将 Mac OS X 客户端与 Active Directory 集成的最佳方式

Question

我在网络上有 50 多台 Mac，我认为是时候设置一些控件了，所以我正在寻找将 Mac OS X 客户端集成到 Active Directory 的方法。主要目标是强制执行从 AD 到 Mac OS X 客户端的 GPO。我正在考虑以下解决方案：

• 将 Mac OS X Server 的目录服务与 AD 结合使用
• 使用第三方解决方案，如 Centrify 的DirectControl或 Thursby 的ADmitMac

您认为哪种解决方案是最好的方法？

Answer 1

这取决于您是否要在 AD 控制器上安装第 3 方软件。如果您选择 Thursby 或 Centrify，则必须这样做才能获得 GPO。这会向您的 AD 架构添加必要的属性，以使其更加了解 OS X。我不确定它是否包含您想要的所有内容，因此您必须询问供应商。

如果您不这样做（很多人不这样做），您将需要 OS X Server 并设置金三角配置。您可以将 OS X 服务器设为 OD Master（独立），将其加入 AD，然后使用 MCX 将“GPO”应用到 AD 中的计算机对象。然后您将计算机本身加入 AD 和 OD。它不能从 AD 获得的内容，可以从 OD 获得（如果您配置正确）。默认情况下，密码策略等内容与 AD 一起使用，但有一些小的警告（过期提醒）。诸如访问系统偏好设置之类的事情将在 OD 中进行管理。如果您走金三角路线，您应该考虑为主服务器和副本服务器购买两台服务器。这不需要修改或安装 AD 中尚不存在的任何内容。

金三角设置的唯一缺点是 Lion 即将到来，我真的不确定它是否会继续支持此类事情。我不确定您还能购买 Snow Leopard 服务器多久。此外，您无法再获得全新的 Apple Xserve...您只能使用 Mac Pro 或 Mac Mini。