Will ein Windows-Admin auch Linux-Server verwalten oder wenigstens seinen Linux-Kollegen bei der täglichen Systempflege helfen, dann wünscht er sich dafür ein Snap-in für die Microsoft Management Console. Das neue Produkt Interstructures verspricht genau dies. Wie viel die Snap-ins halten, untersucht dieser Test.

Die Mischung ist weit verbreitet: Linux- und Windows-Server bedienen gemeinsam ein Netz mit Windows-Clients. Viel seltener sind die dazu passenden janusköpfigen Administratoren, die sich in beiden Welten gleichermaßen wohl fühlen und gekonnt Dienste, Freigaben, Benutzerkennungen und mehr einrichten. Meist gibt es eigene Spezialisten für jedes der beiden Systeme. Ist der Linux-Admin gerade nicht verfügbar, wäre es hilfreich, wenn einer der Windows-Verwalter wenigstens einen Teil seiner Aufgaben übernehmen könnte.

Admin ohne Grenzen

Die New Yorker Softwareschmiede QCD Microsystems will dafür sorgen, dass diese Leiharbeit auch ohne Linux-Kenntnisse klappt. Ihr neu entwickeltes Produkt Interstructures[1] gibt Windows-Administratoren über ihre gewohnte MMC (Microsoft Management Console) Zugriff auf Linux-Dienste. Die Software arbeitet als Client-Server-System, der Server läuft unter Linux und nimmt Kommandos vom Windows-Client entgegen. Die Kommunikation läuft per SOAP (Simple Object Access Protocol) über eine SSL-verschlüsselte HTTP-Verbindung. Der Interstructures-Server benutzt dazu Apaches Tomcat[5].

Unter Windows startet und beendet der Admin Dienste auf seinen Linux-Maschinen (Interstructures nennt das entsprechende Modul NT-Services). Dazu kommen Konfigurationsmodule für DHCP, Squid und Samba, bei Letzterem als AD-Mitglied (Active Directory,[3]) oder als PDC (Primary Domain Controller).

Fernwartung

Diese Fernwartung von Windows aus wäre bei Samba beispielsweise auch mit SWAT zu erledigen, dem Samba Web Administration Tool[4]. Dieses Webfrontend ist Teil der Samba-Distribution. Die QCD-Software ist aber mehr als ein SWAT-Ersatz, sie erleichtert die Arbeit für den Windows-Admin erheblich. Interstructures nimmt viele Einstellungen vorweg oder beschränkt sie auf bestimmte sinnvolle Funktionen. Der wichtigste Vorteil ist aber: Die Module sind in der Windows-Welt kein Fremdkörper, sondern fügen sich nahtlos in die vorhandene MMC-Struktur ein, während SWAT, Webmin[6] und ähnliche Programme Browser-basiert arbeiten.

Abbildung 1: Das QCD-GUI sucht auf dem Linux-Server nach Diensten. Installieren meint, den Dienst unter die Kontrolle der NT-Services zu stellen.

Hersteller QCD erwähnt auf seinen Webseiten, dass die Software auf allen großen Linux-Distributoren läuft und nennt explizit Red Hat und Suse. Bei den ersten Versuchen der Tester (mit »NTServices20040002u1«) beschränkte sich die Suse-Kompatibilität aber auf SLES 3 (Suse Linux Enterprise Server).

Die Entwickler hatten offensichtlich nur mit dieser Suse-Ausgabe sowie auf RHEL (Red Hat Enterprise Linux) getestet. Darauf hingewiesen sandte QCD aber ein Patch, mit dem Interstructures auch auf einem gewöhnlichen Suse Linux 9.2 lief. Der Hersteller verspricht, bei distributionsabhängigen Fehlern dem Kunden mit Patches beizustehen.

Linux-Voraussetzungen

Die aktuelle Version 1.2.0-4 soll auf RHEL 3 und 4 sowie Fedora Core 2 und 3 laufen. Die Tester entschieden sich für ein frisch installiertes Fedora Core 3. QCD bietet eine Trial-Version unter[2] zum Download an; dazu ist allerdings eine Registrierung nötig. Die Software ist in zwei Modulsammlungen aufgeteilt: Einmal Samba als AD-Mitglied, Squid und DHCP, die zweite Sammlung ist für Samba als Primary Domain Controller gedacht. Beide Sammlungen enthalten auch die NT-Services. Zusätzlich empfiehlt QCD, unter einigen Red-Hat-Versionen ein angepasstes Samba-Paket der Version 3.0.8 zu verwenden. Es steht ebenfalls auf[2] zum Download.

Abbildung 2: Die installierten Dienste erscheinen im Dienste-Browser von Windows. Von hier aus steuert der Admin künftig die Linux-Services (im Bild durch einen roten Rahmen markiert).

RPMs im Zip-Archiv

Für beide Modulsammlungen gibt es drei Download-Dateien: die Linux- und die Windows-Software sowie den Administrator\’s Guide. Dass QCD auch die Linux-Pakete in Windows-typische Zip-Archive packt, wirkt befremdlich, stört sachlich aber nicht weiter. Nach dem Auspacken mit »unzip« kommen vertraute RPM-Pakete zum Vorschein, die ein beherztes »rpm -ivh Paket« problemlos installiert. Zuerst ist das Interstructures-Core-Paket nötig; alle weiteren RPMs für die Konfiguration von Diensten setzen dieses Paket voraus.

Im Core sind bereits die NT-Services enthalten. Zu beachten ist, dass die Software alle zu verwaltenden Daemons über »/etc/init.d/ Service« steuert und dass der Windows-Client den Interstructures-Server auf den Ports 8443 und 8080 anspricht (wichtig bei Firewalls). Mit den Kommandos »startqcd« und »stopqcd« startet und beendet der Admin den Interstructures-Server.

Abbildung 3: Neben dem MMC-Snap-in für den Samba-PDC hat der Windows-Admin in diesem Beispiel Snap-ins für AD-Member-Server und das Fileserver-Management in die Microsoft Management Console integriert. Alle drei lassen sich aus der Konsole heraus einrichten und administrieren.

Abbildung 4: Für den Betrieb des Samba-PDC ist ein eigenes Administrator-Konto erforderlich. Damit verwaltet der Windows-Admin den Samba-PDC, ohne das Linux-Root-Passwort zu kennen.

Primary Domain Controller

Die Tester entschieden sich dafür, mit der Konfiguration eines Samba-PDC zu beginnen. Nach dem Einspielen des RPM-Pakets »Interstructures-Samba-Pdc-1.2.0-4.i386.rpm« mussten sie noch das Skript »configsambapdc« aufrufen. Bei einem späteren Versuch, den Linux-Rechner in ein bestehendes Active Directory einzubinden, stellte sich heraus, dass für diese Aufgabe zusätzlich Kerberos und OpenLDAP von der Fedora-Installations-DVD nötig sind.

Die Installation unter Windows war mit ein paar Klicks erledigt. In den Zip-Archiven befinden sich dafür mehrere ausführbare Exe-Dateien mit einem typischen Installer. Als Grundlage für alle Managementerweiterungen benötigt auch die Windows-Software einen Interstructures-Core, hinzu kommen einzelne Pakete für die Konfigurationswerkzeuge.

Wie Abbildung 1 zeigt, erhält der Admin Zugriff auf die Linux-Dienste über ein GUI, in dem er Dienste an- und abwählt. Angewählte Dienste erscheinen künftig im Dienste-Browser von Windows (Abbildung 2). Das Verwalten der Linux-Services unterscheidet sich fortan nicht mehr von dem der Windows-eigenen: Ein Doppelklick auf den Eintrag öffnet einen Eigenschaften-Dialog im typischen Windows-Look.

Die Interstructures-Installation erzeugt unter anderem Startmenü-Einträge, die eine vorgefertigte MMC-Integration des Samba-PDC-Managements aufrufen. Das Snap-in steht aber auch einzeln zur Verfügung, Windows-Admins stellen sich damit ihre eigene MMC-Umgebung zusammen (Abbildung 3).

Samba konfigurieren

Der Windows-Admin konfiguriert mit dem PDC-Snap-in den Linux-Server, um ihn in einen Samba-basierten Primary Domain Controller zu verwandeln. In dessen Domäne finden Windows-Clients ihren Platz. Zur Namensauflösung ist allerdings DNS nötig; leider ist das passende Konfigurations-Snap-in nicht in den Paketen enthalten. QCD kündigt ein entsprechendes Modul aber an.

Der Zugriff auf den Linux-Server ist wie üblich per Passwort geschützt (siehe Abbildung 4). Die Abbildungen 5 und 6 zeigen die Arbeit mit dem Snap-in. Über die MMC erledigt der Admin die gesamte Benutzer- und Gruppenverwaltung und richtet Freigaben ein. Jedoch ist in Interstructures das von Samba genutzte Datenbank-Backend zum Speichern von Benutzern und Passwörtern nicht frei wählbar. Die Software setzt nur Tdbsam ein (Listing 1, Zeile 4), Accounts von beispielsweise einem OpenLDAP-Server bleiben dem Admin verwehrt.

01 [global]
02    netbios name = THEKE
03    workgroup = INTER.TEST
04    passdb backend = tdbsam
05 
06    obey pam restrictions = yes
07    pam password change =  yes
08    encrypt passwords = yes
09    unix password sync = yes
10 
11    wins support = yes
12    add user script = /usr/sbin/useradd -m %u
13    delete user script = /usr/sbin/userdel -r %u
14    add group script = /usr/sbin/groupadd %g
15    delete group script = /usr/sbin/groupdel %g
16    add user to group script = /usr/sbin/usermod -G %g %u
17    add machine script = /usr/sbin/useradd -s /bin/false -d /dev/null %u
18    logon script = scriptslogon.bat
19    os level = 33
20    preferred master = yes
21    domain master = yes
22    local master = yes
23    security = user
24    domain logons = yes
25    logon path = \%Nprofiles%U
26    logon drive = H:
27    logon home = \%N%U
28    idmap uid = 15000-20000
29    idmap gid = 15000-20000
30    admin users = @admins
31 [homes]
32    comment = Home Directories
33    valid users = %S
34    read only = No
35    browseable = No
36 [netlogon]
37    comment = Network Logon Service
38    path = /var/lib/samba/netlogon
39    read only = yes
40    write list = @admins
41 [profiles]
42    path = /var/lib/samba/profiles
43    read only = no
44    create mask = 0600
45    directory mask = 0700
46 [c]
47    valid users = @"Domain Admins", Administrator, @admins
48    admin users = @"Domain Admins", Administrator, @admins
49    comment = share me
50    path = /shared
51    read only = no
52    browseable = yes

Abbildung 5: Per PDC-Management legt der Admin neue Benutzer an. Er kann ihre Accounts auch sperren und wieder freigeben, löschen oder das Passwort zurücksetzen.

Abbildung 6: Zu den wichtigen Aufgaben eines Samba-GUI gehört es, Freigaben anzuzeigen und zu ändern. Den Standard-Freigabeordner »c« hat der Linux-Admin bereits bei der Installation unter Fedora Core 3 per »configsambapdc« angelegt und auf das Verzeichnis »/shared« eingestellt.

Abbildung 3 zeigt eine MMC, die mit drei Interstructures-Snap-ins bestückt ist: PDC, AD-Mitglied sowie eine Erweiterung für das Verwalten eines Fileservers. Letztere ist Teil der Mitgliedschaft im Active Directory. Damit kann der Member-Server als Fileserver arbeiten und eigene Freigaben erzeugen.

Kleine Macken

Interstructures ist noch nicht ganz ausgereift, was sich im Test an einigen Bugs zeigte. Beispielsweise führte der Versuch, die Eigenschaften eines Users anzuzeigen, zu einem Java-Fehler. Laut QCD liegt das an der verwendeten Linux-Distribution. Abgesehen von solchen Kinderkrankheiten macht die Software aber bereits einen stabilen Eindruck. Die fehlende Marktreife ist auch daran erkennbar, dass der Hersteller offiziell noch keine Preislisten veröffentlicht. Derzeit soll jeder Dienst pro Server 500 US-Dollar kosten, auch eine günstigere Small-Business-Box ist geplant.

Während des zweimonatigen Tests brachte QCD mehrere neue Versionen heraus und steigerte den Funktionsumfang der Software enorm. Wenn die Firma in diesem Tempo weiterarbeitet, können Windows-Admins künftig in vielen Firmen ihre Linux-Kollegen tatkräftig unterstützen und ihnen viel lästige Alltagsarbeit abnehmen. Tiefere Einschnitte ins System bleiben den Linux-Administratoren vorbehalten. (fjl)