Мои вопросы

[rivan]

Создал отдельную тему со своими вопросами, чтобы не раскидывать по всему форуму.
Как сделать интеграцию с MS AD в зоне .local?
У многих я думаю локальный MSAD домен имеет зону .local, так складывалось исторически и сейчас уже не переиграть и ничего не сделать.
При настройке интеграции ALD пишет, что:

Зону создал:

Ничего не поменялось.
Пробовал удалять avahi-daemon - ничего не меняется
Пробовал добавлять в hosts запись для домена bik.local и для контроллера домена - ничего не меняется
Прошу писать любые идеи по этому поводу, буду пробовать.

 

[rivan]

Как сделать импорт пользователей из файла?
Каждый год новых студентов я создавал в MS AD с помощью импорта powershell из csv файла, который генерировал в 1с.
Есть ли возможность сделать такое в ALD? 500 человек забить руками это не совсем то, чем бы хотелось заниматься.

 

[rivan]

Как сделать ldap авторизацию во внешних системах?
В частности интересует moodle - задаю адрес ldap сервера - контроллер домена ALD PRO, отличительное имя (bind_dn) беру из ALD:

куда в начало добавляю cn=moodleuser,
Получается: cn=moodleuser,ou=ИВЦ,ou=Сотрудники,ou=bincol.lan,cn=orgunits,cn=accounts,dc=bincol,dc=lan
При проверке соединения ошибка. Причем moodle не пишет это ошибка авторизации или связи с доменом.
Я не правильно пишу bind_dn? Или ALD не дает внешней системе доступ к себе?

 

[biv30]

Создал отдельную тему со своими вопросами, чтобы не раскидывать по всему форуму.
Как сделать интеграцию с MS AD в зоне .local?
У многих я думаю локальный MSAD домен имеет зону .local, так складывалось исторически и сейчас уже не переиграть и ничего не сделать.
При настройке интеграции ALD пишет, что:
Посмотреть вложение 84
Зону создал:
Посмотреть вложение 85
Ничего не поменялось.
Пробовал удалять avahi-daemon - ничего не меняется
Пробовал добавлять в hosts запись для домена bik.local и для контроллера домена - ничего не меняется
Прошу писать любые идеи по этому поводу, буду пробовать.

Инструкция - Интеграция с MS AD 2.1

Управление доменом > Доверительные отношения > Миграция объектов AD Жмем новое подключение к AD Вводим имя домена к которому хотим подключиться [domain.name.ru] Ставим [✔] Доверительные отношения Проверяем что бы напротив Двусторонние доверительные отношения стояла галка Вводим имя пользователя...

ald-pro.com

 

[rivan]

Там нет ничего про зону .local вопрос именно в этом.

 

[biv30]

У меня на тестах был один из доменов .local и с ним прекрасно поднялись доверительные отношения. Был затык только в " ... Для отключения валидации записей DNS в файле /etc/bind/ipa-options-ext.conf изменить значение параметра dnssec-validation с yes на no ... " и если этого не делать, то выходила именно эта ошибка.

 

[rivan]

Понял, спасибо, попробую

 

[rivan]

Не работает двухстороннее доверие.
Импорт работает, но при попытке войти под пользователем AD не пускает.
Домен 2019 - делаю по инструкции в интерфейсе FreeIPA - вот такая ошибка. Файл error_log поиском не нашел, что в нем непонятно.

 

[rivan]

Вопрос по серверу репозиториев.
Как можно поменять в репозитории пакет вручную?
Пример - yandex-browser-stable в репозитории 1.7.4 он древний, хотелось бы заменить его на свежий, скачанный с яндекса.
Так же вопрос как правильно автоматически установить ПО на ПК в домене из deb пакета? Есть список ПО, который можно ставить на все ПК организации. В принципе решает первый вопрос.

 

[rivan]

Вопрос по автоматической установке ПО:
Создал группу компьютеров в подразделении, куда поместил компьютеры.
Создал политику ПО - хочу установить wine на ПК которые входят в группу компьютеров ранее созданную.
Создал ПО, выбрал версию. Пришлось создать параметр ПО, назвал test - без него не появлялась кнопка Применить в Каталоге ПО. Нажал применить, в конфигурации политики появился wine.
Жду уже час, на ПК ничего не ставится, они включены.

 

[biv30]

Вопрос по серверу репозиториев.
Как можно поменять в репозитории пакет вручную?
Пример - yandex-browser-stable в репозитории 1.7.4 он древний, хотелось бы заменить его на свежий, скачанный с яндекса.
Так же вопрос как правильно автоматически установить ПО на ПК в домене из deb пакета? Есть список ПО, который можно ставить на все ПК организации. В принципе решает первый вопрос.

Ни как, они же проверенные, с чексуммами и сертификатами. Можно отдельно поставить. В АлдПро это делается через политики. Как тут не очень знаю.

 

[rivan]

У меня ALD Pro, я находил здесь как через политики делать, попробую.
Просто для работы с ALD Pro используются старые замороженные репозитории, которые не обновляются, а это не есть хорошо.

 

[biv30]

У меня ALD Pro, я находил здесь как через политики делать, попробую.
Просто для работы с ALD Pro используются старые замороженные репозитории, которые не обновляются, а это не есть хорошо.

В Астре в принципе репы замороженные, что в принципе логично (репы поверенные и по сертифицировано, не чего туда пихать что не попадя ). Если установлен АЛД Про, там все легко ставится. Если не разберешься, могу пример политики скинуть.

 

[rivan]

Еще вопрос:
Не работает обновление из локальных репозиториев по https на всех ПК:
Ошб:6 https://repo.bincol.lan/repos/alse-base 1.7_x86-64 Release
Certificate verification failed: The certificate is NOT trusted. The name in the certificate does not match the expected. Could not handshake: Error in the certificate verification.
Компьютер в домене, более того в sources.list прописано:
deb [trusted=yes] https://repo.bincol.lan/repos/alse-base/ 1.7_x86-64 main non-free contrib
По идее он должен сертификат сервера в доверенные подтянуть автоматом? И с ошибкой сертификата должен принимать, добавлен параметр [trusted] но не хочет.

 

[biv30]

Еще вопрос:
Не работает обновление из локальных репозиториев по https на всех ПК:
Ошб:6 https://repo.bincol.lan/repos/alse-base 1.7_x86-64 Release
Certificate verification failed: The certificate is NOT trusted. The name in the certificate does not match the expected. Could not handshake: Error in the certificate verification.
Компьютер в домене, более того в sources.list прописано:
deb [trusted=yes] https://repo.bincol.lan/repos/alse-base/ 1.7_x86-64 main non-free contrib
По идее он должен сертификат сервера в доверенные подтянуть автоматом? И с ошибкой сертификата должен принимать, добавлен параметр [trusted] но не хочет.

Создание собственного/служебного репозитория - Справочный центр - Справочный центр Astra Linux

wiki.astralinux.ru

Обрати внимание на пункт "Подписание репозитория"

 

[biv30]

Создание собственного/служебного репозитория - Справочный центр - Справочный центр Astra Linux

wiki.astralinux.ru

Обрати внимание на пункт "Подписание репозитория"

Но я делаю проще, для разовой установки создаю политику на все компьютеры в которой проверяю существует ли директория и если нет то копирую нужный пакет в темп и от туда устанавливаю.

 

[rivan]

Это репозитории созданы из админки ALD Pro из ISO файлов репозиториев астры. По идее они ведь должны быть подписаны?
Неужели из админки это все нельзя сделать без проблем? Для чего то же в ALD делали возможность создавать репозитории?

 

[biv30]

Это репозитории созданы из админки ALD Pro из ISO файлов репозиториев астры. По идее они ведь должны быть подписаны?
Неужели из админки это все нельзя сделать без проблем? Для чего то же в ALD делали возможность создавать репозитории?

Если честно я с этим не заморачивался. На астре вне домена зеркалил репы, расшаривал через апач, и все прекрасно работает, ни разу не чихнуло.

 

[rivan]

Я просто пытаюсь сейчас сделать в домене свой репозиторий, напихать туда нужных пакетов, чтобы автоматизировать установку ПО средствами ALD и что то пока никак.. Даже репозитории самой астры не работают нифига через https, через http они работают.
А собственный репозиторий не работает совсем - ругается, что он не подписан. Может подскажете как заставить ПК это игнорить? Пробовал
[allow-insecure=yes][trusted=yes]
не работает

 

[biv30]

Я просто пытаюсь сейчас сделать в домене свой репозиторий, напихать туда нужных пакетов, чтобы автоматизировать установку ПО средствами ALD и что то пока никак.. Даже репозитории самой астры не работают нифига через https, через http они работают.
А собственный репозиторий не работает совсем - ругается, что он не подписан. Может подскажете как заставить ПК это игнорить? Пробовал
[allow-insecure=yes][trusted=yes]
не работает

если внутри и работает по хттп, его и используй. Это же не внешка.
хочешь хттпс выпускай серт на машину, прописывай в апаче. Иначе работать не будет