Cette excellente étude compare les différentes solutions logicielles gratuites permettant d’intégrer les systèmes Unix, Linux et Mac dans Active Directory, et qui permettent aux organisations d’utiliser Active Directory comme annuaire centralisant pour les authentifications des utilisateurs quel que soit le système utilisé. cette approche apportant de nombreux avantages tels que: unicité du nom utilisateur et du mot passe utilisateur sur l’ensemble des systèmes, centralisation des logs d’authentification sur les contrôleurs de domaine AD, stratégie de politique et de complexité de mot de passe unifiée sur l’ensemble des systèmes, etc.

En substance, voila les conclusions de Rodney Ruddock dans le tableau suivant, les cases en jaune indiquant les éléments significatifs et importants selon Rodney Ruddock:

Rodney Ruddock préconisant donc Centrify Express comme la solution idéale pour l’intégration gratuite des environnements hétérogènes dans Active Directory.

L’étude complète est accessible [ ICI ]

Bien sur, certaines fonctions ne sont pas présentes, donc pas de possibilité ici de gérer plusieurs UIDs/GIDs, de supporter les SmartCard ou de faire des GPOs sur les systèmes (fonctions intégrées dans la version payante) – néanmoins, il est possible ici de gratuitement intégrer les systèmes hétérogènes dans Active Directory.

Il donc possible de réaliser une intégration transparente dans l’annuaire Microsoft et donc de permettre aux utilisateur d’utiliser le même mot de passe sur tous les systèmes et de profiter d’un SSO utilisateur basé sur kerberos. Cela est déjà génial !

Centrify DirectExpress est téléchargeable [ ICI ]

Si vous voulez en savoir plus sur Centrify DirectExpress avant le déploiement, vous pouvez regarder la vidéo suivante:

• Service LDAP (anciennement Fedora Directory Server)
• Service MIT Kerberos
• Service NTP
• Service DNS
• Service d’autorité de certification
• Interface d’administration en mode web ou en ligne de commandes
• Gestion des comptes utilisateurs et des groupes

Avouez que la ressemblance est troublante…

J’ai pour habitude de dire qu’Active Directory, c’est trois éléments: [1] Un service LDAP [2] Un service Kerberos [3] Un ensemble d’autres choses…  Le tout proposé avec des outils d’administration et de gestion intégrés.

freeIPA 2.0 proposera en Mars 2011 des outils de synchronisation avec Active Directory, à voir la comparaison avec un méta-annuaire.

Mais, le véritable chalenge sera comme souvent l’intégration des clients… Active Directory possède pour l’instant la plus grande couverture fonctionnelle de clients qui puisse exister: Windows, Mac, Unix, Linux, tout est possible ! Il sera donc très important de tester l’intégration des clients lors du test éventuel de freeIPA en version 2.0.

Sortie de la version 2.1 pendant l’été 2011.

L’université réalise un appel à participation pour d’éventuels orateurs et un appel à participation pour des sponsors. Il est possible d’obtenir des informations complémentaires en envoyant un email à afs2010@civ.zcu.cz

Des informations sur AFS peuvent notamment être trouvées sur le site d’Open AFS.

La prochaine réunion de la CADIM aura lieu le 17 Mars 2010  dans les nouveaux locaux de Microsoft France, à Issy-les-Moulineaux – Cette prochaine réunion sera l’occasion d’évoquer les nouveautés produit de chez Microsoft sur les annuaires et la gestion des identités:

• FIM 2010  – les nouveautés sur le portail utilisateurs et le système de Workflow
• Utilisation de Kerberos en tant que système de Single Sign On (SSP) à l’ensemble des systèmes et des applications
• Couplage de la gestion des accès physique (accès aux bâtiments) et logique (gestion de l’ouverture de session Windows) via la solution HID on the Desktop

Comme d’habitude, les démonstrations et l’interaction entre les personnes présentes seront privilégiées. Venez découvrir des éléments techniques que vous ne verrez QUE dans le cadre de la communauté  CADIM !

***   DEBUT DE LA REUNION A 14H – VOUS POUVEZ VOUS INSCRIRE A CETTE REUNION DU 17 MARS 2010   ***

[ INSCRIPTION ICI ]

La faille impacte les systèmes d’exploitation suivants:

– Windows 2000 Server Service Pack 4

– Windows Server 2003 Service Pack 2

– Windows Server 2003 Édition x64 Service Pack 2

– Windows Server 2003 avec SP2 pour systèmes Itanium

– Windows Server 2008 pour systèmes 32 bits etWindows Server 2008 pour systèmes 32 bits Service Pack 2

– Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes x64 Service Pack 2

Microsoft délivre le correctif de sécurité MS10-014 pour corriger le problème, à appliquer de toute urgence.

Avec l’arrivée de Windows 7 et de FreeBSD 8.0, l’année est plutôt exceptionnelle en ce qui concerne les mises à jour des systèmes d’exploitation !!! Franchement, de la même façon que je suis vraiment épaté par Windows 7, j’avoue être super fan de FreeBSD 8.0; comme quoi, avec un peu d’ouverture d’esprit, on trouve des choses intéressante de part et d ‘autre…

Au rayon des nouveautés:

• Support des processeurs x86, 64bits, Itanium, PowerPC et SPARC
• Jails V2, un outil de gestion des processus en environnement multiprocesseurs
• Système de fichiers ZFS 13
• ULE 3.0 comme nouvelle version de l’ordonnanceur système
• Support amélioré de NFS en ce qui concerne Kerberos

Pour télécharger cette nouvelle mouture direction le site FTP de FreeBSD.org

Pour visualiser ou télécharger les présentations: http://www.kerberos.org/events/2009conf/ - les nouveautés de la version 1.8 de la libraire kerberos sont présentées sur le WiKi du Kerberos consortium: http://k5wiki.kerberos.org/wiki/Release_1.8

Pour les environnements Windows, voici la liste des modifications tel que présenté sur le site du MIT [ http://web.mit.edu/kerberos/krb5-1.7/ ]:

Compatibility with Microsoft Windows:

• Follow client principal referrals in the client library when obtaining initial tickets.
• KDC can issue realm referrals for service principals based on domain names.
• Extensions supporting DCE RPC, including three-leg GSS context setup and unencapsulated GSS tokens inside SPNEGO.
• Microsoft GSS_WrapEX, implemented using the gss_iov API, which is similar to the equivalent SSPI functionality. This is needed to support some instances of DCE RPC.
• NTLM recognition support in GSS-API, to facilitate dropping in an NTLM implementation for improved compatibility with older releases of Microsoft Windows.
• KDC support for principal aliases, if the back end supports them. Currently, only the LDAP back end supports aliases.
• Support Microsoft set/change password (RFC 3244) protocol in kadmind.
• Implement client and KDC support for GSS_C_DELEG_POLICY_FLAG, which allows a GSS application to request credential delegation only if permitted by KDC policy.

Les packages de la version 5 1.7 sont téléchargeables ici: http://web.mit.edu/kerberos/dist/index.html