Если вы используете Mac в сети в среде Windows, вы можете присоединиться к Mac в домен, выполнив следующие шаги:

1Выберите «Настройки», затем выберите «Пользователи и группы».

Появится страница «Пользователи и группы».

2Выберите учетную запись пользователя, которую хотите присоединиться к домену, затем нажмите Параметры входа в систему.

Появится страница Параметры входа в систему.

3Если значок блокировки в нижнем левом углу страницы заблокирован, щелкните его и введите пароль при появлении запроса.

По умолчанию параметры входа в систему заблокированы для предотвращения несанкционированных изменений. Этот шаг разблокирует настройки, чтобы вы могли присоединиться к домену.

4Щелкните кнопку Присоединиться.

Вам будет предложено ввести имя домена, к которому вы хотите присоединиться.

5Введите имя домена, к которому вы хотите присоединиться.

Когда вы вводите имя домена, диалоговое окно будет расширяться, чтобы вы могли ввести учетные данные домена, чтобы вы могли присоединиться к домену.

6Введите имя и пароль учетной записи администратора домена, затем нажмите OK.

Вы вернетесь на страницу «Параметры входа», которая показывает, что вы успешно присоединились к домену.

А что, если вы работаете в организации, достаточно крупной, в которой используются Windows Server и Active Directory, соответственно? А что, если у вас Мак? Как известно, обычные PC не умеют использовать Apple Open Directory, но зато ваш Mac умеет работать с Microsoft Active Directory и как его ввести в домен, я сейчас и расскажу.Ничего сложного в последовательности действий нет, хотя надо признать, что обычную машину на Windows ввести в AD немного проще.Пару дней назад, притащив свой MacBook на работу, решил ввести его в домен. Но не сразу сообразил куда же нужно зайти, чтобы увидеть настройки связанные с доменом. Попытка найти нужный пункт через поиск не дала результатов, хотя и выглядело все логично: работа с настройками домена должна быть в категории “Сеть”, но ее там не было.

Сначала, мне казалось, что я просто не вижу заветных иконок и пунктов. И как оказалось — их там и не было. А вот где я их нашел, раскрою секрет.
Для начала открываем меню “Системные настройки”. Нас интересует категория “Система” и в ней пункт “Пользователи и группы”.

Тут для нас припасен пункт “Параметры входа” — это именно то, что нам нужно и не нашлось в меню “Сеть”.

Снимаем замочек вводом пароля и выбираем заветную вкладку. Видите, в самом низу пункт “Сетевой сервер учетных записей”? Да, как раз его нам и нужно подключить одноименной кнопкой.

В появившемся окне вводим всю необходимую информацию: имя сервера (можно и ip), ID компьютера и связку логин-пароль для добавления машины в домен. Конечно же, у вас должны быть права в домене для такой операции.

Возвращаемся на предыдущее окно и обращаем внимание на пункт “Автоматический вход”. Если ваш Mac используется в личных целях дома, а на работе вы используете учетную запись из Active Directory, то советую выставить значение “Выкл.” этого параметра. Таким образом, при старте системы вы будете попадать на форму ввода логина с паролем, где сможете использовать данные доменной учетки. Также, на всякий случай, поставьте галочку напротив пункта «Показывать меню ввода в окне входа в систему».
Остальные пункты, кроме подсказок VoiceOver можете оставить по-умолчанию.

На этом все. Даже перезагружаться не нужно (как это раздражает на Windows). Закрываем замочек, чтобы никто не смог поменять настройки без аутентификации.

Остается только только зайти в систему используя свои данные. В правом верхнем углу, рядом с часами, появилось новое меню с активной в данный момент учетной записью. Если вы решите зайти под доменной учеткой, достаточно нажать на имя пользователя и выбрать пункт “Окно входа”. Перед вами появится стандартная форма в которую нужно ввести данные вида domainnameuser и пароль (Не забывайте про имя домена!).

Переключаться между учетными записями можно в любой момент, вводя для каждой свой пароль. Переключение происходит очень быстро, а сеанс завершать не обязательно.
Все, настройка закончена. Добавлена ли наша машина, можно посмотреть в Acive Directory.

Я работаю в операционном отделе в крупной, в основном, на базе Windows ИТ-компании. Лично я пользователь Mac, но я в основном использую свой Mac в «средах Mac».

У нас есть запрос о получении некоторых компьютеров Mac в сетевой домен. Основной причиной этого является аутентификация (пользователи Mac уже являются членами домена и хотели бы войти в систему с этими учетными данными), а также для монтирования некоторых сетевых дисков.

Я не делал этого раньше, и хотел бы знать ваши идеи о том, как реализовать эти Mac в наилучшем виде. Мы ищем бесплатное или, по крайней мере, недорогое решение для этого. Я рассмотрел некоторые из решений, но хотел бы получить отзывы от тех, кто работал с этим в производственной среде.

4 ответы

Однако я не преобразовал Mac в мою среду из-за проблемы с авторизацией пользователя. Я считаю, что это большая проблема, но я также работаю в области безопасности:) Существуют расширения AD для атрибутов OSX, поэтому вы можете получить некоторые из тех уровней конфигурации, которые вы используете с Windows в AD. Тем не менее, ваша среда AD должна быть расширена для их поддержки.

Если вы не против иметь неуправляемые машины, где кто-либо с полномочиями может войти в систему, а затем добавить их. Централизованная аутентификация почти всегда предпочтительна. К сожалению, для моих систем это ограничение было показательным стопором.

Существует документация по настройке OSX Server как посредника между компьютерами Mac и серверами AD. Вы запускаете OpenDirectory в так называемом «подчиненном» режиме. Предположительно, вы можете полностью управлять Mac, как обычно, за исключением того, что аутентификация передается в поле AD. Идея состоит в том, что вы будете выполнять авторизацию вашего пользователя на OD-сервере и присоединитесь к своим компьютерам Mac (одновременно добавив их в домен AD kerberos). Это звучит многообещающе, но, как я уже сказал, у меня не было успеха, получив разрешение работать правильно. Инструкции также приведены в pdf-формате, приведенном выше.

Возможность добавлять их в домен бесплатна - она ​​встроена в OS X и может быть автоматизирована во время развертывания с использованием DeployStudio.

Фактически управление ими с помощью групповой политики - это другая история - есть некоторые сторонние продукты, доступные как

что вы системный администратор и директор компании мечтает о переносе рабочих мест на Маки; или школа, в которой вы обслуживаете IT, выиграла тендер и скоро привезут новенькие Macbook; или в вашей редакции выбросили старые G4 и закупают парк новых iMac.

А инфраструктура на Active Directory

И если спросить вас об управлении клиентскими станциями в домене средствами Windows Server, то вероятно, что прозвучат слова “домен”, “политики”, “GPO”, “служба каталогов”.

Зачем нужна служба каталогов?

Служба каталогов упрощает жизнь пользователя и администратора. Она позволяет хранить необходимые ресурсы, – учетные записи, группы и многое-многое другое в одном месте, удобно управлять ими, связывать воедино самые разнообразные сервисы.
Интеграция компьютеров в службу каталогов позволяет принудительно установить строгие политики аутентификации и авторизации, управлять доступом к ресурсам через Single Sign-On (SSO) . Проще говоря, ограничивать доступ во имя благих целей.

Разве Мак вводится в Active Directory?

На деле macOS давно интегрируется в службы каталогов, в том числе и в Active Directory (далее AD), и для этого используется встроенный плагин AD. Мак, привязанный к домену, поддерживает политики паролей, поиск пользователей и групп, единую точку входа (SSO) с использованием Kerberos, аутентификацию 802.1X для ограничения доступа к сети как по Wi-Fi, так и по Ethernet. Ознакомиться с Best Practices от Apple по связи Мака и Ad (эпохи Mac OS X 10.10) можно по ссылке .

Хорошо. Как управлять настройками Maк?

Долгое время негласным стандартом являлось решение Magic Triangle, которое объединяло в себе возможности AD и Open Directory (далее OD), собственной службы каталогов от Apple. Работало это следующим образом: учетные записи пользователей находились в Active Directory, но так как в Windows Server нет встроенных средств для управления Маками, то политики распространялись с сервера Open Directory от Apple.
Называлась эта технология MCX – Managed Client for (OS) X и по сути, это конфигурационные кусочки XML в LDAP-записях, относящихся к пользователям, группам и компьютерам (интересные утилиты командной строки – mcxquery и mcxrefresh). Администраторы управляли настройками с помощью Workgroup Manager .
Само-собой, это повышало затраты на обслуживание, так как приходилось поддерживать еще и серверы Apple. Например, в компании IKEA для поддержки Маков на 400 площадках использовались и AD и OD.
Нельзя сказать, что Apple усиленно развивает Open Directory, да и серверы в целом. Скорее негласно предполагается, что в корпорации будет использоваться Active Directory. К тому же Apple продвигает новую технологию управления Маками под названием Mobile Device Management.

Mobile Device Management (MDM)

Новая технология управления Маками пришла с iPhone и iPad. Это отражено в ее названии – Mobile Device Management . Так Apple называет как сам набор технологий для управления, так и протокол, который позволяет отправлять команды для управления устройствами на базе iOS 4 и новее, macOS 10.7 и новее, Apple TV с iOS 7 (ныне tvOS) и новее. С помощью MDM системные администраторы могут проверять, устанавливать или удалять конфигурационные профили, заблокировать устройства и даже стирать их удаленно. Конфигурационные профили представляют из себя файлы XML с набором настроек, описанных в документации Apple. Что интересно, распространение профилей происходит так, что Маку не нужно находиться в офисной сети, достаточно иметь доступ к интернет. Протокол построен поверх HTTPS и использует PUSH-уведомления. Профили распространяются следующим образом: сервер MDM обращается к Apple Push Notification Services (APN) , далее APN путем PUSH-уведомлений сообщает устройству о том, что нужно связаться с сервером MDM, после чего Мак подключается к серверу MDM и получает информацию с настройками.
И что самое интересное, вы можете связать сервер MDM с существующим каталогом AD и создавать отдельные наборы настроек для управления Маками. Например, вы можете взять заранее подготовленную группу из AD, создать для не профили настроек для Мак и далее распространять политики средствами MDM.

Shut up and take my money!

В приложении macOS Server от Apple уже есть свой MDM сервер под названием Profile Manager . Отталкиваясь от нашего опыта и опыта наших клиентов и коллег мы не рекомендуем его использование в организациях с большим количеством Маков или iOS устройств. Profile Manager можно использовать скорее для ознакомления с технологией или пилотного проекта.
3rd party серверов MDM, работающих с Apple развелось немало: Microsoft , Vmware , Parallels , не говоря уже об . Однако если вы спросите любого мак-администратора на конференции Macsysadmin , которая состоится в начале октября в Гётеборге какой MDM выбрать, то вам ответят: “JAMF “, он же бывший “Casper Suite”. Это, пожалуй, самое простое и популярное решение MDM для устройств Apple.
Если вас заинтересует внедрение JAMF – обращайтесь к нам и мы вам поможем и с приобретением и с настройкой.

Обязательно ли привязывать Мак к AD?

Вовсе нет. Например, с помощью приложения NoMAD (аббревиатура расшифровывается как “No More Active Directory”) вы можете использовать SSO, монтировать домашнюю папку, синхронизировать пароль локального пользователя с сетевым паролем и многое другое. Причем само приложение не требует прав админстратора. И все это только с помощью тикетов Kerberos.

Что еще за Kerberos?

Kerberos - технология аутентификации, основанная на тикетах - специальных шифрованных сообщениях, которые позволяют клиенту подтвердить свою подлинность, не храня пароль и не передавая его по недоверенным каналам.
Если попытаться объяснить просто, то сначала клиент запрашивает на сервере аутентификации “тикет для выдачи тикетов” (ticket granting ticket, TGT), затем запрашивает на том же сервере тикет для доступа к нужному ресурсу, при этом сервер проверяет, что такой ресурс существует и у данного пользователя есть доступ к этому ресурсу, и уже с этим тикетом клиент может получить доступ к ресурсу. Единственный раз, когда у пользователя запрашивается пароль (но не пересылается по сети) - этап получения тикета TGT, в дальнейшем все происходит автоматически - отсюда название Single Sign-on.

Вывод

Введение Маков в домен, управление устройствами и доступом к ресурсам – задача вполне выполнимая. Вы можете взаимодействовать с каталогом как привязав Мак к домену, так и обойтись средствами 3rd party приложений. В любом случае, интеграция технологии MDM в AD поможет вам комфортно управлять устройствами Apple, основываясь на политиках вашей организации.

Мы же пока ждем релиза High Sierra и выступлений на конференции Macsysadmin 2017, которые мы будем подробно освещать с места.
Мой коллега Ильдар обещает по статье на каждое выступление!

Jesus Vigo takes a look at how to setup and configure Apple hardware running a modern version of OS X and get it communicating with a Windows Active Directory environment.

Market share in the enterprise is largely dominated by Microsoft - specifically, the reliance on the Windows Server family line to manage network resources, align desktops with corporate security policies, and maintain the flow of production amongst all the employees at a given organization. The process of administering all these systems - desktops and servers alike - are relatively straight-forward in a homogeneous environment, but what happens when OS X is introduced to the enterprise in the form of a sleek, shiny new MacBook Air or iMac?

Apple hasn’t made great inroads in this segment. However, comparing its paltry 7% market share in the desktop market to its almost 93% in the mobile device market, there"s only a matter of time before more companies begin to choose Apple products for its mobile and desktop computing duties in lieu of the generic, stalwart PCs they’ve been cycling in and out every three to five years. So, I ask you again, what do you do when your organization decides to upgrade to iMacs? How do you manage those nodes in addition to the existing Windows domain that"s already established?

Integrating Macs will initially be easier than you think! Even with little to no prior OS X knowledge, Macs will bind* to the domain with relative ease, since directory services - the underlying “file structure” of the network resources - are standards-based and operate more or less about the same across operating systems.

Note*: Binding is the term associated with joining OS X to a domain. It’s virtually identical to joining a Windows PC to a domain, complete with checking domain credentials to verify the end user has the necessary rights to add the computer to the domain.

Minimum requirements:

• Server hardware running Windows Server 2000-2012 Standard
• Active Directory Domain Services (ADDS) setup and configured
• Domain Administrator-level account
• Apple desktop or laptop running OS X 10.5+
• Switched network

I. Bind OS X to a Windows domain (10.5-10.9)

Follow these steps to bind OS X to a Windows domain:

Note**: By default, Windows will automatically create the computer object account in ADDS if one does not already exist. However, domain or enterprise admins may (and often do) restrict this as a security feature to curb random nodes from being joined to the domain. Additionally, Organizational Units (OU) may be created as a form to compartmentalize ADDS objects by one or more classifications or departments. Many enterprises will utilize OUs as a means to organize objects and accounts separately from the items created by default when a domain controller is promoted and ADDS is created.

II. Modify Directory Services settings

Your next steps will be to modify the Directory Services settings. Here"s how:

1. To ensure the highest level of compatibility between OS X and the network resources on the Windows network, certain changes must be made to the Active Directory service with the Directory Utility - so, go to System Preferences | Users & Groups, and click Login Options
2. Click the Edit… button next to Network Account Server, then click Open Directory Utility… ()
   
   
3. The Directory Utility lists various services associated with network account directories (), and it allows you to modify settings as needed
   
   
4. Double-click Active Directory to edit its configuration ()
   
   
5. Click on the arrow to unhide the Advanced Options, select User Experience, and check the following boxes:
   a. Check Force local home directory on startup disk (), which will force the creation of a profile on the local HDD for all users that logon to the node (if you plan to serve profiles remotely from a server, leave this setting unchecked)
   
   b. Check Use UNC path from Active Directory to derive network home location (), and select the network protocol to be used: smb: (Note: This setting will switch the default protocol for network resource paths from Apple’s afp: to the Windows" friendly smb: - also known as Common Internet File System, or CIFS).
   
   
6. Next, select Mappings (), which pertains to specifying unique GUIDs for certain attributes used within ADDS to identify a computer object account. OS X will generate these at random by default when bound to the domain; however, you may wish to use a particular set as generated by your enterprise admin.
   
   
7. Finally, select Administrative (), and configure the following three optional settings based on the ADDS schema setup of the organization:
   
   a. Checking Prefer this domain server will perform two-way communication to/from the domain controller of your choosing
   b. Checking Allow administration by will allow nodes to be managed by the administrator(s) who"s responsible for overseeing systems, based on security group membership or user account(s)
   c. Checking Allow authentication from any domain in the forest may or may not be necessary to ensure that the OS X computers authenticate to the proper domain, as configured by the domain/enterprise admin.

There you have it - a basic look at how to setup and configure Apple hardware running a modern version of OS X and get it communicating with a Windows Active Directory environment. I also threw in a few extra tips to help make a smooth transition and minimize errors.

One additional tip (and common best practice) is to host an Open Directory domain along with the Active Directory service. Multiple directory services will add to the burden of managing two distinct operating systems, but you’ll be surprised to find out that it may actually make administration of these systems easier! This dual-directory environment will allow Windows PCs to be maintained and managed solely through the Active Directory side, while Open Directory - when setup with OS X Server - can be used to maintain and manage the Apple computers.

Giving the Apple hardware the second directory binding to ADDS will allow them to seamlessly communicate with the Windows desktops and share file and printer resources from Windows servers and nodes, and vice-versa. This eliminates the need for costly 3rd-party software plugins. The Macs will receive much of their management directly from the domain controller hosting the Active Directory service, but it must “translate” the processes into commands that OS X will understand. Even then, it does introduce another variable when troubleshooting. And let’s be honest, the newly released OS X Server 3.0, which is only $20 in the Mac App Store, is a full-fledged server OS that’s as simplified and easy to use as OS X.