3. 配置客戶端主OD認證
Mac OS X的客戶端使用Utilities目錄中的Directory Utility程序來設置.
A. 添加一個主OD到目錄服務搜索路徑
1. 運行Directory Utility并登錄, 點擊"+"按鈕以添加目錄服務到本地的目錄搜索. 建議使用你的服務器名，當然用IP地址也可以. 點擊OK.
2. Directory Utility將通過你的服務器獲得配置信息，然后讓你做"認證綁定"(authenticated bind). 當你希望通過計算機列表來管理用戶的時候，這個功能很有用，因為它將在目錄服務中自動建立計算機賬號. "認證綁定"也讓你來管理(客戶的)登錄／登出運行腳本. 對于本練習，我們不做這不，點擊OK就好.
現在已經配置好了(客戶端).
2. Directory Utility將通過你的服務器獲得配置信息，然后讓你做"認證綁定"(authenticated bind). 當你希望通過計算機列表來管理用戶的時候，這個功能很有用，因為它將在目錄服務中自動建立計算機賬號. "認證綁定"也讓你來管理(客戶的)登錄／登出運行腳本. 對于本練習，我們不做這不，點擊OK就好.
現在已經配置好了(客戶端).
B. 核實目錄連接并用網絡用戶登錄
1. 打開Terminal并執行下面的命令. "dscl"是"Directory Service Command Line"工具(縮寫就是dscl), 它主要是OD瀏覽. 不要鍵入提示符("demo:~admin$"和在">"字符之前的部分)
2. 如果你可以看見一個用戶記錄，那么你的配置成功了.
3. 從客戶端登出，然后用一個前面在Workgroup Manager建立的網絡用戶登錄.
|
demo:~ admin$ dscl localhost
/ > cd LDAPv3/ /LDAPv3 > ls demo.apple.edu /LDAPv3 > cd demo.apple.edu/ /LDAPv3/demo.apple.edu > read Users/diradmin apple-generateduid: A036593C-65E7-11D9-BB90-000A95C4219C apple-mcxflags: <?xml version=”1.0” encoding=”UTF-8”?> ... |
2. 如果你可以看見一個用戶記錄，那么你的配置成功了.
3. 從客戶端登出，然后用一個前面在Workgroup Manager建立的網絡用戶登錄.
C. 排除目錄服務連接故障
目錄服務架構很復雜且不容疏忽(unforgiving). 所以，很容易犯錯誤而很難追索到. 下面有幾個工具可協助找到故障(isolate problems).
1. 在Mac OS X服務器上有下面如果進程和LDAP服務相關.
1. 在Mac OS X服務器上有下面如果進程和LDAP服務相關.
. PasswordService
. kadmind
. krb5kdc
. slapd
. DirectoryService
. kadmind
. krb5kdc
. slapd
. DirectoryService
2. 使用下面的命令來確認上面的服務已經運行:
| ps auxw | grep PasswordService |
DirectoryServices進程是負責和OD交流而獲得信息的后臺程序. 它提供目錄服務的一個抽象層，以使應用程序不用知道如何和LDAP/AD/NIS和其它的目錄服務通訊，他們知道如何和 DirectoryServices后臺進程通許就可以了. 正是因為所有的目錄服務都通過這個途徑，所以你可以打開調試功能，通過查看調試信息來學習DS的配置.
3. 運行下面的命令來使DirectoryService在調試模式運行并監視調試記錄, 通過DirectoryService的man文檔來查看錯誤代碼的含義.
|
sudo killall -USR1 DirectoryService
tail -f /Library/Logs/DirectoryService/DirectoryService.debug.log |
4. 數據包跟蹤可以幫助你了解客戶端和服務器是否通訊正常. 下面在服務器上運行的命令可以顯示有關LDAP相關的數據流.
|
tcpdump -i en0 -s 0 -vv port 389
tcpdump -i en0 -s 0 -vv port 389 host 10.0.1.9 tcpdump -i en0 -s 0 -vv port 389 or port 106 |
當Mac OS X客戶端登錄的時候下面的服務和端口將被用到：
? LDAP 389
? PasswordServer 106
? Secure LDAP 636
? Kerberos 88
? PasswordServer 106
? Secure LDAP 636
? Kerberos 88
5. 檢查客戶和服務器是不是使用統一的網絡時間服務器. Kerberos認證有時間限制，所有的機器時鐘誤差必須在5分鐘之內.
更多文章、技術交流、商務合作、聯系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號聯系： 360901061
您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對您有幫助就好】元
