Na świecie jest mnóstwo kretynów i wszyscy pracują w helpdesku…

Po ostatnich aktualizacjach przestał działać jeden site na Sharepoint, klient dostawał:
Internet Explorer cannot display the webpage
i na tym się kończyło, żadnego wpisu do logów, HTTPERR puste, słowem nic.
Jedyny niepokojący wpis to event 36870
A fatal error occurred when attempting to access the SSL server credential private key. The error code returned from the cryptographic module is 0×8009030d. The internal error state is 10001.

Po zmianie certyfikatu na inny wszystko działało (oczywiście poza tym, że certyfikat był zły i przeglądarce się to nie podobało) a po wróceniu na właściwy dalej było źle.
Przydatny okazał się artykuł: http://support.microsoft.com/kb/278381 i nadanie uprawnień, które odebrały aktualizacje :)

Pojawiło się coś co ma załagodzić żal po stracie papierowych certyfikatów. Jak na razie wygląda to cienko i nie można wysłać własnego avatara z Maca, niezależnie od tego w jakim formacie jest grafika dostaję komunikat, że nie jest to właściwy format ;).
Tak mają wyglądać wirtualne wizytówki

…też już mam ;)

Edit:

Jeszcze trochę pomarudzę:
-Avatary: jak dla mnie jakaś porażka. Podanie linku do Avatara wstawi go na wizytówce jako zewnętrzny obrazek. Żadnego skalowania, rozmiar jest zmieniony za pomocą tagów w HTML, jeśli obrazek nie jest wystawiony po https z zaufanym certyfikatem to przeglądarka będzie krzyczała o naruszeniu bezpieczeństwa.
-Logowanie: Windows Live ID, które jest normą w świecie M$. Wszystko jest super tylko czemu jak przyjdziemy z Live ID innym niż to do którego jest podpięte MCP to nie możemy się przelogować. Czy tak trudno dodać przycisk Sign Out na stronie z błędem?
-Wygląd wizytówek: czemu nie możemy wysłać własnej grafiki, która pokaże się po lewej stronie ani wybrać kolorów tekstu?
-Transcript: czemu skoro M$ dysponuje naszymi transkryptami i bardzo chce nam je dawać w XPS to tutaj oczekuję, że będziemy robić upload transkryptu w PDF?

Czy ktoś mi może powiedzieć czemu firma produkująca tak nieprzewidywalne produkty utrzymuje się jeszcze na rynku i czy w ogóle testują pakiety przed wypuszczeniem na rynek?

Jakiś czas temu walczyłem z tym, że część produktów z pakietu Adobe CS 2 uruchamiała się a inne zupełnie nie chciały. Przesiedziałem parę dni z filemonitorem i regmonitorem tylko po to aby później dowiedzieć się, że Adobe Encore nie działa jak zmieni się liczbę ostatnio otwartych dokumentów w Menu Start :o a After Effects działa bardzo niestabilnie kiedy na komputerze jest ustawiony Active Desktop.

Dzisiaj Adobe znowu mnie niemiło zaskoczyło mieszając mi w routingu… ale po kolei.
Okazało się, że ze swojego komputera nie mogę dostać się poprzez tunel do drugiego site. Normalnie powinno działać to tak: wysyłam pakiet do default gw (switch 3 warstwy), ten przesyła pakiet do serwera VPN i dalej dane idą po tunelu IPSEC. Jednocześnie switch wysyła mi ICMP redirect przez co aktualizuje moją tablicę routingu tak abym pakiety do Site B kierował prosto do serwera VPN i nie obciążał switcha (wszystko jest w jednej sieci IP).
Kawałek sieci, który nas interesuje jest pokazany na obrazku poniżej.

Po chwili zabawy Wireshark okazało się, że pakiety wychodzące poza moją sieć zamiast być kierowane do default gateway są kierowane bezpośrednio na interfejs. Lekko się zdziwiłem jak zobaczyłem ARP Who has 89.161.235.41 wysyłane do sieci 10.0.0.0/8 a switch, jako że ma włączone ARP Proxy, odpowiadał swoim MAC i wszystko działało. Problem pojawiał się przy VPN bo tam nie ma APR Proxy i gdyby nie to pewnie do tej pory żył bym w błogiej nieświadomości, ze coś jest u mnie nie tak z tablicą routingu.

Dalsze poszukiwania pokazały mi coś co wcześniej przeoczyłem a mianowicie:

Z:\>route print
===========================================================================
Interface List
11…00 21 9b 7b 15 66 ……Intel(R) 82566DM-2 Gigabit Network Connection
  1………………………Software Loopback Interface 1
12…00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter
===========================================================================

IPv4 Route Table
===========================================================================
Active Routes:
Network Destination        Netmask          Gateway       Interface  Metric 
            0.0.0.0        0.0.0.0          0.0.0.0       10.2.2.25      20
            0.0.0.0        0.0.0.0         10.0.1.2       10.2.2.25      20 
           10.0.0.0      255.0.0.0          On-link      10.2.2.25     276

Do tego:

Z:\>ipconfig

Początkowo pomyślałem że jest coś nie tak z konfiguracją DHCP i próbowałem zmienić statycznie default gateway, jednak GUI konfiguracji interfejsu zdawało się mnie ignorować, to samo z poleceniami route i netsh. No ładnie mam wirusa… tylko jak skąd i w ogóle. Jedyne co było pozytywne w tych myślach to plan dokuczania d0m3l0w1, że Forefront coś przepuścił ;-) Ale po bingowaniu okazało się, że problem jest znany i powodowany przez … Adobe CS 3 i klienta Apple Bonjour którego ten instaluje. Zatrzymałem serwis Bonjour, zrestartowałem sieć… kupa dalej nie działa. Dopiero całkowicie pozbycie się tego badziewia rozwiązało mój problem.
Gdyby ktoś również potrzebował się tego pozbyć to trzeba uruchomić

“%PROGRAMFILES%\Bonjour\mDNSResponder.exe” –remove

Zrestartować komputer po czym usunąć katalog %PROGRAMFILES%\Bonjour

Po tych zabiegach znowu panuję nad routingiem na swoim komputerze :-) Z tego co wyczytałem problem dotyczy wszystkich wersji Windows od Vista w górę i nie został usunięty w CS4. Ot taki skomasowany atak Adobe i Apple na Microsoft ;)

Teoretycznie program trzeba kupić ale jest jeden mały myk, który pozwala go ściągnąć za darmo (i nie mam tu na myśli P2P :) ). Mianowicie program jest składnikiem pakietu SharePoint Designer 2007, który od 1 kwietnia można ściągać za darmo. Wystarczy wejść na stronę http://www.microsoft.com/downloads/details.aspx?familyid=baa3ad86-bfc1-4bd4-9812-d9e710d44f42 , zarejestrować się, ściągnąc i cieszyć się aplikacją :)

Edit:

Sądząć po komentarzach, mam farta . Poniżej screenshot na potwierdzenie, że u mnie działa. Zarówno wersja EN jak i PL chce się instalować z OneNote.

Szukając narzędzia to migracji adm do admx, znalazłem ADMX Migrator, który potrafi znacznie więcej niż wskazuje nazwa.

+przyjemny graficzny edytor .admx
+wspracie dla .adml
-o ironio, źle importuje  .adm

W trakcie przenosin pomiędzy dwoma Windows Server 2008 musiałem przenieść zadania schedulera. Maszyny jota w jotę identyczne, zadania przeniesione przez “Import task…” wszystko się udało, zadania się uruchamiają kończą bez błędu. Jedyny problem jest taki, że skrypty PowerShell… nie działają, tzn kończą się poprawnie ale nie wykonują tego co mają zrobić.

Po dłuższym poszukiwaniu okazało się, że ustawienie “run with highest privileges” nie przenosi się w trakcie importu co zaowocowało tym, że z PowerShell:

1. działały zapytanie do SQL Server
2. można było czytać i pisać w AD
3. nie można było nawiązać sesji Remote PowerShell ( New-PSSession )

Zaznaczyłem tick przy “run with highest privileges” i wszystko działa.

Po raz kolejny twierdzę, że UAC w Windows Server 2oo8 i Vista nie działa tak jak bym tego oczekiwał :-/, co nie oznacza, że popieram wyłączanie.

Jako, że nie da się backupować bezpośrednio repozytorii SVN będących on-line, trzeba było napisać prosty skrypt, który najpierw zrobi ich hotcopy a dopiero potem backup na zadaną lokalizację sieciową. Zamiast robienia backup set i używania ntbackup można spakować cały folder docelowy i przegrać go zwykłym xcopy, w sumie wyjdzie na to samo a pewnie będzie szybciej i prościej do odzyskiwania.

Środowisko:
Windows Server 2003
Apache 2.2 z modułem SVN


' SVNbackup.vbs
' Backups all SVN repositories from selected directory + Apache config
' Author Kuba Siatkowski http://w-files.pl/author/kfaz
' ver 1.0.1


optionexplicit Const FOR_READING = 1 Dim strReposFolder, colReposFolders, strBackupFolder, colBackupFolders, strBackupLocation, strApacheLocDim objFSO,WshShell, objReposFolder, objBackupFolder, objSubFolder, objSubBackupFolder, strBackupset, fileBackupset

strReposFolder = "C:\RepositorySVN"                                 ' place where all SVN repos are
strBackupFolder = "C:\backup\"                                      ' temp folder for local backups
strBackupLocation = "\\backupserver\backupshare\backupname.bkf"     ' place for backups
strApacheLoc = “C:\Apache\” ‘apache directory (SVN configs, plug-ins etc)
strBackupset = strBackupFolder&“backupset.bks”

Set objFSO = CreateObject("Scripting.FileSystemObject")
Set WshShell = WScript.CreateObject("WScript.Shell")
Set objReposFolder = objFSO.GetFolder(strReposFolder)
Set colReposFolders = objReposFolder.SubFoldersSet
objBackupFolder = objFSO.GetFolder(strBackupFolder)
Set colBackupFolders = objBackupFolder.SubFoldersSet
fileBackupset = objFSO.CreateTextFile(strBackupset, True)

'delete old backups from temp folder
For Each objSubBackupFolder In colBackupFolders

objSubBackupFolder.Delete True

Next

‘hotcopy all repos from reposdir and create backupset
For Each objSubFolder In colReposFolders

WshShell.run "svnadmin.exe hotcopy "&strReposFolder&"\"&objSubFolder.Name&" "&strBackupFolder&objSubFolder.Name, 1, true
fileBackupset.WriteLine ""&strBackupFolder&objSubFolder.Name&"\"

Next

'add Apache to backupset
fileBackupset.WriteLine ""&strApacheLoc fileBackupset.close ‘do the backup
WshShell.run "ntbackup.exe backup @"&strBackupset& " /n ""SVN Repos “&Now&""" /v:yes /r:no /rs:no /hc:off /m normal /j ""SvnBackup""/l:s /f "&strBackupLocation, , true

Po zabawie z grupami okazało się, że niektórzy użytkownicy nie mogą wysyłać poczty przez linuxowy serwer SMTP.

W logach AD wszystko było w porządku, użytkownicy się uwierzytelniani i generalnie luz malina, do tego IMAP i POP3 działały bez problemu. Za to w logach Linux pojawiało się AUTH_FAIL i nie bardzo było wiadomo o co chodzi. Debug na Linux powiedział, że datagram Kerberos jest za długi a dokładniej serwer Kerberos odpowiadał komunikatem KRB_ERR_RESPONSE_TOO_BIG. Ponoć coś takiego dzieje się jak użytkownik jest w dużej liczbie grup, jednak u nas problem pojawiał się dla niektórych członków pewnej grupy.

Rozwiązanie, którego wyszukanie zajęło Pstrykowi pół dnia:

1. Ustawić KRB5 tak żeby używał tylko TCP co teoretycznie powinno rozwiązać problem.
   W pliku krb5.conf należy wpisać
   udp_preference_limit = 1
   Jednak mimo tego Linux cały czas usiłował przesyłać datagramy UDP zamiast pakietów TCP przez co cały czas Windows odpowiadało KRB_ERR_RESPONSE_TOO_BIG
2. Zwiększyć na Windowsowym serwerze Kerberos maksymalny rozmiar datagramu UDP
   HKLM\System\CurrentControlSet\Services\Kdc
   Dopisać REG_DWORD MaxDatagramReplySize i wpisać mu odpowiednio dużą wartość (my wpisaliśmy 10000 - standardowo jest to 2000)
3. Restart Windows i cieszyć się, że działa

Wada: nie róbcie tego na kiepskich łączach bo Kerberos się zagubi jak mu będą ginąć datagramy. U nas to stoi w wydzielonym VLAN do kerberosa pomiędzy serwerem poczty a kontrolerem domeny więc nie ma tego problemu.

Nie ma linków popierających bo to kompilacja dużej liczby artykułów
BTW na połączeniu Mac OS X - AD problem też występuje

Spojrzałem na reklamę IBM kontra MacBook Air umieszczoną na w2k.pl i przypomniało mi się co kiedyś pokazywało apple Szkoda tylko, że Maci są coraz mniej wyjątkowe i że stoi za nimi coraz więcej marketingu i coraz mniej najlepszego designu Tak, apple schodzi na psy. Gdzie podziało się prawdziwe pionierstwo? Czemu flagowym produktem jest zacofany technologicznie i uzależniony od zakupów w iTunes iPhone?

Tak dla przypomnienia jaką idę zabili z razem z wypuszczeniem Air’a.

Ktoś pamięta to?

A co mamy teraz

Trzeba było znaleźć wszystkich użytkowników, którzy nie logowali się od dłuższego czasu i przenieść ich do innego OU.
Problemy jakie się pojawiły to wartość atrybutu LastLogonTimeStamp, która jest specyficzna (liczba milisekund od epoki) i przenoszenie obiektów w AD. O ile pierwsze było proste do wygooglania o tyle z drugim strasznie ludzie kombinują, piszą miliony linii kodu i generalnie żadne z tych rozwiązań mi się nie podobało. Chwila samodzielnego kombinowania, trochę rzeźby i olśnienie w postaci, że PowerShell to przecież… shell i że działają w nim komendy commandlinowe takie jak np. dsmove

Poniżej skrypt, który znajduje wszystkich w danym OU , którzy nie logowali się od 14 miesięcy i przenosi ich od OU inactive. Minimalne wymagania: domena w trybie “Windows Server 2003”

# script finds all users in specified OU who haven’t logged for last n months
# and moves theirs accounts to another OU
# Author Kuba Siatkowski http://interkreacja.pl/

$howoldallowed = 14;        #maximum time since last logon (months)
$dom ="LDAP://OU=sourceou,DC=yourdomain,DC=com,DC=pl";    #search path
$newparent ="OU=inactive,DC=yourdomain,DC=com,DC=pl";    #destination path for unused accounts

#$Root = New-Object DirectoryServices.DirectoryEntry $strROOT
$Root = New-Object DirectoryServices.DirectoryEntry $Dom
$Searcher = New-Object DirectoryServices.DirectorySearcher
$Searcher.SearchRoot = $root
$searcher.Filter =  “(&(objectClass=User)(!(objectClass=Computer)))“;
$users = $searcher.findAll();
$lastallowed = [DateTime]::Now.AddMonths($howoldallowed * (-1));
foreach ($user in $users)
{
   if (!($user.Properties.lastlogontimestamp -eq $Null)){
     $lastlogon = [DateTime]::FromFileTime([Int64]::Parse($user.Properties.lastlogontimestamp));
     if (($lastlogon -lt $lastallowed)){
        write-host $user.Properties.cn “; “ -NoNewLine;
        write-host $lastlogon “; “ -NoNewLine;
        write-host $user.Properties.distinguishedname;

        dsmove $de.distinguishedName -newparent $newparent
     }
   }
   else {
       write-host $user.Properties.cn “never logged on“;
   }
}

Linuxy potrzebują parametru msSFU30GidNumber żeby widziały grupy z Active Directory. Do tej pory pojedyńcze MsSFUGidy robiliśmy ręcznie z ADSIEdit, jednak kiedy przyszło ponad sto nowych grup to trzeba było to jakoś oskryptować.

Skrypt poniżej:

1. znajduje maksymalny MsSFUGid w domenie
2. wszystkim grupom, które nie mają msSFUGID przypisuje kolejne numery 

Jego wadą jest to, że dodaje Gidy wszystkim grupom ale to można zmienić np. poprzez ustawienie odpowiedniego roota przed drugą pętla.

$Root = New-Object DirectoryServices.DirectoryEntry $strROOT
$Searcher = New-Object DirectoryServices.DirectorySearcher
$Searcher.SearchRoot = $root
$searcher.Filter =  "(&(objectClass=Group))";
$numer = 0;
$gid ;
$groups = $searcher.findAll();
foreach ($group in $groups)
{
   $de = New-Object DirectoryServices.DirectoryEntry $group.Path;
   $gid = [int]$de.msSFU30GidNumber.ToString();
#  write-host $gid ";" -NoNewLine;
#  write-host $de.name;
   if ($numer -lt $gid )
   {
     $numer = $gid;
#    $numer;
   }
}
$numer++;

foreach ($group in $groups)
{
  $de = New-Object DirectoryServices.DirectoryEntry $group.Path;
  $gid = [int]$de.msSFU30GidNumber.ToString();
  if ($gid -eq 0)
  {
    $de.msSFU30GidNumber = $numer;
    $de.SetInfo();
    write-host $numer ";" -NoNewLine;
    write-host $de.name;
    $numer++;
  }
}

Wydaje sie być banalnie proste. Dwa rożne porty albo dwa rożne adresy IP, ja wybrałem drugi scenariusz i natknąłem sie na jeden problem. Mianowicie IIS nawet jak ma skonfigurowany site na jeden adres IP (np. 10.10.10.101 : 80 ) to i tak będzie nasłuchiwał na wszystkich adresach i otworzy sobie 0.0.0.0 : 80 czym skutecznie przyblokuje Apacha działającego na innym IP (powiedzmy 10.10.10.201 : 80 ).

Aby temu zapobiec trzeba przestawić całego IIS żeby słuchał tylko na konkretnych adresach IP (wtedy zapomnijcie o skonfigurowaniu 10.10.10.201 :8080 obsługiwanego przez IIS ). Potrzebne nam będzie do tego narzędzi httpcfg z Support Tools (jesli jeszcze tego nie masz to zainstaluj natychmiast ). A potem:
httpcfg query iplisten powie nam na jakich adresach nasłuchujemy
httpcfg set iplisten -i 10.10.10.101 ustawi nam jeden adres
restartujemy IIS poprzez net stop http, net start http i mamy pozdrowiony temat.

Więcej na ten temat tutaj

Krok 1. posiadać port RS232 czyli kupić sobie przejściówkę USB to RS232
Krok 2. zainstalować sterowniki i tu pojawia się problem bo chiński producent pewnie nie ma swojej strony z supportem a nawet jak ję ma to nie ma na niej sterowników do Mac OS X. Na szczęście (prawie)wszystkie przejściówki używają jednego scalaka dlatego powinien nam zadziałać sterownik IOGear.
Krok 3. zainstalować terminal. ZTerm wydaje się dawać sobie całkiem nieźle radę
Krok 4.
switch#show version
Cisco IOS Software, C3560 Software (C3560-IPSERVICES-M), Version 12.2(25)SEB4, R
ELEASE SOFTWARE (fc1)
Copyright (c) 1986-2005 by Cisco Systems, Inc.
Compiled Tue 30-Aug-05 14:19 by yenanh

ROM: Bootstrap program is C3560 boot loader
BOOTLDR: C3560 Boot Loader (C3560-HBOOT-M) Version 12.2(25r)SEC, RELEASE SOFTWAR
E (fc4)

Switch uptime is 45 minutes
System returned to ROM by power-on
System image file is "flash:c3560-ipservices-mz.122-25.SEB4/c3560-ipservices-mz.
122-25.SEB4.bin"

cisco WS-C3560-24TS (PowerPC405) processor (revision D0) with 118784K/12280K byt
es of memory.
Processor board ID CAT1022N1FU
Last reset from power-on
1 Virtual Ethernet interface
24 FastEthernet interfaces
2 Gigabit Ethernet interfaces
The password-recovery mechanism is enabled.

–More–

Mamy na stacji zainstalowanego Apacha, Network Inspectora czy Flash Server i nie chcemy żeby chodziły one przez cały czas i bezsensownie zżerały nam zasoby. Chcemy pozwolić użytkownikowi na uruchamianie/zatrzymywanie serwisów i nie nadawać mu zbędnych uprawnień. Najprościej jest to zrobić ustawiając z poziomu domeny odpowiednią polisę która ustawi odpowiednie ACL na dany serwis (tak serwisy też mają ACL ).
Co jednak zrobić w momencie gdy komputer nie jest w domenie? Zawsze wydawało mi się, że wszystko da się ustawić w Local Security Policy. Windows + R wpisuję secpol.msc (albo gpedit.msc, jak kto woli ) enter i nie ma serwisów . Wszystko wskazuje na to, że nie da rady tego ustawić lokalnie jednak z pomocą przychodzi Security Configuraration and Analysis (dla nieświadomych start -> run -> mmc -> ctrl+m -> add -> Security Configuraration and Analysis ). Dodaję nową bazę, importuję template (dla bezpieczeństwa polecam setup security.inf), analizuję komputer, po czym kiedy już pokaże mi się drzewko wchodzę w System Services wybieram interesujący mnie serwis i ustawiam mu ACL’ki .
Ciekawe czemu jest to wycięte z interfejsu w secpol.msc? Po co wycieli coś co i tak da się ustawić? bez sensu…

Po tem jeszcze warto dać użytkownikom narzędzie pozwalające na wygodnie uruchamianie/zatrzymywanie serwisów. Może to być prosty batch wyglądający mniej więcej tak:
NET START "Nazwa serwisu"
albo tak:
NET STOP "Nazwa serwisu"

A gdybyśmy chcieli pisać to w Visual Basicu (np. po to żeby sprawdzać coś zanim nasz serwis wstanie, zrobić ładny interface graficzny itp. itd.) to przyda się ten kawałek kodu:

‘ Uruchom zatrzymaj serwis
option explicit
dim queryString
dim Service, ServiceSet

queryString = "select * from Win32_Service where Name=’Nazwa serwisu’ and State=’Stopped’"
Set ServiceSet = GetObject("winmgmts://.").ExecQuery(queryString)

if ServiceSet.Count <> 0 then
WScript.echo “Uruchamiam serwis”
for each Service in ServiceSet
Service.StartService()
next
else
WScript.echo “Jesteś kretynem, serwis już działa”
end if

Maci podłączone do domeny, wszystko działa pięknie. Sprawdzamy czy działa Windows (dual-boot), restartujemy kompa pod Mac OS X. Wpisujemy login/hasło (poprawne), chwile czekamy, ekran się trzęsie i tyle. Na konto lokalne można się zalogować bez problemu tylko czas jest jakiś dziwny i przesunięty o 2 godziny.
Wiadomo, Kerberos ma rozjechany czas i przez to bilety się momentalnie przedawniają. Przyczyna rozjechania czasu też jest prosta, OS X jak każdy szanujący się system ustawia hardware clock w GMT i potem softwarowo dodaje/odejmuje czas żeby dostosować się do strefy czasowej. Windows za to ustawia hardware clock na czas lokalny.
No dobra, problem powinno nam załatwić ntp ale w /etc/ntp.conf wszystko jest skonfigurowane poprawnie i dalej nie działa.
Szybkie wstukanie
root# ntpdate
Looking for host ntp.pjwstk.edu.pl and service ntp
host found : ntp.pjwstk.edu.pl
14 Feb 14:15:05 ntpdate[1420]: the NTP socket is in use, exiting
i problem zajętego socketu Szybkie śledztwo i okazuje się, że port jest zajęty przez ntpd, który powinien automatycznie synchronizować czas z serwerem ntp. Jedynym problemem jest to, że ntpd synchronizuje czas powoli małymi krokami tak żeby system nie zagubił się jak nagle wypadnie mu kilka godzin albo syslog się cofnie. Czyli może za kilka dni czas się zsynchronizuje i logowanie do AD zacznie działać
Rozwiązanie jest proste zabić ntpd i zsynchronizować ręcznie czas z ntp.

Z Pstrykiem napisaliśmy coś takiego:

root# cat /usr/sbin/ntpupdate.sh
#!/bin/bash

/usr/sbin/ntpd
/usr/bin/killall ntpd

RET=1
TIME=15
while [ $RET -ne 0 ] && [ $TIME -gt 0 ]; do
/usr/sbin/ntpdate adres.serwera.ntp >> /var/log/ntpupdate 2>&1
RET=$?
TIME=$(($TIME-1))
sleep 1
done

Po czy do /etc/rc dopisaliśmy:

# By Pstryk & Kfaz
/usr/sbin/ntpupdate.sh


Kolejny workaround, dziwny ale działający
Podobno nowe sterowniki dla Windows z BootCamp poprawiają ten problem i Windows nie zmienia czasu w hardware clock

Scenariusz jest prosty. Maki mają triple-boot (Mac OS X, Win XP, Linux) i użytkownicy nie mogą mieć dostępu do innych partycji systemowych z poziomu Mac OS X. Chociażby po to żeby nie grzebali w plikach konfiguracyjnych, nie wyciągnęli bazy SAM czy żadnych innych rzeczy, których przeczytanie nie byłoby dla nas zbyt miłe Sprawa wydaje się banalnie prosta, wystarczy, tak jak w poprzednich wersjach Mac OS X, przeedytować /etc/fstab i pozamiatane. Jednak po otwarciu tego pliku okazuje się, że coś się zmieniło i pokazuje się coś takiego:
IGNORE THIS FILE.
This file does nothing, contains no useful data, and might go away in
future releases. Do not depend on this file or its contents.
i weź tu człowieku bądź mądry kiedy zamiast jednego statycznego pliku pojawia się automounter (/sbin/autodiskmount), który oczywiście jest binarką No dobra, ale automounter skądś jest wywoływany. W tym przypadku będzie to /etc/rc.netboot gdzie montowane są wszystkie dyski podczas instalacji. Po napisaniu kilku if’ów okazało się, że mój szczwany plan z filtrowaniem co montujemy nie zadziałał a że czas naglił trzeba było to załatwić w inny sposób Mały (niezbyt elegancki) workaround polega na odmontowaniu dysków kiedy automounter już je podmontuje . Aby to zrobić wystarczyło w /etc/rc dopisać trzy linijki:
#odmontowanie dyskow windowsowych
umount /dev/disk0s2
umount /dev/disk0s6
Wiem, że to nie jest najsprytniejszy patent ale działa

Mój breloczek na koncie domenowym zabezpieczony jest hasłem z Active Directory, ustawienie standartowe dzięki temu mam prawie single sign-on, hasło domenowe zabezpiecza moje certyfikaty itd.
Problem pojawia się kiedy hasło domenowe się zmieni z poziomu czegoś innego niż nasz stacja pracująca pod Mac OS X. Po takiej zmianie logujemy się używając nowego hasła domenowego i zaraz po zalogowaniu musimy wpisać hasło do breloczka, które jest… naszym starym hasłem Aby uniknąć tej upierdliwej czynności i logować się tylko raz należy zmienić sobie hasło do breloczka korzystając z Keyring Access. Rzecz prosta ale irytująca. Chociaż patrząc z drugiej strony w Windows jest podobny problem (utrata lokalnych certyfikatów w momencie resetowania hasła do konta lokalnego).

Dzisiaj instalując Oracle na Mac OS X znalazłem parę fajnych narzędzi pozwalających na dostanie się do netInfo z poziomu konsoli i wpisanie wszystkiego bez latania po drzewkach w interfejsie graficzny. Super sprawa dla osób robiących coś przez SSH albo zakładających konta za pomocą skryptów.

Manipulacje na obiektach w katalogu:
Tu z pomocą przychodzi nam narzędzie nicl. Pozawala ono m.in. na tworzenie obiektów, ich kasowanie, modyfikacje, przeszukiwanie, czytanie i kopiowanie. Jeśli kiedykolwiek będziesz odtwarzać swoje netInfo z backupu to z pewnością nicl będzie do tego niezbędne. Składnia jest prosta: nicl [options] datasource [command], na przykład założenie użytkownika wygląda tak
# nicl . -create /users/loginname
# nicl . -append /users/loginnameuid 601
# nicl . -append /users/loginname gid 600
# nicl . -append /users/loginname shell /bin/bash
# nicl . -append /users/loginname home /Users/loginname
# nicl . -append /users/loginname realname "Imię i nazwisko usera"
Potem przyda się jeszcze zmienić komuś hasło:
# passwd loginname
i mamy wszystko gotowe.
Katalog domowy stworzy się sam przy pierwszym logowaniu na podstawie tego co jest w /System/Library/User Template . Z szablonami oczywiście można się pobawić ale zostawie to sobie na oddzielny wpis
Każdy bardziej dociekliwy może sobie poczytać o tym narzędziu wpisująć w konsoli man nicl