Moin,

weiß zufällig einer von euch, ob die Benutzung von Open Directory etwas am Rechner selbst verändert?...

Hintergrund ist der, dass wir momentan von Mac_Server (OD-User) auf einen Windows-Server umsteigen und mit AD-Benutzern arbeiten.
Allerdings gibt es massive Probleme in den Schreib- und Leseberechtigungen, die ziemlich willkürlich auftauchen...

Unser IT-Mensch meint natürlich es liegt am Mac. Wir sollen alle Rechner platt machen, damit das Active vernünftig arbeiten kann... Irgendwie soll das Open Directory was in den Rechner geschrieben haben, was nun die Probleme mit den Berechtigungen in der Active Directory Umgebung verursacht.... Das kann und will ich nicht glauben.

Ich bin ziemlich sauer und ziemlich verzweifelt, weil ich auch nicht weiß, wen ich zu dem Thema befragen kann... Google ist da ausnahmsweise mal recht sprachlos...

Daher habe ich hier den Funken Hoffnung....

Danke schonmal...

Was für eine Version vom Windows Server ist das?

2008 R2 ist da etwas eigen. OD am Mac kann da einiges noch nicht was der 2008 R2 verlangt...
Aber welchen vernünftigen Grund (ausser Exchange) gibt es den um auf Windows zu wechseln. Und selbst Exchange ist umgehbar....

Hat der Admin an den Macs die Verzeichnisdienste (HD/System/Library/CoreServices/) mal geprüft, ob da ActiveDirectory aktiviert ist oder vielleicht noch irgendwelche OD-Einträge aktiviert sind?

Wir wechseln vom Mac-Server mit OD-Usern, da Apple scheinbar aus dem Server-Business aussteigt. Naja, jedenfalls gibt es den Mac-Server nicht mehr und es mangelt daher wohl an Support. Ausserdem wurde die Gefahr des Ausfalls genannt und dass dann keine Möglichkeiten bestehen schnell an Ersatzteile zu kommen etc.

Dazu muss man natürlich sagen, dass wir als "Grafik" die Randgruppe sind mit den Macs und es ohnehin immer streitpunkte gibt... das übliche halt...

Exchange ist hier die nächste Baustelle! Das läuft auf 2003. Und unser "schönes" neues Office kann damit nicht (Outlook 2011).

Der Server ist wie du sagst ein 2008 R2.. Wobei in unserer Dokumentation "virtueller Windows 2008 R2 Server" steht... Muss mich das verwirren?...
Verbunden werden wir allerdings über AD. Ist ja auch so, oder: AD = Windows und OD = Mac-Server ???

Wo und wie mache ich das?... Wo und wie kann ich da was sehen? Das klingt für mich nach einer Lösung...
Hab in den Ordner reingeschaut, aber bin da vorsichtig, da es ja im System liegt....

Admin... na, das bin ich... Allerdings sehe ich mich da eher Userbasiert... Aber wie das so ist, bei Problemmen, da werden die Verantwortlichkeiten gerne mal so zurechtgeschoben, dass man selber bloss nicht schuld hat...

Wie läuft denn die Verbindung zum Server? Nutzt ihr da AFP oder SMB? Gemischter Zugriff via AFP und SMB kann effektiv zu Zugriffsberechtigungsproblemen führen. Ich würde nur via SMB auf den Server zugreifen (oder dann NFS, was noch effizienter ist...).

Dss läuft über SMB

Das Programm heisst "Verzeichnisdienste" und liegt in HD/System/Library/CoreServices.

Aber früher war es natürlich AFP auf dem Mac-Server...
Da darf er doch aber auch nicht durcheinander kommen, oder?.. Schließlich geht das Protokoll ja beim Server-Verbinden vorweg und es ist egal, dass es auch mal was anderes gab.....

Das kenne ich unter Dienstprogramme.. Ist aber doch nix anderes oder?
Der Mac_server ist gelöscht aus der Liste... Da ist nur noch das AD aktiv...

Ist definitiv kein Problem und läuft hier bei einigen Kunden einwandfrei.

Bis jetzt kenne ich nur gegenteilige Infos!... Wenn du Recht hast spring ich hier vor Freude durch die ganze Bude!

chérie

Ups. Sorry. Hab da Outlook 2010 gelesen. Und das ist ja für Windows. Die Mac Version geht wirklich erst ab Exchange 2007 SP1

Outlook 2011 geht leider nur mit Exchange 2007 (oder IMAP, dann geht's auch mit älteren Exchange):

Was ich mich hingegen frage: Warum kauft man einen 2008er-Server und schmeisst das uralte 2003-Exchange drauf?

schade, war schon ganz aufgeregt

Die Server laufen getrennt voneinander... Vermute ich zumindest!... Also der Mail-Server ist ne andere Geschichte zum Rest. Sind ein großer Konzern, vielleicht ist das eine Erklärung!?....

Unter Leopard 10.5.x ist das noch in Dienstprogramme drin, stimmt. Ab SL ist dann wie oben beschrieben versteckt.
Um das Problem ein bisschen einzukreisen: Wie wirken sich die Zugriffsprobleme denn genau aus? Sind ganze Ordner und/oder Dateien nur Leseberechtigt oder wie?

Akzeptiert

Ahso... Bei 10.5 bin ich sonst über die Benutzer und den Button "Einstellungen"(?) drangekommen... Aber egal, wir meinen halt das selbe...

Die Auswirkungen sind unterschiedlich... teilweise lassen sich manche Ordner nicht verschieben (obwohl die Rechte dazu da sind!) oder Dateien nicht speichern... Bei den Dateien gibt es dann Fehlermeldungen, wie "nicht nötige Rechte" oder aber auch "nicht genügen speicherplatz" - und das kann gar nicht sein!!! Person X hat diese Fehlermeldung mit dem Speicherplatz und ich kann dagegen ohne Probleme speichern... Oder die Speicherplatzfehlermeldung kommt, wenn man ein EPS speichern will, aber es geht dann doch, wenn es ein AI-File ist.. Manchmal geht aber auch beides nicht... Die besagte Person konnte nicht mal mehr auf ihrem Schreibtisch speichern, aber auf der Festplatte ("Für alle Benutzer")

OK, dann habt ihr servergespeicherte Homeverzeichnisse. Sind diese als "Mobile Accounts" am Mac definiert, sprich: wird das Profil lokal zwischengespeichert?

Für mich schaut das mit den Zugriffsrechten stark danach aus als ob euer Admin Disk Quotas für jeden Nutzer gesetzt hat. Das hat dann aber nichts mit dem Mac zu tun. Ich hab bei uns in der Firma keine Probleme mit dem Mac auf Active Directory die meissten Firmen lassen aber die Finger von solchen aufträgen wenn es sich um OD zu AD Migrationen geht weil die meisstens keine Ahnung vom Open Directory und / oder vom Mac haben dann ist mal schnell gesagt das der Mac das schuld ist... Wenn ich nicht weiß wo der Fehler liegt schieb ich ihn ins Unbekannte ne...

Ja genau die Homes sind Servergespeichert... Ist das ein Problem?..
Die Mobilen Accounts sind ausgeschaltet. Nur bei den MacBooks denk ich drüber nach das mal auszuprobieren. Wobei ich zu Hause lieber mit meinem eigenen privaten Account arbeite...
DAs ist für mich persönlich jetzt Fach-Chinesisch...
Aber es gibt natürlich verschiedene Benutzergruppen, die unterschiedliche Rechte haben. DAs war vorher auf dem Mac-Server schließlich auch so... WIE das genau gelöst ist, kann ich natürlich nicht beantworten...
Sehr schön gesagt... Genau deswegen möchte ich mich wehren und mich mit Wissen polstern...
Wobei der Kollege auch den Mac-Server aufgesetzt hat und wirklich gute Unix-Kenntnisse hat... Aber der Spruch "Es liegt am Mac" kommt in unregelmäßigen Abständen immer mal wieder auf...

chérie

Serverside-Profiling ist unter Windows Server nicht mit dem von OSX Server zu vergleichen!!! Das ist wichtig zu wissen, wenn ihr von OSX zu Windows wechseln wollt. Das Gleiche gilt auch anders herum.

Windows: Windows hat kein echtes sverbasiertes Profil, sondern legt mit dem Usernamen und Passwort des AD einen lokalen Account auf dem Windows PC an und bei Macs erst einmal nichts. Wenn dann hoch oder runtergefahren wird, werden die Daten mehr schlecht als recht synchronisiert. Die meisten Admins in riesigen Unternehmen unterbinden bestimmte Syncs via Gruppenrichtlinien und biegen Pfade für Outlook, Eigene Dateien usw. um.

OSX: Ich versuche es mal an einem Beispiel zu erklären. Du hast z.B. einen User "aschmidt" auf einem Mac lokal eingerichtet. Der hat das Passwort "password". Dann legst Du einen User im OD des OSX Servers an, der den gleichen Namen hat, also "aschmidt". Dem vergibst Du das Passwort: 123.
Jetzt hängst Du den mac ins OD (über Benutzer, Anmeldeserver) und der User wird nach einem Passwort gefragt. Er gibt 123 ein und bekommt diverse Einstellungen aufgebraten (Mail usw.). Sein Account wird mit dem des Servers gemergt. Heisst: Sein lokaler Userordner wird via AFP auf den Server gelinkt und somit liegt ALLES dort. Es wird beim Starten oder Herunterfahren nichts gesynct usw. Daher dauert ein Login nur wenige Sekunden. ODER: Du hast den User als "mobilen account" gekennzeichnet, dann bleibt das lokale userverzteichnis erhalten und wird gesynct, aber anders als bei Windows.

vielen dank für die erklärung. das war mir im groben schon bekannt, wir haben seit 2006 bis jetzt über od gearbeitet auf einem mac-server mit serverseitigen usern (klar). vorteil war, egal welcher rechner, man hatte immer "seinen" benutzer, "seine" einstellungen etc.

bei dem ad geht es jetzt wirklich nur um die zugriffsberechtigungen. ich brauche eine bestätigung ob diese schwierigkeiten mit dem mac zusammen hängen können, oder ob die it-leute die benutzerrechte nicht im griff haben...

ich habe einen ad-account, bleiben wir bei "aschmidt"... mit diesem account habe ich zugriffe auf bestimmte serverbereiche. ich kann mich einloggen über einen ad-acount, also anmeldename und passtwort um mich am system (os-x) einzuloggen. Automatisch habe ich auch zugriff auf den server, auf den ich berechtigt bin. ein homeverzeichnis habe ich lokal oder auf dem server, je nach dem wie es eingestellt ist vom admin (glaube das ist an diesr stelle unwichtig, welcher Weg es ist)...
jetzt kann ich aber dateien nicht speichern, oder nicht verschieben.. manche ja, manche nein - aus ein und dem selben verzeichnis. jemand anderes mit gleicher berechtigungsgruppe wie ich, kann diesen ordner verschieben... warum? die AD-BENUTZER sind rechtmäßig gleich aufgesetzt. Die Personen sitzen aber an unterschiedlichen rechnern... warum geht es von dem einen rechner und dem anderen nicht?...
besteht doch ein zusammenhang zwischen rechner und serverzugriff? Das ist momentan das was die IT mir (bzw den Macs) vorwirft....

tritt das problem immernoch auf wenn ihr euch lokal anmeldet und dann über smb versucht auf dem server auf daten zu zu greifen oder was zu verschieben ?

das wollte ich gerade testen mit einem kollegen der das problem hat (über smb), aber er kann sich über active gar nicht erst anmelden. es ist hier echt zum k*****...

die probleme tauchen auf jeden fall bei der anmeldung über smb auf, als auch direkt über active-anmeldung. nur kann ich nicht mit sicherheit sagen dass es die gleichen dateien sind, es ist irgendwie immer anders, ich kann keine regelmäßigkeiten feststellen... das ist ja grade so frustrierend, weil das ein einkreisen des problems nahezu unmöglich macht....

chérie: Ohne dir zu nahe treten zu wollen: Hol dir externe Hilfe. Deine Zeit ist sicher nicht dafür da, an Problemen zu arbeiten, die nicht deiner job description entsprechen (denn wenn ich das richtig verstanden habe, bist du Grafiker, o.ä.?!). Geh zu deinem Vorgesetzten, rechne ihm kurz vor, was es kostet, wenn du noch 2 Wochen an den Settings herumbastelst, anstatt deinen eigentlichen Job zu tun und er (sie?) wird dir sicher grünes Licht für externe Admins geben.

Ich weiß nicht, wo du zuhause bist, aber im Raum Stuttgart kann ich dir die Apfelwerker empfehlen (Hannes Gnad ist einer davon, ist hin und wieder auch hier im Forum unterwegs): http://apfelwerk.de/

hth

soweit ich weiß geht das nicht, das sagt sogar Apple.

Ihr müßt dann wohl auf 10.7 warten.


http://support.apple.com/kb/TS3235

@chérie
Habe auch sehr schlechte Erfahrungen mit den Servergespeicherten Profilen und SMB Freigaben gemacht. Problematisch ist das SMB einige Sonderzeichen in Dateinamen nicht unterstützt die bei OS X kein Problem sind. Vielleicht gehen eure Probleme auch in diese Richtung, die Fehlermeldungen von OS X sind ja oft leider nicht sehr eindeutig.

Ich würde auch immer die Mobilen Profile empfehlen, vor allem wenn ihr öfters größere Dateien auf dem Desktop zwischenspeichert. Bei Mobilen Profilen verhält sich das ganze wie bei Windows, so dass beim an- und abmelden mit dem Server synchronisiert wird. Ansonsten arbeitet man immer direkt auf dem Server was das Netzwerk bzw. den Server selbst schnell in die Knie zwingt.

@dom_beta
Er ist ja in die andere Richtung umgestiegen.

das ist mir bekannt.

Nur leider kann 10.6 nicht mit Windows 7 bzw. mit Windows 7 Server aka Server 2008 R2.

chérie

Wenn Euer IT-Mensch das nicht hinkriegt, könnt ihr höchstens noch testweise einen einzelnen Mac neu aufsetzen und ausprobieren, ob das funktioniert. Sonst kann ich mich teacup nur anschließen, holt Euch externe Hilfe.

Bist Du sicher? In dem Apple-Support-Artikel geht es nur um einen Sonderfall.

@dom_beta
In dem von dir verlinkten Fall emuliert OS X mit Hilfe von Samba eine alte Windows NT Domäne. Da Microsoft daran natürlich kein großes Interesse hat bauen sie in jeder Windows Version wieder etwas um damit diese Kostenlose Server Alternative wieder ausgeschlossen wird. Und da Apple in der Regel keine großen Versionssprünge einzelner Dienste innerhalb einer OS X Version macht wird es wohl auch nie funktionieren.

Wenn man schon Windows Server als Betriebssystem benutzt liegen die Interessen von Microsoft ganz anders, natürlich wünschen sie sich Windows als Client aber um Leute davon abzuhalten andere Serverbetriebssystem sich anzuschauen ist der Server zu Clients in der Regel ziemlich abwärtskompatibel. Glaube Standardmässig lässt sich auch an einem 2008 R2 Server immer noch ein Windows 2000 Client betreiben.

Ich habe noch einen OS X 10.5 Client an meiner 2008 R2 Domäne ohne Problem laufen. Allerdings nur für die Authentifizierung, die Daten liegen auf einem Linux Server auf dem sowohl netatalk wie auch samba laufen.

@chérie: Wie ernst ist das gemeint? Dieser ganze Themenkreis, nämlich "Verzeichnisdienste", "Server based homes" samt "heterogenes Netz" ist einer der komplexesten Bereiche der (Mac-)IT. Es gibt mehrtägige offizielle Lehrgänge samt dicker Bücher für so was:

Grundkurs:
http://training.apple.com/itpro/snow101

Server-Grundkurs:
http://training.apple.com/itpro/snow201

Spezialkurs Verzeichnisdienste:
http://training.apple.com/itpro/snow301

Meine Empfehlung: Wenn Du nicht vorhast, zumindest in Teilzeit Admin zu werden, dann lohnt sich der Aufwand kaum, in diese Themen so weit einzusteigen. Dann lohnt es sich eher, für Deine Firma/dieses IT-Projekt (Veränderung des Verzeichnisdienst-Aufbaus) externes Consulting einzukaufen.

Am Rande: Die Startvermutung an sich ist so nicht ganz richtig. Klar, der Xserve ist eingestellt, und das finden wir auch schade, aber das ist, so sieht und hört man hin und wieder, nicht das Ende der Geschichte. Nun deshalb gleich eine funktionierende Struktur abzureißen, und durch etwas zu ersetzen, was nicht wirklich funktioniert, auch weil anscheinend niemand vor Ort das nötige Know How hat, die Aufgabe korrekt auszuführen - also, da wundere ich mich schon, daß es keinen Chef gibt, der so ein Drama grundsätzlich verhindert.

na ja, das liegt aber an Samba.

Apple hat da eine veraltete Version eingebaut und Windows 7 ist damit nicht mehr kompatibel.

Und MS tut das sicherlich nicht deswegen, weil sie Samba ausschließen wollen, sondern weil es in den alten Varianten sicherlich eine Menge Fehler gibt die ausgebaut werden.

Apple hat bspw. sein AFP-Protokoll auf die Version 3.2 geändert; damit unterstützen sie die Time Machine Sicherung auf ihrer Time Capsule. Und Time Capsule benötigt halt diese neueren Sachen, weil es sonst nicht funktioniert.

@dom_beta: Seit Mac OS X 10.6 ist AFP 3.3 am Start.

stimmt. Ich war mir nicht sicher.

Den Grundkurs habe ich unter 10.4 noch abgeschlossen. Ein anderer Kollege gerade unter 10.6.
Der IT-kollege, der die Umstellung gemacht hat und auch den OS-X Server eingerichtet hat, war auch auf dem Server-Kurs (noch unter 10.4., aber das lief auch noch auf dem Server).

Da ich kein Experte bin, frage ich ja auch um Hilfe... Es ging im Ursprung mal um die Frage, ob das OD irgendwelche Sachen speichert auf dem Rechner selbst. Unser IT-Mann meint, dass das OD vielleicht irgendwie noch reinpfuscht, irgendwelche Kerberos Einstellungen oder irgendwas was damit zusammenhängt.
Seine Empfehlung war daraufhin einen Mac komplett neu aufzusetzen und es dann zu probieren. Dagegen sträubt es mich, da das für mich mehr so ein "PC-Ding"! "Rechner läuft nicht Neustart. Rechner läuft immer noch nicht plattmachen und neu installieren"

Nach euren Kommentaren bin ich jetzt in einer Hinsicht nicht schlauer:
ist der Windows 2008 R2 nun nicht kompatibel?... Wenn es daran liegt, brauche ich nicht mehr rumdaddeln und verlange meinen alten Server zurück!

Der Server wurde abgesetzt, weil (angeblich) nicht die Möglichkeit besteht schnell und kurzfristig an Support und/oder Ersatzteile zu kommen, wenn der Server mal Probleme entwickeln sollte. Bei Windows angeblich in 24 Stunden spätestens erledigt, bei Mac kann es Wochen dauern. Und das gerade weil der Server nicht mehr gebaut und weiter entwickelt wird...

Ich danke euch echt für die vielen Mühen und gute Ansätze....!

@os2fan:Ja das mit den Sonderzeichen haben wir im Vorfeld ausgiebig getestet und entsprechend umbenannt und die User informiert. Große Probleme sind vor allem Leerzeichen am Ende/Anfang von Dateien, genauso Punkte. Sowas sollte man vermeiden können, aber es wird immer mal wieder jemandem passieren, dass er es übersieht. das nervt schon...

Schlimm ist übrigens auch, dass der Windows-Server die Dateien aus OS9 nicht erkennt. Bei uns ist das Problem dann bei den Schriften. Die sind alt und haben kein Suffix... Und peng, der Windows-Server nimmt sie nicht: 0kb "ausführbare Unix-Datei".... Super Sache...

@chérie: Das sind alles bekannte Probleme. Ich kann das generelle Vorgehen immer noch nicht nachvollziehen: Klar sind Xserve-Ersatzteile kaum mehr zu bekommen. Also hält man für Notfälle einen Mac Pro bereit, so what? Das ist x-mal besser, als nun den Workflow zu killen, indem man irgendwelche Dinge tut.

Problem sind bei großen Firmen ja immer die ganzen Hierarchien und festen Strukturen mit festen Zuständigkeitsbereichen...
Ich kann nicht einfach einen externen bestellen... Da muss es immer erst richtig "knallen" bis hier mal was passiert!...

cherie

Auch wenn es Dir widerstrebt, für die Fehlersuche kann "Plattmachen und neu installieren" eines Test-Geräts hilfreich sein, immerhin kannst Du so möglicherweise alte OD-Hinterlassenschaften als Problem ausschließen.

Ohne Dir zunahe zu treten, klingt es aber so, als ob ihr in der Firma oder zumindest im IT-Bereich ein grundsätzliches Problem habt. Die Wechsel-Entscheidung ist ohne wirkliche Notwendigkeit und ohne vollständige Kenntnis des Aufwands und der Schwierigkeiten getroffen worden. Mitarbeitern werden Aufgaben übertragen, die eigentlich zusätzliches umfangreiches Fachwissen erfordern. Eine Möglichkeit externe Unterstützung beizuziehen ist nicht vorgesehen, auch wenn es sinnvoll wäre. Solche Konstellationen neigen dazu immer wieder Probleme zu verursachen und mehr Geld und Zeit zu verbrauchen als nötig wäre.

Du trittst mir nicht zu nahe! Ich kann ja Kritik vertragen...

Es ist schon geplant gewesen, es wurde alles dokumentiert und getestet. EIGENTLICH war alles kalkuliert... EIGENTLICH ist es für mich egal WO die Daten liegen, hauptsache ich kann drauf zu greifen. Dass das so massiv nicht klappt, war für uns nicht vorhersehbar...

Der IT-Mensch hat den Zugriff mit einem "sauberen Benutzer" getestet. War erst euphorisch, weil es so klappt, aber mittlerweile hat er das selbe Problem und fängt nun endlich an zu recherchieren...
Also OD-Hinterlassenschaften sind es nicht!

Ich warte mal ab auf welche Ideen er bis morgen kommt... Mit meinem Chef hab ich den Vorschlag eines Externen schon abgeklärt.. Aber wie gesagt in Großen Firmen ist so was meistens ein ewiger Akt...

...Alles wird gut...

die idee "externer" macht schon sinn (ich bin leider zu weit weg )
aber schau mal hier:
http://www.thursby.com/products/admitmac.html

Oder auch: http://www.likewise.com/

Die Enterprise Version wird hier (ebenfalls in einer 500+ Mitarbeiter Firma) statt des Snow Leopard eigenen Active Directory genutzt.