3. 配置客戶(hù)端主OD認(rèn)證
Mac OS X的客戶(hù)端使用Utilities目錄中的Directory Utility程序來(lái)設(shè)置.
A. 添加一個(gè)主OD到目錄服務(wù)搜索路徑
1. 運(yùn)行Directory Utility并登錄, 點(diǎn)擊"+"按鈕以添加目錄服務(wù)到本地的目錄搜索. 建議使用你的服務(wù)器名，當(dāng)然用IP地址也可以. 點(diǎn)擊OK.
2. Directory Utility將通過(guò)你的服務(wù)器獲得配置信息，然后讓你做"認(rèn)證綁定"(authenticated bind). 當(dāng)你希望通過(guò)計(jì)算機(jī)列表來(lái)管理用戶(hù)的時(shí)候，這個(gè)功能很有用，因?yàn)樗鼘⒃谀夸浄?wù)中自動(dòng)建立計(jì)算機(jī)賬號(hào). "認(rèn)證綁定"也讓你來(lái)管理(客戶(hù)的)登錄／登出運(yùn)行腳本. 對(duì)于本練習(xí)，我們不做這不，點(diǎn)擊OK就好.
現(xiàn)在已經(jīng)配置好了(客戶(hù)端).
2. Directory Utility將通過(guò)你的服務(wù)器獲得配置信息，然后讓你做"認(rèn)證綁定"(authenticated bind). 當(dāng)你希望通過(guò)計(jì)算機(jī)列表來(lái)管理用戶(hù)的時(shí)候，這個(gè)功能很有用，因?yàn)樗鼘⒃谀夸浄?wù)中自動(dòng)建立計(jì)算機(jī)賬號(hào). "認(rèn)證綁定"也讓你來(lái)管理(客戶(hù)的)登錄／登出運(yùn)行腳本. 對(duì)于本練習(xí)，我們不做這不，點(diǎn)擊OK就好.
現(xiàn)在已經(jīng)配置好了(客戶(hù)端).
B. 核實(shí)目錄連接并用網(wǎng)絡(luò)用戶(hù)登錄
1. 打開(kāi)Terminal并執(zhí)行下面的命令. "dscl"是"Directory Service Command Line"工具(縮寫(xiě)就是dscl), 它主要是OD瀏覽. 不要鍵入提示符("demo:~admin$"和在">"字符之前的部分)
2. 如果你可以看見(jiàn)一個(gè)用戶(hù)記錄，那么你的配置成功了.
3. 從客戶(hù)端登出，然后用一個(gè)前面在Workgroup Manager建立的網(wǎng)絡(luò)用戶(hù)登錄.
|
demo:~ admin$ dscl localhost
/ > cd LDAPv3/ /LDAPv3 > ls demo.apple.edu /LDAPv3 > cd demo.apple.edu/ /LDAPv3/demo.apple.edu > read Users/diradmin apple-generateduid: A036593C-65E7-11D9-BB90-000A95C4219C apple-mcxflags: <?xml version=”1.0” encoding=”UTF-8”?> ... |
2. 如果你可以看見(jiàn)一個(gè)用戶(hù)記錄，那么你的配置成功了.
3. 從客戶(hù)端登出，然后用一個(gè)前面在Workgroup Manager建立的網(wǎng)絡(luò)用戶(hù)登錄.
C. 排除目錄服務(wù)連接故障
目錄服務(wù)架構(gòu)很復(fù)雜且不容疏忽(unforgiving). 所以，很容易犯錯(cuò)誤而很難追索到. 下面有幾個(gè)工具可協(xié)助找到故障(isolate problems).
1. 在Mac OS X服務(wù)器上有下面如果進(jìn)程和LDAP服務(wù)相關(guān).
1. 在Mac OS X服務(wù)器上有下面如果進(jìn)程和LDAP服務(wù)相關(guān).
. PasswordService
. kadmind
. krb5kdc
. slapd
. DirectoryService
. kadmind
. krb5kdc
. slapd
. DirectoryService
2. 使用下面的命令來(lái)確認(rèn)上面的服務(wù)已經(jīng)運(yùn)行:
| ps auxw | grep PasswordService |
DirectoryServices進(jìn)程是負(fù)責(zé)和OD交流而獲得信息的后臺(tái)程序. 它提供目錄服務(wù)的一個(gè)抽象層，以使應(yīng)用程序不用知道如何和LDAP/AD/NIS和其它的目錄服務(wù)通訊，他們知道如何和 DirectoryServices后臺(tái)進(jìn)程通許就可以了. 正是因?yàn)樗械哪夸浄?wù)都通過(guò)這個(gè)途徑，所以你可以打開(kāi)調(diào)試功能，通過(guò)查看調(diào)試信息來(lái)學(xué)習(xí)DS的配置.
3. 運(yùn)行下面的命令來(lái)使DirectoryService在調(diào)試模式運(yùn)行并監(jiān)視調(diào)試記錄, 通過(guò)DirectoryService的man文檔來(lái)查看錯(cuò)誤代碼的含義.
|
sudo killall -USR1 DirectoryService
tail -f /Library/Logs/DirectoryService/DirectoryService.debug.log |
4. 數(shù)據(jù)包跟蹤可以幫助你了解客戶(hù)端和服務(wù)器是否通訊正常. 下面在服務(wù)器上運(yùn)行的命令可以顯示有關(guān)LDAP相關(guān)的數(shù)據(jù)流.
|
tcpdump -i en0 -s 0 -vv port 389
tcpdump -i en0 -s 0 -vv port 389 host 10.0.1.9 tcpdump -i en0 -s 0 -vv port 389 or port 106 |
當(dāng)Mac OS X客戶(hù)端登錄的時(shí)候下面的服務(wù)和端口將被用到：
? LDAP 389
? PasswordServer 106
? Secure LDAP 636
? Kerberos 88
? PasswordServer 106
? Secure LDAP 636
? Kerberos 88
5. 檢查客戶(hù)和服務(wù)器是不是使用統(tǒng)一的網(wǎng)絡(luò)時(shí)間服務(wù)器. Kerberos認(rèn)證有時(shí)間限制，所有的機(jī)器時(shí)鐘誤差必須在5分鐘之內(nèi).
更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號(hào)聯(lián)系： 360901061
您的支持是博主寫(xiě)作最大的動(dòng)力，如果您喜歡我的文章，感覺(jué)我的文章對(duì)您有幫助，請(qǐng)用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點(diǎn)擊下面給點(diǎn)支持吧，站長(zhǎng)非常感激您！手機(jī)微信長(zhǎng)按不能支付解決辦法：請(qǐng)將微信支付二維碼保存到相冊(cè)，切換到微信，然后點(diǎn)擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對(duì)您有幫助就好】元
