_deny.so

  6. Salvare il file modificato.
Nota

Queste istruzioni sono valide per la configurazione Linux tipica. Se il supporto PAM è stato configurato diversamente, può essere necessario adattarle alla propria specifica configurazione. Per disattivare la sincronizzazione delle password da UNIX a Windows, in /etc/pam.d/system-auth rimuovere la voce aggiunta al passaggio 4. Prima di installare il modulo pam_sso, assicurarsi che il supporto PAM sia correttamente installato e configurato sul computer UNIX.

File di configurazione del modulo PAM per Linux di esempio

Negli esempi di file seguenti viene illustrata una configurazione tipica. Il contenuto effettivo di questi file può variare a seconda della configurazione del sistema.

/etc/pam.d/passwd

#%PAM-1.0
auth       required     /lib/security/pam_stack.so service=system-auth
account    required     /lib/security/pam_stack.so service=system-auth
password   required     /lib/security/pam_stack.so service=system-auth

/etc/pam.d/ssod

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        required      /lib/security/pam_deny.so

account     required      /lib/security/pam_unix.so

password    required      /lib/security/pam_cracklib.so retry=3 type=
password    sufficient    /lib/security/pam_unix.so nullok use_authtok shadow
password    required      /lib/security/pam_deny.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

/etc/pam.d/system-auth

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        required      /lib/security/pam_deny.so

account     required      /lib/security/pam_unix.so

password    required      /lib/security/pam_cracklib.so retry=3 type=
password    required      /lib/security/pam_sso.so.1
password    sufficient    /lib/security/pam_unix.so nullok use_authtok shadow
password    required      /lib/security/pam_deny.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

Per installare il modulo PAM (Pluggable Authentication Module) su Solaris

Eseguire la procedura seguente per installare il modulo PAM su computer in cui è in esecuzione Sun Solaris.

Per installare il modulo PAM su Solaris

  1. Copiare il file pam_sso.sol dalla cartella \Unix\Bins del disco del prodotto Windows Server 2008 R2 alla directory /usr/lib/security del computer UNIX e modificarne il nome in pam_sso.so.1.

  2. Sul computer UNIX, aprire /etc/pam.conf con un editor di testo.

  3. Nella sezione Password management individuare la riga seguente:

    other password required /usr/lib/security/$ISA/pam_unix.so.1

  4. Immediatamente dopo la riga individuata al passaggio 3, aggiungere la riga seguente:

    other password required /usr/lib/security/$ISA/pam_sso.so.1
Nota

Per disattivare la sincronizzazione delle password da UNIX a Windows, in /etc/pam.conf rimuovere la voce aggiunta al passaggio 4. Prima di installare il modulo pam_sso, assicurarsi che il supporto PAM sia correttamente installato e configurato sul computer UNIX.

File di configurazione del modulo PAM per Solaris di esempio

Negli esempi di file seguenti viene illustrata una configurazione tipica. Il contenuto effettivo di questi file può variare a seconda della configurazione del sistema.

#
#ident  "@(#)pam.conf   1.14    99/09/16 SMI"
#
# Copyright (c) 1996-1999, Sun Microsystems, Inc.
# All Rights Reserved.
#
# PAM configuration
#
# Authentication management
#
login   auth required   /usr/lib/security/$ISA/pam_unix.so.1
login   auth required   /usr/lib/security/$ISA/pam_dial_auth.so.1
#
rlogin  auth sufficient /usr/lib/security/$ISA/pam_rhosts_auth.so.1
rlogin  auth required   /usr/lib/security/$ISA/pam_unix.so.1
#
dtlogin auth required   /usr/lib/security/$ISA/pam_unix.so.1
#
rsh     auth required   /usr/lib/security/$ISA/pam_rhosts_auth.so.1
other   auth required   /usr/lib/security/$ISA/pam_unix.so.1
#
# Account management
#
login   account requisite       /usr/lib/security/$ISA/pam_roles.so.1
login   account required        /usr/lib/security/$ISA/pam_unix.so.1
#
dtlogin account requisite       /usr/lib/security/$ISA/pam_roles.so.1
dtlogin account required        /usr/lib/security/$ISA/pam_unix.so.1
#
other   account requisite       /usr/lib/security/$ISA/pam_roles.so.1
other   account required        /usr/lib/security/$ISA/pam_unix.so.1
#
# Session management
#
other   session required        /usr/lib/security/$ISA/pam_unix.so.1
#
# Password management
#

other   password required       /usr/lib/security/$ISA/pam_unix.so.1
other  password required        /usr/lib/security/$ISA/pam_sso.so.1
dtsession auth required /usr/lib/security/$ISA/pam_unix.so.1

#
# Support for Kerberos V5 authentication (uncomment to use Kerberos)
#
#rlogin auth optional   /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#login  auth optional   /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#dtlogin        auth optional   /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#other  auth optional   /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass
#dtlogin        account optional /usr/lib/security/$ISA/pam_krb5.so.1
#other  account optional /usr/lib/security/$ISA/pam_krb5.so.1
#other  session optional /usr/lib/security/$ISA/pam_krb5.so.1
#other  password optional /usr/lib/security/$ISA/pam_krb5.so.1 try_first_pass


Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX

Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX

Per modificare le impostazioni e personalizzare la modalità di funzionamento di Sincronizzazione password in un computer basato su UNIX, modificare le impostazioni nel file sso.conf. Per informazioni sull'installazione del file sso.conf, vedere Installare il daemon di Sincronizzazione password in computer basati su UNIX.

Nella tabella seguente vengono descritti i valori che è possibile impostare nel file sso.conf.

Valore Descrizione

CASE_IGNORE_NAME

Specifica se Sincronizzazione password ignorerà le differenze tra lettere minuscole e maiuscole nei nomi utente durante il confronto dei nomi utente Windows e UNIX. Per consentire confronti senza distinzione tra maiuscole e minuscole, impostare questa voce su 1 (valore predefinito). Per forzare Sincronizzazione password a utilizzare confronti con distinzione tra maiuscole e minuscole, impostare questa voce su 0.

ENCRYPT_KEY

Specifica la chiave predefinita utilizzata per crittografare le password scambiate con i server Windows. È possibile utilizzare impostazioni nel valore SYNC_HOSTS per specificare una chiave di crittografia diversa per uno specifico server Windows.

FILE_PATH

Specifica il percorso completo e il nome del file delle password o shadow (ad esempio /etc/passwd). Questo file deve contenere le password crittografate per gli utenti e il tipo di file (delle password o shadow) deve essere identico a quello specificato da USE_SHADOW. Nei sistemi AIX, il percorso e nome del file shadow è /etc/security/passwd.

IGNORE_PROPAGATION_ERRORS

Se impostato su 1, specifica che il modulo PAM di Sincronizzazione password deve ignorare qualsiasi errore si verifichi durante la modifica di una password Windows e continuare la sincronizzazione con altri host specificati in SYNC_HOSTS.

NIS_UPDATE_PATH

Specifica il percorso completo del makefile NIS. Questo valore viene ignorato, a meno che USE_NIS non sia impostato su 1.

PORT_NUMBER

Specifica il numero predefinito della porta su cui il daemon di Sincronizzazione password effettuerà l'ascolto delle modifiche delle password dei server Windows. È possibile utilizzare impostazioni nel valore SYNC_HOSTS per specificare un numero di porta diverso per uno specifico server Windows.

SYNC_DELAY

Specifica il numero di secondi che il modulo PAM di Sincronizzazione password attenderà tra i tentativi di sincronizzazione.

SYNC_HOSTS

Specifica i server o i controller di dominio Windows con cui devono essere sincronizzate le password. Inoltre, è possibile specificare un numero di porta e/o una chiave di crittografia per un server specifico. Racchiudere ogni voce tra parentesi e separare gli elementi con uno spazio. È possibile avere più voci su righe separate, di cui ognuna non può superare i 269 caratteri. L'elenco totale dei server o dei controller di dominio viene generato concatenando tutte le voci. Ad esempio:

SYNC_HOSTS=(Marketing)
SYNC_HOSTS=(Sales,ASDFhjkl4321ZyXw) (Accounting,6678)
SYNC_HOSTS=(Shipping,6678,ASDFhjkl4321ZyXw)

sincronizza le password con il server Marketing utilizzando la porta e la chiave di crittografia predefinite, con il server Sales utilizzando ASDFhjkl4321ZyXw come chiave di crittografia, con il server Accounting utilizzando 6678 come numero di porta e con il server Shipping utilizzando 6678 come numero di porta e ASDFhjkl4321ZyXw come chiave di crittografia.

Se si utilizzano impostazioni di numero di porta e chiave di crittografia specifiche del server, è necessario utilizzare gli stessi valori per configurare Sincronizzazione password sul server Windows, altrimenti le password non verranno sincronizzate.

SYNC_RETRIES

Specifica quante volte il modulo PAM di Sincronizzazione password tenterà di sincronizzare la modifica di una password con un server o un controller di dominio Windows.

SYNC_USERS

Specifica gli utenti UNIX di cui devono essere sincronizzate le password. È possibile specificare ALL per sincronizzare le password di tutti gli utenti e NONE per disattivare la sincronizzazione delle password per gli utenti. È inoltre possibile specificare particolari utenti. Se si specificano uno o più utenti preceduti da segni più (+), verranno sincronizzate solo le password degli utenti in questione. Se si specificano uno o più utenti preceduti da segni meno (–), verranno sincronizzate tutte le password tranne quelle degli utenti in questione. Per consentire, ad esempio, ai soli utenti bobg e kimr di sincronizzare le password, specificare:

SYNC_USERS=+bobg +kimr

Per impedire che i soli root e bobg sincronizzino le proprie password, specificare:

SYNC_USERS=–root –bobg

Il segno meno ha sempre la precedenza, indipendentemente dall'ordine in cui vengono visualizzate le voci. La sintassi seguente specifica, ad esempio, che la password dell'utente chrisa non verrà sincronizzata:

SYNC_USERS=+chrisa –chrisa +chrisa

TEMP_FILE_PATH

Specifica il percorso completo della directory da utilizzare per contenere un file temporaneo durante l'aggiornamento del file delle password o shadow. Tale directory deve essere la stessa in cui si trova il file delle password o shadow. Per motivi di sicurezza, è consigliabile che solo l'amministratore abbia accesso a questa directory.

USE_NIS

Impostare questo valore su 0, se Sincronizzazione password non sta eseguendo la sincronizzazione con un dominio NIS (Network Information Service); impostarlo su 1, se Sincronizzazione password sta eseguendo la sincronizzazione con un dominio NIS. Se USE_NIS è impostato su 1, specificare un percorso valido per NIS_UPDATE_PATH.

USE_SHADOW

Impostare questo valore su 0, se per la sincronizzazione deve essere utilizzato il file delle password; impostarlo su 1 se deve invece essere utilizzato il file shadow.


Avviare o arrestare i componenti di Identity Management for UNIX

In questa sezione vengono descritte le procedure per avviare e arrestare Server per NIS e Sincronizzazione password.

In questa sezione

  • Per avviare Server per NIS

  • Per arrestare Server per NIS

  • Per avviare il daemon di Sincronizzazione password

  • Per arrestare il daemon di Sincronizzazione password

  • Considerazione speciali per l'avvio o l'arresto di Server per NIS

Per avviare Server per NIS

Nota

Server per NIS viene attivato dall'installazione predefinita seguente. Per modificare in Automatico il tipo di avvio del servizio Server per NIS, eseguire la procedura seguente.

Per impostare il tipo di avvio del servizio Server per NIS su Automatico

  1. Eseguire l'accesso come membro del gruppo Administrators del computer su cui si desidera eseguire Server per NIS.

  2. Fare clic sul pulsante Start, scegliere Esegui, digitare services.msc e quindi fare clic su OK per aprire lo snap-in MMC Servizi.

    oppure

    Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Servizi per aprire la console MMC Servizi.

  3. Nel riquadro risultati fare doppio clic su Server per NIS.

  4. Nella scheda Generale della finestra di dialogo delle proprietà di Server per NIS selezionare Automatico dal menu a discesa Tipo di avvio.

  5. Fare clic OK. Chiudere la console MMC Servizi.
  • Utilizzare l'interfaccia di Windows

  • Utilizzare la riga di comando

Utilizzare l'interfaccia di Windows

Per avviare Server per NIS utilizzando Windows

  1. Aprire il sistema di gestione Identity Management for UNIX.

    Per aprire Identity Management for UNIX, fare clic sul pulsante Start, scegliere Tutti i programmi, Identity Management for UNIX e quindi Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Fare clic con il pulsante destro del mouse su Server per NFS e quindi scegliere Avvia.

Utilizzare la riga di comando

Per avviare Server per NIS utilizzando la riga di comando

  • Digitare quanto segue al prompt dei comandi:

    nisadmin [server] start [–u user [–p password]]

Nella tabella seguente vengono descritti gli argomenti utilizzati con il comando nisadmin per avviare Server per NIS.

Argomento | Descrizione
server | Nome del server che si desidera avviare.
user | Nome dell'utente con autorizzazioni amministrative sul server da avviare, se diverso dall'utente corrente.
password | Password dell'utente con autorizzazioni amministrative sul server da avviare, se diverso dall'utente corrente. Se si digita un nome utente ma si omette la password, verrà richiesto di specificare la password.
Nota

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare quanto segue: nisadmin /?

Per arrestare Server per NIS

  • Tramite l'interfaccia di Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Per arrestare Server per NIS utilizzando Windows

  1. Aprire la console di gestione Identity Management for UNIX.

    Per aprire Identity Management for UNIX, fare clic sul pulsante Start, scegliere Tutti i programmi, Identity Management for UNIX e quindi Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Fare clic con il pulsante destro del mouse su Server per NFS e quindi scegliere Arresta.

Tramite riga di comando

Per arrestare Server per NIS utilizzando la riga di comando

  • Al prompt dei comandi digitare:

    nisadmin [server] stop [–u user [–p password]]

Nella tabella seguente vengono descritti gli argomenti utilizzati con il comando nisadmin per arrestare Server per NIS.

Argomento | Descrizione
server | Nome del server che si desidera arrestare.
user | Nome dell'utente con autorizzazioni amministrative sul server da arrestare, se diverso dall'utente corrente.
password | Password dell'utente con autorizzazioni amministrative sul server da arrestare, se diverso dall'utente corrente. Se si digita un nome utente ma si omette la password, verrà richiesto di specificare la password.
Nota

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare quanto segue: nisadmin /?

Per avviare il daemon di Sincronizzazione password

Per avviare il daemon di Sincronizzazione password

  • Eseguire SSOD (Single Sign-On Daemon).
Nota

Questa procedura non può essere eseguita con altri metodi.

Il file sso.conf deve trovarsi nella directory /etc/.

Se non vengono visualizzati errori, il daemon è in esecuzione. Se si verificano problemi durante l'inizializzazione del daemon, verrà visualizzato un messaggio di errore sulla console. Gli errori possono essere registrati anche nel file Syslog.

Se si desidera che il servizio Sincronizzazione password venga avviato automaticamente, aggiungere SSOD (Single Sign-On Daemon) ai file di avvio del sistema (in genere Rc.local). In questo modo SSOD (Single Sign-On Daemon) verrà avviato come root.

Per arrestare il daemon di Sincronizzazione password

Per arrestare il daemon di Sincronizzazione password

  • Inviare al processo un segnale TERM digitando il comando seguente nella riga di comando:

    kill –term pid

    dove pid è l'identificatore di processo relativo a SSOD (Single Sign-On Daemon) di Sincronizzazione password.

Considerazione speciali per l'avvio o l'arresto di Server per NIS

Quando Server per NIS viene arrestato, non risponde alla richieste NIS (Network Information Service) dei client, incluse le richieste di modifica delle password.

Quando Server per NIS viene arrestato, è possibile continuare ad apportare modifiche ai dati delle mappe NIS utilizzando Utenti e computer di Active Directory.

Tuttavia, quando Server per NIS viene arrestato, i computer basati su UNIX rispondono in modo diverso. Se si sono verificano errori nel server NIS basato su UNIX, le mappe modificate tramite l'utilità make non vengono aggiornate nel database NIS.

Inoltre, quando Server per NIS viene arrestato, le modifiche alle mappe NIS non vengono propagate ai server NIS basati su UNIX subordinati. Tuttavia, i server NIS subordinati in esecuzione su controller di dominio Active Directory basati su Windows continueranno a ricevere aggiornamenti.

Vedere anche

  • Identity Management for UNIX: procedure
  • Installare i componenti di Identity Management for UNIX


Rimuovere i componenti di Identity Management for UNIX

Identity Management for UNIX viene considerato un servizio ruolo, o un sottocomponente software, del ruolo server Servizi dei domini Active Directory.

Per rimuovere Identity Management for UNIX

Tramite l'interfaccia di Windows

Tramite Windows PowerShell

Tramite riga di comando

Rimuovere Identity Management for UNIX utilizzando l'interfaccia di Windows

Per rimuovere Identity Management for UNIX utilizzando l'interfaccia di Windows

  1. Aprire Gestione server. Fare clic su Start, scegliere Strumenti di amministrazione, quindi Gestione server.

  2. Nel riquadro dell'albero espandere Ruoli.

  3. Nella home page relativa al ruolo per AD DS fare clic su Rimuovi servizi ruolo nell'elenco delle attività comuni della sezione Ruoli.

  4. Nella pagina Selezione servizi ruolo della procedura guidata Rimozione servizi ruolo, deselezionare la casella di controllo di Identity Management for UNIX o le parti di Identity Management for UNIX che si desidera rimuovere e quindi fare clic su Avanti.

  5. Dopo aver verificato le selezioni, nella pagina Conferma selezioni per la rimozione fare clic su Rimuovi.

    Dopo la rimozione di Identity Management for UNIX è necessario riavviare il computer.
Note
  • Per rimuovere i componenti di Identity Management for UNIX, è necessario appartenere al gruppo Administrators del computer locale.
  • Server Manager è disponibile solo per i membri del gruppo Administrators del computer locale. Per impostazione predefinita, Server Manager si apre quando un amministratore accede al computer. È possibile aprire Server Manager dal menu Start, dalla barra Avvio veloce o da Strumenti di amministrazione.

Rimuovere Identity Management for UNIX utilizzando Windows PowerShell

Per rimuovere Identity Management for UNIX, è possibile utilizzare l'insieme di cmdlet Windows PowerShell per Server Manager.

Per rimuovere Identity Management for UNIX utilizzando Windows PowerShell

  1. Aprire una sessione di Windows PowerShell con diritti utente elevati. A tale scopo, fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori, Windows PowerShell, fare clic con il pulsante destro del mouse sul collegamento a Windows PowerShell e quindi scegliere Esegui come amministratore.

  2. Prima di utilizzare i cmdlet di Server Manager, caricare il modulo Server Manager nella sessione di Windows PowerShell. Digitare il comando seguente e quindi premere INVIO.

    Import-Module Servermanager

    Nota

    Per i cmdlet Windows PowerShell non viene fatta distinzione tra maiuscole e minuscole.

  3. Eseguire una delle operazioni seguenti.

    • Per rimuovere tutti i componenti di Identity Management for UNIX, digitare il comando seguente e quindi premere INVIO. Remove-WindowsFeature ADDS-Identity-Mgmt -restart

    • Per rimuovere solo Sincronizzazione password, digitare il comando seguente e quindi premere INVIO. Remove-WindowsFeature ADDS-Password-Sync -restart

    • Per rimuovere solo Server per NIS, digitare il comando seguente e quindi premere INVIO. Add-WindowsFeature ADDS-NIS -restart

    Dopo la rimozione di Identity Management for UNIX è necessario riavviare il computer. Il parametro -restart consente di riavviare automaticamente il computer al termine della rimozione.
Nota

Aggiungere il parametro -whatIf al comando per indicare a Server Manager di visualizzare l'elenco di tutto il software rimosso per impostazione predefinita dal comando. Se si esegue il comando con il parametro -whatIf, non verrà eseguita una rimozione effettiva ma verrà visualizzato solo il software che viene rimosso durante una rimozione effettiva.

Rimuovere Identity Management for UNIX utilizzando la riga di comando

Gli strumenti da riga di comando di Server Manager consentono di installare o rimuovere ruoli, ruoli server o funzionalità in un prompt dei comandi di Windows. Identity Management for UNIX può essere rimosso utilizzando la riga di comando di Server Manager poiché è un servizio ruolo del ruolo Servizi dei domini Active Directory.

È possibile eseguire la riga di comando di Server Manager, ServerManagerCmd.exe, da qualsiasi directory nel computer locale. Per eseguire il comando di Server Manager, è necessario essere membri del gruppo Administrators del computer locale.

Importante

A causa delle restrizioni di sicurezza imposte da Controllo dell'account utente in Windows Server 2008 R2, è necessario eseguire ServerManagerCmd.exe in una finestra del prompt dei comandi aperta con diritti utente elevati. A tale scopo, fare clic con il pulsante destro del mouse sull'eseguibile Prompt dei comandi o sull'oggetto Prompt dei comandi nel menu Start e quindi scegliere Esegui come amministratore.

Nota

Per questo comando sono disponibili altri parametri, ad esempio -restart che consente di riavviare automaticamente il computer al termine della rimozione se necessario per i programmi rimossi. Il parametro -restart viene aggiunto ai comandi descritti in questa sezione in quanto, dopo la rimozione di Identity Management for UNIX, è necessario riavviare il computer. È consigliabile consultare le informazioni disponibili sui parametri della riga di comando aggiuntivi di Server Manager nell'argomento della Guida di Server Manager contenente una panoramica dei comandi di Server Manager.

Per rimuovere Identity Management for UNIX utilizzando la riga di comando

  • In una finestra del prompt dei comandi aperta con diritti utente elevati digitare uno dei comandi seguenti e premere INVIO.

    • ServerManagerCmd.exe -remove ADDS-Identity-Management -restart per rimuovere tutti i componenti di Identity Management for UNIX

    • ServerManagerCmd.exe -remove ADDS-NIS -restart per rimuovere solo Server per NIS

    • ServerManagerCmd.exe -remove ADDS-Password-Sync -restart per rimuovere solo Sincronizzazione password

    Nota

    Aggiungere il parametro -whatIf al comando per indicare a Server Manager di visualizzare l'elenco di tutto il software rimosso per impostazione predefinita dal comando. Se si esegue il comando con il parametro -whatIf, non verrà eseguita una rimozione effettiva ma verrà visualizzato solo il software che viene rimosso durante una rimozione effettiva.

Ulteriori attività di rimozione

SSOD (Single Sign-On Daemon) viene installato su tutti i computer UNIX con cui vengono sincronizzate le password. Se i computer UNIX non sincronizzano più le password con altri server basati su Windows presenti nella rete eseguendo Sincronizzazione password, è possibile rimuovere i file SSOD dai computer UNIX.

Vedere anche

  • Identity Management for UNIX: procedure
  • Installare i componenti di Identity Management for UNIX


Server per NIS

Server per NIS

Server per NIS consente a un controller di dominio Active Directory basato su Microsoft Windows di amministrare reti NIS (Network Information Service) UNIX.

  • Prima di iniziare a utilizzare Server per NIS, vedere "Elenco di controllo: distribuire Server per NIS" nella Guida di Identity Management for UNIX.

  • Per informazioni di riferimento dettagliate sulle utilità da riga di comando per gestire Server per NIS, vedere Utilità da riga di comando in Server per NIS.

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Panoramica di Server per NIS

  • Procedure consigliate per Server per NIS

  • Amministrazione di Server per NIS

  • Concetti relativi a Server per NIS

  • Utilità da riga di comando in Server per NIS

  • Risoluzione dei problemi relativi a Server per NIS


Panoramica di Server per NIS

Server per NIS integra le reti Microsoft Windows e Network Information Service (NIS) consentendo a un controller di dominio di Servizi di dominio Active Directory® basato su Windows di operare come server NIS master per uno o più domini NIS.

Funzionamento di Server per NIS

Server per NIS archivia i dati delle mappe NIS standard e non standard in Servizi di dominio Active Directory. Le mappe standard sono costituite da aliases, bootparams, ethers, hosts, group, netgroup, netid, netmasks, networks, passwd, protocols, rpc, services, pservers e shadow. Tutte le altre sono mappe non standard. Server per NIS crea pertanto un solo spazio dei nomi per i domini Windows e NIS che l'amministratore di Windows può gestire tramite un unico insieme di strumenti. L'amministratore può così creare, modificare ed eliminare contemporaneamente e senza difficoltà account utente per domini sia Windows che UNIX. Un utente che dispone di account sia in ambiente Windows che UNIX può essere gestito da Servizi di dominio Active Directory con tutti gli attributi necessari per il dominio e lo spazio dei nomi corrispondenti.

Server per NIS può inoltre essere installato in altri controller di dominio dello stesso dominio del server NIS master, in modo che possano funzionare come server subordinati, o slave, NIS. In questo caso, i dati NIS contenuti in Active Directory vengono replicati automaticamente tra i controller di dominio Windows che eseguono Server per NIS. I computer basati su UNIX possono inoltre continuare a funzionare come server subordinati nel dominio NIS. Server per NIS utilizza yppush per propagare le modifiche dei dati NIS ai server NIS basati su UNIX in modo analogo a un server NIS master basato su UNIX.

Processo di impostazione di Server per NIS

Dopo aver installato Server per NIS, è necessario eseguire la migrazione delle mappe NIS dai server NIS basati su UNIX al computer che esegue Server per NIS. A tale scopo, è possibile eseguire la migrazione guidata basata su Windows fornita con Server per NIS oppure un'utilità da riga di comando. Dopo la migrazione delle mappe di un dominio NIS, Server per NIS è pronto per essere distribuito come server master per il dominio NIS. È possibile eseguire la migrazione di più domini NIS verso lo stesso controller di dominio di Servizi di dominio Active Directory basato su Windows. Tali domini possono essere uniti o mantenuti separati. È infine possibile eseguire la migrazione dei dati delle mappe NIS per fasi procedendo con una mappa alla volta.

Server per NIS è in grado di supportare più domini NIS contemporaneamente. Le mappe appartenenti a più domini possono inoltre trovarsi contemporaneamente in Active Directory. Le richieste provenienti da un client o da un altro server in un dominio ricevono dati da una mappa nello stesso dominio.

Gestione di Server per NIS

Per gestire Server per NIS è possibile utilizzare la funzionalità Identity Management for UNIX basata su Windows. Per gestire le mappe passwd, group e hosts di cui è stata eseguita la migrazione in Servizi di dominio Active Directory è possibile utilizzare strumenti basati su Windows, ad esempio Utenti e computer di Active Directory. È inoltre possibile utilizzare gli strumenti da riga di comando nismap e nisadmin per gestire tutte le mappe standard e non standard, nonché per gestire Server per NIS. Per monitorare le prestazioni di Server per NIS è infine possibile utilizzare gli strumenti di amministrazione di Windows, tra cui il Visualizzatore eventi per controllare gli eventi ed errori significativi registrati da Server per NIS.

Oltre a utilizzare gli strumenti di amministrazione disponibili in Windows, è possibile creare strumenti aggiuntivi tramite Active Directory Service Interfaces (ADSI) o Lightweight Directory Access Protocol (LDAP).

Server per NIS implementa le chiamate RPC (Remote Procedure Call) NIS necessarie per soddisfare le richieste provenienti da client NIS basati su UNIX e su Windows, nonché da altri server NIS subordinati. È supportata sia la modalità trasmissione che la modalità binding normale.


Procedure consigliate per Server per NIS

Procedure consigliate per la migrazione di un dominio NIS (Network Information Service)

  • Prima di eseguire la migrazione effettiva, leggere attentamente "Elenco di controllo: eseguire la migrazione delle mappe NIS a Servizi di dominio Active Directory" nella Guida di Identity Management for UNIX.

  • Prima di avviare la procedura guidata, decidere se il dominio di cui deve essere eseguita la migrazione deve rimanere separato o deve essere unito a un altro dominio in Server per NIS.

  • Se le mappe vengono sottoposte a migrazione separatamente, eseguire innanzitutto la migrazione delle mappe passwd e quindi delle mappe group o shadow. In questo modo le password UNIX verranno archiviate correttamente.

  • È necessario conoscere la struttura delle mappe non standard prima di avviare la procedura guidata, in particolare i separatori di campo, il campo chiave, il nome di file e il nome della mappa. È possibile accedere alle mappe non standard utilizzando solo una chiave.

  • Utilizzare innanzitutto l'opzione Non eseguire migrazione (solo registrazione) predefinita in NIS Data Migration Wizard, in modo che Server per NIS possa provare tutti i passaggi della migrazione senza eseguire la migrazione effettiva dei dati. Dopo aver analizzato i file di registro e aver deciso come gestire gli eventuali conflitti delle mappe, eseguire di nuovo la procedura guidata selezionando l'opzione Esegui migrazione e registra.

  • Dopo aver esaminato il registro, risolvere gli eventuali problemi prima di eseguire la migrazione dei dati. Se nei domini Windows e NIS esiste lo stesso nome utente, determinare se i nomi utente duplicati rappresentano la stessa persona. Se non rappresentano la stessa persona, cambiare il nome di uno degli utenti. Se invece fanno riferimento alla stessa persona, determinare se le proprietà UNIX sono le stesse. Qualora non lo siano, determinare quali sono corrette. È quindi possibile mantenere la voce esistente in Servizi dei domini Active Directory (AD DS) o sovrascriverla con le informazioni contenute nella mappa UNIX.

  • Se durante la migrazione vera e propria viene segnalato un conflitto non rilevato durante la migrazione di prova, è possibile che esistano conflitti all'interno delle mappe NIS stesse. Quando si esegue la procedura guidata con l'opzione Non eseguire migrazione (solo registrazione) selezionata, vengono infatti segnalati solo i conflitti tra le mappe NIS e AD DS e non i conflitti all'interno delle mappe. Se si verifica un conflitto durante la migrazione effettiva, risolverlo nelle mappe NIS e quindi utilizzare l'opzione nis2ad –r yes della riga di comando per eseguire la migrazione dei dati NIS non ancora trasferiti.

Mantenere aggiornati i server subordinati

Se il dominio NIS è attivo, ovvero viene modificato frequentemente, è consigliabile aumentare la frequenza con cui Server per NIS deve controllare l'eventuale presenza di modifiche. In questo modo i server subordinati basati su UNIX verranno aggiornati subito dopo la registrazione di una modifica nel server master. È inoltre possibile utilizzare il comando Controlla aggiornamenti adesso disponibile nel riquadro Azioni dello snap-in Identity Management for UNIX per aggiornare immediatamente i server subordinati.

Non eseguire la migrazione di un dominio NIS in più domini Active Directory

Benché sia possibile eseguire la migrazione di un dominio NIS in computer che eseguono Server per NIS in più domini basati su Windows, questa operazione è sconsigliata perché le modifiche apportate in un dominio basato su Windows non vengono replicate nell'altro dominio.

Sconsigliare agli utenti di utilizzare yppasswd per cambiare le password NIS

È consigliabile che gli utenti cambino la propria password NIS cambiando la propria password Windows. La password NIS verrà così cambiata da Server per NIS in modo da garantire la corrispondenza.

Server per NIS non supporta completamente l'utilità yppasswd disponibile nei sistemi UNIX. Quando un utente esegue yppasswd, Server per NIS cambia la password di tale utente nella mappa passwd NIS. Poiché tuttavia yppasswd crittografa la nuova password prima di inviarla al server master NIS, Server per NIS non è in grado di ottenere una password come testo non crittografato per impostare la password Windows dell'utente. Le password Windows e UNIX dell'utente pertanto non saranno uguali. L'utilizzo di yppasswd comporta inoltre rischi per la sicurezza poiché le password obsolete vengono trasmesse come testo non crittografato. Dal momento che la vecchia password dell'utente potrebbe ancora essere la password Windows corrente dello stesso utente, la password Windows può venire esposta a utenti non autorizzati in rete.

Mediante Sincronizzazione password è possibile offrire agli utenti un metodo per cambiare la relativa password NIS utilizzando il comando yppasswd. Per ulteriori informazioni, vedere "Sincronizzare le password con un dominio NIS" nella Guida di Identity Management for UNIX.

Vedere anche

  • Server per NIS
  • Concetti relativi a Server per NIS


Amministrazione di Server per NIS

In questa sezione

  • Configurare un server NIS UNIX per utilizzare Server per NIS come server master

  • Configurare i client UNIX per utilizzare Server per NIS come server master

  • Aggiungere o rimuovere server subordinati UNIX

  • Impostare un server subordinato come server master

  • Gestire le mappe NIS


Configurare un server NIS UNIX per utilizzare Server per NIS come server master

Per configurare un server NIS UNIX per utilizzare Server per NIS come server master

Per modificare l'impostazione di un server NIS (Network Information Service) basato su UNIX da server master a server subordinato, o slave, eseguire le operazioni seguenti.

Per configurare un server NIS UNIX per utilizzare Server per NIS come server master

  1. Eseguire la migrazione delle mappe dal server NIS master UNIX.

  2. Trasferire le mappe dal vecchio server master agli altri server NIS subordinati specificando il nome del nuovo Server per NIS per ogni mappa. Al prompt dei comandi digitare:

    ypxfr –h newserver mapname

    dove newserver è il nome del nuovo server master NIS e mapname è il nome della mappa da trasferire.

  3. Eseguire questo comando per ogni mappa in ogni server subordinato.

    Dopo questo passaggio, i server subordinati UNIX dovrebbero riconoscere il nuovo server master Server per NIS.

Vedere anche

  • Amministrazione di Server per NIS


Configurare i client UNIX per utilizzare Server per NIS come server master

Per configurare i client UNIX per utilizzare Server per NIS come server master

Per ogni computer client UNIX in cui si desidera utilizzare Server per NIS come server master, eseguire le operazioni seguenti.

Per configurare i client UNIX per utilizzare Server per NIS come server master

  1. Se il nome di dominio è cambiato, al prompt dei comandi digitare il comando seguente e premere INVIO.

    domainName newdomain

  2. Per interrompere ypbind, digitare il comando seguente al prompt dei comandi e premere INVIO.

    kill –9 ypbind pid

  3. Per riavviare ypbind, digitare il comando seguente al prompt dei comandi e premere INVIO.

    Ypbind

    Nota

    Per i server subordinati, o slave, NIS (Network Information Service) è necessario che il nome del server master NIS nel file /etc/hosts locale corrisponda esattamente al nome del server master nelle mappe NIS, incluso l'utilizzo delle maiuscole/minuscole. Verificare che le maiuscole/minuscole del nome host in /etc/hosts corrispondano esattamente a quelle del nome del server master visualizzato da Server per NIS. In Server per NIS in genere il nome del computer host viene visualizzato tutto in lettere maiuscole.

Vedere anche

  • Amministrazione di Server per NIS


Aggiungere o rimuovere server subordinati UNIX

Aggiungere o rimuovere server subordinati basati su UNIX

  • Tramite l'interfaccia di Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Le procedure seguenti vengono eseguite nella console di gestione Identity Management for UNIX.

Aggiungere un server subordinato basato su UNIX

Per aggiungere un server subordinato basato su UNIX

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Fare clic su Server per NIS nel riquadro della gerarchia.

  4. Nell'albero della console espandere Server per NIS e visualizzare l'elenco dei domini NIS (Network Information Service).

  5. Nel dominio che si desidera modificare fare clic sul nodo Server NIS.

  6. Dopo aver selezionato il nodo Server NIS, eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Server NIS e quindi scegliere Aggiungi server NIS.

    • Nel riquadro Azioni fare clic su Aggiungi server NIS.

    • Scegliere Aggiungi server NIS dal menu Azione.

  7. Nella finestra di dialogo Aggiungi server NIS specificare il nome o l'indirizzo IP del computer basato su UNIX che si desidera aggiungere.

  8. Fare clic su OK.

Rimuovere un server subordinato basato su UNIX

Per rimuovere un server subordinato basato su UNIX

  1. Aprire lo snap-in Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Tutti i programmi e quindi Identity Management for UNIX.

  2. Se necessario, connettersi al computer da gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Fare clic su Server per NIS nel riquadro della gerarchia.

  4. Nell'albero della console espandere Server per NIS e visualizzare l'elenco dei domini NIS (Network Information Service).

  5. Nel dominio che si desidera modificare fare clic sul nodo Server NIS.

  6. Nel riquadro risultati selezionare il server subordinato basato su UNIX che si desidera rimuovere.

  7. Dopo aver selezionato il computer nel riquadro risultati, eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse sul computer e quindi scegliere Elimina.

    • Fare clic su Elimina nel riquadro Azioni.

    • Scegliere Elimina dal menu Azione.

  8. Se si desidera che il computer non venga più controllato dal dominio, fare clic su OK quando richiesto da Server per NIS.

Tramite riga di comando

Nota

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare: nismap /?

Per aggiungere o rimuovere server subordinati basati su UNIX tramite riga di comando

  1. Per aggiungere un server subordinato basato su UNIX, al prompt dei comandi digitare il comando seguente, dove Subordinate rappresenta il nome o l'indirizzo IP del computer da aggiungere e NISDomain rappresenta il nome del dominio NIS a cui si desidera aggiungere il computer.

    nismap add -e "Subordinate" -a NISDomain ypservers

    Per rimuovere un server, al prompt dei comandi digitare il comando seguente, dove Subordinate rappresenta il nome o l'indirizzo IP del computer da rimuovere e NISDomain rappresenta il nome del dominio NIS da cui si desidera rimuovere il computer.

    nismap del -k Subordinate -a NISDomain ypservers

  2. Premere INVIO.

Nella tabella seguente vengono descritti i parametri del comando nismap utilizzati in questa procedura. Per ulteriori informazioni sul comando nismap, vedere nismap.

Argomento Descrizione

add

Consente di aggiungere una voce di mappa. Con add vengono utilizzati le opzioni e gli argomenti seguenti:

-e "mapentry" Consente di specificare la nuova voce di mappa come stringa nel formato di mappa NIS appropriato. La stringa deve essere racchiusa tra virgolette (" ").

del

Consente di eliminare una voce di mappa esistente. Con del è necessario utilizzare l'opzione e l'argomento seguenti:

-k key Consente di specificare la chiave di ricerca che identifica la voce di mappa da eliminare.

Subordinate

Server NIS (Network Information Service) UNIX su cui deve agire il comando nismap.

NISDomain

Nome del dominio NIS a cui si desidera aggiungere o da cui si desidera rimuovere server subordinati basati su UNIX.

Vedere anche

  • Amministrazione di Server per NIS


Impostare un server subordinato come server master

Per impostare un server subordinato come server master

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Per impostare un server subordinato come server master tramite Windows

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Nell'albero della console fare clic su Server per NIS e visualizzare l'elenco dei domini NIS (Network Information Service).

  4. Selezionare il dominio che si desidera modificare.

  5. Nel riquadro dei dettagli fare clic su Server NIS, selezionare il server Windows che si desidera impostare come nuovo server master e quindi fare clic su Alza di livello.
Nota

Per aprire Identity Management for UNIX, fare clic sul pulsante Start, scegliere Tutti i programmi, Identity Management for UNIX e quindi Identity Management for UNIX. È possibile innalzare di livello e impostare come server master solo un controller di dominio di Servizi dei domini Active Directory. Quando si imposta un server subordinato come server master, il server master precedente diventa automaticamente un server subordinato.

Tramite riga di comando

Per impostare un server subordinato come server master tramite riga di comando

  • Eseguire una delle operazioni seguenti:

    • Per impostare un server master come server subordinato, al prompt dei comandi digitare:

      nisadmin [server] mkslave –m newMaster–d domainName –u username–p password

    • Per impostare invece un server subordinato come server master, al prompt dei comandi digitare:

      nisadmin [server] mkmaster –d domainName–u username –p password

I segnaposto seguenti sono gli argomenti utilizzati con il comando nisadmin per innalzare un server subordinato al livello di server master o per abbassare un server master al livello di server subordinato.

Argomento | Descrizione
server | Server controller di dominio che ospita Active Directory. Se non viene specificato, verrà utilizzato il server corrente.
newMaster | Nome del nuovo server master, obbligatorio per il comando mkslave.
domainName | Nome del dominio per il quale viene eseguita la modifica.
username | Nome dell'utente con autorizzazioni di amministratore per il server di cui si desidera cambiare il livello, se diverso dall'utente corrente.
password | Password dell'utente con autorizzazioni di amministratore per il server di cui si desidera cambiare il livello. Se la password non viene fornita, verrà chiesto di specificarne una.
Nota

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare nisadmin /?.

Per ulteriori informazioni su come eseguire questa procedura dalla riga di comando, vedere nisadmin.

Vedere anche

  • Amministrazione di Server per NIS


Gestire le mappe NIS

In questa sezione

  • Eseguire la migrazione di domini NIS

  • Aggiungere un gruppo a un dominio NIS

  • Impostare il metodo di crittografia per un dominio

  • Modificare la frequenza degli aggiornamenti delle mappe

  • Propagare immediatamente le mappe selezionate

  • Propagare immediatamente le mappe modificate

  • Utilizzare ypmatch per visualizzare una voce di una mappa NIS

  • Utilizzare ypcat per stampare i valori di una mappa NIS

  • Modificare le mappe

  • Gestire gli utenti NIS

  • Gestire i gruppi NIS

  • Gestire i computer NIS


Eseguire la migrazione di domini NIS

Per eseguire la migrazione di domini NIS

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Prima di iniziare la migrazione di domini NIS tramite NIS Data Migration Wizard, è consigliabile fare riferimento agli argomenti seguenti.

  • "Elenco di controllo: eseguire la migrazione delle mappe NIS a Servizi di dominio Active Directory" nella Guida di Identity Management for UNIX.

  • Procedure consigliate per Server per NIS

  • Informazioni sulla migrazione di dati NIS

Per eseguire la migrazione di domini NIS tramite l'interfaccia Windows

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Fare clic su Server per NIS nel riquadro di spostamento.

  3. Dopo aver evidenziato Server per NIS nel riquadro di spostamento, fare clic su Avvia NIS Data Migration Wizard nel riquadro Azioni.

    È inoltre possibile scegliere Avvia NIS Data Migration Wizard dal menu Azione oppure fare clic con il pulsante destro del mouse su Server per NIS e quindi scegliere Avvia NIS Data Migration Wizard dal menu di scelta rapida.

  4. Seguire le istruzioni dettagliate della procedura guidata.
Nota

Non verrà eseguita la migrazione delle voci di file di password con nomi di lunghezza superiore a otto caratteri. Gli account utente Windows creati come risultato della migrazione sono disattivati. Dopo aver eseguito la migrazione, sarà pertanto necessario attivarli. Per motivi di sicurezza, è consigliabile assegnare una password temporanea a tali account e istruire gli utenti interessati affinché cambino la propria password Windows appena possibile.

Tramite riga di comando

Per eseguire la migrazione di mappe NIS tramite l'interfaccia della riga di comando, eseguire le operazioni seguenti.

Nota

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare: nis2ad /?

Per eseguire la migrazione di domini NIS tramite l'interfaccia della riga di comando

  1. Aprire una finestra del prompt dei comandi facendo clic sul pulsante Start e quindi scegliendo Prompt dei comandi.

  2. Al prompt dei comandi digitare:

    nis2ad.exe -y NIS_Domain -a AD_domain [options] mapfile

    NIS_Domain rappresenta il dominio NIS basato su UNIX contenente la mappa di cui è necessario eseguire la migrazione, AD_Domain rappresenta il dominio di Servizi dei domini Active Directory (AD DS) in cui si desidera eseguire la migrazione delle mappe e mapfile rappresenta il nome del file di origine mappa NIS per la migrazione.

    Nota

    Il comando, così come è utilizzato in questa procedura, consente di eseguire una migrazione di prova. Per eseguire una migrazione effettiva, anteporre il parametro -m alla specifica mapfile.

  3. Aggiungere parametri facoltativi al comando nis2ad in base alle proprie esigenze. Per informazioni sulle opzioni che è possibile utilizzare con il comando nis2ad, vedere la tabella inclusa in questo argomento.

  4. Premere INVIO per avviare la migrazione.

Nella tabella seguente vengono descritti gli argomenti necessari in questa procedura.

Argomento | Descrizione
-y NIS_Domain | Consente di specificare il nome del dominio NIS (Network Information Service) contenente la mappa di cui deve essere eseguita la migrazione.
-a AD_domain | Consente di specificare il nome del dominio NIS presente in AD DS.
mapfile | Consente di specificare il nome del file di origine mappa NIS di cui deve essere eseguita la migrazione. I file di origine mappa NIS sono i file di testo normale a partire dai quali vengono compilati i database delle mappe NIS.

L'utilità nis2ad accetta i parametri facoltativi seguenti:

Opzione | Descrizione
-m | Consente di eseguire la migrazione. Se si omette questa opzione, il programma rileva e segnala i conflitti, ma esegue solo una migrazione di prova e non una migrazione vera e propria.
-c FileName | Consente di specificare il file in cui vengono scritti i dettagli relativi ai conflitti. Se si omette questa opzione, verrà utilizzato un file predefinito, ovvero %dirsfu%\nis\conflicts.log.
-t TargetContainer | Consente di specificare il nome del contenitore di destinazione. Applicabile solo quando si crea un nuovo dominio NIS. Se si omette questa opzione, verrà utilizzato il contenitore predefinito o quello del dominio di destinazione.
-f FileName | Consente di specificare il nome del file di registro. Se si omette questa opzione, nis2ad utilizzerà un file predefinito, ovvero %sfudir%\nis\nis2ad.log.
-r yes|no | Consente di sostituire l'oggetto di AD DS con l'oggetto di cui deve essere eseguita la migrazione. Il valore predefinito è no.
-n | Consente di risolvere i conflitti cambiando il nome dell'account Windows in AD DS. Se oggetti di tipi diversi hanno lo stesso nome, prima della migrazione dei dati verrà cambiato il nome di entrambi gli oggetti.
-p Password | Se la password è necessaria e non viene specificata, verrà chiesto di immetterne una.
-d Directory | Consente di specificare il percorso della directory in cui sono contenuti i file di origine mappa NIS.
-s Server | Consente di specificare il server controller di dominio che ospita AD DS. Se si omette questa opzione, verrà utilizzato il server corrente.
-u User | Consente di specificare il nome dell'utente con privilegi di amministratore per il computer. Se si omette questa opzione, nis2ad utilizzerà l'utente corrente.

Osservazioni sul processo di installazione da riga di comando

L'utilità nis2ad consente di eseguire la migrazione di una sola mappa alla volta. Per eseguire la migrazione di più mappe contemporaneamente, utilizzare NIS Data Migration Wizard.

Non verrà eseguita la migrazione delle voci di file di password con nomi di lunghezza superiore a otto caratteri.

Gli account utente Windows creati come risultato della migrazione saranno disattivati. Dopo aver eseguito la migrazione, sarà pertanto necessario attivarli. Per motivi di sicurezza, è consigliabile assegnare una password temporanea a tali account e istruire gli utenti interessati affinché cambino la propria password Windows appena possibile.

Anche se si specifica un altro utente tramite l'opzione -u, è necessario che l'utente attualmente connesso disponga delle autorizzazioni di scrittura per la cartella in cui saranno contenuti i file di registro e dei conflitti. Se necessario, modificare le autorizzazioni per la cartella in modo da concedere l'accesso in scrittura all'utente che eseguirà l'utilità nis2ad prima dell'esecuzione dell'utilità stessa.

Ulteriori riferimenti

  • nis2ad

  • Informazioni sulla migrazione di dati NIS


Aggiungere un gruppo a un dominio NIS

Per aggiungere un gruppo a un dominio NIS

Al gruppo viene assegnato automaticamente un identificatore di gruppo (GID, Group Identifier). Se nel dominio NIS sono previsti requisiti speciali per i valori GID, è possibile modificare il valore assegnato.

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per aggiungere un gruppo a un dominio NIS

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo che si desidera aggiungere al dominio NIS e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nell'elenco Dominio NIS selezionare il dominio a cui si desidera aggiungere il gruppo.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.

    Nota

    Questa procedura non può essere eseguita dalla riga di comando. Il nome del gruppo deve essere conforme alle convenzioni di denominazione UNIX. Deve contenere non più di otto caratteri numerici e alfabetici minuscoli, di cui almeno uno alfabetico. Non deve invece includere due punti (:) o un carattere di newline.

Vedere anche

  • Gestire le mappe NIS


Impostare il metodo di crittografia per un dominio

Per impostare il metodo di crittografia per un dominio

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Per impostare il metodo di crittografia per un dominio tramite Windows

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Nell'albero della console espandere Server per NIS e visualizzare l'elenco dei domini NIS.

  4. Selezionare il dominio per il quale si desidera impostare un metodo di crittografia.

  5. Visualizzare la finestra di dialogo Proprietà relativa al dominio selezionato eseguendo una delle operazioni seguenti.

    • Fare clic con il pulsante destro del mouse sul dominio selezionato e quindi scegliere Proprietà.

    • Nel riquadro Azioni fare clic su Proprietà.

    • Scegliere Proprietà dal menu Azione.

  6. Nell'area Schema di crittografia password UNIX selezionare il metodo di crittografia che deve essere utilizzato da tutti i computer UNIX del dominio.

    Nota

    Il metodo di crittografia MD5 può essere selezionato per un dominio UNIX costituito esclusivamente da computer che eseguono Linux e che utilizzano la crittografia MD5. Per i domini con uno o più computer che utilizzano l'algoritmo crypt o che eseguono un altro sistema operativo sarà necessario utilizzare crypt. Benché la crittografia MD5 sia supportata in Linux 6.2 e versioni successive, Identity Management for UNIX non è supportato nelle versioni di Linux precedenti alla versione 8.

Tramite riga di comando

Per impostare il metodo di crittografia per un dominio tramite riga di comando

  • Al prompt dei comandi digitare:

    nisadmin [computer] encryptiontype -d domain {crypt | md5} [-u usr [-p pword]]

I segnaposto riportati nella tabella seguente sono gli argomenti utilizzati nella riga di comando per impostare il metodo di crittografia.

Argomento | Descrizione
computer | Consente di specificare il computer remoto che si desidera amministrare. A tale scopo, è possibile utilizzare un nome WINS o DNS oppure l'indirizzo IP (Internet Protocol).
domain | Consente di specificare il nome del dominio per il quale viene eseguita la modifica.
usr | Consente di specificare il nome dell'utente di cui dovranno essere utilizzate le credenziali. Potrebbe essere necessario aggiungere il nome di dominio al nome utente nel formato domain\username.
pword | Consente di specificare la password dell'utente indicato mediante l'opzione -u. Se si specifica l'opzione -u ma si omette l'opzione -p, verrà richiesta la password dell'utente.
Note
  • Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare: nisadmin /?
  • Il metodo di crittografia MD5 può essere selezionato per un dominio UNIX costituito esclusivamente da computer che eseguono Linux e che utilizzano la crittografia MD5. Per i domini contenenti uno o più computer che utilizzano crypt o che eseguono un altro sistema operativo è necessario utilizzare crypt. Benché la crittografia MD5 sia supportata in Linux 6.2 e versioni successive, Identity Management for UNIX non è supportato nelle versioni di Linux precedenti alla versione 8.
  • La crittografia password può essere impostata su un solo metodo di crittografia alla volta. Cambiando il metodo di crittografia si invalidano le password degli utenti. In questo caso, sarà necessario reimpostare tutte le password.

Vedere anche

  • Gestire le mappe NIS
  • nisadmin


Modificare la frequenza degli aggiornamenti delle mappe

Per modificare la frequenza degli aggiornamenti delle mappe nei server NIS subordinati (slave) UNIX

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Per modificare la frequenza degli aggiornamenti delle mappe nei server subordinati UNIX tramite l'interfaccia Windows

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Fare clic su Server per NIS nel riquadro della gerarchia.

  4. Dopo aver selezionato Server per NIS nel riquadro della gerarchia, fare clic su Aggiornamenti mappe nel riquadro Azioni, scegliere lo stesso comando dal menu Azione oppure fare clic con il pulsante destro del mouse su Server per NIS e scegliere Aggiornamenti mappe.

  5. Nella scheda Generale della finestra di dialogo Proprietà di Server per NIS specificare l'intervallo di tempo che deve trascorrere tra un aggiornamento e l'altro delle mappe NIS e quindi fare clic su OK.

Tramite riga di comando

Nota

Per visualizzare la sintassi completa del comando nisadmin, al prompt dei comandi digitare nisadmin /?.

Per modificare la frequenza degli aggiornamenti delle mappe nei server subordinati UNIX tramite riga di comando

  • Al prompt dei comandi digitare il comando seguente e quindi premere INVIO. Days, hh e mm rappresentano rispettivamente il numero di giorni, ore e minuti che devono trascorrere tra un aggiornamento delle mappe e l'altro.

    nisadmin config pushint=days:hh:mm -s Server -u User -p Password

Nella tabella seguente vengono descritti gli argomenti del comando nisadmin utilizzati in questa procedura. Per ulteriori informazioni, vedere nisadmin.

Argomento | Descrizione
[[days:]hh:]mm | Consente di specificare la frequenza in giorni, ore e minuti con cui il servizio deve verificare la presenza di modifiche relative alle mappe NIS in Active Directory e propagarle ai server NIS secondari per tutti i domini. Se si specifica un valore hh, il valore hh deve essere compreso nell'intervallo tra 0 e 23, mentre il valore mm deve essere compreso nell'intervallo tra 0 e 59.
Server | Server master del dominio.
User | Nome dell'utente con privilegi amministrativi per il server da avviare, se diverso dall'utente corrente.
Password | Password dell'utente con privilegi amministrativi per il server da avviare, se diverso dall'utente corrente. Se si digita un nome utente ma si omette la password, verrà richiesto di specificare la password.


Propagare immediatamente le mappe selezionate

Per propagare immediatamente le mappe selezionate

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Per propagare le mappe selezionate tramite Windows

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Nell'albero della console espandere Server per NIS e quindi il nodo del dominio per il quale si desidera aggiornare le mappe.

  4. Selezionare Mappe NIS.

  5. Selezionare gli oggetti che rappresentano le mappe che si desidera aggiornare. Per selezionare più mappe, fare clic sulle mappe desiderate tenendo contemporaneamente premuto CTRL.

  6. Fare clic con il pulsante destro del mouse sulle mappe selezionate e quindi scegliere Aggiorna mappe.

Tramite riga di comando

Per propagare le mappe selezionate tramite riga di comando

  • Al prompt dei comandi digitare:

    yppush [-d ActiveDirectoryNISDomain] [-q] [-t Timeout] [-h Hosts] MapName

Nella tabella seguente vengono descritti gli argomenti utilizzati con il comando yppush per propagare le mappe. Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare yppush /?.

Argomento | Descrizione
-d ActiveDirectoryNISDomain | Nome del dominio NIS (Network Information Service) in Active Directory.
-q | Modalità non interattiva. Non attende una risposta dai server subordinati (slave), né segnala gli errori.
-t Timeout | Numero di secondi di attesa di una risposta dal server subordinato prima dell'invio della richiesta successiva. Il valore deve essere maggiore di zero. Il valore predefinito è 30.
-h Hosts | Host a cui notificare le modifiche. L'impostazione predefinita prevede la notifica per tutti i server subordinati del dominio. Utilizzabile più volte per più computer.
MapName | Nome della mappa NIS da trasferire.
Nota

Questo comando consente di propagare una sola mappa. Eseguirlo di nuovo per propagare altre mappe. Il comando yppush consente di eseguire il push dei dati delle mappe solo dal server master NIS basato su Windows a server subordinati NIS basati su UNIX. Non consente invece di eseguire il push dei dati delle mappe a server subordinati NIS che eseguono sistemi operativi Windows. I server subordinati NIS basati su Windows vengono aggiornati tramite Servizi dei domini Active Directory.


Propagare immediatamente le mappe modificate

Per propagare immediatamente le mappe modificate

  • Tramite l'interfaccia Windows

  • Tramite riga di comando

Tramite l'interfaccia di Windows

Per propagare le mappe modificate tramite Windows

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, eseguire la connessione al computer che si desidera gestire.

  3. Espandere il nodo Identity Management for UNIX e selezionare Server per NIS.

  4. Propagare le mappe modificate eseguendo una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Server per NIS e quindi scegliere Controlla aggiornamenti adesso.

    • Nel riquadro Azioni fare clic su Controlla aggiornamenti adesso.

    • Scegliere Controlla aggiornamenti adesso dal menu Azione.

Tramite riga di comando

Per propagare le mappe modificate tramite riga di comando

  • Al prompt dei comandi digitare:

    nisadmin [server] syncall [–u user [–p password]]

Nella tabella seguente vengono descritti gli argomenti del comando nisadmin utilizzati per propagare le mappe modificate. Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare nisadmin /?.

Argomento | Descrizione
syncall | Consente di propagare tutte le mappe.
server | Nome del server in cui sono archiviate le mappe.
user | Nome dell'utente con autorizzazioni di amministratore per il server, se diverso dall'utente corrente.
password | Password dell'utente con autorizzazioni di amministratore per il server, se diverso dall'utente corrente. Se si digita un nome utente ma si omette la password, verrà richiesto di specificare la password.
Nota

Il comando nisadmin syncall consente di propagare le mappe solo in server subordinati NIS basati su UNIX. Le mappe non verranno propagate in server subordinati NIS che eseguono sistemi operativi Windows. Tali server verranno aggiornati da Active Directory.

Vedere anche

  • nisadmin


Utilizzare ypmatch per visualizzare una voce di una mappa NIS

Per utilizzare ypmatch per visualizzare una voce di una mappa NIS

Per utilizzare ypmatch per visualizzare una voce di una mappa NIS

  • Al prompt dei comandi digitare uno dei comandi seguenti:

    ypmatch [-d Domain] [-h HostName] [-t] [-k] Key [Key ...] MapName

    oppure

    ypmatch -x

Nella tabella seguente vengono descritti gli argomenti utilizzati con il comando ypmatch per visualizzare le voci delle mappe NIS. Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare ypmatch /?.

Argomento | Descrizione
Domain | Dominio diverso da quello predefinito.
HostName | Nome del server NIS (Network Information Service) a cui si desidera inviare la richiesta.
-t | Consente di impedire la conversione di un nome alternativo in nome di mappa.
-k | Consente di stampare una chiave seguita dai due punti e dal valore della chiave stessa. Questo argomento è utile solo se le chiavi non hanno valori duplicati e il numero di chiavi non è così elevato da rendere confuso l'output.
Key | Chiave di cui si desidera stampare il valore.
MapName | Nome o nome alternativo di una mappa.
-x | Consente di elencare i nomi alternativi come specificato dal parametro MapName.
Nota

Questa procedura non può essere eseguita da un'interfaccia Windows.

Vedere anche

  • ypmatch


Utilizzare ypcat per stampare i valori di una mappa NIS

Per utilizzare ypcat per stampare i valori di una mappa NIS

Per utilizzare ypcat per stampare i valori di una mappa NIS

  • Al prompt dei comandi digitare uno dei comandi seguenti:

    ypcat [-k] [-d DomainName] [-t] [-h NISServer] MapName

    oppure

    ypcat -x

Nella tabella seguente vengono descritti gli argomenti utilizzati con ypcat per stampare i valori di una mappa NIS. Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare ypcat /?.

Argomento | Descrizione
-k | Consente di visualizzare le chiavi e i relativi valori.
DomainName | Consente di cercare nel dominio specificato la mappa indicata.
-t | Consente di forzare il comando ypcat a ignorare la tabella di conversione dei nomi alternativi e a cercare solo la mappa specificata dal parametro MapName.
NISServer | Nome del server NIS (Network Information Service) in cui è archiviata la mappa.
MapName | Nome della mappa da elencare.
-x | Consente di elencare i nomi alternativi come specificato dal parametro MapName.
Nota

Questa procedura non può essere eseguita da un'interfaccia Windows.

Vedere anche

  • ypcat


Modificare le mappe

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Modificare voci di mappe passwd, group e hosts

  • Modificare voci di mappe standard e non standard tramite l'interfaccia della riga di comando

  • Creare la struttura di una mappa non standard


Modificare voci di mappe passwd, group e hosts

Per modificare voci di mappe passwd, group e hosts tramite Utenti e computer di Active Directory

Importante

Non utilizzare Utenti e computer di Active Directory per modificare gli attributi di utenti e gruppi speciali, ovvero di utenti e gruppi rispettivamente con ID utente (UID, User Identifier) o identificatore di gruppo (GID, Group Identifier) inferiore a 100. In caso contrario, i dati restituiti da Server per NIS non saranno corretti per tali utenti e gruppi. Utilizzare invece la procedura descritta in Modificare voci di mappe standard e non standard tramite l'interfaccia della riga di comando.

Per modificare voci di mappe passwd, group e hosts

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console espandere il dominio Active Directory contenente la mappa che si desidera modificare e quindi eseguire una delle operazioni seguenti:

    • Per modificare le mappe passwd o group, fare clic su Utenti.

    • Per modificare la mappa hosts, fare clic su Computer.

  3. Fare doppio clic sull'utente o sul computer di cui si desidera modificare le proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nelle caselle disponibili modificare le proprietà desiderate.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.


Modificare voci di mappe standard e non standard tramite l'interfaccia della riga di comando

Per modificare voci di mappe standard e non standard tramite riga di comando

Nota

Quando si utilizza nismap per eliminare un oggetto utente, gruppo o host, vengono eliminati solo gli attributi UNIX dell'oggetto. Per eliminare l'oggetto da Active Directory, utilizzare gli strumenti di amministrazione di Active Directory.

Per modificare voci di mappe standard e non standard tramite riga di comando

  • Al prompt dei comandi eseguire una delle operazioni seguenti.

    • Per aggiungere un utente a una mappa passwd, digitare:

      nismap add –e passwdEntry –a nisDomain passwd

    • Per modificare un utente in una mappa passwd, digitare:

      nismap mod –e passwdEntry –k username–a nisDomain passwd

    • Per eliminare un utente da una mappa passwd, digitare:

      nismap del –k username –a nisDomain passwd

    • Per aggiungere un gruppo a una mappa group, digitare:

      nismap add –e groupEntry –a nisDomain group

    • Per modificare un utente in una mappa group, digitare:

      nismap mod –e groupEntry –k groupName –a nisDomain group

    • Per eliminare un utente da una mappa group, digitare:

      nismap del –k groupName –a nisDomain group

Nella tabella seguente vengono descritti gli argomenti utilizzati con il comando nismap per modificare le voci di mappe. Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare nismap /?.

Argomento | Descrizione
passwdEntry | Voce della mappa passwd.
nisDomain | Dominio NIS (Network Information Service).
username | Nome dell'utente.
groupEntry | Voce della mappa group.
groupName | Nome del gruppo a cui appartiene l'utente.

Vedere anche

  • nismap


Creare la struttura di una mappa non standard

Per creare la struttura di una mappa non standard

Per creare la struttura di una mappa non standard

  • Al prompt dei comandi digitare:

    nismap create –i fieldNumber –g "separator" mapName

Nella tabella seguente vengono descritti gli argomenti utilizzati con il comando nismap per creare la struttura di una mappa non standard.

Argomento Descrizione

fieldNumber

Numero del campo contenente la chiave per la mappa.

"separator"

Carattere utilizzato per separare i campi, tra virgolette. Per specificare uno spazio come separatore, racchiuderlo tra virgolette doppie (" "). ad esempio:

nismap create –i 1 –g " " Phones

consente di creare una mappa denominata Telefoni in cui il campo chiave è il primo campo e il carattere separatore è uno spazio. Vengono accettati anche altri caratteri di spazio, ad esempio le tabulazioni.

mapName

Nome della mappa.

Nota

Questa procedura non può essere eseguita da un'interfaccia Windows. Dopo essere stata creata, la struttura non può più essere rimossa. Poiché tale struttura si applica a tutti i domini NIS, è importate verificare che il formato sia uniforme in tutti i domini NIS. Non utilizzare il cancelletto (#) come separatore di campo poiché viene utilizzato nelle mappe standard per contrassegnare l'inizio di un commento.

Vedere anche

  • nismap


Gestire gli utenti NIS

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Aggiungere un utente a un dominio NIS

  • Cambiare l'ID di un utente (UID)

  • Cambiare la shell predefinita di un utente

  • Cambiare la home directory di un utente

Gestire gli utenti NIS

I sistemi UNIX archiviano le informazioni di base relative agli utenti autorizzati nel file passwd. Questo file è costituito da una serie di righe, una per ogni utente autorizzato. In ogni riga possono essere contenute le informazioni seguenti relative a un utente:

  • Nome dell'utente

  • Password crittografata

  • ID dell'utente (UID, User Identifier)

  • Identificatore (GID, Group Identifier) del gruppo primario dell'utente

  • Nome completo dell'utente e altre informazioni, note come campo gecos

  • Shell di accesso predefinita

  • Home directory

Dal file passwd i server NIS (Network Information Service) convenzionali generano due mappe, passwd.byname e passwd.byuid, in cui sono contenute le stesse informazioni del file passwd, ma indicizzate in modo da consentire un accesso rapido ai record.

Anziché archiviare tali informazioni in file, Server per NIS gestisce le informazioni relative agli utenti in voci di Servizi dei domini Active Directory per ogni utente. In questo modo è possibile gestire insieme le informazioni NIS Windows e UNIX utilizzando la finestra di dialogo delle proprietà degli utenti in Utenti e computer di Active Directory. Quando ad esempio si aggiunge un nuovo utente, è sufficiente immettere una sola volta le informazioni condivise da Windows e NIS, ovvero il nome utente, la password, il nome completo e altre informazioni di tipo gecos. Nel caso di informazioni specifiche di UNIX, ad esempio UID, GID primario, shell di accesso e home directory UNIX, per immetterle è possibile utilizzare la scheda Attributi UNIX della stessa finestra di dialogo.


Aggiungere un utente a un dominio NIS

Per aggiungere un utente a un dominio NIS

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators. Questa procedura non può essere eseguita dalla riga di comando. Il nome di accesso dell'utente deve essere conforme alle convenzioni di denominazione degli utenti UNIX. Deve contenere non più di otto caratteri numerici e alfabetici minuscoli, di cui almeno uno alfabetico. Non deve invece includere due punti (:) o un carattere di nuova riga. All'utente vengono assegnati automaticamente un identificatore (UID, User Identifier), una shell predefinita e una home directory. Se nel dominio NIS sono previsti requisiti speciali per questi valori, sarà possibile modificarli quando si aggiunge l'utente al dominio o in un secondo momento.

Per aggiungere un utente a un dominio NIS

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente che si desidera aggiungere al dominio NIS e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nell'elenco Dominio NIS selezionare il dominio a cui si desidera aggiungere l'utente.

  6. Nell'elenco GID/Nome gruppo primario selezionare il nome del gruppo primario dell'utente e quindi fare clic su OK.

  7. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo selezionato come gruppo primario dell'utente e quindi scegliere Proprietà.

  8. Fare clic sulla scheda Attributi UNIX e quindi su Aggiungi.

  9. Nell'elenco Utenti NIS disponibili selezionare il nome dell'utente appena aggiunto al dominio, fare clic su Aggiungi e quindi su OK.


Cambiare l'ID di un utente (UID)

Come cambiare l'ID di un utente (UID)

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per cambiare l'UID di un utente

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nella casella UID digitare il nuovo identificatore dell'utente (UID, User Identifier).

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Vedere anche

  • Gestire gli utenti NIS


Cambiare la shell predefinita di un utente

Come cambiare la shell predefinita di un utente

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per cambiare la shell predefinita di un utente

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nella casella Shell di accesso digitare il nome di percorso completo della nuova shell per l'utente.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.


Cambiare la home directory di un utente

Come cambiare la home directory di un utente

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per cambiare la home directory di un utente

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sull'utente che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nella casella Home directory digitare il nome di percorso completo della nuova home directory per l'utente.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Vedere anche

  • Gestire gli utenti NIS


Gestire i gruppi NIS

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Aggiungere uno o più gruppi a un dominio NIS

  • Cambiare l'ID di un gruppo (GID)

  • Aggiungere o rimuovere membri di un gruppo

Gestire i gruppi NIS

I sistemi UNIX archiviano le informazioni di base relative ai gruppi di utenti nel file group. Questo file è costituito da una serie di righe, una per ogni gruppo. In ogni riga possono essere contenute le informazioni seguenti relative a un gruppo:

  • Nome del gruppo

  • Identificatore del gruppo (GID, Group Identifier)

  • Elenco degli utenti che appartengono al gruppo

Dal file group i server NIS (Network Information Service) convenzionali generano due mappe, group.byname e group.bygid, in cui sono contenute le stesse informazioni del file group, ma indicizzate in modo da consentire un accesso rapido ai record.

Anziché archiviare tali informazioni in file, Server per NIS gestisce le informazioni relative ai gruppi in voci di Servizi dei domini Active Directory per ogni gruppo. In questo modo è possibile gestire insieme le informazioni NIS Windows e UNIX utilizzando la finestra di dialogo delle proprietà dei gruppi in Utenti e computer di Active Directory. Quando ad esempio si crea un nuovo gruppo, è sufficiente immetterne il nome una sola volta, dato che viene condiviso da Windows e NIS. Nel caso di informazioni specifiche di UNIX, ad esempio GID e membri, per immetterle è possibile utilizzare la scheda Attributi UNIX della stessa finestra di dialogo.


Aggiungere uno o più gruppi a un dominio NIS

Per aggiungere un gruppo a un dominio NIS

Al gruppo viene assegnato automaticamente un identificatore di gruppo (GID, Group Identifier). Se nel dominio NIS sono previsti requisiti speciali per i valori GID, è possibile modificare il valore assegnato.

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per aggiungere un gruppo a un dominio NIS

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo che si desidera aggiungere al dominio NIS e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nell'elenco Dominio NIS selezionare il dominio a cui si desidera aggiungere il gruppo.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando. Il nome del gruppo deve essere conforme alle convenzioni di denominazione UNIX. Deve contenere non più di otto caratteri numerici e alfabetici minuscoli, di cui almeno uno alfabetico. Non deve invece includere due punti (:) o un carattere di nuova riga.

Vedere anche

  • Gestire i gruppi NIS


Cambiare l'ID di un gruppo (GID)

Per cambiare l'ID di un gruppo (GID)

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per cambiare il GID di un gruppo

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nella casella GID (ID gruppo) digitare il nuovo identificatore del gruppo (GID, Group Identifier).

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Vedere anche

  • Gestire i gruppi NIS


Aggiungere o rimuovere membri di un gruppo

Per aggiungere o rimuovere membri di un gruppo

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per aggiungere o rimuovere membri di un gruppo

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Utenti.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul gruppo che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Eseguire una delle operazioni seguenti:

    • Per aggiungere un utente, fare clic su Aggiungi. Nell'elenco Utenti NIS disponibili fare clic su Aggiungi e quindi su OK.

    • Per rimuovere un utente, nell'elenco Membri fare clic sull'utente che si desidera rimuovere e quindi su Rimuovi.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Vedere anche

  • Gestire i gruppi NIS


Gestire i computer NIS

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Aggiungere un computer a un dominio

  • Specificare l'indirizzo IP di un computer di un dominio

  • Specificare l'alias di un computer di un dominio

Gestire i computer NIS

I sistemi UNIX archiviano le informazioni di base relative ai computer host della rete nel file hosts. Questo file è costituito da una serie di righe, una per ogni computer. In ogni riga possono essere contenute le informazioni seguenti relative a un computer:

  • Indirizzo IP (Internet Protocol)

  • Nome del computer

  • Elenco degli alias

Un computer UNIX consulta tale elenco per determinare l'indirizzo IP di un altro computer quando viene fatto riferimento a tale computer mediante il nome o l'alias, anziché mediante l'indirizzo.

Anziché archiviare tali informazioni in un file, Server per NIS gestisce le informazioni relative ai computer della rete in voci di Servizi dei domini Active Directory per ogni computer. In questo modo è possibile gestire insieme le informazioni NIS Windows e UNIX utilizzando la finestra di dialogo delle proprietà dei computer in Utenti e computer di Active Directory. Quando ad esempio si aggiunge un computer ai domini Windows e Network Information Service (NIS), è sufficiente immetterne il nome una sola volta, dato che viene condiviso da Windows e NIS. Nel caso di informazioni specifiche di UNIX, ad esempio indirizzi IP e alias, per immetterle è possibile utilizzare la scheda Attributi UNIX della stessa finestra di dialogo.

Si noti che è necessario immettere l'indirizzo IP solo se assegnato in modo statico. Se l'indirizzo viene assegnato da un server DHCP, la mappa hosts verrà aggiornata automaticamente ogni volta che cambia l'indirizzo IP del computer.


Aggiungere un computer a un dominio

Per aggiungere un computer a un dominio

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per aggiungere un computer a un dominio

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Computer.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer che si desidera aggiungere al dominio e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nell'elenco Dominio NIS selezionare il dominio a cui si desidera aggiungere il computer.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Vedere anche

  • Gestire i computer NIS


Specificare l'indirizzo IP di un computer di un dominio

Per specificare l'indirizzo IP di un computer di un dominio

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per specificare l'indirizzo IP di un computer di un dominio

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Computer.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nella casella Indirizzo IP digitare l'indirizzo IP (Internet Protocol) del computer.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Vedere anche

  • Gestire i computer NIS


Specificare l'alias di un computer di un dominio

Per specificare l'alias di un computer di un dominio

Nota

Per eseguire la procedura seguente, è necessario essere membri del gruppo Domain Administrators.

Per specificare l'alias di un computer di un dominio

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nell'albero della console fare clic sulla cartella Computer.

  3. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sul computer che si desidera amministrare e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Attributi UNIX.

  5. Nella casella Alias digitare l'alias del computer e quindi fare clic su Aggiungi.

  6. Per salvare le modifiche e lasciare aperta la finestra di dialogo, fare clic su Applica. Per salvare le modifiche e chiudere la finestra di dialogo, fare clic su OK.
Nota

Questa procedura non può essere eseguita dalla riga di comando. Per rimuovere un alias del computer, selezionarlo nell'elenco Elenco di alias e quindi fare clic su Rimuovi.

Vedere anche

  • Gestire i computer NIS


Concetti relativi a Server per NIS

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Informazioni su Server per NIS

  • Informazioni sulla migrazione di dati NIS

  • Amministrare Server per NIS


Informazioni su Server per NIS

Informazioni su Server per NIS

Server per NIS integra le reti Windows e Network Information Service (NIS) consentendo a un controller di dominio di Servizi dei domini Active Directory (AD DS) basato su Windows di operare come server NIS master per uno o più domini NIS. Server per NIS archivia i dati delle mappe NIS sia standard che non standard in AD DS. Le mappe standard sono costituite da aliases, bootparams, ethers, hosts, group, netgroup, netid, netmasks, networks, passwd, protocols, rpc, services, pservers e shadow. Tutte le altre sono mappe non standard.

Server per NIS crea pertanto un solo spazio dei nomi per i domini Windows e NIS che l'amministratore di Windows può gestire tramite un unico insieme di strumenti. L'amministratore può così creare, modificare ed eliminare contemporaneamente e senza difficoltà account utente per domini sia Windows che UNIX. Un utente che dispone di account sia in ambiente Windows che UNIX può essere gestito tramite AD DS con tutti gli attributi necessari per il dominio e lo spazio dei nomi corrispondenti.

Server master e subordinati che eseguono Server per NIS

Server per NIS può inoltre essere installato in altri controller di dominio dello stesso dominio del server NIS master, in modo che possano funzionare come server subordinati NIS. In questo caso, i dati NIS contenuti in AD DS vengono replicati automaticamente tra i controller di dominio Windows che eseguono Server per NIS. I computer basati su UNIX possono continuare a funzionare come server subordinati nel dominio NIS, poiché Server per NIS utilizza yppush per propagare le modifiche dei dati NIS ai server NIS basati su UNIX in modo analogo a un server NIS master basato su UNIX.

Processo di migrazione

Dopo aver installato Server per NIS, è necessario innanzitutto eseguire la migrazione delle mappe NIS dai server NIS basati su UNIX al computer che esegue Server per NIS. A tale scopo, è possibile eseguire la migrazione guidata basata su Windows inclusa in Server per NIS oppure un'utilità da riga di comando. Dopo la migrazione delle mappe, Server per NIS è pronto per operare come server master per il dominio NIS. È possibile eseguire la migrazione di più domini NIS verso lo stesso controller di dominio Active Directory basato su Windows. I domini possono essere uniti o mantenuti separati. È infine possibile eseguire la migrazione dei dati delle mappe NIS per fasi procedendo con una mappa alla volta.

Server per NIS è in grado di supportare più domini NIS contemporaneamente. Le mappe appartenenti a più domini possono inoltre trovarsi contemporaneamente in AD DS. Le richieste provenienti da un client o da un altro server in un dominio ricevono dati da una mappa nello stesso dominio.

Gestione di Server per NIS

Per gestire Server per NIS è possibile utilizzare la funzionalità Identity Management for UNIX basata su Windows. Per gestire le mappe passwd, group e hosts di cui è stata eseguita la migrazione in AD DS è possibile utilizzare strumenti basati su Windows come ad esempio Utenti e computer di Active Directory. È inoltre possibile utilizzare gli strumenti da riga di comando nismap e nisadmin per gestire tutte le mappe standard e non standard, nonché per gestire Server per NIS. Per monitorare le prestazioni di Server per NIS è infine possibile utilizzare gli strumenti di amministrazione di Windows, tra cui il Visualizzatore eventi per controllare gli eventi ed errori significativi registrati da Server per NIS.

Oltre a utilizzare gli strumenti di amministrazione disponibili in Windows, è possibile creare strumenti aggiuntivi tramite Active Directory Service Interfaces (ADSI) o Lightweight Directory Access Protocol (LDAP).

Server per NIS implementa le chiamate RPC (Remote Procedure Call) NIS necessarie per soddisfare le richieste provenienti da client NIS basati su UNIX e su Windows, nonché da altri server NIS subordinati. È supportata sia la modalità trasmissione che la modalità binding normale.

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Informazioni su NIS

  • Modalità master e modalità subordinata per il server


Informazioni su NIS

Informazioni su NIS

Precedentemente noto come Yellow Pages (yp), Network Information Service (NIS) offre un semplice servizio di ricerca in rete basato su database e processi. Un dominio NIS è costituito da un client e da uno o più server. I client utilizzano il protocollo NIS per ricercare le informazioni archiviate nei database NIS, di cui viene eseguita la replica tra i server. L'aggiornamento dei database è assegnato a un unico server master, mentre i server subordinati offrono servizi di sola lettura. I database vengono sincronizzati effettuandone la copia dai server master ai server subordinati a intervalli regolari o quando viene apportata una modifica.

Un database servito da NIS viene indicato come mappa NIS. Le chiamate di ricerca NIS richiedono un nome di mappa, o di database, e un nome di dominio NIS. Un dominio NIS è costituito da un insieme di tali mappe. Oltre ai database delle mappe, il server NIS master gestisce il timestamp che indica quando ogni database è stato modificato per l'ultima volta.

Ogni database viene creato a partire da un file di origine. I database passwd.byname e passwd.byuid ad esempio vengono creati a partire dal file di origine denominato passwd. Quando i file di origine cambiano, gli amministratori eseguono uno script di shell denominato ypmake o un makefile per aggiornare i database. I makefile utilizzati per creare i database eseguono inoltre il push dei database nei server NIS subordinati tramite yppush. Per il trasferimento viene utilizzato ypxfr, un programma eseguito nei server subordinati.

I client possono utilizzare molte funzioni e chiamate RPC (Remote Procedure Call) per eseguire la connessione al servizio di ricerca in rete, tra cui:

  • yp_match

  • yp_first

  • yp_next

  • yp_all

  • yp_order

  • yp_master

  • yperr_string

  • ypprot_err

In genere sono inoltre disponibili molti strumenti per amministrare NIS, ad esempio ypwhich, yppoll, ypset, ypcat e domainname.

Nota

Poiché Server per NIS non supporta ypxfrd, è possibile che in alcuni server NIS subordinati basati su UNIX vengano visualizzati messaggi di avviso. Tali messaggi vengono generati in ypinit e non indicano gli errori effettivi. Alcuni server NIS subordinati basati su UNIX eseguono ypxfrd nel server NIS master per replicare le mappe NIS. Se la connessione a ypxfrd ha esito negativo, ottengono copie delle mappe NIS tramite yp_all.

Vedere anche

  • Informazioni su Server per NIS
  • Modalità master e modalità subordinata per il server


Modalità master e modalità subordinata per il server

Modalità master e modalità subordinata (slave)

Server per NIS può funzionare in modalità master o in modalità subordinata e, se tale servizio viene utilizzato in un dominio, il server master del dominio dovrà essere proprio Server per NIS. In UNIX la differenza principale fra questi tipi di server consiste nel fatto che solo il server master può aggiornare le mappe, benché i dati possano essere letti sia dal server master che dai server subordinati. Il server NIS (Network Information Service) master inoltre fornisce aggiornamenti periodici delle mappe ai server subordinati.

Poiché nell'ambiente Windows che esegue Server per NIS i dati vengono archiviati in Servizi dei domini Active Directory (AD DS), il server master e i server subordinati condividono lo stesso database di AD DS replicato. Tali server sono pertanto peer per quanto riguarda gli aggiornamenti delle mappe o l'accesso in scrittura. Server per NIS in modalità master o subordinata consente gli aggiornamenti dei dati delle mappe NIS archiviati in AD DS. Le modifiche apportate a AD DS in uno qualsiasi di questi server vengono propagate ad altri computer che eseguono Server per NIS nel dominio tramite il meccanismo di sincronizzazione di AD DS.

Benché questi server funzionino come peer per gli aggiornamenti dei dati, deve comunque esistere un solo server master per i client e i server subordinati basati su UNIX. Questi ultimi continueranno a ricevere gli aggiornamenti delle mappe dal controller di dominio basato su Windows che esegue Server per NIS designato come server master. Analogamente, continueranno a inviare modifiche di passwd solo al server master.

Per informazioni su come impostare un server subordinato come server master, vedere Impostare un server subordinato come server master.


Informazioni sulla migrazione di dati NIS

Informazioni sulla migrazione di dati NIS

Server per NIS consente di eseguire la migrazione dei dati delle mappe NIS (Network Information Service) in Servizi dei domini Active Directory (AD DS).

Dopo la migrazione e alla ricezione di richieste NIS da client o altri server, Server per NIS esegue una ricerca in AD DS per rispondere alle query NIS.

La migrazione prevede i tre passaggi seguenti:

  1. Eseguire la migrazione delle mappe NIS in un server basato su Windows.

    • Tramite riga di comando

      Identity Management for UNIX include uno strumento da riga di comando denominato nis2ad che consente di eseguire la migrazione delle mappe da server NIS basati su UNIX a Server per NIS basato su AD DS.

    • Tramite la migrazione guidata

      NIS Data Migration Wizard di Identity Management for UNIX consente di estrarre le informazioni necessarie per eseguire la migrazione. Anche se si utilizza tale migrazione guidata, è comunque necessario eseguire i passaggi 2 e 3 descritti di seguito.

    La migrazione guidata e il comando nis2ad leggono i dati delle mappe dai file di origine mappa NIS, ovvero i file di testo normale a partire dai quali vengono compilati i database delle mappe NIS. Questi file di origine devono trovarsi in un percorso a cui il controller di dominio possa accedere durante la migrazione, ad esempio in un disco del controller di dominio o in una directory condivisa accessibile per il controller di dominio.

  2. Informare i server NIS subordinati, o slave, esistenti del nuovo server NIS master.

    Dopo la migrazione, il server NIS basato su UNIX originale deve inviare un aggiornamento delle mappe a tutti i server NIS subordinati con il nome del nuovo server master nelle mappe.

  3. Disattivare il server NIS originale.

I server NIS subordinati basati su UNIX possono continuare a funzionare come prima. Riceveranno tuttavia gli aggiornamenti delle mappe dal computer basato su Windows anziché dal computer basato su UNIX. I computer client continueranno a ottenere le mappe o i dati NIS dal nuovo master.

In questa sezione

  • Eseguire la migrazione di NIS in Servizi di dominio Active Directory

  • Eseguire la migrazione e la gestione di mappe standard e non standard

  • Risolvere i conflitti di migrazione

  • Gestire i tipi di utenti speciali durante la migrazione


Eseguire la migrazione di NIS in Servizi di dominio Active Directory

Eseguire la migrazione di NIS in Active Directory

Durante la migrazione, Server per NIS può trasferire ogni dominio NIS (Network Information Service) mantenendolo separato in Servizi dei domini Active Directory (AD DS), così come può unire i dati in un dominio esistente. Tale dominio può essere uno dei domini di cui è stata precedentemente eseguita la migrazione o un dominio NIS speciale creato al momento dell'installazione di Server per NIS.

Uno dei vantaggi derivanti dalla migrazione delle mappe NIS in Windows è rappresentato dall'unione di utenti e oggetti UNIX e Windows per la creazione di uno spazio dei nomi comune. Gli oggetti comuni nelle due reti inoltre offrono il vantaggio di avere un'identità univoca.

Durante la migrazione è necessario specificare il contenitore di AD DS in cui devono essere creati gli oggetti trasferiti. È consigliabile creare questi oggetti nello stesso contenitore degli altri oggetti Windows. Se non si specifica il contenitore, i nuovi oggetti verranno creati nel contenitore predefinito che corrisponde al contenitore Windows.

Se si esegue la migrazione di mappe passwd, group o hosts in un contenitore diverso da quello predefinito, per impostazione predefinita le entità trasferite non vengono visualizzate in Utenti e computer di Active Directory. Per visualizzare tutti gli oggetti, scegliere Caratteristiche avanzate dal menu Visualizza della console Utenti e computer di Active Directory.

Gli account utente Windows creati come risultato della migrazione sono disattivati. Dopo aver eseguito la migrazione, è necessario attivare gli account quando si è pronti per farli utilizzare. Per motivi di sicurezza, è consigliabile assegnare inoltre una password temporanea a tali account e istruire gli utenti affinché cambino le proprie password Windows appena possibile.

Per informazioni sulla gestione dei problemi relativi alla migrazione, vedere Risoluzione dei problemi relativi a Server per NIS.

Migrazione per fasi

Dopo la migrazione delle mappe nel controller di dominio di AD DS, è possibile eseguire la migrazione di altri server subordinati basati su UNIX in altri controller di dominio dello stesso dominio Windows. Per la migrazione dei server subordinati non è necessario eseguire la migrazione dei dati. AD DS infatti consente ai controller di dominio del dominio Windows di condividere lo stesso schema e lo stesso database di AD DS e ai controller di dominio subordinati è già consentito l'accesso ai dati NIS. Dopo l'installazione di Server per NIS in un controller di dominio dello stesso dominio Windows, il controller di dominio è pronto per operare come server NIS subordinato per il dominio NIS.

Di seguito vengono elencate le fasi della migrazione di un server NIS subordinato.

  1. Verificare che sia stata eseguita la migrazione del server master del dominio NIS in Server per NIS.

  2. Installare Server per NIS in un altro controller di dominio di AD DS. Il server NIS subordinato di cui si desidera eseguire la migrazione in Windows può continuare a funzionare come prima. Nelle subnet possono operare più server NIS subordinati.

  3. Disattivare il server NIS subordinato nel computer basato su UNIX.

Non è necessario eseguire contemporaneamente la migrazione di tutti i file di origine mappa NIS di un dominio NIS. I file di origine mappa NIS sono i file di testo normale a partire dai quali vengono compilati i database delle mappe NIS. La migrazione di ogni mappa NIS di un dominio viene eseguita separatamente. L'amministratore può specificare il nome del dominio in cui verrà trasferita la mappa. Se non esiste un dominio con il nome specificato, verrà creato un nuovo dominio NIS con tale nome.

Dopo aver eseguito la migrazione delle mappe NIS in Server per NIS, è possibile che i dati trasferiti non siano immediatamente disponibili in Server per NIS.

Eseguire la migrazione di più domini NIS

L'utilità di migrazione o la migrazione guidata consente di eseguire la migrazione di più domini NIS in AD DS. Durante la migrazione di una mappa, l'amministratore deve specificare il dominio a partire dal quale deve essere trasferiti i dati. Server per NIS mantiene il nome del dominio originale con le voci di mappa create in AD DS. Le voci di mappa trasferite verranno pertanto restituite ai client o ai server subordinati solo dal dominio specificato.

La migrazione guidata consente inoltre di unire una mappa di un dominio in un altro dominio NIS. Questo dominio può essere uno dei domini NIS precedentemente trasferiti o un dominio speciale creato al momento dell'installazione di Server per NIS. L'amministratore deve specificare il nome del dominio NIS verso cui verrà eseguita la migrazione dei dati.

Se si esegue la migrazione di più domini, è possibile utilizzare la console di gestione Identity Management for UNIX per gestirli singolarmente.

Server per NIS supporta un massimo di 960 combinazioni univoche di domini e mappe NIS. Non è ad esempio in grado di supportare più di 64 domini con 15 mappe ognuno (64×15=960).


Eseguire la migrazione e la gestione di mappe standard e non standard

In questo argomento sono incluse le sezioni seguenti:

Eseguire la migrazione di mappe standard e non standard

Gestire le mappe NIS standard e non standard

Eseguire la migrazione di mappe standard e non standard

Il programma di migrazione da riga di comando e NIS Data Migration Wizard sono entrambi progettati per consentire la migrazione di mappe NIS (Network Information Service) standard, ad esempio passwd, group e services. NIS Data Migration Wizard presenta un elenco di file di origine mappa NIS, ovvero i file di testo normale a partire dai quali vengono compilati i database delle mappe NIS, in cui l'amministratore sceglie le mappe di cui eseguire la migrazione. La migrazione guidata quindi utilizza il formato standard di questi file di origine mappa NIS per eseguire la migrazione dei dati in Active Directory.

Le mappe di seguito elencate sono considerate standard. Tutte le altre mappe sono di tipo non standard.

  • aliases

  • bootparams

  • ethers

  • hosts

  • group

  • netgroup

  • netid

  • netmasks

  • networks

  • passwd

  • protocols

  • rpc

  • services

  • ypservers

  • shadow

Nota

Per i nomi di dominio non viene applicata la distinzione tra maiuscole e minuscole. Non è possibile eseguire la migrazione di domini con lo stesso nome, anche se con caratteri maiuscoli e minuscoli diversi.

Gestione della migrazione standard in Server per NIS

La migrazione viene gestita in due modi diversi, a seconda che per la mappa interessata esista o meno un equivalente in Servizi dei domini Active Directory (AD DS). Per le mappe standard quali passwd, group e hosts che hanno una classe AD DS equivalente vengono aggiunte classi ausiliarie. Ad esempio, viene aggiunta una classe ausiliaria posixAccount all'utente della classe che a sua volta aggiunge attributi quali uidNumber e unixHomeDirectory. Per le mappe NIS standard senza equivalenti in AD DS, ad esempio services e rpc, vengono create classi aggiuntive.

Poiché Identity Management for UNIX è conforme alla specifica Request for Comments (RFC) 2307 degli standard Internet Engineering Task Force (IETF), gli attributi delle mappe corrispondono a quelli identificati nello schema RFC 2307, con le eccezioni seguenti:

  • L'equivalente Identity Management for UNIX dell'attributo RFC 2307 userPassword è unixUserPassword.

  • L'equivalente Identity Management for UNIX dell'attributo RFC 2307 homeDirectory è unixHomeDirectory.

  • In Identity Management for UNIX, posixgroup non è una classe univoca come definito da RFC 2307 ma una classe ausiliaria.

Per ogni voce di mappa da trasferire durante la migrazione di mappe standard, la migrazione guidata crea un nuovo oggetto della classe corrispondente o aggiunge attributi appropriati alla classe ausiliaria.

Poiché le classi e gli attributi presenti nelle mappe non standard potrebbero non avere equivalenti corrispondenti in Active Directory, la migrazione guidata utilizza un campo chiave per creare corrispondenze uno-a-uno tra le voci della mappa esistente e le voci create in Active Directory. Utilizzando il campo chiave come riferimento, la migrazione guidata copia in Active Directory altre classi della mappa non standard così come vengono rilevate nel file di origine mappa.

Importante

Quando si esegue la migrazione di mappe passwd e group, gli utenti non risultano membri del relativo gruppo primario. Se si desidera che gli utenti siano membri del relativo gruppo primario in AD DS, sarà necessario utilizzare Utenti e computer di Active Directory per aggiungerli al gruppo primario.

Prima di eseguire la migrazione di una mappa non standard, è necessario fornire la sintassi della mappa, ovvero il nome della mappa non standard, il delimitatore tra i campi e il numero del campo chiave.

Per informazioni sulla gestione delle mappe dopo la migrazione, vedere Gestire le mappe NIS standard e non standard.

Eseguire la migrazione di mappe passwd

Se a seguito della migrazione viene creato un nuovo utente Windows, l'account Windows di tale utente è disattivato. Per consentire all'utente di accedere al dominio Windows o a un computer UNIX nel dominio NIS, è pertanto necessario attivare l'account Windows. Per motivi di sicurezza, è consigliabile cambiare la password Windows dell'utente impostandola su un valore temporaneo conosciuto, fornire all'utente tale password temporanea e quindi istruirlo affinché cambi la propria password Windows appena possibile. Quando l'utente cambia la password Windows, la nuova password viene propagata ai client NIS basati su UNIX al successivo aggiornamento delle mappe NIS. Dopo l'aggiornamento, l'utente può accedere ai computer UNIX nel dominio NIS.

Se a seguito della migrazione vengono aggiunti attributi UNIX a un utente Windows esistente, la password UNIX in AD DS viene impostata sulla password UNIX esistente e la password Windows resta invariata.

Ogni volta che viene cambiata la password Windows di un utente, viene cambiata la password nella mappa passwd NIS archiviata in AD DS. Non avviene tuttavia il contrario. Quando pertanto l'utente esegue yppasswd in un computer client UNIX per cambiare la password NIS, viene cambiata solo la password nella mappa passwd. La password Windows rimane invariata. Le password UNIX e Windows pertanto non corrispondono.

Nota

È consigliabile che gli utenti cambino le password solo in Windows in modo che le password Windows e UNIX nella mappa NIS siano identiche. Si noti tuttavia che è possibile installare e configurare Sincronizzazione password per assicurare la sincronizzazione bidirezionale delle password tra Server per NIS e gli host UNIX di un dominio NIS.

Per ulteriori informazioni, vedere "Sincronizzare le password con un dominio NIS" nella Guida di Identity Management for UNIX.

Eseguire la migrazione di mappe ypservers

Le chiavi nella mappa ypservers sono i nomi ASCII dei computer in cui vengono eseguiti i server NIS. Nella mappa ypservers può pertanto essere contenuto solo un elenco di server NIS, ognuno riportato su una riga separata. Se nella mappa ypservers sono contenuti alias, modificare la mappa ypservers prima della migrazione in modo che contenga solo i nomi host dei server, uno per riga. L'elenco seguente è un esempio di mappa ypservers valida:

ypserver_1
ypserver_2
ypserver_3

Eseguire la migrazione di mappe Automount File System (AutoFS)

Per eseguire la migrazione di mappe Automount File System (AutoFS) è possibile importare i file auto_master e auto_home da un computer UNIX e quindi utilizzare gli strumenti da riga di comando o NIS Data Migration Wizard.

Prima di eseguire la migrazione, è necessario copiare i file auto_master e auto_home dal computer UNIX in una directory del computer basato su Windows, ad esempio %temp%.

Se si utilizza la migrazione guidata per trasferire le mappe AutoFS, specificare auto_master o auto_home a seconda della mappa. Utilizzare uno spazio come separatore di campo e 1 come campo chiave. Verificare che la chiave non faccia parte del valore.

È possibile utilizzare la migrazione guidata per importare anche altre mappe AutoFS. Per eseguire la migrazione della mappa auto.redirect è ad esempio possibile copiare e quindi importare il file di mappa auto_redirect, verificando che la chiave non faccia parte del valore.

L'utilizzo degli strumenti da riga di comando per eseguire la migrazione di mappe AutoFS comporta l'utilizzo dell'utilità nismap per creare la struttura corrispondente nello schema di Active Directory e quindi l'esecuzione dell'utilità nis2ad per importare i dati delle mappe.

I comandi seguenti ad esempio consentono di eseguire la migrazione di mappe AutoFS dal dominio NIS denominato NIS01 al dominio Windows denominato WIN01 utilizzando file contenuti in C:\Temp:

nismap create -i 1 -g " " -y auto.master
nismap create -i 1 -g " " -y auto.home
nis2ad -y NIS01 -a WIN01 -d C:\Temp -s localhost -r yes -m auto_master
nis2ad -y NIS01 -a WIN01 -d C:\Temp -s localhost -r yes -m auto_home

È possibile utilizzare lo stesso metodo per eseguire la migrazione di altre mappe AutoFS. Ad esempio, per eseguire la migrazione della mappa auto.redirect, utilizzare l'utilità nismap al fine di creare la struttura per la mappa auto.redirect in AD DS, copiare il file auto_redirect nel computer basato su Windows e quindi eseguire l'utilità nis2ad per importare i dati nel file auto_redirect.

Eseguire la migrazione di mappe non standard

In AD DS è inclusa una classe che si applica a qualsiasi mappa NIS. Questa classe richiede il nome della mappa, la chiave e il resto della voce.

Per eseguire la migrazione di mappe non standard, l'amministratore deve specificare il nome del file di origine mappa e il formato delle voci delle mappe nella migrazione guidata o nell'utilità da riga di comando. Nella migrazione guidata vengono utilizzati il campo chiave e il separatore per trasferire i dati e creare gli oggetti appropriati in Active Directory.

Importante

Se si esegue la migrazione di mappe passwd, group o hosts in un contenitore diverso da quello predefinito (CN=users,...), in genere alcuni oggetti di cui è stata eseguita la migrazione non vengono visualizzati in Utenti e computer di Active Directory. Per visualizzare tutti gli oggetti in Utenti e computer di Active Directory, selezionare il dominio e quindi scegliere Caratteristiche avanzate dal menu Visualizza.

Gestire le mappe NIS standard e non standard

È possibile utilizzare un server NIS (Network Information Service) basato su Windows per gestire sia le mappe standard che le mappe non standard. Per gestire le mappe che fanno parte di un dominio servito da un server NIS basato su Windows è possibile utilizzare due diversi tipi di strumenti:

  • Interfaccia utente grafica (GUI, Graphical User Interface) di Identity Management for UNIX

  • Utilità da riga di comando

In molti casi è possibile optare liberamente per l'uno o l'altro metodo per eseguire una determinata attività, in altri invece è possibile utilizzare solo uno dei due metodi.

Per informazioni sulla migrazione delle mappe, vedere Eseguire la migrazione di mappe standard e non standard.

Gestire le mappe passwd

Per gestire le mappe passwd per Server per NIS è possibile utilizzare Utenti e computer di Active Directory. È inoltre possibile utilizzare Utenti e computer di Active Directory per gestire gli attributi correlati a file di password per un utente del dominio Windows o per gli utenti di cui è stata eseguita la migrazione da un determinato dominio NIS.

Gestire le mappe group

I dati delle mappe group per Server per NIS vengono gestiti tramite Utenti e computer di Active Directory. Utilizzando questo snap-in è possibile gestire ogni gruppo del dominio Windows o i singoli gruppi di cui è stata eseguita la migrazione da un determinato dominio NIS.

Si noti che per ogni gruppo i membri UNIX sono diversi dai membri Windows.

Gestire le mappe hosts

Per gestire i dati delle mappe hosts per Server per NIS è possibile utilizzare Utenti e computer di Active Directory. Utilizzando questo snap-in è possibile gestire ogni computer del dominio Windows, nonché gli host di cui è stata eseguita la migrazione da un determinato dominio NIS.

Gestire altre mappe e le mappe non standard

In Server per NIS non sono inclusi strumenti GUI per gestire mappe NIS standard che non siano di tipo passwd, group e hosts. Le mappe di altro tipo possono essere gestite utilizzando gli strumenti disponibili in Active Directory. Gli amministratori in particolare possono utilizzare lo snap-in adsiedit per visualizzare e modificare le mappe NIS.

Tra le mappe standard sono incluse le seguenti:

  • passwd

  • group

  • hosts

  • aliases

  • bootparams

  • ethers

  • netgroup

  • netid

  • netmasks

  • networks

  • protocols

  • rpc

  • services

  • ypservers

  • shadow password maps


Risolvere i conflitti di migrazione

Risolvere i conflitti di migrazione

Durante la migrazione possono verificarsi conflitti quando Server per NIS tenta di unire account utente, gruppi e nomi di computer in ingresso in classi già esistenti in Servizi dei domini Active Directory (AD DS). È inoltre possibile che si verifichino conflitti perché Server per NIS consente l'unione tra un dominio NIS (Network Information Service) e un altro dominio NIS di cui è già stata eseguita la migrazione in Server per NIS.

Si consideri ad esempio un file di origine mappa passwd di cui deve essere eseguita la migrazione a Server per NIS. Nella mappa interessata è contenuto un nome utente UNIX johnwood. Se non esistono utenti con nome johnwood, la migrazione di tale utente a Server per NIS verrà eseguita senza problemi. Se invece esiste già un utente con lo stesso nome trasferito in precedenza da un altro dominio NIS, si verificherà un conflitto.

Quando NIS Data Migration Wizard rileva un potenziale conflitto di nomi durante la migrazione, risolve il problema anteponendo un prefisso al nome interessato. Se il nome di cui eseguire la migrazione è un nome utente, il prefisso sarà costituito dal nome del dominio NIS e dai caratteri _u_. Se invece è un nome di gruppo, il prefisso sarà costituito dal nome del dominio NIS e dai caratteri _g_. In questo modo sarà possibile eseguire la migrazione anche in caso di conflitto.

Se ad esempio si esegue la migrazione di un utente denominato johnwood in un dominio NIS denominato mktg e precedentemente è stata eseguita la migrazione di un utente con lo stesso nome da un altro dominio NIS, il nome johnwood del dominio mktg diventerà mktg_u_johnwood durante la migrazione.

Se si verificano conflitti, stabilire come gestirli uno per uno esaminando i registri di migrazione. Valutare se il nome in conflitto rappresenta lo stesso utente o gruppo in entrambi i domini oppure se rappresenta utenti o gruppi diversi. In quest'ultimo caso, è consigliabile rinominare uno o entrambi gli utenti o i gruppi. Se invece il nome in conflitto rappresenta lo stesso utente o gruppo, sarà necessario decidere se l'utente o il gruppo deve essere contenuto in entrambi i domini, nel qual caso dovrà esserne rinominato almeno uno, oppure se è possibile eliminarlo da uno dei due domini.

Anziché risolvere il conflitto dopo la migrazione dei domini, è possibile evitare che si verifichi, ad esempio cambiando il nome di un utente o di un gruppo nel dominio NIS.

Per impostazione predefinita, NIS Data Migration Wizard esegue una migrazione di prova. Durante questo processo, Server per NIS esegue i passaggi necessari per la migrazione di un dominio NIS in AD DS, ma in realtà non modifica AD DS. I risultati previsti per la migrazione vengono registrati in un file di registro. Se vengono rilevati potenziali conflitti, è possibile risolverli prima di eseguire la migrazione vera e propria.

Se durante una migrazione di prova o effettiva vengono rilevati nomi identici, il conflitto può essere registrato in un apposito file di registro in cui vengono elencati i conflitti che si verificano durante la migrazione di una mappa. Nel caso di un conflitto, in tale file di registro vengono elencate la voce NIS di cui eseguire la migrazione e la voce esistente in AD DS. Nel caso dell'esempio seguente, nell'apposito file di registro non vengono segnalati conflitti per la migrazione del file passwd.

--------------
## Tue Jun 1 16:22:47 1999 : Conflicts between entries from map file 'passwd' and existing entries in Active Directory. ##
-------------

Nel caso dell'esempio seguente, nell'apposito file di registro viene segnalato un conflitto per la migrazione della mappa. Vengono elencate la voce esistente in AD DS e la nuova voce di cui eseguire la migrazione con cui è in conflitto la voce esistente.

-------------
## Tue Jun 1 16:22:52 1999 : Conflicts between entries from map file 'aliases' and existing entries in Active Directory. ##
EXISTS : having DN = 'CN=al1,CN=nisadmin,CN=DefaultMigrationContainer,DC=nis, DC=sfu,DC=nttest,DC=microsoft,DC=com'
OLD : staff:wnj,mosher,sam
NEW : staff:pradeep,peter,wjs
-------------

Secondo quanto indicato nel file, la mappa staff esiste in AD DS. La voce esistente in AD DS è diversa dalla nuova voce da aggiungere. È possibile cambiare il nome dell'alias staff in AD DS o nel file di origine mappa, ovvero nel file di testo normale a partire dal quale viene compilato il database delle mappe NIS. È inoltre possibile mantenere o sostituire le voci esistenti utilizzando le impostazioni in NIS Data Migration Wizard.

Oltre a un file dei conflitti, è possibile specificare un file di registro in cui inserire tutte le operazioni di migrazione. Di seguito è riportato un esempio di output di un file di registro per operazioni di migrazione.

## Start of NIS to Active Directory migration of 'passwd' @ Tue Jun 1 16:26:21 1999 ##
MESSAGE : Migrating 'passwd' entries from UNIX NIS domain 'nis01' to Active Directory domain 'CorpDomain.'
SUCCESS : Migration of object 'nis0101' of class 'User' into 'LDAP://localhost/CN=Users,DC=nis,DC=sfu,DC=nttest,DC=microsoft,DC=com'.
SUCCESS : Migration of object 'nis0102' of class 'User' into 'LDAP://localhost/CN=Users,DC=nis,DC=sfu,DC=nttest,DC=microsoft,DC=com'.
## Start of NIS to Active Directory migration of 'passwd' @ Tue Jun 1 16:41:46 1999 ##
MESSAGE : Migrating 'passwd' entries from UNIX NIS domain 'conflicts' to Active Directory domain 'conflicts'.
CONFLICT : Can't migrate 'nis0101' to
'LDAP://localhost/CN=Users,DC=nis,DC=sfu,DC=nttest,DC=microsoft,DC=com'. An object having same attributes(name/uidNumber/gidNumber) exists at 'CN=nis0101,CN=Users,DC=nis,DC=sfu,DC=nttest,DC=microsoft,DC=com'.

Vedere anche

  • Informazioni sulla migrazione di dati NIS


Gestire i tipi di utenti speciali durante la migrazione

Gestire i tipi di utenti speciali durante la migrazione

Per tipi di utenti speciali con ID utente (UID, User Identifier) inferiore a 20, durante la migrazione vengono creati account Windows il cui nome viene generato aggiungendo i primi nove caratteri del relativo dominio NIS (Network Information Service) ai relativi nomi utente basati su UNIX. I relativi nomi utente UNIX restano invariati. Se ad esempio si esegue la migrazione dell'utente root dal dominio physlab a Server per NIS, verrà creato un nuovo utente Windows denominato physlab_u_root. Il nome utente UNIX è ancora root e la differenza nei nomi non influisce sulle query NIS provenienti dal dominio physlab.

Se si esegue la migrazione di un gruppo denominato root da tale dominio, verrà creato un gruppo denominato physlab_g_root.

Vedere anche

  • Informazioni sulla migrazione di dati NIS


Amministrare Server per NIS

In questa sezione

In questa sezione sono contenuti gli argomenti seguenti:

  • Sincronizzare le password utente

  • Impostare le password UNIX su valori speciali

  • Sincronizzare e propagare le modifiche NIS

  • Inviare aggiornamenti periodici delle mappe ai server NIS subordinati

  • Eseguire immediatamente il push degli aggiornamenti delle mappe


Sincronizzare le password utente

Sincronizzare le password utente

Server per NIS offre un supporto limitato per il mantenimento della sincronizzazione delle password degli account Windows e UNIX.

Se Server per NIS è installato in un dominio Windows con più controller di dominio, è consigliabile installare Sincronizzazione password in tutti i controller del dominio. Poiché infatti qualsiasi controller di dominio può in teoria rispondere a una richiesta di modifica della password di un utente, è consigliabile che Sincronizzazione password sia in esecuzione in tale controller per garantire l'aggiornamento della mappa passwd NIS. Se si installa Sincronizzazione password in un controller di dominio unicamente per supportare Server per NIS in questo modo, non sarà necessario configurare gli host UNIX per interagire con Sincronizzazione password in esecuzione nel controller di dominio.

Quando vengono sincronizzate le password, Server per NIS può utilizzare crypt o Message Digest 5 (MD5). Server per NIS può supportare metodi di crittografia diversi per più domini, ma in tutti i computer UNIX di un determinato dominio deve essere utilizzato lo stesso metodo. Per ulteriori informazioni su come specificare il metodo di crittografia, vedere Impostare il metodo di crittografia per un dominio.


Impostare le password UNIX su valori speciali

Impostare le password UNIX su valori speciali

È possibile impostare la password di un utente UNIX su un valore speciale, ad esempio NP (nessuna password) o * (nessun accesso) senza modificare la password Windows dell'utente. A tale scopo, utilizzare il comando nismap per modificare la voce relativa alla password NIS (Network Information Service) per l'utente specifico, come indicato di seguito:

  • Per impostare la password su nessuna password, in genere uno spazio:

    nismap mod -e "username::uid:gid:gecos:/home/username:/login_shell" -k username passwd

  • Per impostare la password su * (nessun accesso):

    nismap mod -e "username:*:uid:gid:gecos:/home/username:/login_shell" -k username passwd

  • Per impostare la password su *LK* (bloccata):

    nismap mod -e "username:*LK*:uid:gid:gecos:/home/username:/login_shell" -k username passwd

Vedere anche

  • Amministrare Server per NIS


Sincronizzare e propagare le modifiche NIS

Sincronizzare e propagare le modifiche NIS

Un server NIS (Network Information Service) master basato su Windows è in grado di propagare le modifiche delle mappe a server NIS subordinati dello stesso dominio. Tali modifiche vengono propagate ai server NIS subordinati tramite le funzionalità del protocollo NIS.

Il server NIS master supporta le modalità di trasferimento seguenti:

  • Trasferimento periodico delle mappe NIS.

  • Trasferimento su richiesta delle mappe NIS ai server subordinati. Le mappe NIS vengono trasferite in genere ai server subordinati contestualmente alla modifica tramite make. Il server NIS basato su Windows non utilizza make, bensì esegue immediatamente il push.

  • Possibilità per i server NIS subordinati di richiedere il trasferimento delle mappe in qualsiasi momento.

Vedere anche

  • Amministrare Server per NIS


Inviare aggiornamenti periodici delle mappe ai server NIS subordinati

Inviare aggiornamenti periodici delle mappe ai server NIS subordinati (slave)

In Network Information Service (NIS) un server NIS master invia aggiornamenti periodici delle mappe ai server NIS subordinati in modo che la visualizzazione delle mappe nel server master e nei server subordinati coincida. Per questo processo viene utilizzata l'utilità yppush. Anche Server per NIS invia aggiornamenti periodici delle mappe ai server NIS subordinati. È possibile impostare la frequenza degli aggiornamenti delle mappe mediante gli strumenti di amministrazione di Server per NFS.

Server per NIS utilizza yppush per inviare gli aggiornamenti delle mappe solo ai server NIS subordinati eseguiti in UNIX.

Poiché Server per NIS utilizza Servizi dei domini Active Directory (AD DS) per archiviare i dati, i server master e subordinati condividono lo stesso database di AD DS replicato. Le modifiche delle mappe di un determinato dominio vengono propagate ad altri computer che eseguono Server per NIS in modalità subordinata tramite il meccanismo di sincronizzazione di AD DS. I server NIS subordinati basati su Windows pertanto ricevono gli aggiornamenti dal server NIS master a ogni modifica. La frequenza degli aggiornamenti è una proprietà di Server per NIS e viene definita per tutti i domini supportati dal server.

Per informazioni su come modificare la frequenza degli aggiornamenti delle mappe, vedere Modificare la frequenza degli aggiornamenti delle mappe.

Per informazioni sull'utilizzo di yppush, vedere yppush.


Eseguire immediatamente il push degli aggiornamenti delle mappe

Eseguire immediatamente il push degli aggiornamenti delle mappe

Ogni volta che viene apportata una modifica ai dati delle mappe in Network Information Service (NIS), gli amministratori eseguono make per apportare modifiche corrispondenti al database NIS. Durante questo processo, in genere make consente inoltre di propagare le modifiche ai server subordinati, noti anche come slave, tramite yppush. In questo modo gli amministratori possono eseguire immediatamente il push delle modifiche nei server subordinati.

Poiché Server per NIS non utilizza make per apportare modifiche al database, fornisce un comando yppush esplicito per la propagazione immediata delle modifiche ai server subordinati basati su UNIX. Server per NIS inoltre fornisce nella console di gestione Identity Management for UNIX un comando per il push immediato delle mappe nei server NIS subordinati.

Si noti che è possibile utilizzare yppush per il push delle modifiche solo nei server NIS subordinati che vengono eseguiti in UNIX. Poiché Server per NIS utilizza Servizi dei domini Active Directory (AD DS) per archiviare i dati, il server master e i server subordinati che eseguono sistemi operativi Windows condividono lo stesso database di AD DS replicato. Le modifiche apportate a AD DS vengono immediatamente propagate ad altri computer che eseguono Server per NIS. Non è pertanto necessario utilizzare yppush per eseguire il push delle modifiche in server NIS subordinati che eseguono sistemi operativi Windows.

Per informazioni sulla propagazione immediata delle mappe, vedere Propagare immediatamente le mappe selezionate e Propagare immediatamente le mappe modificate.

Per informazioni sull'utilizzo di yppush, vedere yppush.


Utilità da riga di comando in Server per NIS

Utilità da riga di comando in Server per NIS

nisadmin

nis2ad

ypclear

yppush

ypmatch

ypcat

nismap


nisadmin

nisadmin

NOME

nisadmin - Utilità da riga di comando di Windows per amministrare Server per NIS

RIEPILOGO

nisadmin [computer] [-u usr [-p pword]]
nisadmin [computer] [-u usr [-p pword]] mkmaster -d domain
nisadmin [computer] [-u usr [-p pword]] mkslave -d domain -m server
nisadmin [computer] [-u usr [-p pword]] addserver -d domain -m server
nisadmin [computer] [-u usr [-p pword]] delserver -d domain -m server
nisadmin [computer] [-u usr [-p pword]] config option[...]
nisadmin [computer] [-u usr [-p pword]] syncall
nisadmin [computer] [-u usr [-p pword]] start
nisadmin [computer] [-u usr [-p pword]] stop
nisadmin [computer] [-u usr [-p pword]] pause
nisadmin [computer] [-u usr [-p pword]] continue
nisadmin [computer] [-u usr [-p pword]] encryptiontype
         -d domain {crypt | md5}

DESCRIZIONE

L'utilità da riga di comando di Windows nisadmin consente di amministrare Server per NIS nel computer locale o in un computer remoto. Se l'account utilizzato per l'accesso non dispone dei privilegi necessari, è possibile specificare il nome utente e la password di un account che dispone di tali privilegi. L'azione eseguita da nisadmin dipende dall'argomento del comando specificato.

Oltre agli argomenti del comando specifici, nisadmin accetta le opzioni e gli argomenti seguenti:

Termine | Definizione
computer | Consente di specificare il computer remoto che si desidera amministrare. È possibile specificare il computer utilizzando un nome WINS (Windows Internet Name Service) o DNS (Domain Name System) oppure l'indirizzo IP (Internet Protocol).
-u usr | Consente di specificare il nome dell'utente di cui dovranno essere utilizzate le credenziali. Potrebbe essere necessario aggiungere il nome di dominio al nome utente nel formato domain\username.
-p pword | Consente di specificare la password dell'utente indicato mediante l'opzione -u. Se si specifica l'opzione -u ma si omette l'opzione -p, verrà richiesta la password dell'utente.

L'azione specifica eseguita da nisadmin dipende dall'argomento del comando indicato:

Termine Definizione

mkmaster

Consente di trasformare un server subordinato, o slave, in un server master. Quando si utilizza mkmaster, è necessario utilizzare l'opzione e l'argomento seguenti:

  • -d domain Consente di specificare il nome del dominio per cui viene eseguita la modifica.

mkslave

Consente di trasformare un server master in un server subordinato o slave. Quando si utilizza mkslave, è necessario utilizzare le opzioni e gli argomenti seguenti:

  • -d domain Consente di specificare il nome del dominio per cui viene eseguita la modifica.

  • -m server Consente di specificare il nome del controller di dominio da innalzare al livello di server master.

config

Consente di configurare i parametri del servizio. Quando si utilizza config, è necessario specificare una o più delle opzioni seguenti:

  • pushint=[[days:]hh:]mm Consente di specificare l'intervallo in giorni, ore e minuti con cui il servizio deve verificare la presenza di modifiche alle mappe NIS (Network Information Service) in Active Directory e propagarle ai server NIS secondari per tutti i domini. Se si specifica un valore hh, il valore hh deve essere compreso nell'intervallo tra 0 e 23, mentre il valore mm deve essere compreso nell'intervallo tra 0 e 59.

  • logging={n[ormal] | v[erbose]} Consente di specificare la quantità di informazioni che devono essere disponibili nei registri eventi. Specificare normal o n per registrare solo gli eventi di errore. Specificare verbose o v per registrare eventi di errore, di avviso e relativi a operazioni riuscite.

addserver -d domain -m server

Aggiungere il computer specificato come server subordinato Quando si utilizza addserver, è necessario utilizzare le opzioni e gli argomenti seguenti:

  • -d domain Consente di specificare il nome del dominio per cui viene eseguita la modifica.

  • -m server Consente di specificare il nome del controller di dominio da aggiungere come server subordinato.

delserver -d domain -m server

Rimuovere il server subordinato specificato. Quando si utilizza delserver, è necessario utilizzare le opzioni e gli argomenti seguenti:

  • -d domain Consente di specificare il nome del dominio per cui viene eseguita la modifica.

  • -m server Consente di specificare il nome del server subordinato da rimuovere.

syncall

Consente di sincronizzare immediatamente le mappe modificate con quelle contenute nei server subordinati basati su UNIX.

start

Consente di avviare il servizio Server per NIS.

stop

Consente di arrestare il servizio Server per NIS.

pause

Consente di sospendere il servizio Server per NIS.

continue

Consente di continuare a eseguire il servizio Server per NIS.

encryptiontype

Consente di specificare il metodo utilizzato per crittografare le password UNIX relative al domain indicato. Per i domini contenenti computer basati su UNIX che eseguono tutti Linux con la crittografia MD5, questo valore può essere md5. Per i domini contenenti uno o più computer basati su UNIX che eseguono altri sistemi operativi o metodi di crittografia, questo valore deve essere crypt (impostazione predefinita). In tutti i computer del dominio deve essere utilizzato lo stesso metodo.

Se non si specifica un argomento del comando, nisadmin visualizza le impostazioni correnti di Server per NIS.

Vedere anche

  • Impostare un server subordinato come server master
  • Modificare la frequenza degli aggiornamenti delle mappe
  • Propagare immediatamente le mappe modificate
  • Impostare il metodo di crittografia per un dominio


nis2ad

nis2ad

NOME

nis2ad - Utilità da riga di comando di Windows per eseguire la migrazione delle mappe da Network Information Service (NIS) al servizio directory di Active Directory

RIEPILOGO

nis2ad.exe -y NIS_Domain -a AD_domain [options] mapfile

DESCRIZIONE

L'utilità da riga di comando di Windows nis2ad consente di trasferire le voci del file di origine mappa NIS (Network Information Service) specificato da mapfile che si trova nel dominio NIS UNIX specificato da NIS_domain nel dominio Active Directory specificato da AD_domain. I file di origine mappa NIS sono i file di testo normale a partire dai quali vengono compilati i database delle mappe NIS.

È necessario specificare l'opzione -m per eseguire la migrazione vera e propria. In caso contrario nis2ad eseguirà le operazioni utilizzate per una migrazione effettiva, inclusa la registrazione delle eventuali voci in conflitto, senza tuttavia modificare Active Directory.

L'utilità nis2ad accetta le opzioni e gli argomenti seguenti:

Termine | Definizione
-d directoryname | Consente di specificare il nome della directory in cui sono contenuti i file di origine mappa NIS.
-s server | Consente di specificare il server controller di dominio che ospita Active Directory. Se si omette questa opzione, verrà utilizzato il server corrente.
-u user | Consente di specificare il nome di un utente con autorizzazioni di amministratore per il computer. Se si omette questa opzione, verrà utilizzato l'utente corrente.
-p password | Se la password è necessaria ma non viene specificata, nis2ad richiederà di specificarne una.
-f logfile | Consente di specificare il nome del file di registro. Tale file deve trovarsi nel computer locale. L'impostazione predefinita è %sfudir%\nis\nis2ad.log.
-c conflictfile | Consente di specificare il file in cui vengono scritti i dettagli relativi ai conflitti. L'impostazione predefinita è %sfudir%\nis\conflicts.log.
-r {yes|no} | Consente di sostituire l'oggetto contenuto in Active Directory con l'oggetto di cui deve essere eseguita la migrazione. Il valore predefinito è no.
-n | Consente di risolvere i conflitti cambiando il nome di account Windows in Active Directory. Se oggetti di tipi diversi hanno lo stesso nome, prima della migrazione dei dati verrà cambiato il nome di entrambi gli oggetti.
-t targetContainer | Consente di specificare il nome del contenitore di destinazione. Applicabile solo quando si crea un nuovo dominio NIS. Se si omette questa opzione, verrà utilizzato il contenitore predefinito o quello del dominio di destinazione.
-m | Consente di eseguire la migrazione. Se si omette questa opzione, il programma rileva e segnala i conflitti, ma non esegue la migrazione vera e propria.
-h/-? | Consente di visualizzare informazioni sull'utilizzo del comando.
Nota

L'utente attualmente connesso deve disporre delle autorizzazioni di scrittura per la cartella che conterrà i file di registro e dei conflitti, anche se con l'opzione -u è specificato un altro utente. Se necessario, modificare le autorizzazioni per la cartella in modo da concedere l'accesso in scrittura all'utente che eseguirà l'utilità nis2ad prima dell'esecuzione dell'utilità stessa.

Vedere anche

  • Eseguire la migrazione di domini NIS
  • Eseguire la migrazione e la gestione di mappe standard e non standard
  • Informazioni sulla migrazione di dati NIS


ypclear

ypclear

NOME

ypclear - Utilità da riga di comando di Windows per cancellare il contenuto della cache del server NIS (Network Information Service) per una mappa NIS e le relative mappe dipendenti

RIEPILOGO

ypclear [-d domainName] [-t] [-h nisServer] mapname
ypclear -x

DESCRIZIONE

L'utilità da riga di comando di Windows ypclear(1w) consente di indicare al server NIS (Network Information Service) specificato di un determinato dominio che è stata modificata una mappa e che il server deve cancellare il contenuto della relativa cache. Senza questa notifica, è possibile che il server NIS a volte utilizzi informazioni non aggiornate.

Il comando ypclear può essere utilizzato per ricostruire la cache delle mappe di un server NIS in cui vengono ancora visualizzati dati delle mappe obsoleti, anche se in Active Directory viene visualizzata una mappa aggiornata e accurata della rete. In genere ypclear consente di risolvere il problema.

Il comando ypclear accetta le opzioni e gli argomenti seguenti:

Termine | Definizione
-d domain | Consente di specificare il dominio NIS. Se non viene utilizzata questa opzione, come dominio NIS verrà utilizzato il dominio specificato nella variabile di ambiente DEFAULT_NIS_DOMAIN.
-t | Consente di impedire la conversione dei nomi alternativi delle mappe.
-h nisServer | Consente di specificare il nome del server NIS. Se non si utilizza questa opzione, come server NIS verrà utilizzato il server specificato nella variabile di ambiente NIS_SERVER.
-x | Consente di visualizzare la tabella di conversione dei nomi alternativi delle mappe.

Vedere anche

  • Utilità da riga di comando in Server per NIS


yppush

yppush

NOME

yppush - Utilità per forzare la propagazione di una mappa NIS (Network Information Service) modificata

RIEPILOGO

yppush [-d adNisDomain] [-q] [-t timeout] [-h host[...]] mapname

DESCRIZIONE

L'utilità da riga di comando di Windows yppush(1w) invia una richiesta ai server NIS subordinati, noti anche come slave, basati su UNIX per trasferire dal server NIS master una nuova versione della mappa NIS specificata da mapname. Questa utilità viene eseguita nel server NIS master solo dopo la modifica della mappa NIS. Se viene utilizzata l'opzione -h, la richiesta di trasferimento verrà inviata solo al server specificato. In caso contrario, yppush creerà innanzitutto un elenco di host server NIS leggendo la mappa NIS ypservers all'interno del dominio. Per ulteriori informazioni sul formato corretto della mappa ypservers, vedere la nota in questo argomento.

Il comando yppush consente di inviare una richiesta di trasferimento di una mappa dal server NIS all'agente di trasferimento in ogni computer host subordinato. L'agente di trasferimento di un host è l'utilità che consente di copiare i dati delle mappe dal server master. Dopo che il trasferimento è stato completato, indipendentemente dall'esito dell'operazione, l'agente di trasferimento restituisce un messaggio di stato il cui contenuto può essere stampato come output standard. Gli agenti di trasferimento restituiscono messaggi anche se non è possibile eseguire il trasferimento, ad esempio se non è possibile recapitare la richiesta di yppush a uno o più computer host o in caso di scadenza del timeout previsto per le risposte dai computer host.

Il comando yppush accetta le opzioni e gli argomenti seguenti:

Termine | Definizione
-d adNisDomain | Consente di specificare il dominio NIS. Se non viene utilizzata questa opzione, come dominio NIS verrà utilizzato il dominio specificato nella variabile di ambiente DEFAULT_NIS_DOMAIN.
-q | Modalità non interattiva. Non attende una risposta dai server subordinati, né segnala gli errori.
-t timeout | Consente di specificare un valore di timeout in secondi per indicare l'intervallo durante il quale yppush dovrà rimanere in attesa di una risposta dal server subordinato. Il valore deve essere maggiore di zero. Il valore predefinito è 30 seconds.
-h host[...] | Nome dell'host a cui notificare la modifica della mappa. È possibile specificare più nomi di host, separandoli con uno spazio. Se non si specifica questa opzione, la notifica verrà inviata a tutti i server subordinati del dominio.
Nota

Le chiavi nella mappa ypservers sono i nomi ASCII dei computer in cui vengono eseguiti i server NIS. Nella mappa ypservers deve pertanto essere contenuto solo un elenco di server NIS, ognuno riportato su una riga separata. Se nella mappa ypservers sono contenuti alias, modificarla in modo che contenga solo i nomi host dei server, uno per riga. L'elenco seguente è un esempio di mappa ypservers valida:

ypserver_1
ypserver_2
ypserver_3

Vedere anche

  • Eseguire immediatamente il push degli aggiornamenti delle mappe
  • Inviare aggiornamenti periodici delle mappe ai server NIS subordinati
  • Propagare immediatamente le mappe selezionate


ypmatch

ypmatch

NOME

ypmatch - Utilità da riga di comando di Windows per visualizzare i valori di una o più chiavi di una mappa NIS (Network Information Service)

RIEPILOGO

ypmatch [-k] [-t] [-d domain] [-h nisServer] key[...] mapname
ypmatch -x

DESCRIZIONE

L'utilità da riga di comando di Windows ypmatch(1w) consente di visualizzare i valori di una o più chiavi della mappa NIS (Network Information Service) specificata da mapname, che può essere un nome di mappa o un nome alternativo di mappa.

Il comando ypmatch accetta le opzioni e gli argomenti seguenti:

-k
Consente di visualizzare le chiavi della mappa. Questa opzione è utile con le mappe in cui i valori sono null o in cui la chiave non fa parte del valore.

-t
Consente di impedire la conversione dei nomi alternativi delle mappe.

-d domain
Consente di specificare il dominio NIS. Se non viene utilizzata questa opzione, come dominio NIS verrà utilizzato il dominio specificato nella variabile di ambiente DEFAULT_NIS_DOMAIN.

-h nisServer
Consente di specificare il nome del server NIS. Se non si utilizza questa opzione, come server NIS verrà utilizzato il server specificato nella variabile di ambiente NIS_SERVER. Se la variabile NIS_SERVER non è impostata, ypmatch trasmetterà la richiesta.

key
Chiave di cui si desidera visualizzare il valore. Per visualizzare il valore di più chiavi, specificare le chiavi separandole con spazi. Se una chiave inizia con una barra (/), una barra rovesciata (\) o un trattino (-), questi caratteri speciali devono essere preceduti da una barra rovesciata (\). Se ad esempio il nome della chiave è \mykey, utilizzare \\mykey.

-x
Consente di visualizzare la tabella di conversione dei nomi alternativi delle mappe.

Vedere anche

  • Utilizzare ypmatch per visualizzare una voce di una mappa NIS


ypcat

ypcat

NOME

ypcat - Utilità da riga di comando di Windows per stampare i valori di tutte le chiavi di una mappa NIS

RIEPILOGO

ypcat [-k] [-t] [-h nisServer] [-d domain] mapname
ypcat -x

DESCRIZIONE

L'utilità da riga di comando di Windows ypcat(1w) consente di stampare i valori di tutte le chiavi dal database NIS (Network Information Service) specificato da mapname, che può essere un nome di mappa o un nome alternativo di mappa.

Il comando ypcat accetta le opzioni e gli argomenti seguenti:

Termine | Definizione
-k | Consente di visualizzare le chiavi della mappa. Questa opzione è utile con le mappe in cui i valori sono null o in cui la chiave non fa parte del valore.
-t | Consente di impedire la conversione dei nomi alternativi delle mappe.
-d domain | Consente di specificare il dominio NIS. Se non viene utilizzata questa opzione, come dominio NIS verrà utilizzato il dominio specificato nella variabile di ambiente DEFAULT_NIS_DOMAIN.
-h nisServer | Consente di inviare una richiesta al nome server rappresentato dalla variabile nisServer. L'opzione -h consente di trasmettere la richiesta a tutti gli altri server NIS del dominio specificato con l'opzione -d, se non viene specificato un nome server.
-x | Consente di visualizzare la tabella di conversione dei nomi alternativi delle mappe.

Vedere anche

  • Utilizzare ypcat per stampare i valori di una mappa NIS


nismap

nismap

NOME

nismap - Utilità da riga di comando di Windows per gestire le mappe NIS (Network Information Service)

RIEPILOGO

nismap add [common_option[...]] -e "mapentry"
           [-r {yes | no}] [-c conflictfile] mapname
nismap mod [common_option[...]] -e "mapentry" -k key mapname
nismap del [common_option[...]] -k key mapname
nismap create [common_option[...]] -i fieldnum -g separator [-y] mapname

DESCRIZIONE

L'utilità da riga di comando di Windows nismap consente di gestire la mappa NIS (Network Information Service) specificata da mapname gestita da Server per NIS in un computer locale o remoto. Se l'account utilizzato per l'accesso non dispone dei privilegi necessari, è possibile specificare il nome utente e la password di un account che dispone di tali privilegi. L'azione specifica eseguita da nismap dipende dall'argomento del comando indicato.

Oltre agli argomenti del comando specifici, nismap accetta le opzioni e gli argomenti comuni seguenti, rappresentati da common_option nel riepilogo dei comandi:

Termine | Definizione
-a AD_domain | Nome del dominio NIS in Active Directory. Questa opzione non è disponibile per l'argomento del comando create.
-f logfile | Consente di specificare il percorso completo e il nome del file di registro. Gli eventi registrati vengono aggiunti in tale file, il cui percorso e nome predefinito è %temp%\conflicts.log.
-s server | Consente di specificare il nome del controller di dominio. Il valore predefinito corrisponde al controller del dominio del computer in cui viene eseguito il comando.
-u usr | Consente di specificare il nome dell'utente di cui dovranno essere utilizzate le credenziali. Potrebbe essere necessario aggiungere il nome di dominio al nome utente nel formato domain\username.
-p pword | Consente di specificare la password dell'utente indicato mediante l'opzione -u. Se si specifica l'opzione -u ma si omette l'opzione -p, verrà richiesta la password dell'utente.
-h/-? | Consente di visualizzare informazioni sull'utilizzo del comando.

In nismap vengono accettati gli argomenti del comando seguenti:

Termine Definizione

add

Consente di aggiungere una voce di mappa. Con add vengono utilizzati le opzioni e gli argomenti seguenti:

  • -e "mapentry" Consente di specificare la nuova voce di mappa come stringa nel formato di mappa NIS appropriato. La stringa deve essere racchiusa tra virgolette (" ").

  • -r {yes | no} Consente di specificare se l'oggetto esistente in Active Directory deve essere sostituito da questa voce. Il valore predefinito è no.

  • -c conflictfile Consente di specificare il nome del file in cui devono essere registrate le informazioni sui conflitti. Se si omette questa opzione, verrà utilizzato il nome di file predefinito.

mod

Consente di modificare una voce di mappa esistente. Con mod è necessario utilizzare le opzioni e gli argomenti seguenti:

  • -e "mapentry" Consente di specificare la voce di mappa sostitutiva come stringa nel formato di mappa NIS appropriato. La stringa deve essere racchiusa tra virgolette (" ").

  • -k key Consente di specificare la chiave di ricerca che identifica la voce di mappa da modificare.

del

Consente di eliminare una voce di mappa esistente. Con del è necessario utilizzare l'opzione e l'argomento seguenti:

  • -k key Consente di specificare la chiave di ricerca che identifica la voce di mappa da eliminare.

create

Consente di creare una struttura per una mappa non standard. Con create è necessario utilizzare le opzioni e gli argomenti seguenti:

  • -i fieldnum Consente di specificare il numero del campo chiave.

  • -g separator Consente di specificare il carattere di separazione dei campi della mappa.

  • -y Consente di specificare che la chiave non fa parte del valore per la mappa.

Note
  • Quando si utilizza nismap per eliminare un oggetto utente, gruppo o host, vengono eliminati da Active Directory solo gli attributi UNIX dell'oggetto. Per eliminare l'oggetto da Active Directory, utilizzare gli strumenti di amministrazione di Active Directory.
  • Non utilizzare nismap per cambiare la password di un utente. A tale scopo, utilizzare invece net.exe o l'interfaccia Windows (CTRL+ALT+CANC). Se si modifica la voce passwd utilizzando il comando nismap mod, l'utilità nismap avrà esito negativo. Questo valore è la stringa crittografata della password dell'utente. Se si ha necessità di modificare la voce passwd, utilizzare ypcat(1w) o ypmatch(1w) per recuperare la voce passwd corrente dell'utente e verificare che il campo della password sia identico.
  • Se si tenta di modificare un alias di posta utilizzando il comando nismap mod, Server per NIS aggiungerà il nuovo alias a quello originale anziché sostituirlo. Per cambiare l'alias, utilizzare innanzitutto nismap del al fine di eliminare l'alias originale e quindi utilizzare nismap add per aggiungere l'alias modificato.

Vedere anche

  • Modificare voci di mappe standard e non standard tramite l'interfaccia della riga di comando
  • Aggiungere o rimuovere server subordinati UNIX
  • Eseguire la migrazione e la gestione di mappe standard e non standard
  • Impostare le password UNIX su valori speciali
  • Creare la struttura di una mappa non standard


Risoluzione dei problemi relativi a Server per NIS

Risolvere i problemi

Problema riscontrato

  • NIS Data Migration Wizard o l'utilità da riga di comando viene eseguita correttamente, ma a Server per NIS non vengono aggiunte mappe

  • Si verificano conflitti di migrazione anche se la migrazione di prova eseguita con l'opzione Non eseguire migrazione (solo registrazione) selezionata ha avuto esito positivo.

  • Si verifica un conflitto quando si tenta di eseguire la migrazione di più utenti con lo stesso ID utente (UID, User Identifier)

  • NIS Data Migration Wizard o l'utilità da riga di comando segnala conflitti dei nomi NIS (Network Information Service) con l'account di sistema

  • L'utilità ypmatch in un computer HP-UX ha esito negativo

  • La prima richiesta a Server per NIS ha esito negativo

  • Gli oggetti di cui è stata eseguita la migrazione in contenitori non standard non vengono visualizzati in Utenti e computer di Active Directory

  • L'utilità ypcat a volte visualizza informazioni errate per passwd, mentre ypmatch fornisce informazioni accurate

  • Gli utenti con nuovi account Windows creati tramite la migrazione NIS non possono accedere a Windows e ai computer client NIS

  • Un account utente disattivato in Active Directory non viene disattivato anche negli host UNIX

  • Un utente di cui è stata appena eseguita la migrazione non viene autenticato da un client UNIX

NIS Data Migration Wizard o l'utilità da riga di comando viene eseguita correttamente, ma a Server per NIS non vengono aggiunte mappe.

Causa: è stata selezionata l'opzione Non eseguire migrazione (solo registrazione).

Soluzione: poiché la migrazione è irreversibile, l'opzione Non eseguire migrazione (solo registrazione) è selezionata per impostazione predefinita. È possibile ignorare tale impostazione predefinita durante l'esecuzione della procedura guidata selezionando Sovrascrivi o Mantieni nella pagina Gestione conflitti migrazione di NIS Data Migration Wizard. Se invece si esegue la migrazione mediante l'utilità da riga di comando Nis2ad.exe, per ignorare l'impostazione predefinita specificare l'opzione -m nella riga di comando.

Si verificano conflitti di migrazione anche se la migrazione di prova eseguita con l'opzione Non eseguire migrazione (solo registrazione) selezionata ha avuto esito positivo.

Causa: se si verifica un conflitto di dati nelle mappe NIS (Network Information Service) di cui si esegue la migrazione, è possibile che il conflitto non venga segnalato finché non viene completata la migrazione vera e propria poiché Server per NIS segnala solo i conflitti tra mappe NIS e Active Directory.

Soluzione: risolvere i conflitti nelle mappe NIS originali e quindi eseguire la migrazione dei dati NIS che non sono stati trasferiti utilizzando l'opzione della riga di comando nis2ad –r yes.

Si verifica un conflitto quando si tenta di eseguire la migrazione di più utenti con lo stesso ID utente (UID, User Identifier).

Causa: NIS Data Migration Wizard non consente di eseguire la migrazione di utenti con lo stesso UID. Verrà eseguita la migrazione solo del primo utente.

Soluzione: prima di eseguire la migrazione delle mappe NIS, verificare che tutti gli utenti dispongano di UID univoci.

NIS Data Migration Wizard o l'utilità da riga di comando segnala conflitti dei nomi NIS (Network Information Service) con l'account di sistema.

Causa: un nome utente in NIS è identico a un nome di account Windows riservato. Tra i nomi di account riservati sono inclusi Network, System, Users e Computers.

Soluzione: risolvere il conflitto rinominando l'account basato su UNIX e quindi eseguire di nuovo la migrazione della voce utilizzando l'opzione della riga di comando nis2ad –r yes.

L'utilità ypmatch in un computer HP-UX ha esito negativo.

Causa: in una mappa sono contenute chiavi con lettere maiuscole e minuscole. Il sistema operativo HP-UX converte tutte le chiavi in lettere minuscole prima di inviare la richiesta NIS. Questo problema con il sistema operativo HP-UX non può essere gestito in Server per NIS.

Soluzione: convertire le chiavi in lettere minuscole prima di eseguirne la migrazione.

La prima richiesta a Server per NIS ha esito negativo.

Causa: se in Server per NIS viene eseguita la migrazione di un numero elevato di oggetti, la generazione della cache delle mappe potrebbe richiedere molto tempo.

Soluzione: ripetere la richiesta dopo almeno 30 minuti. È possibile che le richieste successive abbiano esito positivo.

Gli oggetti di cui è stata eseguita la migrazione in contenitori non standard non vengono visualizzati in Utenti e computer di Active Directory.

Causa: per impostazione predefinita, in Utenti e computer di Active Directory non vengono visualizzati contenitori non standard.

Soluzione: scegliere Caratteristiche avanzate dal menu Visualizza.

L'utilità ypcat a volte visualizza informazioni errate per passwd, mentre ypmatch fornisce informazioni accurate.

Causa: la cache delle mappe non è stata ancora aggiornata dai dati di Server per NIS dopo la modifica dei dati in Active Directory. L'utilità ypcat ottiene le informazioni da tale cache, mentre l'utilità ypmatch le ottiene direttamente da Active Directory.

Soluzione: ridurre l'intervallo tra un aggiornamento e l'altro della cache delle mappe oppure controllare che gli aggiornamenti siano stati memorizzati nella cache subito dopo l'esecuzione delle modifiche in Active Directory. Per ulteriori informazioni, vedere Modificare la frequenza degli aggiornamenti delle mappe e Propagare immediatamente le mappe modificate.

Gli utenti con nuovi account Windows creati tramite la migrazione NIS non possono accedere a Windows e ai computer client NIS.

Causa: per evitare il rischio di un utilizzo improprio, i nuovi account vengono disattivati dalla migrazione guidata.

Soluzione: dopo aver eseguito la migrazione, attivare i nuovi account solo quando gli utenti sono pronti per utilizzarli. Per motivi di sicurezza, è consigliabile impostare su valori temporanei la password di tutti gli account utente di Windows appena creati. Comunicare agli utenti tali password temporanee e istruirli affinché modifichino le loro password Windows appena possibile. Informarli della frequenza con cui vengono propagate le modifiche delle mappe (vedere Inviare aggiornamenti periodici delle mappe ai server NIS subordinati), in modo che possano calcolare quando verranno aggiornate le loro password UNIX.

Un account utente disattivato in Active Directory non viene disattivato anche negli host UNIX.

Causa: gli account Windows e UNIX devono essere disattivati separatamente perché il meccanismo di disattivazione è sostanzialmente diverso e perché il metodo da adottare per disattivare gli account UNIX varia a seconda della versione del sistema e delle preferenze dell'amministratore.

Soluzione: dopo aver disattivato un account tramite Utenti e computer di Active Directory, è inoltre necessario disattivare o bloccare l'account UNIX corrispondente. A tale scopo eseguire le normali procedure, ovvero impostare la password su un valore sconosciuto all'utente, aggiungere un carattere speciale alla password dell'utente nel file passwd, cambiare la shell di accesso dell'account oppure eseguire tutte e tre queste operazioni.

Un utente di cui è stata appena eseguita la migrazione non viene autenticato da un client UNIX.

Causa: possibili errori di configurazione nel computer client.

Soluzione: eseguire le procedure di risoluzione dei problemi seguenti per il sistema operativo client indicato.

In un computer client che esegue il sistema operativo Solaris:

  • Verificare che il computer basato su Windows che esegue Server per NIS venga aggiunto al file /etc/hosts del client Solaris. Eseguire quindi il comando ypwhich nel client e controllare che venga visualizzato il computer basato su Windows corretto.

  • Verificare che nel file /etc/nsswitch.conf sia presente una voce simile alla seguente:

    passwd: files [NOTFOUND=continue] nis

  • Verificare che l'utente non sia elencato nel file passwd locale.

  • Aggiungere la stringa seguente alla fine del file /etc/passwd nel computer client:

    +::::::

  • Verificare che in Server per NIS venga eseguita la migrazione anche degli eventuali file shadow.

  • Verificare che il comando ypcat password non visualizzi X nel campo della password dell'utente.

  • Verificare che il file /var/yp/securenets sia configurato in modo da consentire l'autenticazione dal computer client.

In un computer client che esegue il sistema operativo Linux:

  • Verificare che il server Windows che esegue Server per NIS sia stato aggiunto al file /etc/hosts nel computer client e che il comando ypwhich nel computer client visualizzi correttamente il nome del computer basato su Windows.

  • Verificare che la voce USENIS in /etc/sysconfig/authconfig sia impostata su USENIS=yes.

  • Verificare che il file nsswitch.conf sia configurato correttamente.


Sincronizzazione password

Sincronizzazione password aiuta gli utenti a gestire un unico nome utente e un'unica password per i domini Windows e i sistemi UNIX, grazie alla sincronizzazione delle password nel caso in cui una di esse venga modificata.

Sincronizzazione password

In base alla configurazione di Sincronizzazione Password e dei server UNIX, la sincronizzazione può essere unidirezionale o bidirezionale.

Prima di iniziare a utilizzare Sincronizzazione password, vedere "Elenco di controllo: distribuire Sincronizzazione password" nella Guida di Identity Management for UNIX.

In questa sezione

  • Panoramica di Sincronizzazione password

  • Procedure consigliate per la sincronizzazione delle password

  • Impostare la sincronizzazione delle password

  • Concetti relativi alla sincronizzazione delle password

  • Risolvere i problemi relativi alla sincronizzazione delle password

  • Utilità da riga di comando di Sincronizzazione password


Panoramica di Sincronizzazione password

Informazioni su Sincronizzazione password

Sincronizzazione password aiuta a integrare reti Windows e UNIX semplificando il processo di gestione di password sicure in entrambi gli ambienti. Gli utenti non hanno più la necessità di dover gestire password distinte per i propri account Windows e UNIX e non devono ricordare di modificare la password in base al sistema utilizzato. Con Sincronizzazione password, se viene modificata la password di un utente in un computer o in un dominio Windows, è possibile modificare automaticamente la password anche in ogni host UNIX nel quale l'utente dispone di un account. È inoltre possibile configurare Sincronizzazione password in modo da modificare la password Windows dell'utente in caso di modifica della password UNIX dell'utente.

In questo modo è possibile amministrare le password da un singolo computer, semplificando il lavoro degli amministratori e dei singoli utenti. Sincronizzazione password è uno strumento flessibile, poiché consente agli amministratori di escludere dalla sincronizzazione utenti e computer specifici. È inoltre in grado di sincronizzare le password in computer basati su Windows autonomi, ad esempio computer che eseguono Windows 2000 Server e che non appartengono a un dominio o per un intero dominio Windows. Può infine essere utilizzato per gestire le password in singoli host UNIX o in tutti i computer di un dominio NIS (Network Information Service).

Funzionamento di Sincronizzazione password

Sincronizzazione password propaga le password in modo sicuro, trasmettendo solo le password crittografate sui socket TCP/IP. In questo modo non è più necessario utilizzare metodi non protetti per l'amministrazione delle password, ad esempio gli script. Le password vengono inoltre sincronizzate immediatamente. A differenza di quanto accade per altri metodi, ad esempio rdist che propaga le password in batch, in questo modo vengono pertanto evitati ritardi significativi tra la modifica di una password in un sistema e la modifica della stessa password in tutti gli altri sistemi interessati, eliminando qualsiasi confusione o problema per gli utenti. Viene inoltre eliminato un potenziale rischio di sicurezza correlato alla necessità di modificare una password per bloccare l'accesso di un utente alla rete. Per migliorare ulteriormente la sicurezza della rete è possibile utilizzare chiavi di crittografia diverse per ogni coppia rappresentata da un computer basato su Windows e un host UNIX.

Sincronizzazione password è una combinazione di tre componenti software:

  • Il servizio Sincronizzazione password eseguito in uno o più computer basati su Windows.

  • Il daemon di Sincronizzazione password eseguito su uno o più computer UNIX.

  • Il modulo PAM installato in uno o più computer UNIX.

Se Sincronizzazione password è configurato per la sincronizzazione da Windows a UNIX e viene modificata una password in un computer basato su Windows che esegue Sincronizzazione password, il servizio Sincronizzazione password stabilisce se la password dell'utente deve essere sincronizzata nei computer UNIX. In caso affermativo, il servizio crittografa la password e la invia al daemon di Sincronizzazione password in ogni computer con il quale il computer basato su Windows deve eseguire la sincronizzazione in base alle impostazioni di configurazione. Il daemon decrittografa la password e modifica la password nell'host UNIX. Se l'host UNIX è un server master NIS ed è configurato per operare come tale, il daemon esegue inoltre make per propagare la modifica della password nel dominio NIS.

Se Sincronizzazione password è configurato per la sincronizzazione da UNIX a Windows, le password che vengono modificate negli host UNIX vengono sincronizzate nei computer e nei domini Windows. Il modulo PAM di Sincronizzazione password rende possibile questa operazione perché intercetta la richiesta di modifica della password nell'host UNIX, crittografa la password e quindi invia la richiesta di modifica della password al servizio Sincronizzazione password in esecuzione nei computer basati su Windows con i quali l'host deve eseguire la sincronizzazione in base alle impostazioni di configurazione.

Vedere anche

  • Sincronizzazione password
  • Guida dettagliata alla distribuzione di Sincronizzazione password


Procedure consigliate per la sincronizzazione delle password

Procedure consigliate

  • Installare Sincronizzazione password nei controller di dominio appropriati Per garantire la coerenza della sincronizzazione delle password del dominio con le password UNIX, è necessario installare Sincronizzazione password nel controller di dominio primario e, nel caso di un dominio Windows 2000, in tutti i controller di dominio di un dominio.

    • Se si aggiunge un controller di dominio a un dominio, è consigliabile installarvi appena possibile Sincronizzazione password e configurarlo in modo che corrisponda agli altri controller di dominio.

    • Se è necessario rimuovere Sincronizzazione password da un controller di dominio, è consigliabile abbassare il server al livello di server membro prima di disinstallare Sincronizzazione password.

  • Verificare la coerenza dei criteri password Se si fornisce unicamente la sincronizzazione delle password unidirezionale, verificare che i criteri password attivi in tutte le aree del computer dal quale verranno sincronizzate le password siano altrettanto restrittivi dei criteri attivi nel computer nel quale verranno sincronizzate le password. Ad esempio, se si configura la sincronizzazione da Windows a UNIX, i criteri password di Windows devono essere altrettanto restrittivi dei criteri dei computer UNIX con i quali vengono sincronizzate le password. Se si fornisce il supporto per la sincronizzazione bidirezionale, i criteri password devono essere egualmente restrittivi in entrambi i sistemi. L'incoerenza dei criteri password può comportare errori di sincronizzazione nel momento in cui un utente modifica una password nel sistema con i criteri meno restrittivi oppure è possibile che la password venga modificata nel sistema con i criteri più restrittivi, anche se non è conforme ai criteri del sistema.

    Verificare che gli utenti Windows siano a conoscenza delle restrizioni specifiche per le password attive nei sistemi UNIX con i quali verranno sincronizzate le relative password. Ad esempio, alcune versioni di UNIX supportano una lunghezza massima delle password di otto caratteri. Per garantire la massima compatibilità con i criteri password predefiniti di Windows e queste limitazioni di UNIX, è consigliabile che la lunghezza delle password sia di sette o otto caratteri, a meno che non si sia certi che tutti i sistemi UNIX possano supportare password di lunghezza maggiore.

  • Configurare Sincronizzazione password in modo da garantire la massima protezione per le password degli utenti

    Per mantenere un livello di sicurezza ottimale, tenere presenti le considerazioni seguenti:

    • Elencare in modo esplicito gli utenti di cui verranno sincronizzate le password Per fornire il massimo controllo sugli utenti che possono sincronizzare le password, non utilizzare la parola chiave ALL con l'elenco SYNC_USERS del file sso.conf nell'host UNIX. Elencare invece in modo esplicito tutti gli utenti per i quali è consentita o è bloccata la sincronizzazione delle password. Nel computer basato su Windows che esegue Sincronizzazione password, creare il gruppo PasswordPropAllow e aggiungervi gli account degli utenti di cui si desidera sincronizzare le password. Per ulteriori informazioni, vedere Controllare la sincronizzazione delle password per gli account utente.

    • Non sincronizzare le password per gli account UNIX disabilitati In alcune versioni di UNIX, la modifica della password di un account disabilitato comporta l'attivazione di tale account. Di conseguenza, se un utente ha un account disabilitato in un computer UNIX configurato per la sincronizzazione delle password con un computer basato su Windows, l'utente stesso o un amministratore può attivare l'account UNIX modificando la password Windows dell'utente. Per evitare che ciò accada, utilizzare il gruppo PasswordPropDeny per bloccare la sincronizzazione per gli account UNIX disabilitati.

      Se un amministratore disabilita un account UNIX, dovrebbe inoltre utilizzare la voce SYNC_USERS del file sso.conf per bloccare la sincronizzazione delle password per l'account.

    • Evitare di sincronizzare le password degli amministratori Non sincronizzare le password dei membri dei gruppi Administrators di Windows o le password degli account ROOT di UNIX.

    • Eseguire il controllo di compatibilità di Windows Server 2003 Service Pack 1 (SP1) quando si seleziona Sincronizzazione password da Windows a NIS (Active Directory) nella scheda Configurazione della finestra di dialogo Proprietà della sincronizzazione password. Per garantire la sicurezza delle password degli account utente aziendali, è consigliabile consentire a Sincronizzazione password di identificare tutti i controller di dominio della foresta che non eseguono Windows Server 2003 SP1 o versioni successive.

      Sincronizzazione password richiede di consentire l'esecuzione del controllo di compatibilità se si seleziona Abilita nell'area Sincronizzazione password da Windows a NIS (Active Directory). Se in tutti i controller di dominio di una foresta è installato Windows Server 2003 SP1 o versioni successive, il rischio di esporre gli hash delle password utente a utenti non autorizzati viene notevolmente ridotto. Se Windows Server 2003 SP1 non è il livello di funzionalità minimo di tutti i controller di dominio in una foresta, è possibile che qualsiasi utente autenticato nel dominio visualizzi l'hash della password di qualsiasi utente UNIX il cui account è stato migrato a Servizi dei domini Active Directory (AD DS).

      Se un utente non autorizzato riesce ad accedere all'hash della password per un account utente UNIX in AD DS, la password Windows dell'account non è più sicura.

Se è installato Sincronizzazione password, i membri del gruppo Administrators locale e del gruppo Domain Administrators vengono aggiunti al gruppo PasswordPropDeny, che impedisce la sincronizzazione delle relative password. Se si aggiunge un utente al gruppo Administrators o al gruppo Domain Administrators, assicurarsi di aggiungerlo anche al gruppo PasswordPropDeny.

Modificare l'istruzione SYNC_USERS nel file sso.conf in tutti i sistemi basati su UNIX per evitare che vengano sincronizzate le password degli utenti ROOT.

  • Non utilizzare il numero di porta e la chiave di crittografia predefiniti Se si mantengono il numero di porta e la chiave di crittografia predefiniti, è possibile che l'autore di un attacco esegua un tentativo di spoofing tramite un host UNIX per acquisire le password. È consigliabile applicare al numero di porta e alle chiavi di crittografia utilizzati per la sincronizzazione delle password lo stesso livello di protezione riservato alle password.

  • Proteggere il file sso.conf Il file sso.conf presente in ogni host UNIX contiene informazioni di configurazione importanti che potrebbero essere utilizzate per compromettere la sicurezza. È consigliabile impostare la maschera di bit di modalità del file a 600.

  • Verificare che il livello di protezione della directory identificata da TEMP_FILE_PATH sia adeguato I file temporanei creati negli host UNIX da Sincronizzazione password contengono informazioni che potrebbero essere utilizzate dall'autore di un attacco per compromettere la sicurezza del sistema. Per questo motivo, è consigliabile verificare che per ogni directory a cui viene fatto riferimento da TEMP_FILE_PATH in sso.conf sia disponibile solo l'accesso in lettura per l'account root e che a tale directory non possano accedere altri utenti.

  • Verificare che il livello di protezione dei file di registro sia adeguato Negli host UNIX, Sincronizzazione password utilizza il daemon syslogd per registrare i messaggi risultanti dalle operazioni di sincronizzazione. I registri risultanti contengono informazioni quali i nomi degli utenti con le password che vengono sincronizzate, i computer che eseguono le sincronizzazioni, gli errori di propagazione e così via. È consigliabile proteggere i file di registro per consentire solo agli amministratori di visualizzarli.

  • Riavviare il daemon di Sincronizzazione password dopo averne modificato la configurazione Se si modifica il file di configurazione del daemon di Sincronizzazione password (sso.conf), è necessario arrestare e riavviare il daemon affinché le modifiche abbiano effetto.

  • Configurare i sistemi in modo da gestire correttamente la distinzione tra maiuscole e minuscole nei nomi utente A meno che non venga impostato un criterio specifico che prevede la corrispondenza esatta dell'ortografia e della distinzione tra maiuscole e minuscole nei nomi utente Windows e UNIX, verificare che l'opzione CASE_IGNORE_NAME nel file sso.conf sia impostata su 1 (impostazione predefinita). I nomi utente UNIX distinguono le maiuscole e le minuscole e pertanto le password non possono essere sincronizzate correttamente se la corrispondenza del nome utente non è esatta, perché il daemon di Sincronizzazione password non può associare il nome utente Windows con il nome utente UNIX corrispondente.

  • Verificare che il tipo e il nome di file della password siano coerenti Quando si configura il daemon di Sincronizzazione password, verificare che il tipo di file (specificato da USE_SHADOW) e il percorso (impostato da FILE_PATH) della password siano coerenti. Ad esempio, nella maggior parte dei sistemi, se USE_SHADOW è impostato su 0 (a indicare che per la sincronizzazione viene utilizzato il file passwd), l'opzione FILE_PATH dovrebbe essere impostata su /etc/passwd. Se tuttavia USE_SHADOW è impostato su 1 (a indicare che viene invece utilizzato il file shadow), l'opzione FILE_PATH dovrebbe essere impostata su /etc/shadow. (Nei sistemi AIX IBM, il percorso e il nome del file shadow è /etc/security/passwd.)


Impostare la sincronizzazione delle password

In questa sezione

  • Impostare la chiave di crittografia password

  • Impostare la sincronizzazione predefinita

  • Impostare la porta predefinita

  • Aggiungere o rimuovere computer per la sincronizzazione

  • Impostare le proprietà della sincronizzazione per i singoli computer

  • Impostare le opzioni di controllo

  • Controllare la sincronizzazione delle password per gli account utente


Impostare la chiave di crittografia password

Impostare la chiave di crittografia predefinita

Importante

Questa impostazione ha effetto sulla chiave di crittografia predefinita per gli host UNIX che vengono aggiunti per la sincronizzazione, nonché sulla porta utilizzata per la sincronizzazione da UNIX a Windows. Se si modifica questa impostazione, è necessario modificare il file /etc/sso.conf per specificare la stessa chiave di crittografia negli host UNIX configurati per la sincronizzazione delle password da UNIX a Windows con il computer nel quale viene eseguita questa procedura.

Per impostare la chiave di crittografia predefinita

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia fare clic su Sincronizzazione password e quindi eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Sincronizzazione password e quindi scegliere Proprietà.

    • Nel riquadro Azioni fare clic su Proprietà.

    • Scegliere Proprietà dal menu Azione.

  4. Nell'area Chiave di crittografia e decrittografia della scheda Generale specificare la chiave da utilizzare o fare clic su Genera chiave per creare automaticamente una nuova chiave.

    Per una sicurezza massima, è consigliabile utilizzare una chiave con un massimo di 21 caratteri.

  5. Per salvare le modifiche, fare clic su Applica.
Nota

Per eseguire questa attività nell'ambiente della riga di comando, vedere psadmin.

Per ulteriori informazioni sull'impostazione della chiave di crittografia password, vedere Crittografia delle password.


Impostare la sincronizzazione predefinita

Impostare la sincronizzazione predefinita

Le impostazioni riportate in questa procedura hanno effetto sulla sincronizzazione predefinita per gli host UNIX quando vengono aggiunti per la sincronizzazione. Le impostazioni modificate nella procedura non hanno effetto sui computer già aggiunti per la sincronizzazione.

Per impostare la sincronizzazione predefinita

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia fare clic su Sincronizzazione password e quindi eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Sincronizzazione password e quindi scegliere Proprietà.

    • Nel riquadro Azioni fare clic su Proprietà.

    • Scegliere Proprietà dal menu Azione.

  4. Nell'area Direzione di sincronizzazione password della scheda Generale selezionare la direzione della sincronizzazione delle password desiderata.

    • Per consentire la sincronizzazione delle password da computer basati su Windows a computer basati su UNIX, selezionare Da Windows a UNIX.

    • Per consentire la sincronizzazione delle password da computer basati su UNIX a computer basati su Windows, selezionare Da UNIX a Windows.

  5. Fare clic su Applica per salvare le modifiche.
Nota

Per eseguire questa attività nell'ambiente della riga di comando, vedere psadmin.


Impostare la porta predefinita

Impostare la porta predefinita

Questa impostazione ha effetto sul numero di porta predefinito per gli host UNIX che vengono aggiunti per la sincronizzazione, nonché sulla porta utilizzata per la sincronizzazione da UNIX a Windows.

Se si modifica questa impostazione, è necessario modificare il file /etc/sso.conf per specificare la stessa porta negli host UNIX configurati per la sincronizzazione delle password da UNIX a Windows con questo computer.

Per impostare la porta predefinita

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia fare clic su Sincronizzazione password e quindi eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Sincronizzazione password e quindi scegliere Proprietà.

    • Nel riquadro Azioni fare clic su Proprietà.

    • Scegliere Proprietà dal menu Azione.

  4. Nell'area Configurazione della porta della scheda Generale specificare un nuovo numero di porta, se necessario.

    Nota

    Per una sicurezza massima, utilizzare un numero di porta diverso da quello predefinito (6677). Prima di modificare il numero di porta predefinito in un computer che esegue un programma firewall, verificare che le impostazioni del firewall consentano l'utilizzo della nuova porta e blocchino invece il numero di porta precedente.

  5. Fare clic su Applica.
Nota

Per eseguire questa attività nell'ambiente della riga di comando, vedere psadmin.


Aggiungere o rimuovere computer per la sincronizzazione

Aggiungere o rimuovere computer per la sincronizzazione

Se si desidera che la password dell'utente nel computer basato su UNIX venga modificata quando viene modificata la password di Windows dell'utente corrispondente, oltre ad aggiungere il computer basato su UNIX all'elenco dei computer basati su UNIX che partecipano alla sincronizzazione delle password, è necessario anche installare SSOD (Single Sign-On Daemon) nel computer basato su UNIX. Per ulteriori informazioni, vedere Installare il daemon di Sincronizzazione password in computer basati su UNIX.

Se si desidera che la password di Windows dell'utente venga modificata quando viene modificata la password dell'utente del computer basato su UNIX corrispondente, è necessario installare pluggable authentication module (PAM) nel computer basato su UNIX. Per ulteriori informazioni, vedere Installare il modulo PAM (Pluggable Authentication Module) Sincronizzazione password.

Aggiungere un computer per la sincronizzazione

Per aggiungere un computer per la sincronizzazione

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia, nel nodo Sincronizzazione password fare clic su Computer UNIX e quindi eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Computer UNIX e quindi su Aggiungi computer.

    • Nel riquadro Azioni fare clic su Aggiungi computer.

    • Scegliere Aggiungi computer dal menu Azione.

  4. Nella casella di testo Nome computer della finestra di dialogo Aggiungi computer specificare il nome o l'indirizzo IP di un computer basato su UNIX.

  5. Nell'area Direzione di sincronizzazione password selezionare la direzione della sincronizzazione delle password desiderata.

  6. Se necessario, specificare una chiave di crittografia diversa da quella predefinita o fare clic su Genera chiave per fare in modo che Sincronizzazione password generi una nuova chiave per la sincronizzazione con il computer specifico.

  7. Se necessario, modificare il numero della porta sulla quale il computer esegue il monitoraggio per le modifiche delle password. Il valore predefinito è 6677.

  8. Fare clic su OK.

Rimuovere un computer dalla sincronizzazione

Per rimuovere un computer dalla sincronizzazione

  1. Aprire lo snap-in Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Tutti i programmi e quindi Identity Management for UNIX.

  2. Se necessario, connettersi al computer da gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia, nel nodo Sincronizzazione password fare clic su Computer UNIX.

  4. Nel riquadro risultati selezionare il computer basato su UNIX che si desidera rimuovere dalla sincronizzazione.

  5. Dopo aver selezionato il computer nel riquadro risultati, eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse sul computer e quindi scegliere Elimina.

    • Nel riquadro Azioni fare clic su Elimina.

    • Scegliere Elimina dal menu Azione.

  6. Se si è certi di voler rimuovere il computer dalla sincronizzazione, fare clic su OK quando richiesto.
Nota

Per eseguire questa attività nell'ambiente della riga di comando, vedere psadmin.


Impostare le proprietà della sincronizzazione per i singoli computer

Impostare le proprietà della sincronizzazione per i singoli computer

Prima di impostare le proprietà della sincronizzazione per i singoli computer in Sincronizzazione password, modificare il file sso.conf nel computer basato su UNIX per specificare le stesse impostazioni. Per informazioni sulla definizione delle impostazioni per i singoli computer nel file sso.conf, vedere Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX.

Per impostare le proprietà della sincronizzazione per i singoli computer

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia, nel nodo Sincronizzazione password fare clic su Computer UNIX.

  4. Nel riquadro risultati selezionare il computer basato su UNIX per il quale si desidera configurare le proprietà.

  5. Dopo aver selezionato il computer nel riquadro risultati, eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse sul computer e quindi scegliere Proprietà.

    • Nel riquadro Azioni fare clic su Proprietà.

    • Scegliere Proprietà dal menu Azione.

  6. Nella finestra di dialogo Proprietà del computer selezionare la direzione della sincronizzazione desiderata.

  7. Se necessario, modificare la chiave di crittografia password esistente oppure generare una nuova chiave.

  8. Se necessario, specificare un numero di porta diverso per il monitoraggio delle modifiche delle password eseguito dal computer.

    Il numero di porta predefinito è 6677.

  9. Fare clic su OK dopo avere completato le modifiche.
Nota

Per eseguire questa attività nell'ambiente della riga di comando, vedere psadmin.


Impostare le opzioni di controllo

Impostare le opzioni di controllo per Sincronizzazione password

Per impostare le opzioni di controllo per Sincronizzazione password

  1. Aprire la console di gestione Identity Management for UNIX facendo clic sul pulsante Start, scegliendo Strumenti di amministrazione e quindi Microsoft Identity Management for UNIX.

    È inoltre possibile aprire la console di gestione Identity Management for UNIX da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Microsoft Identity Management for UNIX.

  2. Se necessario, connettersi al computer che si desidera gestire utilizzando la procedura descritta in Connettersi a un altro computer che si desidera gestire.

  3. Nel riquadro della gerarchia fare clic su Sincronizzazione password e quindi eseguire una delle operazioni seguenti:

    • Fare clic con il pulsante destro del mouse su Sincronizzazione password e quindi scegliere Proprietà.

    • Nel riquadro Azioni fare clic su Proprietà.

    • Scegliere Proprietà dal menu Azione.

  4. Nella scheda Configurazione della finestra di dialogo Proprietà selezionare Abilita registrazione completa per comunicare a Sincronizzazione password di registrare informazioni dettagliate sui tentativi di sincronizzazione.

    Deselezionare la casella di controllo Abilita registrazione dettagliata se si desidera che i registri di Sincronizzazione password includano minori dettagli sui tentativi di sincronizzazione.

  5. Fare clic su OK.
Nota

Per eseguire questa attività nell'ambiente della riga di comando, vedere psadmin.


Controllare la sincronizzazione delle password per gli account utente

Controllare la sincronizzazione delle password per gli account utente

È possibile controllare le password degli utenti che vengono sincronizzate creando i due gruppi di utenti locali PasswordPropAllow e PasswordPropDeny. Per creare i due gruppi, utilizzare Utenti e computer di Active Directory.

Aggiungere al gruppo PasswordPropAllow i nomi utente per i quali devono essere sincronizzate le password. Aggiungere al gruppo PasswordPropDeny i nomi utente per i quali non devono essere sincronizzate le password.

Verranno sincronizzate le password degli utenti che fanno parte del gruppo PasswordPropAllow e che non fanno parte del gruppo PasswordPropDeny.

Se il gruppo PasswordPropAllow non esiste, l'effetto sarà equivalente al caso in cui esista e includa tutti i nomi utente. Se il gruppo PasswordPropDeny non esiste, l'effetto sarà equivalente al caso in cui esista e non includa alcun nome utente.

Queste regole sono valide per la sincronizzazione da Windows a UNIX e da UNIX a Windows. Se non è possibile sincronizzare la password di un utente da Windows a UNIX, non sarà possibile sincronizzarla da UNIX a Windows.

È possibile garantire che le password di utenti specifici non verranno mai sincronizzate, anche se la sincronizzazione è consentita nel server di Sincronizzazione password. Per garantire che la password di un account utente UNIX non verrà mai sincronizzata con la password di Windows, modificare il file sso.conf posizionando il nome utente dell'account, preceduto da un segno meno (-), dopo SYNC_USERS=. Ad esempio, per garantire che la password dell'account ROOT non verrà mai sincronizzata con un account Windows in base a tale nome, verificare che in sso.conf sia presente la riga seguente:

SYNC_USERS=–root

Per controllare la sincronizzazione delle password per gli account utente

  1. Aprire Utenti e computer di Active Directory.

    Per aprire Utenti e computer di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

    È inoltre possibile aprire Utenti e computer di Active Directory da Server Manager espandendo Ruoli e Servizi di dominio Active Directory nel riquadro della gerarchia e quindi selezionando Utenti e computer di Active Directory.

  2. Nel riquadro della gerarchia dello snap-in Utenti e computer di Active Directory fare clic con il pulsante destro del mouse su Utenti.

  3. Scegliere Nuovo e quindi fare clic su Gruppo.

  4. Assegnare un nome al gruppo PasswordPropAllow.

  5. Nell'area Ambito del gruppo selezionare Locale dominio.

  6. Nell'area Tipo gruppo selezionare Sicurezza.

  7. Fare clic su OK.

  8. Per creare un secondo gruppo, ripetere l'intera procedura fino al passaggio 7 assegnando al gruppo il nome PasswordPropDeny.

  9. Nel riquadro risultati fare clic con il pulsante destro del mouse sul nuovo gruppo PasswordPropAllow e quindi scegliere Proprietà.

  10. Nella scheda Membri della finestra di dialogo Proprietà PasswordPropAllow aggiungere i nomi degli utenti per i quali verranno sincronizzate le password. Fare clic su OK per chiudere la finestra Proprietà dopo avere aggiunto tutti i nomi.

  11. Nella scheda Membri della finestra di dialogo Proprietà PasswordPropDeny aggiungere i nomi degli utenti per i quali non verranno sincronizzate le password. Fare clic su OK per chiudere la finestra Proprietà dopo avere aggiunto tutti i nomi.
Nota

Questa procedura non può essere eseguita dalla riga di comando.

Ulteriori riferimenti

Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX


Concetti relativi alla sincronizzazione delle password

In questa sezione

Sincronizzare le password con un dominio NIS

Crittografia delle password


Sincronizzare le password con un dominio NIS

Sincronizzare le password con un dominio NIS

Tramite Sincronizzazione password è possibile implementare la sincronizzazione delle password unidirezionale (da Windows a UNIX) e bidirezionale tra i domini di Windows e i domini NIS (Network Information Service). Questa operazione può essere eseguita indipendentemente dal fatto che il server master del dominio NIS stia eseguendo un sistema operativo basato su UNIX o sia un computer basato su Windows che esegue Server per NIS.

Se il server master NIS esegue un sistema operativo basato su UNIX, per implementare la sincronizzazione unidirezionale è sufficiente installare Sincronizzazione password in tutti i computer basati su Windows dai quali verranno sincronizzate le password, ad esempio i controller di dominio, e quindi installare SSOD (Single Sign-On Daemon) nel server master NIS. È quindi possibile modificare il file sso.conf nel server master NIS per eseguire le operazioni seguenti:

  • Impostare USE_NIS su 1.

  • Impostare NIS_UPDATE_PATH in modo da specificare il percorso del makefile NIS.

In questo modo viene comunicato a SSOD di eseguire il makefile ed eseguire il push dei mapping modificati ogni volta che viene ricevuta una richiesta di modifica di password dal dominio di Windows. Per ulteriori informazioni e istruzioni aggiuntive, vedere Installare il daemon di Sincronizzazione password in computer basati su UNIX.

Se Server per NIS è il server master per il dominio NIS, è possibile implementare la sincronizzazione delle password unidirezionale da Windows a UNIX selezionando Abilita nell'area Sincronizzazione password da Windows a NIS (Active Directory) della scheda Configurazione della finestra di dialogo Proprietà della sincronizzazione password. Poiché l'abilitazione della sincronizzazione delle password da Windows a NIS (Active Directory) aumenta il rischio che le password siano utilizzate da utenti non autorizzati, quando si seleziona Abilita verrà richiesto di eseguire un controllo di compatibilità di tutti i controller di dominio della foresta, allo scopo di verificare che dispongano delle funzionalità di sicurezza minime per le password degli utenti.

Se è necessario sincronizzare le password con computer UNIX che non fanno parte del dominio NIS, installare Sincronizzazione password nei controller di dominio di Servizi dei domini Active Directory basati su Windows e configurare i computer UNIX come descritto in precedenza in questo argomento.

Per fornire la sincronizzazione da UNIX a Windows per entrambi i tipi di domini NIS, eseguire le operazioni seguenti.

  • Se il server master NIS esegue un sistema operativo basato su UNIX, configurare il server per la sincronizzazione unidirezionale come descritto in precedenza in questo argomento.

  • Installare Sincronizzazione password in tutti i controller di dominio. Se il server master NIS esegue un sistema operativo basato su UNIX, nei server basati su Windows configurare Sincronizzazione password per la sincronizzazione bidirezionale con il server master. Aggiungere infine ognuno dei client NIS all'elenco dei computer utilizzato da Sincronizzazione password e accertarsi di abilitare la sincronizzazione da UNIX a Windows e di disabilitare la sincronizzazione da Windows a UNIX. Abilitare la sincronizzazione da Windows a UNIX solo per il server master NIS. Per ulteriori informazioni sull'aggiunta e sulla configurazione di computer, vedere Aggiungere o rimuovere computer per la sincronizzazione e Impostare le proprietà della sincronizzazione per i singoli computer.

  • Installare il modulo Pluggable Authentication Module (PAM) di Sincronizzazione password in ogni client NIS e quindi copiare il file sso.conf dal server master alla directory /etc dei client. Per ulteriori informazioni, vedere Installare il modulo PAM (Pluggable Authentication Module) Sincronizzazione password.

  • Se il server master NIS è un computer basato su Windows che esegue Server per NIS, copiare il file Sso.cfg in uno dei client NIS, impostare SYNC_HOSTS in modo da specificare che il computer che esegue Server per NIS è il computer basato su Windows con cui devono essere sincronizzate le password e quindi copiare il file negli altri client UNIX. Per ulteriori informazioni sulle impostazioni di questo file, vedere Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX.

  • Configurare ogni computer UNIX in modo da consentire agli utenti di utilizzare il comando yppasswd per modificare le relative password. A tale scopo, sostituire il file binario yppasswd nel computer UNIX con un collegamento al file binario passwd e quindi modificare il file /etc/nsswitch.conf in modo da sostituire le righe passwd e shadow con quanto segue:

    passwd:  files [NOTFOUND=continue] nis
shadow:  files [NOTFOUND=continue] nis
    Dopo avere completato l'operazione, se un utente esegue il comando yppasswd per modificare la propria password, per la modifica della password verrà effettivamente eseguito il file binario passwd. Se nei file locali passwd e shadow non viene trovata la voce passwd dell'utente, verrà modificata la password NIS.


Crittografia delle password

Crittografia delle password

Un computer basato su Windows può inviare e ricevere password aggiornate da un computer basato su UNIX unicamente sotto forma di testo crittografato. SSOD (Single Sign-On Daemon) di Sincronizzazione password riceve la password crittografata e la decrittografa prima di richiederne la modifica nell'host UNIX. Analogamente, se Sincronizzazione password è configurato per il supporto della sincronizzazione da UNIX a Windows, il modulo PAM crittografa la password prima di inviarla a Sincronizzazione password nel computer basato su Windows, il quale a sua volta la decrittografa prima di richiederne la modifica nel computer basato su Windows.

La password può essere decrittografata solo se Sincronizzazione password e il modulo SSOD o PAM utilizzano la stessa chiave di crittografia per crittografare e decrittografare la password. Prima di installare il modulo SSOD in un computer UNIX, è necessario innanzitutto impostare la chiave di crittografia predefinita. È quindi necessario specificare la stessa chiave nel file sso.conf quando si installa il modulo SSOD in ognuno degli host UNIX. In questo modo si garantisce che Sincronizzazione password e il modulo SSOD negli host UNIX utilizzeranno la stessa chiave di crittografia. Per ulteriori informazioni sull'impostazione della chiave di crittografia predefinita, vedere Impostare la chiave di crittografia password. Per informazioni sull'installazione e sulla configurazione del modulo SSOD, vedere Installare il daemon di Sincronizzazione password in computer basati su UNIX.

Per una maggiore sicurezza, è possibile specificare una chiave di crittografia utilizzata solo tra un computer basato su Windows e un host UNIX specifici. Per informazioni su come configurare Sincronizzazione password in modo da utilizzare una chiave di crittografia specifica per un singolo computer, vedere Impostare le proprietà della sincronizzazione per i singoli computer. Per informazioni sull'impostazione di una chiave di crittografia specifica per un singolo computer nel computer UNIX, vedere Utilizzare sso.conf per configurare Sincronizzazione password in computer basati su UNIX.

Requisiti delle chiavi di crittografia

La chiave di crittografia deve soddisfare i requisiti seguenti:

  • Deve avere una lunghezza compresa tra 16 e 21 caratteri (21 consigliati).

  • Deve contenere caratteri appartenenti ad almeno tre dei quattro gruppi seguenti:

    • Lettere maiuscole (A–Z)

    • Lettere minuscole (A–Z)

    • Numeri arabi (0–9)

    • Simboli di punteggiatura ` ~ ! @ # $ % ^ & * _ – + = | \ { } [ ] : ; \ " ' < > . ?

  • Non può contenere parentesi aperte o chiuse, ovvero i simboli "(" o ")", virgole (,) o spazi vuoti ( ).


Risolvere i problemi relativi alla sincronizzazione delle password

Risolvere i problemi

Problema riscontrato

  • L'utente non può eseguire l'accesso a un sistema UNIX dopo aver modificato la password Windows

  • La sincronizzazione delle password non viene eseguita, apparentemente in modo casuale

  • La password dell'utente è stata modificata in alcuni computer, ma non in tutti

  • Nel registro eventi è stato registrato l'errore con ID 4104 per un account di sistema che in genere ha un nome che termina con un segno di dollaro ($)

  • Nel Visualizzatore eventi viene registrato un messaggio di errore relativo alla chiave di crittografia dopo che è stato installato Sincronizzazione password

  • Impossibile terminare SSOD (Single Sign-On Daemon) utilizzando kill -TERM in Linux

L'utente non può eseguire l'accesso a un sistema UNIX dopo aver modificato la password di Windows

Causa: Windows non segnala alcun problema se un tentativo di sincronizzazione di una password UNIX con una nuova password Windows non ha esito positivo.

Soluzione: controllare il registro eventi di Windows per individuare il motivo per cui il tentativo di modifica della password nel sistema UNIX non ha avuto esito positivo.

La sincronizzazione delle password in un dominio Windows non viene eseguita, apparentemente in modo casuale

Causa: Sincronizzazione password non è configurato esattamente nello stesso modo in tutti i controller di dominio nel dominio. Se un controller di dominio non conforme accetta la modifica di una password utente, potrebbe pertanto non essere in grado di modificare la password nei computer UNIX.

Soluzione: verificare che le impostazioni di configurazione di Sincronizzazione password siano identiche in tutti i controller di dominio, particolarmente le impostazioni host e le impostazioni predefinite per le chiavi di crittografia e le porte.

La password dell'utente è stata modificata in alcuni computer, ma non in tutti

Causa: i criteri password sono più restrittivi in alcuni computer, i nomi utente dei computer Windows e UNIX non corrispondono oppure l'utente ha modificato la password in un computer UNIX quando non era impostata la sincronizzazione bidirezionale.

Soluzione: verificare che i criteri password nei computer Windows e UNIX che eseguono la sincronizzazione delle password siano simili. In caso contrario, se l'utente modifica la password nel computer con i criteri meno restrittivi, è possibile che il sistema con i criteri più restrittivi non accetti la nuova password. I criteri password che regolano la lunghezza minima e massima, le maiuscole/minuscole e la combinazione di caratteri alfanumerici, la scadenza e il riutilizzo devono essere il più possibile simili nei computer Windows e UNIX che eseguono la sincronizzazione delle password. Gli amministratori dei sistemi Windows e UNIX devono inoltre verificare che i nomi utente nei computer Windows e UNIX siano identici, incluse le maiuscole/minuscole.

Nel registro eventi è stato registrato l'errore con ID 4104 per un account di sistema che in genere ha un nome che termina con un segno di dollaro ($)

Causa: questo errore non segnala un problema, ma viene registrato quando un controller di dominio di backup o un server membro del dominio reimposta un canale sicuro con il dominio. Quando si verifica questo evento, viene inoltre reimpostata la password del server. Sincronizzazione password intercetta queste richieste di modifica della password e poiché le richieste sono per account di computer anziché per account utente o di gruppo, registra l'errore numero 4104.

Soluzione: non sono necessarie misure correttive.

Nel Visualizzatore eventi viene registrato un messaggio di errore relativo alla chiave di crittografia dopo che è stato installato Sincronizzazione password

Causa: questo errore non segnala un problema, ma è semplicemente un promemoria che ricorda all'amministratore di Sincronizzazione password di modificare la chiave di crittografia predefinita. La modifica della chiave di crittografia predefinita è una procedura consigliata per la sicurezza di Sincronizzazione password e aiuta a evitare che utenti non autorizzati possano ottenere le password. Il testo descrittivo di questo messaggio indica in genere che la chiave di crittografia predefinita non è sicura e che è consigliabile generarne una nuova. Per ulteriori informazioni sulle procedure consigliate, vedere Procedure consigliate per la sincronizzazione delle password.

Soluzione: impostare una nuova chiave di crittografia tramite la procedura descritta nell'argomento Impostare la chiave di crittografia password.

Impossibile interrompere SSOD (Single Sign-On Daemon) utilizzando kill -TERM in Linux

Causa: si tratta di un problema noto.

Soluzione: in alternativa utilizzare kill 9 SSOD_PID.


Utilità da riga di comando di Sincronizzazione password

Per amministrare Sincronizzazione password è disponibile l'utilità da riga di comando seguente.

Utilità da riga di comando di Sincronizzazione password

psadmin


psadmin

psadmin

Nome

psadmin - Utilità da riga di comando di Windows per la gestione di Sincronizzazione password

Sintassi

psadmin [computername] [common_option] [add | delete | list]
psadmin [computername] [common_option] config [config_option]

Descrizione

L'utilità da riga di comando di Windows psadmin consente di gestire il componente Sincronizzazione password di Identity Management for UNIX in un computer specificato o a livello globale. L'azione specifica eseguita da psadmin dipende dall'argomento del comando indicato.

Oltre agli argomenti del comando specifici, psadmin accetta le opzioni e gli argomenti comuni seguenti, rappresentati da common_option nel riepilogo dei comandi:

Termine | Definizione
-u username | Il nome account dell'utente per il quale si desidera modificare o visualizzare il comportamento della sincronizzazione delle password.
-p password | La password dell'account utente per il quale si desidera modificare o visualizzare il comportamento della sincronizzazione delle password.
-? | Consente di visualizzare informazioni sull'utilizzo del comando.

In psadmin vengono accettate le opzioni di configurazione seguenti:

Termine Definizione

-comp name

Computer al quale vengono applicate le opzioni di configurazione. Se -comp non viene specificato, Sincronizzazione password modifica le impostazioni di configurazione predefinite. Se -comp è l'unica opzione specificata, verrà visualizzata la configurazione di Sincronizzazione password per il computer specificato.

-enable direction

Consente di specificare la direzione della sincronizzazione delle password. La variabile direction può contenere uno dei valori seguenti:

WintoUnix: consente di sincronizzare le modifiche alle password dai computer che eseguono sistemi operativi Windows ai computer che eseguono sistemi operativi UNIX.

UnixToWin: consente di sincronizzare le modifiche alle password dai computer che eseguono sistemi operativi UNIX ai computer che eseguono sistemi operativi Windows.

BothDir: consente di abilitare la sincronizzazione delle password bidirezionale.

-key keyvalue

Consente di impostare la chiave di crittografia e di decrittografia per il computer specificato da -comp. Se keyvalue è casuale, Sincronizzazione password utilizza una chiave di crittografia casuale.

-port number

Consente di impostare il numero di porta per il computer specificato.

-retry number

Consente di impostare il numero di tentativi consentiti. Poiché questa opzione è un'impostazione globale, può essere utilizzata solo quando non viene utilizzata l'opzione -comp.

-interval secs

Consente di specificare il periodo di tempo tra i tentativi, espresso in secondi. Poiché questa opzione è un'impostazione globale, può essere utilizzata solo quando non viene utilizzata l'opzione -comp.

-log [yes | no]

Abilita o disabilita la registrazione. Poiché questa opzione è un'impostazione globale, può essere utilizzata solo quando non viene utilizzata l'opzione -comp.

-?

Consente di visualizzare informazioni sull'utilizzo e sugli argomenti di psadmin.

In psadmin vengono accettati gli argomenti del comando seguenti:

Termine | Definizione
add computername | Consente di aggiungere il computer specificato all'elenco dei computer che partecipano alla sincronizzazione delle password.
delete computername | Consente di eliminare il computer specificato dall'elenco dei computer che partecipano alla sincronizzazione delle password.
list | Consente di visualizzare l'elenco dei computer che partecipano alla sincronizzazione delle password.
syncSNIS [yes | no] | Abilitare (yes) o disabilitare (no) la sincronizzazione automatica delle password nella direzione Windows a UNIX per tutti gli account migrati in Servizi dei domini Active Directory (AD DS). Se si aggiunge il parametro syncSNIS al comando psadmin con un valore "yes", viene richiesto di eseguire il controllo di compatibilità di Windows Server 2003 Service Pack 1 (SP1). E' consigliabile effettuare questo controllo come procedura di sicurezza. Per ulteriori informazioni sul controllo di compatibilità, vedere Procedure consigliate per la sincronizzazione delle password.