Verifique a resposta do E1Suave para alguns bons pontos de partida.
Uma dica extra que posso lhe dar da minha experiência pessoal é (re) considerar se você realmente precisa que seus clientes se autentiquem no Open Directory (OD) no login.
As duas razões (posso pensar) em que você pode querer fazer isso são:
1. Pastas Domésticas de Rede
A pasta pessoal é automaticamente sincronizada de e para o servidor, o que pode ser muito conveniente quando um usuário troca de computador e ainda tem acesso aos seus arquivos.
O lado ruim (s): Eu encontrei a sincronização muito buggy. De alguma forma, surgiriam conflitos que precisavam de intervenção manual ou a pasta inicial não seria mais sincronizada. Considerando também a facilidade com que você pode usar serviços de nuvem, como o Dropbox, o Google Drive, etc., para o mesmo propósito, eu pessoalmente considero a solução de rede doméstica inferior às soluções modernas.
Relacionado ao acima, meus usuários confiaram demais nele, deixando-os incapazes de trabalhar em arquivos que eles modificaram em casa porque não foram sincronizados corretamente.
E, finalmente, normalmente um usuário só trabalha em um computador. Para arquivos que deveriam estar disponíveis no servidor para vários usuários, você configuraria os compartilhamentos de rede. Além disso, embora a pasta inicial da rede não seja montada automaticamente no computador cliente, ela ainda pode ser disponibilizada como um compartilhamento de rede para o usuário colocar manualmente alguns arquivos pessoais nela.
2. Restringindo permissões de usuário
Isso pode ser um motivo válido para fazer a autenticação do OD e, a princípio, pareceu-me uma ótima ideia. Você pode configurar extensivamente as permissões para os usuários e computadores da rede na ferramenta Administrador do Diretório.
O lado ruim: no final, trabalhamos em um ambiente muito pequeno, com poucos usuários (e esse é normalmente o ambiente em que os servidores Mac OS X são usados de qualquer maneira), e a configuração de todas essas permissões diferentes era muito difícil. nuissance para mim, sem benefício adicional.
Quando você restringe um usuário, você precisa ter certeza de que os pedidos extras de suporte que você receberá, porque um usuário não pode fazer algo que ele precise fazer a qualquer momento, superam qualquer dano que o usuário poderia / faria em seu computador sem estes impostos restrições. Pessoalmente, recebi apenas solicitações de suporte dos usuários com acesso restrito. Os usuários com uma conta de administrador local podem trabalhar bem sem a minha intervenção.
Quando você não precisa de autenticação de diretório no login
Mesmo se os usuários fizerem login no computador com uma conta local, eles ainda poderão se autenticar nos compartilhamentos de arquivos separadamente com o login no diretório (e salvar as credenciais em suas chaves). Você ainda pode usar o diretório para gerenciar facilmente esses usuários e seus grupos. Eu pessoalmente uso o servidor Mac OS X para compartilhamento de arquivos e acesso VPN, mas ao configurar o laptop de um usuário, eu apenas o crio uma conta de administrador local em sua máquina.