[10.6 Snow Leopard] User können sich nicht bei Intranet-Wiki, Blog etc. anmelden/einloggen

[Kiesewetter78]

Hallo zusammen,

über die Suchfunktion bin ich nicht fündig geworden, daher schildere ich hier unser Problem.

Wir würden gerne in unserem Büro ein Intranet-Wiki einrichten. Wir haben hier einen Mac Mini auf dem OSX Server 10.6.3 werkelt. Dieser läuft seit längerer Zeit ohne Probleme als File- und Filemaker-Server und sowohl Mac- als auch Windows-User haben problemlos Zugriff auf diese Dienste mit ihren Zugangsdaten.

Nun habe ich nach Apple-Anleitung imho alles Notwendige aktiviert und eingerichet für den Betrieb des Wikis und die Startseite ist auch erreichbar und zeigt, wie gewünscht, nur "My Page" und "Wiki" an. Wenn man nun auf "Wiki" klickt und sich im Anmeldefenster mit den bisher verwendeten Zugangsdaten anmelden will, schüttelt sich das Fenster, was ja eigentlich darauf hinweist, dass entweder Benutzername und/oder Passwort falsch wäre, was aber nicht der Fall ist.

- Wiki ist über alle Clients per Browser erreichbar, nur anmelden geht eben nicht
- Benutzergruppe für Wiki ist im selbigen eingetragen
- Kennwort-Authentifizierung ist auf "Open Directory" eingestellt bei allen Usern

Das Log sagt folgendes zu den Login-Versuchen

AlleMeldungen.log:
loginwindow[73] in pam_sm_authenticate(): Failed to determine Kerberos principal name

ApplePassword.Server.log
AUTH: {0x48a4426f4b8c50fd0000000d0000000d, *Benutzername*} requested mechanism WEBDAV-DIGEST is not available.

wikid.error.log
2010-04-08 15:57:21+0200 [-] no groups
2010-04-08 15:59:29+0200 [HTTPChannel,1,127.0.0.1] 'opendirectory.authenticateUserDigest(Fa lse) nodename=\'/LDAPv3/127.0.0.1\', usernameStr=\'*Benutzername*\', challenge=\'Digest nonce="*zensiert*",realm="Mac OS X Server Web Services",qop="auth-conf",cipher="rc4",maxbuf="65536",algori thm="md5-sess",digest-uri="http://RPC2"\', response=\'username="*Benutzername*",rea lm="Mac OS X Server Web Services",algorithm="md5-sess",nonce="*zensiert*",cnonce="super-secret",nc="00000001",qop="auth-conf",cipher="rc4",maxbuf="65536",digest-uri="http://RPC2",response="*zensiert*"\', method=\'POST\''
2010-04-08 15:59:29+0200 [HTTPChannel,1,127.0.0.1] Unhandled Error
Traceback (most recent call last):
Failure: twisted.cred.error.UnauthorizedLogin: Bad username or password: *Benutzername*

2010-04-08 15:59:29+0200 [HTTPChannel,1,127.0.0.1] 127.0.0.1 - - [08/Apr/2010:13:59:28 +0000] "POST / HTTP/1.1" 200 906 "http://172.16.0.40/groups/" "Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3"
2010-04-08 15:59:29+0200 [HTTPChannel,1,127.0.0.1] 127.0.0.1 - - [08/Apr/2010:13:59:28 +0000] "POST / HTTP/1.1" 200 906 "http://172.16.0.40/groups/" "Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3"
und

Ich habe auf der Apple-Website noch dies hier gefunden, aber da bei uns bereits 10.6.3 drauf ist, kommt es ja nicht mehr in Frage:

http://support.apple.com/kb/TS1619

Für Lösungsvorschläge, Ideen etc. wäre ich sehr dankbar.

Cheers
K.

 

[stk]

Für mehr Infos zur Konfiguration wiederum wäre ich dankbar:

läuft der OD? Samt Kerberos? Basisdienste wie DHCP, DNS und NTP?

Gruß Stefan

 

[Kiesewetter78]

Hallo Stefan,

also OD läuft. Kerberos nutzen wir hier nicht. DHCP und DNS wird von einem Router übernommen, daher sind diese Dienste nicht auf dem Mac-Server aktiv. Was ist NTP? Konnte es in der Dienste-Übersicht nicht finden. Oder meinst du FTP? Das ist ebenfalls deaktiviert.

Danke & Grüße
Markus

 

[stk]

ob ihr Kerberos nutzt oder nicht beantwortet noch nicht meine Frage ob er (korrekt) läuft. Das euer Router DNS-Server ist bezweifele ich ganz stark!

 

[Kiesewetter78]

Hallo Stefan,

entschuldige, ich bin noch nicht wirklich fit in Server-Angelegenheiten und dachte eigentlich, dass Mac-Server recht einfach zu verwalten sind. Ein Trugschluss =).

Ich bin deiner Frage im Server-Admin gefolgt und ja, der Kerberos-Dienst ist aktiviert. In diesem Bereich bin ich auch über Einstellungen->Richtlinien->Identifizierung auf "Rückführbare Identifizierungsmethoden" gestoßen, wo der Punkt "WebDAV-Digest (Webdienst-Clients)" aufgeführt ist. Da dies Bestandteil der Fehlermeldungen in den Logs war, habe ich hier mal ein Häkchen gemacht und siehe da, nun können sich die User beim Wiki anmelden.

Ich frage mich allerdings, ob dies so richtig oder nur ein Workaround ist, da bei der Option der Hinweis steht:

"Diese Methoden speichern Kennwörter so, dass Angreifer sie entschlüsseln könnten, sofern sie direkten Zugriff auf die Kennwortdatenbank des Server erlangen."

Ist das problematisch? Klingt jedenfalls so.

Grüße
Markus

 

[stk]

Moin,

jein - es ist eine AuthMethode, aber eben eine - verglichen mit dem Kerberos - unsicherere. Der Kerberos dürfte deshalb Fehler werfen, weil er einen FQDN intern hat, was wiederum einen internen DNS (und eben auch einen DHCP der den an die Clients ausliefert) voraussetzt. Kerberos via Bonjour ist einfach nicht.

Und ja: das schaut wie Mac OS X, ist aber Server und damit genauso schwer oder einfach zu verwalten wie jeder andere *nix-Server auch, es schaut nur etwas hübscher aus.

Gruß Stefan

 

[Kiesewetter78]

Ok, das habe ich so halbwegs verstanden. Habe in einem anderen Forum einen Buchtipp erhalten: "Mac OS X Server 10.6 - Die Kommunikationszentrale für Mac, Windows, Linux und iPhone". Das werde ich mir bei mal genauer anschauen.

Vielen Dank nochmal für deine Hinweise.

Grüße
Markus

 

[stk]

"Mac OS X Server 10.6 - Die Kommunikationszentrale für Mac, Windows, Linux und iPhone".

von André Aulich - immer eine Empfehlung wert. Ebenso seine restlichen Bücher und erst recht seine Seminare!