CIFS-Unterstützung und Einstellungen des Client-Computers

Nachdem die CIFS-Klartext-Kennwort-Authentifizierung aktiviert wurde, müssen LDAP-Benutzer möglicherweise die Einstellungen ihrer Computer ändern, um über CIFS auf Dateien des DiskStation zugreifen zu können:

• Wenn der DiskStation mit dem durch einen Synology LDAP-Server (oder einen anderen DiskStation, auf dem das Paket Directory Server installiert ist) bereitgestellten Verzeichnisdienst verbunden ist, oder der das Samba-Schema unterstützende LDAP-Server und alle LDAP-Benutzer die korrekten „sambaNTPassword“-Attribute haben, können LDAP-Benutzer über CIFS auf die Dateien Ihres DiskStation zugreifen, ohne CIFS-Klartext-Kennwort-Authentifizierung aktivieren zu aktivieren oder die Einstellungen ihrer Computer zu ändern. Andernfalls müssen LDAP-Benutzer die PAM-Unterstützung für ihre Computer aktivieren, um über CIFS auf Dateien des DiskStation zugreifen zu können. Dabei wird allerdings das Kennwort der LDAP-Benutzer in reiner Textform (ohne Verschlüsselung) zum DiskStation übertragen, sodass die Sicherheitsstufe sinkt.

Windows-Einstellungen ändern:

1. Gehen Sie zu Start > Ausführen, geben Sie regedit in das Feld ein und klicken Sie auf OK, um den Registrierungs-Editor zu öffnen.
2. Suchen oder erstellen Sie, je nach Windows-Version, folgende Registrierungseinträge:
• Windows 2000, XP, Vista und Windows 7:
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkStation\Parameters]
• Windows NT:
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters]
• Windows 95 (SP1), 98 und Me:
  [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP]
3. Erstellen oder ändern Sie den DWORD-Wert EnablePlainTextPassword von 0 nach 1.
4. Starten Sie Windows neu, um die Änderungen zu übernehmen.

Einstellungen von Mac OS X ändern:

1. Gehen Sie zu Anwendungen > Dienstprogramme, um Terminal zu öffnen.
2. Erstellen Sie eine leere Datei /etc/nsmb.conf:

   sudo touch /etc/nsmb.conf
   

3. Öffnen Sie /etc/nsmb.conf mit vi:

   sudo vi /etc/nsmb.conf
   

4. Geben Sie „i“ ein, um Text einzufügen, und fügen Sie Folgendes ein:

   [default]
   
minauth=none
   

5. Drücken Sie die Esc-Taste und geben Sie anschließend „ZZ“ ein, um die Änderungen zu speichern und vi zu verlassen.

Einstellungen unter Linux ändern:

Fügen Sie, wenn Sie smbclient verwenden, die folgenden Schlüssel in den Bereich [global] von smb.conf ein:

encrypt passwords = no
client plaintext auth = yes
client lanman auth = yes
client ntlmv2 auth = no

Wenn Sie mount.cifs verwenden, führen Sie den folgenden Befehl aus:

echo 0x30030 > /proc/fs/cifs/SecurityFlags

Weitere Informationen finden Sie unter https://www.kernel.org/doc/readme/Documentation-filesystems-cifs-README.

Details zu Profilen

Verschiedene LDAP-Server können unterschiedliche Attribute für Konto- und Gruppennamen verwenden oder zwischen Konten und Gruppen unterscheiden. Mit der Option Profil können Sie festlegen oder anpassen, wie Benutzer- und Gruppeninformationen den LDAP-Attributen zugeordnet werden. Je nach LDAP-Server kann eines der folgenden Profile ausgewählt werden:

• Standard: Für Server mit Synology Directory Server oder Mac Open Directory.
• IBM Lotus Domino: Für Server mit IBM Lotus Domino 8.5.
• Benutzerdefiniert: Erlaubt die Anpassung der Zuordnungen. Nähere Einzelheiten finden Sie im folgenden Abschnitt.

Bevor Sie die LDAP-Attributzuordnungen anpassen, benötigen Sie etwas Hintergrundwissen. Synology DSM und der Profil-Editor entsprechen RFC 2307. Zum Beispiel können Sie filter > passwd als userFilter festlegen, dann interpretiert der DiskStation die Datensätze mit objectClass=userFilter auf Ihrem LDAP-Server als LDAP-Konten. Wenn Sie passwd > uid als Benutzername festlegen, interpretiert der DiskStation Benutzername auf Ihrem LDAP-Server als Kontonamen. Bleibt die Zuordnung leer, gelten die RFC 2307-Regeln.

Der DiskStation benötigt eine feste Ganzzahl als LDAP-Konto-ID (uidNumber) oder eine Gruppen-ID (gidNumber). Allerdings verwenden nicht alle LDAP-Server Zahlen, um solche Attribute darzustellen. Daher wird ein Schlüsselwort HASH() bereitgestellt, um solche Attribute in Ganzzahlen umzuwandeln. Ihr LDAP-Server könnte beispielsweise das Attribut userid mit einem Hexadezimalwert als eindeutige ID für ein LDAP-Konto verwenden. In diesem Fall können Sie passwd > uidNumber auf HASH(userid) einstellen, dann wandelt der DiskStation das Attribut in eine Ganzzahl um.

Es folgt eine Zusammenfassung der anpassbaren Attribute:

• filter
• group: Erforderliche objectClass für Gruppe.
• passwd: Erforderliche objectClass für Benutzer.
• shadow: Erforderliche objectClass für Benutzer-Passwörter.
• group
• cn: Gruppenname.
• gidNumber: GID-Nummer dieser Gruppe
• memberUid: Mitglieder dieser Gruppe.
• passwd
• uidNumber: UID-Nummer des Benutzers
• uid: Benutzername.
• gidNumber: Primäre GID-Nummer des Benutzers.
• shadow
• uid: Benutzername.
• userPassword: Benutzer-Passwort.

Über UID/GID-Verschiebung

Um UID/GID-Konflikte zwischen LDAP-Benutzern/-Gruppen und lokalen Benutzern/Gruppen zu vermeiden, können Sie die UID/GID-Verschiebung aktivieren, um die UID/GID von LDAP-Benutzern/-Gruppen um 1000000 zu verschieben. Diese Option gilt nur für LDAP-Server, die keine LDAP-Server von Synology sind und ein eindeutiges numerisches ID-Attribute für jede(n) Benutzer/Gruppe besitzen.