Mmmh, c'est vrai qu'AD est une usine à gaz, mais j'ai du mal à voir comment tu peux espérer les mêmes fonctionnalités en (beaucoup) plus simple.
Si tu as déjà configuré une authentification centralisée "100% Unix", typiquement à base de Kerberos (et probablement d'un peu de LDAP ou de SGBD pour gérer tes infos utilisateur), c'est déjà bien "gazeux". Et déplacer un service ou renommer une machine n'est _pas_ sans incidence. C'est clair que c'est chiant, mais c'est le prix à payer pour avoir du SSO de manière un peu sûre.
Rajoute-là dessus une couche de réplication, éventuellement des confiances inter-domaines, et ça commence à devenir acrobatique. Possible, mais acrobatique. Active Directory te fournit tout ça en intégré et en beaucoup moins prise de tête.
Oui je sais, je suis pro-libre aussi et j'ai longtemps dit qu'on pouvait faire aussi bien qu'AD avec LDAP+Kerberos. Pour avoir encore essayé il y a peu, c'est loin d'être aussi trivial, et je ne parle même pas d'intégrer des fonctionnalités de type GPO.
Pour moi, la complexité d'AD ne tient pas à sa volonté de gérer "les imprimantes, les politiques, l'annuaire, ...". Le "responsable" n°1, c'est Kerberos. Avec ses dépendances fortes envers le DNS, la synchronisation des horloges, etc. Le responsable n°2, c'est la volonté (consciente ou non) de Microsoft de ne pas trop chambouler les habitudes des utilisateurs++. Sérieusement, les mises-à-jour dynamiques du DNS, ça sert à quelqu'un? Il y a des gens qui montent des réseaux suffisamment complexes pour avoir besoin d'un annuaire centralisé, mais qui refuseraient de gérer leurs noms de manière centralisée?
Maintenant c'est vrai qu'un AD est sur-dimensionné pour bien des réseaux. Le mec qui veut simplement la version sécurisée de son bon vieux "workgroup" de 10 postes, il ne devrait pas avoir besoin d'un AD, c'est certain. Mais s'il veut les trucs sympas (SSO, essentiellement, et éventuellement quelques éléments de stratégie, mais généralement pas des masses), un PDC Samba est insuffisant. Et globalement, à part Kerberos (ou le très peu fiable NTLM), il risque d'avoir à retaper ses mots de passe à tire-larigot. Et ça, de nos jours, ça se tolère de moins en moins (surtout si on leur impose des mots de passe "sérieux").
Un AD "simple", c'est pour moi un AD sans Kerberos. Et un AD sans Kerberos, c'est à-priori un AD sans SSO. Le gros de la complexité ne réside pas dans des services périphériques facilement débrayables, il réside dans un des piliers de ce type d'architecture, et ça ne va pas être évident à ébranler (on _pourrait_ bricoler des trucs, notamment à base d'agents SSH et de services PAM qui vont bien, mais ça serait Unix-only - sauf à ressortir pGina des cartons, et encore - et pas forcément plus simple).
[^] # Re: 01 à la botte ?
Posté par Larry Cow . En réponse au journal Où est donc passée la version Linux d'Active Directory. Évalué à 10.
Si tu as déjà configuré une authentification centralisée "100% Unix", typiquement à base de Kerberos (et probablement d'un peu de LDAP ou de SGBD pour gérer tes infos utilisateur), c'est déjà bien "gazeux". Et déplacer un service ou renommer une machine n'est _pas_ sans incidence. C'est clair que c'est chiant, mais c'est le prix à payer pour avoir du SSO de manière un peu sûre.
Rajoute-là dessus une couche de réplication, éventuellement des confiances inter-domaines, et ça commence à devenir acrobatique. Possible, mais acrobatique. Active Directory te fournit tout ça en intégré et en beaucoup moins prise de tête.
Oui je sais, je suis pro-libre aussi et j'ai longtemps dit qu'on pouvait faire aussi bien qu'AD avec LDAP+Kerberos. Pour avoir encore essayé il y a peu, c'est loin d'être aussi trivial, et je ne parle même pas d'intégrer des fonctionnalités de type GPO.
Pour moi, la complexité d'AD ne tient pas à sa volonté de gérer "les imprimantes, les politiques, l'annuaire, ...". Le "responsable" n°1, c'est Kerberos. Avec ses dépendances fortes envers le DNS, la synchronisation des horloges, etc. Le responsable n°2, c'est la volonté (consciente ou non) de Microsoft de ne pas trop chambouler les habitudes des utilisateurs++. Sérieusement, les mises-à-jour dynamiques du DNS, ça sert à quelqu'un? Il y a des gens qui montent des réseaux suffisamment complexes pour avoir besoin d'un annuaire centralisé, mais qui refuseraient de gérer leurs noms de manière centralisée?
Maintenant c'est vrai qu'un AD est sur-dimensionné pour bien des réseaux. Le mec qui veut simplement la version sécurisée de son bon vieux "workgroup" de 10 postes, il ne devrait pas avoir besoin d'un AD, c'est certain. Mais s'il veut les trucs sympas (SSO, essentiellement, et éventuellement quelques éléments de stratégie, mais généralement pas des masses), un PDC Samba est insuffisant. Et globalement, à part Kerberos (ou le très peu fiable NTLM), il risque d'avoir à retaper ses mots de passe à tire-larigot. Et ça, de nos jours, ça se tolère de moins en moins (surtout si on leur impose des mots de passe "sérieux").
Un AD "simple", c'est pour moi un AD sans Kerberos. Et un AD sans Kerberos, c'est à-priori un AD sans SSO. Le gros de la complexité ne réside pas dans des services périphériques facilement débrayables, il réside dans un des piliers de ce type d'architecture, et ça ne va pas être évident à ébranler (on _pourrait_ bricoler des trucs, notamment à base d'agents SSH et de services PAM qui vont bien, mais ça serait Unix-only - sauf à ressortir pGina des cartons, et encore - et pas forcément plus simple).