Ingo: Ja, ich bin jetzt hier auf der IT4Science in Göttingen. Bei mir ist Björn Jacke
Ingo: von Cernet. Hallo Björn.
Björn: Hallo Ingo.
Ingo: Ja, was ist Cernet? Was macht Cernet?
Björn: Ja, was macht Cernet? Cernet macht verschiedene Sachen.
Björn: IT, Security, Graffel, Abteilung, wo ich nicht tätig bin.
Björn: Also die Abteilung, wo ich tätig bin, wo ich am besten sagen kann,
Björn: was wir machen. Das ist Samba und ja, wir machen Samba Support,
Björn: Consulting, Entwicklung für Kunden, die da uns mit Entwicklungsjobs beauftragen.
Ingo: Okay, du hast jetzt Samba erzählt. Vielleicht ist nicht jedem klar,
Ingo: was Samba überhaupt ist. Vielleicht hat man es mal gehört.
Ingo: Manche denken, vielleicht ist es auch ein Tanz eher, aber wir sind ja hier ein
Ingo: IT-Podcast. Also vielleicht kannst du mal kurz in zwei, drei Sätze erzählen, was Samba macht.
Björn: Ja, also historisch hat Samba ja angefangen als einfacher Fileserver.
Björn: Dann kam später noch Domain-Controller-Funktionalität so auf NT4-Basis dazu
Björn: und seit einigen Jahren, also inzwischen schon seit knapp zehn Jahren glaube ich,
Björn: kann Samba auch Active Directory Domain-Controller sein und kann damit Windows
Björn: Active Directory Domain-Controller eigentlich komplett ersetzen.
Ingo: Und was ist dein Job bei Samba? Was machst du da?
Björn: Mein Job hier bei Sernet ist, ich mache Support und Consulting hauptsächlich
Björn: und manchmal kleinere Entwicklungsjobs, aber die Entwicklung überlasse ich lieber
Björn: den Hardcore-Entwicklern bei uns.
Ingo: Aber die habt ihr auch bei euch?
Björn: Die haben wir auch bei uns, genau.
Ingo: Genau, also du gehst dann einfach, weiß ich nicht, eine Tür weiter sozusagen
Ingo: und sagst, dass ein Kunde gerade dieses Problem hat und dann könnt ihr es zusammen fixen.
Björn: Genau, genau.
Ingo: Okay, du hast hier auch einen Vortrag gemacht und da ging es darum,
Ingo: dass man Samba benutzen kann als Backup.
Ingo: Also stell uns vielleicht mal vor, ich habe eine Windows-Umgebung,
Ingo: ich habe so ein AD und ja, wenn jetzt ein Hacker kommt und irgendwie alles kaputt macht,
Ingo: habe ich Pech gehabt und da hast du eine Lösung für.
Björn: Ja, also Samba hat da ein schönes Kommando,
Björn: ein schönes Utility eingebaut, mit dem man von laufenden Active Directory Domain-Controllern
Björn: die kompletten Daten abziehen kann.
Björn: Früher nannte man das Vampiren bei Samba.
Björn: Ja, und das kann man halt machen mit einem anderen Samba-Server oder auch mit
Björn: einem anderen Windows-Server.
Björn: Und da kann man dann innerhalb von Sekunden oder wenn es eine sehr große Domäne
Björn: ist, kann es auch mal ein paar Minuten dauern,
Björn: sämtliche AD-Daten abziehen und in einem kompakten TAR-Archiv sichern und bei
Björn: Bedarf dann auch wiederherstellen.
Ingo: Das heißt, da sind dann alle Leute, die ich sozusagen in meinem AD habe,
Ingo: also ich meine AD ist ja auch irgendwie ein Mix aus LDAP und Kerberos und solchen
Ingo: Geschichten, also das, was Microsoft sich da ausgedacht hat.
Ingo: Wenn ich so ein Backup mache, habe ich dann zumindest alle Rechte,
Ingo: alle Leute mit ihren Passwörtern habe ich dann gespeichert.
Björn: Genau, richtig. Also da ist wirklich eins zu eins der komplette Content des Active Directory drin.
Björn: Also es ist keine 1 zu 1 Kopie der Festplatte, aber eine 1 zu 1 Kopie des Active
Björn: Directory tatsächlich.
Björn: Und der Vorgang, der da im Hintergrund passiert, ist eigentlich genau das gleiche
Björn: wie das, was passiert, wenn man jetzt einen weiteren Domain-Controller joinen
Björn: würde und der sich die Daten repliziert.
Björn: Also das Backup ist ein Replikat der originalen Datenbank.
Ingo: Was brauche ich, um das zu machen? Was brauche ich dazu?
Björn: Eine ganz normale Linux-Installation und ein mehr oder weniger aktuelles Samba. Und das war's.
Ingo: Das heißt, diese Tools, die ihr da braucht, also ich glaube,
Ingo: es heißt Samba-Tool, was du
Ingo: da vorgestellt hast, das kommt mit einer Samba-Installation einfach mit.
Björn: Genau, richtig. Das ist das Standard-Verwaltungstool von Samba 4,
Björn: vom Active Directory-Part von Samba.
Björn: Und ja, das hat verschiedene Untertools, Unterkommandos. und das eine davon
Björn: ist halt das Backup unter Kommando und,
Björn: ist das einfach möglich. Also wenn man sich die Kommandozeile einmal zurechtgelegt
Björn: hat, dann ist es wirklich eine Sache von Sekunden.
Ingo: Genau, es ist ein One-Zeiler. Also eine Zeile, Enter, und dann gucke ich zu.
Ingo: Und wie du gesagt hast, nach ein paar Minuten oder Sekunden ist es fertig.
Björn: Genau, genau.
Ingo: Und ich könnte das dann regelmäßig machen, ne? Also ich könnte sagen,
Ingo: ich weiß nicht, ich mache das einmal die Nacht dann, um dann jede Nacht ein
Ingo: Backup von meinem AD zu haben.
Björn: Ja, genau. Genau, also wir bei Sernet haben zum Beispiel auch einen Kunden,
Björn: der vorbeugen will für den Fall, dass er irgendwie mal gehackt werden könnte,
Björn: dass die halt ein tagesaktuelles Backup haben, was sie dann aber auch relativ
Björn: einfach wieder in einer sicheren Umgebung wieder hochziehen können.
Björn: Und der macht das halt einfach per Con-Job einmal in der Nacht,
Björn: aber so einfach und so schnell wie das geht, könnte man das sogar auch stündlich
Björn: machen oder noch kürzer.
Ingo: Das hängt wahrscheinlich auch ein bisschen darauf ab, wie groß meine Domäne ist.
Björn: Ja, ja. Wobei selbst bei großen Domänen dauert es wirklich nur ein paar Minuten, das zu machen.
Ingo: Okay, das heißt also, ich kann jede Nacht oder was weiß ich,
Ingo: stündlich einen Backup machen.
Ingo: Das ist fein, dann habe ich das. Wie gesagt, unser Beispiel war ja so ein bisschen,
Ingo: ah, okay, ich werde gehackt und das, was Hacker so als allererstes machen,
Ingo: wenn sie in so einer Unternehmensumgebung irgendwie eindringen,
Ingo: ist zu versuchen, zum AD zu kommen und das zu verschlüsseln und gegen sowas
Ingo: wäre ich dann abgesichert.
Björn: Genau, richtig. Also man hat ja dann die Möglichkeit,
Björn: recht viele Backups zu haben der letzten Tage und dann hätte man dann auch die Möglichkeit,
Björn: wenn man die Änderungen der letzten Tage vergleicht, zu sehen,
Björn: ob da jetzt schon irgendwelche Modifikationen gemacht worden sind von den Hackern
Björn: und könnte da dann ein bisschen Forensik treiben.
Björn: Und wenn man halt ein Backup hat vom Zeitpunkt, bevor man gehackt worden ist,
Björn: dann kann man das natürlich dann auch mit dem Samba-Tool-Kommando auch entsprechend
Björn: wiederherstellen und sich dann...
Björn: Wieder eine lauffähige Umgebung mit deinem Active Directory da wieder hochziehen.
Ingo: Okay, also ich habe dieses Backup und kann daraus dann einfach wieder einen neuen AD starten.
Björn: Genau, richtig. Und das AD, was du dann aus dem Backup, also mit dem Restore,
Björn: wieder hochfährst, Und das kann,
Björn: selbst wenn es vorher ein Microsoft Active Directory gewesen ist,
Björn: dann ja auch ein Samba Active Directory sein.
Björn: Das hatte ich in dem Workshop auch gezeigt.
Björn: Also wir hatten vorher ein Active Directory auf Windows Basis,
Björn: was auch Exchange Daten beinhaltete.
Björn: Und das haben wir mit dem Samba-Tool-Backup-Kommando gesichert,
Björn: haben dann den Domain-Controller runtergefahren, also jetzt mal so getan,
Björn: als wäre er kaputt gegangen und haben dann das Backup auf Samba-Basis wieder hergestellt,
Björn: an den Start gebracht.
Björn: Und ja, alle Clients, die vorher damit connected waren, gejoined waren,
Björn: Benutzer, die sich damit anmelden konnten, konnten das anschließend mit dem
Björn: Samba Active Directory.
Ingo: Das heißt, für den Benutzer ist es völlig transparent. Der merkt gar nicht,
Ingo: ob es dann ein Windows AD ist oder ein Samba AD.
Björn: Richtig.
Ingo: Dem kann das völlig egal sein, er lockt sich ein, es geht alles. und.
Björn: Richtig, richtig. Also im Prinzip hat man damit auch dann das Tool an der Hand,
Björn: innerhalb von Minuten wirklich ein Windows Active Directory durch ein Samba
Björn: Active Directory zu ersetzen. Das ist eigentlich eine sehr schicke Sache.
Ingo: Wäre das jetzt auch einen wirklichen Migrationsweg, den ihr so unterstützt?
Björn: Auf jeden Fall. Auf jeden Fall, ja.
Ingo: Also würdest du sagen, okay, wenn ich wirklich so ein AD übernehmen will,
Ingo: dann ist das eine Möglichkeit.
Ingo: Ich glaube, früher hat man Man hat irgendwie einen Samba-Member-Server gejoint
Ingo: und hat den dann irgendwie abgekoppelt und wieder zu einem Hauptserver gemacht oder irgend sowas.
Björn: Ja, ja, also mit Microsoft-Mitteln ist es auf jeden Fall ein bisschen komplizierter und zeitaufwendiger.
Ingo: Okay, also ist das so die einfachste Lösung?
Björn: Richtig.
Ingo: Stell ich mir vor, ich habe, was weiß ich, ich habe einen AD und muss sowieso
Ingo: vielleicht wechseln auf eine neue Windows-Version.
Ingo: Da könnte ich jetzt mit dem Samba-Tool erst ein Backup machen,
Ingo: dann den auf den Samba-Server wechseln sozusagen und dann kann ich meinen alten
Ingo: Windows-Server abschalten.
Björn: Genau, richtig. Und damit kann man auch letztlich dann Lizenzkosten sparen,
Björn: weil der Samba Active Directory Controller...
Björn: Halt Open Source ist frei.
Ingo: Genau, wir hatten hier auch ganz oft das Stichwort digitale Souveränität.
Ingo: Also wenn man eben nicht abhängig sein will von einem Großen,
Ingo: der dann eben auch die Preise diktieren kann, dann ist das natürlich eine schöne Sache.
Ingo: Und eben insbesondere, wenn du sagst, naja, okay, es geht wirklich so einfach.
Ingo: Also ich saß im Workshop und war ein bisschen baff und hab gedacht,
Ingo: okay, so schnell geht das.
Ingo: Das war schon ein bisschen cool.
Ingo: Seit wann gibt es denn diese Methode? Also das ist, glaube ich,
Ingo: auch noch nicht so lange, oder?
Björn: Ich glaube so zwei, drei Jahre.
Ingo: Wenn ich jetzt ein Windows-Admin wäre, bin ich Gott sei Dank nicht,
Ingo: aber wenn ich einer wäre, muss ich mich dann irgendwie umstellen,
Ingo: wenn ich so einen Samba-Server administriere oder funktioniert das genauso wie vorher?
Björn: Also Windows-Admins müssen sich eigentlich nicht groß umstellen,
Björn: weil ein Samba-Active-Directory läuft ja auf einer Linux-Maschine zwar,
Björn: da muss aber auf der Linux-Maschine nicht viel administriert werden.
Björn: Die Administration des Active Directory selbst, Benutzer und Computer ändern,
Björn: Group Policies editieren, whatever name it,
Björn: das wird alles unterstützt über die ganz normalen ersatz-Tools,
Björn: über die Admin-Tools, die die Windows-Admin sowieso kennen.
Björn: Und ob jetzt der Server selber, auf dem das Ganze dann letztlich läuft,
Björn: ein Linux mit Samba ist oder ob das ein Microsoft-AD-Server ist,
Björn: das ist dem Tool egal und der Windows-Admin, der AD-Admin bemerkt es im Idealfall überhaupt gar nicht.
Ingo: Wenn ich jetzt aber gerne noch irgendwelche Web-Tools hätte,
Ingo: irgendwelche Web-UIs, um irgendwas zu konfigurieren, hast du da Tipps? Gibt es sowas?
Ingo: Also wenn ich wirklich meine Benutzer über irgendeine Web-Applikation gerne verwalten würde?
Björn: Ja, da gibt es welche.
Ingo: Okay, fallen dir gerade nicht ein.
Björn: Ja, ich, per PL-Lab-Admin gibt es da, glaube ich, der auch mit AD zusammenarbeitet inzwischen.
Björn: Andere fallen mir jetzt gerade tatsächlich leider nicht ein.
Ingo: Hätte ja sein können, genau. Also kommt jetzt aber eher aus meiner Ecke.
Ingo: Ich bin kein Windows-Admin, deswegen kenne ich jetzt diese Windows-Tools nicht.
Ingo: Und mehr wäre halt dann irgendwie eine Web-Oberfläche, wo ich irgendwie Benutzer
Ingo: anlegen kann, irgendwie geschickt.
Ingo: Das Einzige, was mir dazu einfällt, es gibt von verschiedenen Firmen wie Univention,
Ingo: gibt es so einen Univention Corporate Server, der hat auf jeden Fall eine Web-Oberfläche,
Ingo: wo ich dann auch LDAP und AD-Objekte und sowas dann bearbeiten könnte.
Ingo: Würdest du sowas empfehlen, dass man sich sowas auch mal anguckt oder kommt
Ingo: sowas bei euch in der Praxis eher selten vor?
Björn: Also der Univention Corporate Server ist ein relativ umfangreiches,
Björn: komplexes Produkt, wo unter anderem auch Samba drin steckt.
Björn: Die haben auch noch einen LDAP-Server, wo sie dann intern so Synchronisierungen machen.
Björn: Das ist für viele Leute vielleicht interessant.
Björn: Meim Geschmack entspricht es nicht so ganz. Okay.
Ingo: Gut, nee, ist ja fair, eine Lösung. Du hattest auch zumindest kurz über Distributionen
Ingo: geredet und wir hatten dann auch eine kleine Diskussion in deinem Workshop.
Ingo: Du würdest sagen, lass das mal mit einem Debian machen, weil du gerne Debian
Ingo: magst oder weil es einfach schön schnell aufzusetzen ist?
Björn: Ja, also ich bin tatsächlich Debian-Fan, weil es tatsächlich schlank ist,
Björn: weil es einfach eine sehr gute Update-Barkeit hat.
Björn: Sowohl bei den täglichen Updates, die man einspielt, läuft das eigentlich immer problemlos.
Björn: Und selbst wenn man ein Distributions-Update macht von Debian 11 auf Debian
Björn: 12 oder whatever, das geht auch alles sehr schnell und problemlos.
Björn: Das ist bei anderen Distributionen oft nicht ganz so smooth, sag ich mal.
Ingo: Aber im Endeffekt läuft es auf jedem Linux oder auf jedem BSD wahrscheinlich
Ingo: auch und ihr seid da völlig frei, was ihr nehmen wollt.
Ingo: Und wenn man Hilfe braucht, kann man sich wahrscheinlich an Xanad wenden.
Ingo: Ihr seid so, also wenn man hier durch Göttingen fährt, sieht man am Bahnhof auch großes Logo.
Ingo: Also ihr seid eine deutsche Firma und ihr kümmert euch damit um die Entwicklung.
Ingo: Und du hattest ja auch gesagt, ihr bietet Support an. Also wenn jetzt jemand
Ingo: so einen Umstieg machen würde wollen und da Hilfe braucht, dann kann er auch mal bei euch anklopfen.
Björn: Definitiv. Also bei uns sind drei der Core-Entwickler von Samba beschäftigt
Björn: auch und wir haben da Expertisen auf Source-Code-Level eigentlich in allen Bereichen,
Björn: die Samba jetzt angehen.
Björn: Also ob File-Server oder Active Directory-Server, da ist man bei Xernit auf
Björn: jeden Fall einer guten Adresse.
Ingo: Was ich auch ganz spannend fand, selbst in den Exchange, also in Microsoft Exchange
Ingo: kann ich mittlerweile mit einer Samba-AD-Domäne betreiben.
Ingo: Also auch da muss man mittlerweile keine Angst mehr haben, dass dann irgendwas
Ingo: nicht mehr funktionieren sollte.
Ingo: Wenn ich das jetzt nicht in einem Schritt machen will, ja, ich kann natürlich
Ingo: auch sagen, okay, ich schaffe gleich alles ab von Microsoft.
Ingo: Das ist aber ein bisschen Wunschdenken. Aber ich sage jetzt,
Ingo: ich will vielleicht in AD wechseln, ich habe aber noch eine Exchange,
Ingo: da muss ich mir auch keinen Kopf machen.
Björn: Das geht auch. Ja, ja, also ich will ungern Werbung für Exchange machen.
Björn: Im Gegenteil, aber wer Exchange hat oder es einsetzen muss, der kann es auch
Björn: mit Samba tatsächlich inzwischen machen.
Björn: Da gab es bis vor einem Jahr oder so immer noch Kleinigkeiten,
Björn: woran es gescheitert ist.
Björn: Aber wir haben uns da in Köln mal vor einigen Monaten getroffen und so ein...
Björn: Kleinen Workshop intern gemacht bei uns und haben die letzten Hürden da für
Björn: den Exchange-Support quasi aus dem Weg geräumt. Inzwischen geht das auch, ja.
Ingo: Und ansonsten sind da ja auch Kontakte zu Microsoft. Ich habe auch irgendwann
Ingo: mal gelesen, dass Microsoft mittlerweile Bugs bei euch gefixt hat und es gibt
Ingo: auch eine Konferenz hier in Göttingen, glaube ich, einmal im Jahr,
Ingo: wo auch Leute von Microsoft dabei sind.
Ingo: Also es ist jetzt nicht so ein großes Hassverhältnis, sondern man arbeitet da auch zusammen.
Björn: Ja, ja, ja, ja. Also das Verhältnis zwischen den Microsoft-Entwicklern und den
Björn: Samba-Entwicklern, das war eigentlich schon immer recht gut.
Björn: Auf anderen Ebenen war mit Microsoft das halt nicht so schön,
Björn: aber die Samba-Community und die Microsoft-Community auf der Entwicklerseite,
Björn: die arbeiten wirklich gut zusammen.
Björn: Und es gibt da auch Schnittstellen, die eingerichtet worden sind,
Björn: wenn da Fragen sind zu Standards,
Björn: wenn irgendwie Dokumentation nicht eindeutig ist oder mangelhaft ist,
Björn: dann können die Samba-Leute oder auch andere Leute, also ist jetzt nicht nur auf Samba beschränkt,
Björn: bei Microsoft fragen, wie das und das jetzt hier funktioniert und dann wird
Björn: da die Dokumentation dann von denen nachgepflegt.
Björn: Das ist noch so eine Nachwirkung von diesem Antitrust-Verfahren von der EU vor etlichen Jahren.
Ingo: Okay, also sind auch da die Verbindungen besser geworden und man redet auf jeden Fall.
Björn: Die Microsoft-Entwickler, die kommen auch zu der Samba XP-Konferenz,
Björn: die du gerade eben schon angesprochen hattest.
Björn: Kann ich gerade auch nochmal Werbung für machen, kommendes Jahr in Göttingen, Anfang April wieder.
Ingo: Okay, da bist du dann auch?
Björn: Schönes Event, ja. Also da kommen auch die Samba-Entwickler aus der ganzen Welt,
Björn: alle hingereist und interessante Vorträge.
Björn: Nicht nur für Entwickler, sondern auch für User.
Ingo: Anwender. Okay, da diskutiert er dann auch, wie der Fortschritt jetzt des Projekts
Ingo: ist oder es ist auch einfach mal nett zusammenzukommen und sich mal wieder zu
Ingo: sehen, wenn man sich sonst immer nur online sieht.
Björn: Genau, genau, genau.
Ingo: Ja, okay. Ja, vielen Dank, Björn, dass du uns mal erklärt hast,
Ingo: wie einfach das mittlerweile sein kann,
Ingo: von einem Windows AD Server zu einem Samba Server zu wechseln und selbst wenn
Ingo: man nicht wechseln will, dann zumindest ein Backup zu haben,
Ingo: was ja auch schon mal im Falle des Falles Gold wert sein kann. Vielen Dank.
Björn: Ja, danke fürs Interview.