Praktyczny przewodnik po MAC OS X Server 10.6 oraz 10.7 - ebook

O książce

Niniejsza książka stanowi praktyczny poradnik po MAC OS X Server. Jest ona kompatybilna z wersjami 10.6 (Snow Leopard) oraz 10.7 (Lion). Prezentuje ona w sposób praktyczny najważniejsze funkcje i możliwości serwerowego systemu firmy Apple. Poza niezbędną teorią zawiera także szczegółowe instrukcje i ćwiczenia, w których każdy, nawet najdrobniejszy element jest zawarty na zrzucie ekranowym i jest objaśnione tak, aby nawet osoba, która pierwszy raz pracuje na MAC OS X Server spokojnie poradziła sobie z konfiguracją i administracją tymże systemem. Książka została tak napisana, aby przechodząc przez nią od początku do końca użytkownikowi udało się w pełni skonfigurować własny serwer, a następnie nadzorować jego działanie i nim administrować. Jako, że została ona oparta aż na 6 oficjalnych książkach treningowych firmy Apple jest ona świetnym Vademecum, które zawiera wszystkie najważniejsze informacje. Uzupełnieniem książki są pytania oraz ćwiczenia praktyczne pozwalające nie tylko sprawdzić siebie, ale także utrwalić nabytą wiedzę oraz przećwiczyć inne scenariusze implementacji. Z tej lektury czytelnik nauczy się także współpracować z maszynami i sieciami opartymi o systemy z rodziny Microsoft Windows oraz Linux. Współdzielenie się zasobami oraz wspólna praca w domenie czy grupie roboczej nie będzie stanowić żadnego problemu. Jest to idealna pozycja dla czytelników mających już dość encyklopedycznych pozycji i pragnących lektury ukierunkowanej na praktykę i ćwiczenia.O autorze

Jest magistrem inżynierem informatyki, absolwentem Polsko-Japońskiej Wyższej Szkoły Technik Komputerowych. Obecnie doktorant i ćwiczeniowca na powyższej uczelni, a zawodowo trener IT. Jego specjalnością są produkty serwerowe firm Apple oraz Microsoft, a także aplikacje graficzne firmy Adobe. Od 2009 roku redaktor portalu informatycznego in4.pl oraz własnego bloga www.wolk.pl, na łamach których opublikował kilkadziesiąt artykułów oraz poradników w dziedzinie informatyki. Tworzy także autorskie materiały szkoleniowe, udziela się na portalu e-biotechnologia.pl , a także autor niektórych artykułów dla magazynu iCoder Magazine. Posiada także liczne certyfikaty firm Apple i Microsoft, między innymi Apple Certified System Administrator (ACSA), Microsoft Certified System Administrator (MCSA) oraz Microsoft Certified IT Professional (MCITP).1. Instalacja

Instalację Mac OS X można przeprowadzić na kilka różnych sposobów:

- płyty DVD

- klucza USB

- zdalnie za pośrednictwem sieci.

Proces instalacji bez względu na wybraną opcję wygląda analogicznie. Za chwilę go prześledzimy. Będzie potrzebny komputer Apple z procesorem Intel wyposażony w minimum 2GB pamięci RAM oraz 10GB wolnego miejsca na dysku. Za pomocą aplikacji Server Admin można przeprowadzić instalację nie podłączając do komputera ani myszki, ani klawiatury, ani monitora. My jednak założymy, że mamy fizyczny dostęp do komputera, ponieważ na potrzeby kursu będzie to znacznie wygodniejsze. Zgodnie z informacjami, które podaje Apple, Mac OS X Server powinno się instalować wyłącznie na komputerach stacjonarnych, choć fizycznie nie ma przeciwskazań przed instalacją na komputerze mobilnym. Uruchommy zatem instalator.

Po chwili czekania kreator instalacji zostanie załadowany i powita nas oknem wyboru języka. Na chwilę obecną dostępne są 4 języki, niestety polski ze względu na małą popularność tego systemu w naszym kraju się do nich nie zalicza. Najrozsądniej zatem będzie się zdać na język angielski i przejść do następnego okna.

Pojawi się ekran powitalny wraz z górnym paskiem narzędzi. Jeżeli nie mamy na dysku twardym utworzonej partycji lub chcemy na przykład użyć macierzy RAID możemy w tym momencie kliknąć w Utilities, a następnie Disk Utility. W przeciwnym przypadku klikamy Continue.

Naszym oczom ukaże się regulamin, który należy zaakceptować, aby móc kontynuować instalację.

W kolejnym oknie wybieramy dysk twardy, na którym ma znaleźć się system i klikamy przycisk Install.

Rozpocznie się proces kopiowania plików, który może potrwać nawet kilkadziesiąt minut.

Komputer sam się zrestartuje i przywita nas kreator pierwszej konfiguracji serwera. Na pierwszej karcie wybieramy Show All - aby wybrać kraj, w którym się znajdujemy i klikamy Continue.

Następnie wybieramy układ klawiatury jako, że nie ma polskiego układu wybieramy układ domyślny i klikamy Continue.

Na kolejnej karcie trzeba podać numer seryjny oraz dane naszej firmy.

Kolejne okno pozwala przenieść dane z istniejącego już serwera na obecnie instalowany. W naszym przypadku wybieramy drugą opcję Set up a new server, aby skonfigurować maszynę od podstaw.

Następnie wypełniamy dane rejestracyjne.

Zostaniemy jeszcze poproszeni o wypełnienie krótkiej ankiety.

W kolejnym oknie wybieramy strefę czasową.

Bardzo ważna jest kolejna karta instalatora, na której tworzymy konto administratora. Możemy tutaj zezwolić logowanie zdalne na serwer za pomocą SSH i zarządzanie komputerem zdalnie. Pamiętajmy także aby hasło, które nadamy administratorowi było bardzo trudne do złamania. Musi ono koniecznie zawierać duże i małe litery, cyfry oraz znaki specjalne. Na potrzeby kursu będziemy wszędzie używać hasła: Pa$$w0rd

Kolejna karta to konfiguracja sieci. Gdybyśmy mieli kilka kart sieciowych byłaby jeszcze możliwość jednoczesnego udostępnienia łącza internetowego. Na tą chwilę wprowadzamy statyczny adres IP.

Na następnej karcie podajemy strefę wyszukiwania DNS, którą posiada nasza firma jak również nazwę komputera. Warto opracować sobie jakąś konwencję nazewnictwa zarówno serwerów, kontrolerów domeny jak i stacji roboczych tak, aby zachować porządek.

W kolejnym oknie wybieramy pierwszą opcję, czyli Create Users and Groups. Stworzy ona najbardziej popularne grupy użytkowników, z których będziemy mogli później korzystać.

Na kolejnej karcie pojawią się podstawowe usługi, które mogą zostać automatycznie zainstalowane. Można zostawić ustawienia standardowe, czyli wszystkie wybrane i kliknąć Continue.

W kolejnym oknie możemy zezwolić komputerom klienckim na wykonywanie kopii zapasowych na naszym serwerze.

Opcje dotyczące serwera Maili na tą chwilę zostawiamy nieuzupełnione i klikamy Continue.

Naszym oczom ukaże się karta z podsumowaniem, na której należy kliknąć Set Up.

Trzeba będzie chwilę poczekać aż wszystkie ustawienia zostaną wprowadzone.

Jeżeli nie ma łączności z Internetem pojawi się błąd mówiący o tym, że nie udało się wysłać danych rejestracyjnych. Nie należy się nim przejmować i kliknąć przycisk Proceed.

Pomyślnie zainstalowany system powita nas biurkiem z otwartym oknem Server Preferences.

W przypadku Mac OS X w wersji 10.7 instalacja jest prostsza. Wystarczy na komputerze z zainstalowanym Mac OS X Lion uruchomić aplikację AppStore służącą do kupowania aplikacji i wykupić aktualizację do Mac OS X Lion Server. System zostanie automatycznie zaktualizowany do wersji serwerowej. Ostatnim krokiem w przygotowaniach jest ściągnięcie z internetu ze strony apple.com darmowego już rozszerzenia Server Admin Pack, który rozszerza wersję 10.7 o niedostępne w niej konsole i funkcjonalności. W przypadku zakupu wersji 10.7 na płycie DVD lub nośniku pendrive proces instalacji jest analogiczny do wersji 10.6.2. Zapoznanie z systemem.

Na pierwszy rzut oka Mac OS X Server nie różni się bardzo od zwykłego Mac OS X. Znajdziemy w nim kilka dodatkowych ikon na pasku DOCK.

Pierwszą z nich jest Server Preferences , gdzie znajdują się bardzo podstawowe ustawienia wybranych usług takich jak:

- File Sharing - Address Book - iCal - iChat - Mail - Web - VPN

Można tutaj także dodawać użytkowników oraz tworzyć grupy, zarządzać firewallem w sekcji Security oraz konfigurować kopie zapasowe Time Machine. Znajdują się tutaj także trzy karty informacyjne, z których możemy korzystać w razie potrzeby.

Kolejną nowością jest Workgroup Manager , który stanowi bardziej zaawansowaną aplikację do administrowania użytkownikami, komputerami oraz ich grupami. Sprawdza się on zarówno podczas pracy w grupie roboczej jak i w domenie.

Przed uruchomieniem programu zostaniemy poproszeni o podanie nazwy użytkownika oraz hasła. Pamiętajmy, że użytkownik musi mieć odpowiednie uprawnienia.

Po podaniu odpowiednich danych otworzy się okienko do zarządzania użytkownikami.

Najbardziej interesującym nas elementem będzie Server Admin . Można powiedzieć, że jest to centrum sterowania naszego serwera. Możemy tu nie tylko konfigurować i uruchamiać usługi, ale także monitorować, nadzorować serwerem oraz zarządzać udostępnionymi lokalizacjami. Po pomyślnym zalogowaniu się naszym oczom ukaże się okno podsumowujące, na którym wyświetlane są podstawowe informacje. Są nimi przede wszystkim informacje o sprzęcie, informacje o oprogramowaniu, lista aktywnych usług oraz ich status, a także podstawowe wykresy monitoringu wydajności.

Na górnej belce klikając Logs wyświetlą się logi serwera, które w razie potrzeby możemy podejrzeć.

W sekcji View możemy wybrać jeden z kilku rodzajów logów.

Klikając guzik Graphs możemy podejrzeć zapis z monitoringu wydajności w interesujących nas strefach działalności systemu.

Na tą chwilę pominiemy File Sharing, ponieważ jego omówienie jest tematem na cały dział i przejdziemy do Server Updates, gdzie możemy sprawdzić czy dostępne są jakieś aktualizacje, a następnie je zainstalować.

W sekcji Certificates możemy podejrzeć używane certyfikaty. Można także dodać nowe certyfikaty oraz zaimportować.

Sekcja Access jest ściśle związana z bezpieczeństwem. W jednej z kolumn znajdują się usługi, natomiast w drugiej lista użytkowników, którą możemy modyfikować i ma dostęp do danej usługi.

Klikając w guzik Settings wejdziemy w ogólne ustawienia serwera. Warto również zauważyć, że pod ikonami pojawiła się dodatkowa belka, na której znajdują się odnośniki do różnych kart konfiguracyjnych. Standardowo uruchomi się zakładka General. Możemy tutaj zmienić numer seryjny jak również dane organizacji.

W zakładce Network możemy zmienić nazwę komputera oraz informacje o interfejsach sieciowych.

W zakładce Date & Time znajdziemy ustawienia związane ze zmianą daty, czasu oraz strefy czasowej.

W zakładce Alerts można uruchomić wysyłanie informacji na określone adresy e-mail w takich sytuacjach jak kończące się miejsce na dysku, dostępne aktualizacje lub wygaśnięcie certyfikatu.

Bardzo ważne jest okno Services, gdzie możemy włączać i wyłączać usługi. Aby jakąś usługę uruchomić wystarczy ją zaznaczyć i kliknąć Save.

W drzewie po lewej stronie należy kliknąć trójkącik aby rozwinąć listę usług, którymi możemy zarządzać. Po wcześniejszym odhaczeniu usługi i kliknięciu Save usługa pojawi się na tej liście.

Zielone kółeczko świadczy o tym, że usługa funkcjonuje prawidłowo, szare – usługa jest wyłączona, inne kolory świadczą o tym, że z usługą jest jakiś problem. Po kliknięciu w jakąś usługę zauważmy, że zarówno górne ikony jak i menu pod nimi zmieniają się i dostosowują do potrzeb danej usługi.

W Mac OS X dostępne są następujące usługi:

- Address Book - książka adresowa - AFP - udostępnianie plików w komputerach Mac - DHCP - przydzielanie adresów IP - DNS - usługa nazw

- Firewall - zapora sieciowa - FTP - udostępnianie plików przez Internet - iCal – kalendarz - iChat - komunikator internetowy - Mail - poczta elektroniczna - Mobile Access - bezpieczny dostęp do Mail, Web i iCal bez użycia VPN - MySQL - serwer baz danych - NAT - translacja adresów sieciowych - NetBoot - usługa bootowania i instalowania przez sieć - NFS - udostępnianie plików dla większości komputerów - Open Directory - usługa katalogowa - Podcast Producer - tworzenie i udostępnianie podcastów - Print - serwer wydruku - Push Notification - odpowiada za przekazywanie notyfikacji klientom - QuickTime Streaming - streamowanie materiałów dla QuickTime - RADIUS - usługa uwierzytelniania - SMB - udostępnianie plików komputerom z Windows - Software Update – aktualizacje - VPN - wirtualna sieć prywatna - Web - serwer WWW - Xgrid - współpraca pomiędzy Mac’ami

Wybierając z listy usług dany serwer, a następnie w menu głównym klikając Server, a następnie Share Server’s Screen podłączymy się zdalnie do serwera za pomocą współdzielenia ekranu.

W lewym dolnym menu znajduje się jeszcze kilka guziczków, jednym z nich możemy dodawać serwery, usługi itp., innym możemy wyłączyć usługę, a jeszcze innym ją zrestartować w razie błędnego jej działania.

Po wybraniu danej usługi zawartość okna Server Admin ulega modyfikacji w zależności od danej usługi.

Na dolnej belce pojawia się także dodatkowy przycisk pozwalający uruchomić lub zatrzymać daną usługę.

Konfiguracje danej usługi można w dowolnej chwili wyeksportować w celu zaimportowania na innym komputerze klikając w głównym menu przycisk Server -> Export -> Service Settings.

Wszystko co do tej pory było prezentowane działo się fizycznie na serwerze, co jest rzadko spotykane i niezalecane ze względów bezpieczeństwa. Serwerem powinno się zarządzać zdalnie ze stacji klienckiej, korzystając z dodatku Server Admin Tools. Dodatek znajdziemy na dołączonej płycie do systemu operacyjnego, jak również można pobrać jego aktualną wersję z Internetu. Zajmuje ona niespełna 250MB. Plik zapisany w postaci pakietu dmg należy zainstalować.

Po przejściu kreatora w programach pojawi się folder Server.

W jego wnętrzu znajdziemy konsole znane z serwera.

Po włączeniu dowolnej z nich musimy albo podać adres IP danego serwera oraz dane do logowania lub kliknąć przycisk Cancel.

W przypadku użycia guzika Cancel wyświetli się lista wszystkich serwerów dostępnych w sieci. Wystarczy dwukrotnie kliknąć w dowolny z nich aby pojawiło się okno dialogowe połączenia.

Musimy teraz jedynie podać nazwę użytkownika i hasło, a następnie nacisnąć przycisk Connect ażeby zarządzać serwerem tak jak mielibyśmy do niego fizyczny dostęp.

Zainstalowany został także widget o nazwie Server Status.

Podczas jego uruchomienia należy podać adres IP lub DNSową nazwę serwera, a także nazwę użytkownika wraz z hasłem.

Jest to bardzo proste narzędzie do monitoringu pracy serwera, które ukazuje zużycie procesora, łącza sieciowego oraz dysków twardych. Zaprezentowany jest także status najbardziej popularnych usług sieciowych.

Należy także zwrócić uwagę na wymagania sprzętowe serwera. Zalecany jest komputer stacjonarny firmy MAC z procesorem Intel, wyposażony w 2GB pamięci RAM oraz minimum 10GB miejsca na dysku. Przed instalacją należy sobie przygotować takie informacje jak nazwa administratora oraz hasło, nazwa komputera oraz jego adresy IP. W przypadku instalacji zdalnej niezbędny będzie także numer seryjny komputera. MAC OS X Server jest jedynym systemem Apple, który może zostać zainstalowany w maszynie wirtualnej. Jedynym ograniczeniem jest to iż maszyna musi działać pod kontrolą systemu operacyjnego MAC OS X. W momencie pisania tego materiału na rynku były 3 produkty pozwalające na taką instalację: VMware Fusion, Parallels Desktop, a także darmowy VirtualBox.- Ćwiczenia

Ćwiczenie 1.

Sprawdź czy serwer ma zainstalowane wszystkie aktualizacje.

Ćwiczenie 2.

Zainstaluj na kliencie Server Admin Tool, następnie uruchom Server Admin i zdalnie połącz się ze swoim serwerem.

Ćwiczenie 3.

Wyeksportuj ustawienia dowolnej działającej usługi. Jeżeli takiej nie masz to jakąś uruchom.

Ćwiczenie 4.

Połącz się zdalnym pulpitem do serwera, a następnie w logach spróbuj odnaleźć przynajmniej jeden wpis związany z autoryzacją.

Ćwiczenie 5.

Zainstaluj zdalnie MAC OS X Server. (Opcjonalne)3. Zarządzanie uprawnieniami oraz lokalnymi kontami użytkowników.

Aby kontynuować dalszą lekturę należy wyjaśnić sobie dwa elementarne pojęcia. Czym jest autentykacja, czym jest autoryzacja i na czym polegają różnice pomiędzy nimi?

Autentykacja jest procesem, a którym użytkownik identyfikuje się przed systemem operacyjnym, z którego chce korzystać. Użytkownik musi podać informacje, które udzielą mu dostępu do jego konta. Mowa tu oczywiście o nazwie użytkownika oraz o jego haśle.

Autoryzacja z kolei jest procesem, który determinuje to czy zautentykowany użytkownik ma określone prawa dostępu np. do plików lub do korzystania z komputera. Uprawnienia są przechowywane w tak zwanych listach dostępu (Access Control List) zwanych dalej skrótowo ACL’ami.

Zarządzać kontami użytkowników oraz komputerów możemy w konsoli Workgroup Manager. Aby móc nią zarządzać należy odblokować kłódkę i podać odpowiednią nazwę i hasło użytkownika.

Użytkownik musi posiadać wypełniony parametr name będący na ogół jego imieniem i nazwiskiem, a rzadziej rolą jaką pełni w firmie. Short name to skrót pełnego imienia, którego można między innymi używać do logowania. Może ono zawierać jedynie duże i małe litery od A do Z, cyfry od 0 do 9, podkreślenie, myślnik oraz kropkę. Danemu użytkownikowi można nadać kilka krótkich nazw, jednak wszystkie będą się odnosiły do użytkownika o danym UID. Jest to przydatne na przykład gdy chcemy stworzyć użytkownikowi kilka kont e-mail. Każdy użytkownik powinien mieć nadany unikalny User ID (UID). To właśnie do niego przypisywane są uprawnienia. System automatycznie przydziela zwykłym użytkownikom ID od 1024 w górę, lecz można zmienić je na dowolne z przedziału od 500 do nieco ponad 2 bilionów. Istnieją także konta z przedziału od 0 do 100, które są używane przez system oraz działające w nim usługi i nie należy ich modyfikować. Jeżeli klikniemy w górnym menu w przycisk View -> Show System Records.

To naszym oczom ukażą się konta z zastrzeżonego przedziału.

Należy uważać na to, aby dwóch użytkowników nie posiadało tego samego UID, ponieważ mimo, że są to różni użytkownicy to będą mieli te same uprawnienia.

Kliknięcie przycisku New User służy do tworzenia konta użytkownika, po jego kliknięciu pojawi się komunikat informujący o tym, że nowi użytkownicy mogą nie mieć uprawnień do działających usług i należy je nadać lub informujący o tym, że tworzone konta użytkowników są lokalne i nie będą widoczne w sieci. Konta sieciowe zostaną omówione w dalszym rozdziale.

Standardowo każdy użytkownik będzie miał jedynie stworzone konto dostępowe (Access Account). Jeżeli chcemy by stał się administratorem zaznaczamy także opcję Administer this server.

W zakładce Privileges możemy zdecydować o uprawnieniach administratora.

Wybranie opcji Full da mu nielimitowane możliwości, natomiast wybranie opcji Limited, a następnie wybranie przycisku oznaczonego symbolem „+” pozwala na przeciągnięcie z listy po prawej stronie użytkowników i grup, którymi ten administrator będzie zarządzać, a także poniżej na wybranie operacji jakie będzie mógł wykonywać.

Zakładka Advanced pozwala na umożliwienie użytkownikowi na wielokrotne logowanie się na zarządzanych komputerach, wybranie typu hasła (Shadow Password w grupie roboczej, Open Directory w domenie). Guzikiem „+” możemy dodawać słowa kluczowe przypisane danemu użytkownikowi. Dzięki nim w przyszłości będzie można go wyszukiwać.

Zakładka Groups pozwala na przyłączenie użytkownika do danych grup oraz wyświetlenie grup do jakich użytkownik już należy.

Użycie przycisku Show Inherited Groups pokazuje uprawnienia wynikowe z dziedziczenia, czyli wszystkie grupy do jakich należy użytkownik pośrednio.

Zakładka Info pozwala umieścić dodatkowe informacje o użytkowniku.

Zakładka Windows pozwala zdefiniować, gdzie przechowywane są profile systemu Windows, a także zamapować dysk twardy jeżeli używamy komputerów PC w naszej sieci.

Istnieje także możliwość importowania oraz eksportowania kont użytkowników. W tym celu należy ich lub ich grupy najpierw zaznaczyć, a następnie z górnego menu wybrać Import lub Export.

Nad listą użytkowników znajdują się cztery przyciski, które zmieniają widok. Pierwszy z nich to użytkownicy, drugi to grupy, trzeci to komputery, a czwarty to grupy komputerów.

Zależnie od tego, który z nich wybierzemy zmienia się nieco wygląd menu, np. po przełączeniu się na grupy zamiast guzika New User pojawia się przycisk New Group.

Po jego kliknięciu zostanie stworzona nowa grupa, której należy nadać intuicyjną nazwę, natomiast opcjonalnie można przypisać jej obrazek lub opis.

W zakładce Members przyciskiem „+” można dodawać użytkowników do niej przynależnych. Warto także zwrócić uwagę iż każda grupa posiada swoje Group ID (w skrócie GID).

Pamiętać też należy, że użytkownika można dodać z poziomu konta użytkownika.

W systemie Mac OS X istnieją dwa rodzaje uprawnień. Pierwsze z nich noszą nazwę Portable Operating System Interface (POSIX). Są one używane w systemach OS X od pierwszej wersji aż do dnia dzisiejszego i można je nadać każdemu plikowi oraz folderowi. Wywodzą się one z tradycyjnych systemów Unixowych i pozwalają na ustawienie uprawnień odczytu, zapisu i wykonania dla właściciela, grupy lub zwykłego użytkownika. Gdy wyświetlimy informacje danego obiektu i rozwiniemy sekcje Sharing and Permissions zobaczymy właśnie uprawnienia POSIX’owe.

Jako, że są to uprawnienia dość podstawowe od wersji MAC OS X 10.4 wprowadzono listy kontroli ACL, które są obsługiwane na systemie plików MAC OS Extended. Pozwalają one na definiowanie kompleksowych zasad dostępu. W przypadku dostępu przez sieć są dostępne dla trzech najbardziej popularnych protokołów sieciowych:

- AFP – OS X - SMB – Windows - NFS – Linux

Listy dostępu ACL są w pełni kompatybilne z uprawnieniami na systemie plików NTFS, dzięki czemu wymiana plików między komputerami Apple i Microsoft jest całkowicie bezpieczna.

Jeżeli w oknie Get Info klikniemy „+”

Wybierzemy użytkownika i nadamy mu jakieś dodatkowe uprawnienia to zostaną one zapisane przy pomocy ACL.

Wybranie na jakimś folderze uprawnień Write Only pozwoli na stworzenie tak zwanej skrzynki wrzutowej, czyli folderu, do którego użytkownik nie będzie mógł wejść, natomiast będzie mógł metodą Drag&Drop przeciągnąć pliki, które zostaną tam zapisane.

Najlepszym miejscem do zarządzania uprawnieniami zarówno POSIX jak i ACL jest konsola Server Admin, gdzie po kliknięciu w ikonę File Sharing a następnie przycisku „+” użytkownik może nadać uprawnienia dostępu. Należy wcześniej odpowiedniego użytkownika lub grupę użytkowników przeciągnąć na listę ACL lub listę POSIX.

Wśród uprawnień POSIX możemy zezwolić na odczyt i zapis, tylko odczyt, tylko zapis lub odmówić jakiegokolwiek dostępu. Innymi słowy można powiedzieć, że tego typu uprawnienia są dość proste i funkcjonalnie ograniczone.

W przypadku ACL możemy zezwolić na odczyt i zapis, sam odczyt, sam zapis, na pełną kontrolę, która pozwala na modyfikowanie uprawnień lub ustawienia niestandardowe po kliknięciu przycisku Custom.

Ustawienia niestandardowe pozwalają na szczegółowe dyktowanie uprawnień dostępu do zasobów. Widać na screenie poniżej możliwości jest znacznie więcej i można je ze sobą łączyć w dowolnych kombinacjach. W przypadku gdy na przykład grupie administratorów nadać jakieś uprawnienia za wyjątkiem jednego użytkownika możemy ograniczyć mu dostęp zmieniając parametr Permission Type na Deny.

Aby sprawdzić efektywne uprawnienia na danym użytkowniku wystarczy go zaznaczyć i w menu akcji znajdującym się pod listą użytkowników wybrać Show Effective Permissions Inspector.

Warto również jeszcze raz przypomnieć iż tylko uprawnienia ACL są zgodne z Windows.

Uprawnienia są także dziedziczone od katalogu nadrzędnego, co oznacza, że jeżeli wewnątrz jakiegoś folderu tworzymy plik bądź katalog, to będzie on posiadał takie same uprawnienia jak folder w którym został stworzony. Należy także zapamiętać kilka zależności. Jeżeli nie ma nadanych uprawnień ACL to obowiązują zasady POSIX. Ważna jest kolejność w jakiej ustawione są uprawnienia ACL. Gdybyśmy mieli uprawnienia na dany folder, gdzie w jednym przypadku zezwalalibyśmy na dostęp do niego, a w drugim zabraniali dostępu, to obowiązywałyby tylko te uprawnienia, które byłyby wyżej na liście, ponieważ system przechodzi po niej po kolei począwszy od początku i gdy znajdzie pierwsze pasujące uprawnienie to nie przeszukuje jej już dalej. Dlatego też ważnym jest z wcześniej wspomnianego menu sortować listy kontroli dostępu.

Uprawnienia do zasobów to jednak nie wszystko. Należy także użytkownikom udzielić dostępu do określonych usług działających na serwerze. Po wejściu w konsolę Server Admin należy kliknąć przycisk Access.

W oknie, które się pojawi możemy albo nadać uprawnienia wszystkim usługom albo zaznaczyć konkretną usługę, a następnie przy użyciu guzika „+” zezwolić na dostęp do niej określonym użytkownikom.

Standardowo administratorzy mają dostęp do wszystkich usług. Możemy to zmienić w zakładce Administrators poprzez udzielenie konkretnym osobom dostępu do konkretnych usług, dzięki czemu administratorzy będą mogli zarządzać tylko tym za co są odpowiedzialni.- Ćwiczenia

Uwaga do ćwiczeń:

W poniższych ćwiczeniach jak i w całym kursie proponuję używać wszędzie tego samego hasła „Pa$$w0rd”.

Ćwiczenie 1.

Utwórz cztery konta użytkowników podając dowolne dane personalne oraz UID. Każdemu użytkownikowi przypisz minimum 3 krótkie imiona.

Ćwiczenie 2.

Stwórz dwóch użytkowników będących administratorami.

Ćwiczenie 3.

Dodaj słowa kluczowe: „administrator, admin, pracownik, pracownik IT, help desk, księgowy, handlowiec”, a następnie przypisz je odpowiednim użytkownikom zakładając, że tylko administratorzy zajmują się IT, a pozostali użytkownicy są zwykłymi pracownikami, księgowymi lub handlowcami. Używając wyszukiwarki sprawdź jakie zwraca wyniki.

Ćwiczenie 4. (Opcjonalne)

Wyeksportuj dwóch użytkowników, przegraj plik na pendrive i wymień się nim z partnerem. Następnie zaimportuj użytkowników otrzymanych od partnera.

Ćwiczenie 5.

Stwórz trzy grupy o nazwach: IT, Księgowi, Handlowcy i przypisz do nich odpowiednich użytkowników.

Ćwiczenie 6.

Stwórz grupę Help Desk i umieść ją w grupie IT.

Ćwiczenie 6.

Stwórz na pulpicie folder o nazwie SHARE. Ustaw jego uprawnienia POSIX, tak aby stał się on dla wszystkich użytkowników skrzynką wrzutową.

Ćwiczenie 7.

Za pomocą konsoli Server Admin i opcji File Sharing przejdź na Biurko użytkownika, na którym jesteś obecnie zalogowany, utwórz nowy folder i go udostępnij. Utwórz listę kontroli ACL, tak aby grupa administratorów miała pełne prawa dostępu, żeby jeden z administratorów nie miał praw odczytu, jeden z pracowników miał prawa odczytu, a pozostali go nie mieli. Sprawdź wynikowe uprawnienia, a także przetestuj je w praktyce z komputera klienta.

Ćwiczenie 8.

Spraw aby do usługi iChat pełen dostęp miały wszystkie stworzone przez ciebie grupy we wcześniejszych ćwiczeniach.4. Open Directory.

Jeżeli użytkownicy pracują na różnych komputerach, niewygodnie, a przede wszystkim niebezpiecznie jest zakładać im konta na każdym z nich. Rodzi to problemy z uprawnieniami oraz z dostępem użytkowników do ich prywatnych zasobów. Dlatego tez zamiast pracować w grupie roboczej można stworzyć domenę i w sposób scentralizowany zarządzać komputerami oraz użytkownikami.

Open Directory to usługa katalogowa podobna do Active Directory oraz nDirectory. Pozwala tworzyć na serwerze konta użytkowników, z których będą oni mogli korzystać w całej sieci. Pozwala także na nakładanie polis bezpieczeństwa, a także innych typów ograniczeń. Co więcej Open Directory posiada możliwość zarządzania użytkownikami pracującymi na komputerach pod kontrolą Windows. Używa protokołu Samba w wersji 3, który pozwala serwerowi Open Directory pracować jako główny kontroler domeny (PDC) lub jako zapasowy (BDC). Open Directory korzysta także z OpenLDAP, który jest Open Source’ową implementacją protokołu LDAP. Wykorzystywana jest jego 3 wersja do zapewnienia dostępu (odczyt i zapis) do usługi katalogowej. Dzięki temu Open Directory jest zgodne z ogólnie przyjętymi standardami i technologiami, między innymi protokołem Kerberos służącemu autentykacji. Warunkiem prawidłowego działania usługi katalogowej jest prawidłowo skonfigurowany serwer DNS, który musi posiadać strefę wyszukiwania do przodu i do tyłu, w których znajdą się wpisy dla serwera.

W celu weryfikacji prawidłowych ustawień należy uruchomić Terminal i wydać polecenie: sudo changeip –checkhostname zostaniemy także poproszeni o podanie hasła administratora.

Jeżeli serwer DNS nie jest skonfigurowany lub chcemy używać własnego serwera musimy uruchomić taką usługę w konsoli Server Admin. W tym celu w owej konsoli klikamy „+” i wybieramy opcję Add Service.

Z listy wybieramy i zaznaczamy DNS i klikamy Save.

Kolejnym krokiem z listy działających usług będzie zaznaczenie Servera DNS z listy usług, uruchomienie go poprzez wciśnięcie przycisku Start DNS, po czym przy usłudze DNS zapali się zielona lampka.

Następnie z górnego menu wybieramy zakładkę Zones, czyli strefy.

Używając przycisku Add Zone należy stworzyć strefę. W przypadku, gdy jest to serwer pierwszy będzie to strefa główna (master) w innym przypadku będzie to strefa zapasowa (slave).

W kreatorze, który się pojawi należy podać nazwę strefy w postaci FQDN, czyli pełnej nazwy domeny np. elitepc.pl. Podajemy także adres e-mail administratora, a jeżeli mamy zapasowe serwery DNS zaznaczamy opcję Allows Zone Transfer oraz dodajemy w sekcji Name Servers zapasowe serwery. Jeżeli mamy w sieci serwery e-mail postępujemy podobnie pamiętając o ustawieniu priorytetów. Im wyższy priorytet tym serwer ważniejszy. W sekcji Name Servers powinien się także znaleźć serwer główny, który teraz konfigurujemy.

Aby dodać jakiś rekord należy kliknąć przycisk Add Record i wybrać jeden w trzech dostępnych rekordów. Cname to alias, czyli dodatkowa nazwa dla obecnego już rekordu A, rekord A z kolei przypisuje komputerowi o określonym adresie IP jego nazwę w systemie DNS.

Taką właśnie nazwę należy stworzyć dla naszego serwera w celu jego prawidłowego działania. Można także tworzyć wpisy dla określonych usług sieciowych poprzez opcję SRV.

Lista rekordów będzie się powiększać wraz z każdym serwerem, gdy znajdzie się w niej sam kontroler domeny powinna wyglądać podobnie do tej zaprezentowanej na rysunku poniżej. Warto jednak zauważyć, że automatycznie generowana jest strefa przeszukiwania wstecznego.

W zakładce Settings znajdziemy między innymi Forwarder IP Addresses, w którym podajemy adresy serwerów DNS, których nasz serwer nie jest w stanie obsłużyć. Na ogół są to adresy DNS przydzielone przez providera.

Część konfiguracji Open Directory przeprowadziliśmy już na etapie instalacji systemu kiedy to na karcie Users and Groups wybraliśmy pierwszą opcję, którą było stworzenie standardowych użytkowników i grup. Dla przypomnienia należy wspomnieć o tym, iż mieliśmy tam opcję zaimportowania użytkowników z innych serwerów lub też ręcznej konfiguracji tych wartości.

W zainstalowanym serwerze należy uruchomić Server Admin, zaznaczyć Open Directory, a następnie przejść w zakładkę Settings.

Należy chwilę poczekać aż system przeanalizuje zainstalowane usługi i konfigurację sieci. Jeżeli komputer zarządza użytkownikami grupy roboczej, jego rola to Standalone Directory. W przeciwnym wypadku jest on albo kontrolerem domeny albo repliką albo podłączony pod inną usługę katalogową. Aby zmienić ustawienia należy kliknąć w przycisk Change.

W ramach szkolenia stworzymy główny serwer Open Directory. Gdybyśmy chcieli jednocześnie stworzyć główny serwer Open Directory, ale też by był on podpięty do innej usługi katalogowej w pierwszym kroku musimy go skonfigurować, a następnie powrócić do tego samego kreatora, lecz tym razem wybrać opcję Connect to another directory.

Należy przejść przez cały kreator do końca wypełniając wszystkie pożądane pola. Na jednej z kart zostaniemy poproszeni o stworzenie konta użytkownika, który zostanie administratorem Open Directory. Standardowo jest to Diradmin o ID=1000. Pozostałe ustawienia zostawiamy domyślne.

Ważne jest także to, aby zweryfikować czy na karcie oznaczonej Domain znajduje się i jest prawidłowo wypełnione pole Kerberos Realm. Jeżeli nie, oznaczać to może, że konfiguracja serwera DNS jest niepoprawna bądź komputer korzysta z innych serwerów DNS.

Należy bowiem pamiętać ażeby w preferencjach systemowych podać stały adres IP, a także właściwy adres serwera DNS, którym w tym przypadku będzie maszyna, na której zostało zainstalowane Open Directory.

Gdy w konsoli Server Admin zaznaczymy Open Directory i wybierzemy ikonę Overview powinniśmy ujrzeć informację, że wszystkie usługi działają podobną do tej jak na obrazku poniżej.

Aby podpiąć stację roboczą do domeny, niezależnie od tego czy jest to serwer czy stacja robocza należy w preferencjach systemowych wybrać Konta .

Następnie kliknąć Opcje logowania i przy Serwerze kont sieciowych kliknąć Przyłącz.

Możemy podać adres IP serwera z głowy bądź wybrać serwer z listy. Należy pamiętać o tym, że aby serwery były widoczne, a przyłączenie komputera się powiodło, musi on mieć prawidłowo skonfigurowane adresy IP, w szczególności DNS.

Aby procedura dobiegła końca należy podać nazwę użytkownika oraz hasło osoby będącej administratorem lokalnym komputera.

Po prawidłowym przyłączeniu do serwera kont sieciowych pojawi się on na karcie opcji logowania.

Od tej pory w oknie logowania do systemu oprócz użytkowników lokalnych pojawi się także ikona Inne.

Po jej kliknięciu użytkownik domeny, czyli taki, który ma stworzone swoje konto użytkownika na serwerze może wpisać swoją nazwę i hasło i się zalogować

W Open Directory istnieje także możliwość wykonania archiwum bazy użytkowników, a następnie jego przywrócenia w konsoli Server Admin po wybraniu usługi Open Directory i przycisku Archive.

Pod przyciskiem Settings w zakładce Polices możemy określić polisy związane z hasłami i ich złożonością, podłączaniem komputera pod domenę, a także z autentykacją.

Po uruchomieniu konsoli Workgroup Manager możemy zarządzać kontami użytkowników domenowych. Wcześniej jednak należy kliknąć małą ikonkę przedstawiającą kulę ziemską i wybrać Other.

Z listy, która się pojawi wybieramy protokół sieciowy LDAPv3, a następnie adres IP serwera, którym chcemy zarządzać.

Na górnej belce pojawi się informacja o tym, jakim serwerem zarządzamy.

Od tej chwili możemy tworzyć grupy użytkowników i komputerów w podobny sposób jak miało to miejsce podczas zarządzania użytkownikami lokalnymi. Co więcej na karcie właściwości danego użytkownika, w zakładce Advanced należy się upewnić, że Password Type ustawione jest na Open Directory. Oznacza to, że do autentykacji używany jest protokół Kerberos, autentykacja jest typu single sign-on, czyli użytkownik po zalogowaniu się na komputerze będzie miał dostęp do wszystkich usług, do których ma uprawnienia.

Kliknięcie guzika Options pozwala na zmianę polityki haseł.

Po przejściu na kartę Basic możemy sprawić aby użytkownik był administratorem zaznaczając opcję Administer this server oraz Access account, zwykłym użytkownikiem wybierając opcję Access account bądź stworzyć konto użytkownika, które będzie wyłączone pozostawiając obie opcje puste.

Aby jednak użytkownik się zalogował na komputerze klienckim należy przeprowadzić kilka dodatkowych czynności. Pierwszą z nich jest ustawienie folderu domowego w konsoli Workgroup Manager. Każdemu użytkownikowi musimy ustawić sieciową ścieżkę do folderu, gdzie przechowywany jest profil. Jak przygotować taki folder dowiemy się w kolejnym rozdziale. Ważne jest to, że wybierając z listy wielu użytkowników możemy im wszystkim jednocześnie nadać folder domowy. Możemy także określić jego maksymalny rozmiar na dysku uzupełniając parametr Disk Quota.

Pamiętać należy także o tym iż udostępnianie folderów sieciowych w systemie MAC OS X używa protokołu AFP, a nie każdy użytkownik musi mieć uprawnienia pozwalające na używanie tego protokołu do komunikacji z serwerem. Dlatego też w konsoli Server Admin po wybraniu z listy naszego serwera należy kliknąć w ikonę Access, wybrać usługę AFP, a także zweryfikować czy użytkownicy, którzy mają mieć dostęp do tego katalogu widnieją na liście.

- Pytania sprawdzające

- 1. Jakie 4 role może pełnić Open Directory?
- 2. Gdzie ustawia się globalne polisy haseł, a gdzie osobno każdemu użytkownikowi?
- Ćwiczenia

Ćwiczenie 1.

Wyeksportuj użytkowników zapisany w Workgroup Manager.

Ćwiczenie 2.

Spraw aby twój serwer stał się Open Directory Master. W razie potrzeby zmień ustawienia sieci oraz serwera DNS.

Ćwiczenie 3.

Stwórz rekord Cname w serwerze DNS o nazwie WWW wskazujący na twój serwer oraz rekord A wskazujący na dowolny inny adres IP.

Ćwiczenie 4.

Przejdź do konsoli Workgroup Manager, przełącz się na zarządzanie użytkownikami LDAP, a także zaimportuj konta użytkowników z Ćwiczenia 1.

Ćwiczenie 5.

Skonfiguruj globalne polisy haseł tak, aby musiały zawierać przynajmniej jedną dużą literę, jedną cyfrę i jeden znak specjalny, a ich długość wynosiła minimum 7 znaków.

Ćwiczenie 6.

Wykonaj archiwum Open Directory.

Ćwiczenie 7.

Przyłącz swoją stację roboczą do Open Directory.5. Udostępnianie plików.

W systemie Mac OS X dla zapewnienia uniwersalności i ciągłości w dostępie do sieci bez względu na używany system operacyjny dostępnych jest kilka różnych protokołów sieciowych. Pierwszym z nich jest AFP (Apple Filing Protocol), który jest standardowym protokołem używanym przez komputery MAC, począwszy od MAC OS w wersji 9. FTP (File Transfer Protocol) jest bardzo prostym i elementarnym protokołem transmisji plików w sieci, który nie zawiera wielu możliwości, które dają różne systemy, jednak jest uniwersalny. Trudno znaleźć komputer, który nie obsługuje FTP. NFS (Network File System) stanowi tradycyjną metodę udostępniania plików w systemach uniksowych, niestety posiada luki bezpieczeństwa. SMB (Server Message Block) to protokół, który często nazywany jest CIFS (Common Internet File System) i jest on natywnie wbudowany w Windows, dlatego też służy głównie do zachowania kompatybilności w systemie Windows. Dla administratora MAC OS X Server ważne jest także to, że pojedynczy folder może być udostępniany z użyciem kilku protokołów sieciowych jednocześnie. Przed rozpoczęciem udostępniania plików w celu zapewnienia jak największego bezpieczeństwa należy dobrze przemyśleć strukturę logiczną folderów i katalogów, a przede wszystkim ich uprawnień, uszeregować odpowiednio użytkowników i grupy, a także z użyciem konsoli Server Admin skonfigurować i uruchomić odpowiednie usługi. Są to odpowiednio AFP, FTP, NFS i SMB.

Centrum udostępniania plików i folderów jest konsola Server Admin, gdzie po przyciśnięciu guzika File Sharing wyświetlą się odpowiednie opcje.

Gdy wybierzemy Share Points naszym oczom ukaże się lista wszystkich udostępnionych folderów. Oprócz nazwy i poziomu zapełnienia dysku twardego pojawiają się cztery ikony sygnalizacyjne, które mówią na przykład o tym czy dany folder można przeszukiwać, wykonywać w nim kopie zapasowe itp. Nieopodal znajduje się także guzik Unshare, który służy zaprzestania udostępniania folderu.

W oknie poniżej w zakładce Permissions znajdują się uprawnienia zarówno POSIX jak i ACL, o których już wcześniej była mowa.

Po przejściu w zakładkę Share Point znajdziemy między innymi Enabled Spotlight Searching, który pozwala na przeszukiwanie folderu, Enables Time Machine Backup Destination, który sprawia iż udostępniony folder staje się miejscem do przechowywania kopii zapasowych komputerów klienckich.

Po kliknięciu przycisku Protocol Options pojawi się karta ze wszystkimi dostępnymi protokołami, w której możemy zdefiniować to, jaki protokół sieciowy jest używany, a także opcje związane z dostępem.

Po zaznaczeniu opcji Enabled Automount i użyciu przycisku Edit pojawia się okno, w którym możemy stworzyć samomontujący się folder i przydzielić mu jakąś funkcję. Przede wszystkim możemy stworzyć folder, który będzie przechowywał konta użytkowników, wspólne aplikacje czy biblioteki.

Jeżeli wybralibyśmy opcję z kontami użytkowników i weszli do Workgroup Manager, a następnie próbowali jakiemuś użytkownikowi nadać ścieżkę do takiego folderu, to w zakładce Home automatycznie pojawiłaby się ona na liście, należałoby ją zaznaczyć, kliknąć przycisk Create Home Now. Jeżeli jest taka potrzeba to określić limit rozmiaru danych jakie użytkownik może pomieścić w ramach swojego profilu i kliknąć przycisk Save.

Wybierając w górnym menu Volumes oraz List przejdziemy do widoku, w którym zostają wyświetlone wszystkie udostępnione dyski twarde.

Natomiast Volumes oraz Browse spowoduje przejście do widoku, w którym możemy przeglądać, tworzyć oraz udostępniać foldery.

Klikając na samym dysku twardym, obok zakładki Permissions w dolnym oknie, znajduje się Quotas, który pozwala uruchomić zarządzanie Quotami na tym dysku.

Podobnie jak w przypadku każdej innej usługi należy pamiętać aby nadać użytkownikom uprawnienia do korzystania z nich, pomimo, że folder udostępniony jest jakimś protokołem to użytkownicy nie będą mieli do niego dostępu.

Każda usługa jest wyświetlona w konsoli Server Admin. Po jej zaznaczeniu i wybraniu w górnym menu przycisku Settings użytkownik zostanie przeniesiony do karty konfiguracyjnej.

Zawartość karty konfiguracji zależy od danej usługi, np. w przypadku AFP można ograniczyć ilość jednoczesnych połączeń.

Najczęstszym problemem, który pojawia się podczas udostępniania plików jest rozmiar liter w nazwie lub użycie znaków istniejących tylko w danym języku, np. ą, ę, ponieważ niektóre systemy plików takich różnic nie obsługują. Musimy więc mieć to na względzie. Dopiero posiadłszy wiedzę z tego rozdziału możemy przygotować do końca konta użytkowników i korzystać z nich na stacjach roboczych. Inną bardziej ograniczoną formą udostępniania plików w systemach MAC OS X jest karta Server Preferences.

Gdzie po kliknięciu w usługę File Sharing możemy ją włączyć lub wyłączyć jak również udostępnić foldery w sieci.

- Ćwiczenia

Ćwiczenie 1.

Odnajdź udostępniony już folder Users, a następnie skonfiguruj go tak, aby mógł przechowywać konta użytkowników, jednocześnie dbając o to, aby miały one odpowiednie uprawnienia dostępowe.

Ćwiczenie 2.

Wprowadź odpowiednie ustawienia związane z katalogiem domowym użytkownika, zaloguj się na niego na komputerze klienckim. W razie potrzeby przyłącz komputer do domeny.

Ćwiczenie 3.

Stwórz na dysku głównym komputera folder AFP Share i udostępnij go tak, ażeby użytkownicy mieli do niego dostęp tylko przez protokół AFP.

Ćwiczenie 4.

Stwórz na dysku głównym komputera folder SMB Share i udostępnij go tak, ażeby użytkownicy mieli do niego dostęp tylko przez protokół SMB.

Ćwiczenie 5.

Skonfiguruj ustawienia protokołu AFP aby pozwalał on na jednoczesne połączenie maksymalnie stu osób, a do autentykacji używał protokołu Kerberos.

Ćwiczenie 6.

Utwórz na dysku głównym komputera katalog TM i udostępnij go jako miejsce, gdzie mogłyby być przechowywane kopie zapasowe.

Ćwiczenie 7.

Na komputerze klienckim uruchom Finder, wciśnij skrót klawiszowy CMD + K i podłącz się do swojego serwera używając najpierw protokołu AFP, a potem SMB (polecenia AFP://serwer/udział , SMB://serwer/udział).

Ćwiczenie 8.

Utwórz na dysku głównym komputera klienckiego folder o nazwie Kopia i stwórz w nim plik tekstowy o dowolnej zawartości, a następnie skonfiguruj Time Machine tak, aby wykonał na serwerze kopię tylko i wyłącznie tego folderu.

Ćwiczenie 9.

Wyloguj się na komputerze klienckim i sprawdź czy na serwerze w katalogu Users został utworzony nowy folder.