Sametime Proxy Server - LDAP von Domino auf ActiveDirectory wechseln

[oliK]

Hallo,

ich spiele gerade ein wenig mit einer Test-Installation des Sametime Proxy herum und finde keine gute und schnelle Lösung,
einen auf Domino-LDAP konfigurierten Proxy auf AD-LDAP umzustellen.
Gleiches Problem mit dem Community Server. Bei diesem bin ich nur durch Neuinstallation weitergekommen.
Gibt es dafür einen Best Practice?

[Pfefferminz-T]

Der Wechsel des LDAP ist das eine, Hauptproblem sind aber die Kontaktlisten der Anwender... was wollt ihr denn letztendlich erreichen? Beseitigung des Internetkennworts? Habt ihr noch andere Produkte (z.bsp. Traveler) mit diesem Domino LDAP im Einsatz?

Abhängig von eurem Ziel gibt es ggf. mehrere Wege, Directory Assistance mit AD oder eben eine komplette Umstellung mit einer Parallelinstallation und Übernahme der Daten.

[oliK]

Es ist eigentlich recht simpel. Wir nutzen momentan nur den Community Server ohne alles.
Ich erstelle mir parallel dazu eine erweiterte Umgebung mit DB2+Websphere und neuem Community-Server.
Primär geht es mir um die Sametime System Console und Sametime Proxy Server.
Um den Proxy nutzen zu können muss man ja mittlerweile auf 'irgendein' LDAP umstellen.
Hier bin ich in der Testumgebung am herumexperimentieren und prüfen, welches LDAP mir mehr bietet.
Erster Versuch war Domino-LDAP, da benötigt man dann aber alleine für Bilderdarstellung wieder Krücken.
Danach der Versuch auf AD-LDAP zu schwenken.. Eine Änderung der LDAP-Quelle ist in jeder Drittsoftware einfach, außer bei IBM.
Da kommt man ohne diverse Neuinstallationen nicht weiter. Leider ist ja bereits der ganze Websphere-Teil eine Installationsarie ohne Ende.

[Pfefferminz-T]

Das reine Ändern von einem LDAP auf ein anderes ist möglich, wenn man weiß wo man hinfassen muss. Aber es ist eben nicht damit getan, stumpf ein Verzeichnis gegen ein anderes auszutauschen, da hängen in Meetings und in Kontaktlisten eben benutzer-spezifische Berechtigungen mit dran, die auch umgestellt werden müssen da ein Benutzer im AD anders aussieht als im DD. Es gibt dazu keine Anleitung, das machen wir im Rahmen einer Dienstleistung - kein 1-2-3-Job der kurz zu beschreiben wäre.

Aber wo ist das Problem bei der Bilderdarstellung? Jeder AD-Admin wird sich über Bilder freuen, genauso wie ein Domino Admin. Bilder blähen ein Verzeichnis auf, da hüpft einem der Admin gerne mal ins Gesicht. Zudem muss natürlich die rechtliche Seite (Betriebs-/Personalrat) passen.  Am einfachsten eine eigene Notes Datenbank einbinden, in die der User selbst das Bild hochladen kann, wo der User dann einer Veröffentlichung zustimmen kann, etc.

[oliK]

Dass Benutzereinstellungen und Verzeichnisdaten angepasst werden müssen ist klar.
Im LDAP-Dokument der vpuserinfo.nsf und im da.nsf hatte ich bereits alles sauber umbiegen können.
Beim Websphere hat es aber irgendwo geklemmt, weswegen Anmeldungen über den Proxy gezickt haben.
Jetzt habe ich es sauber neu aufgesetzt und es funktioniert wieder.

Für Anpassungen der Sametime-Benutzerdaten habe ich einige gebastelte Funktionen in der vpuserinfo.nsf.
Das nutze ich auch um z.B. an alle Benutzer einheitliche Benutzerlisten zu verteilen.

Im Domino-Verzeichnis sind schon seit Jahren 2 Felder eingebaut.
In einem sind die Bilder (max 15k) enthalten (per copy/paste), im anderen wird ein vollwertiger HTTP(S)-Link auf das Bild im eigenen Dokument generiert.
Im 'alten' Sametime (natives Domino-Verzeichnis) musste man das Feld mit den Bilddaten lediglich in der stconfig.nsf konfigurieren.
Bei den LDAPs muss man das je jeweils über entsprechende Tools hineinladen.

Habt ihr bessere Erfahrungen mit Anbindung an AD- oder Domino-LDAP?
Bisher habe ich lediglich ermitteln können, dass am AD-LDAP gekoppelt noch eine Hierarchiefunktion dazukommt.
Macht dies bezüglich der SSO-Anmeldung via SPNEGO einen Unterschied?