Добавить Linux в домен Windows с помощью области (CentOS

Еще несколько статей на похожую тему:

• Как подключить клиент Linux к домену Windows AD с помощью realmd с SSSD (CentOS/RHEL 7/8)
• Как подключить клиент Linux к домену Windows AD с помощью adcli с SSSD
  (CentOS/RHEL 7/8)
• Как подключить клиента Linux к домену Windows AD с помощью winbind
  (CentOS/RHEL 7/8)

Linux показывает скрытые файлы и папки с помощью простых команд

Есть несколько способов сделать это, однако это самый простой из найденных мной способов сделать это полностью через командную строку.

В этом примере я использую CentOS 7 и Windows Server 2012 R2, однако версия Windows не имеет значения. Мы предполагаем, что наш домен уже установлен и настроен, мы просто присоединяем наш сервер CentOS к существующему домену.

Обзор лабораторной среды

Для демонстрации этой статьи по добавлению CentOS 8 в контроллер домена Windows (Active Directory) мы будем использовать виртуальные машины, работающие в Oracle VirtualBox, установленном на моем Linux-сервере

среда виртуализации.

У нас есть контроллер домена Active Directory Microsoft Server 2012R2
с IP-адресом, хост с IP-адресом и с IP-адресом. В этой статье я расскажу только о том, как добавить CentOS 8 в контроллер домена Windows на стороне клиента. Поэтому для этой статьи требуется предварительно настроенный Windows Active Directory.

Я использовал только фрагменты с моего сервера CentOS 8, но я проверил шаги как на RHEL 8, так и на CentOS 8.

Обзор инструмента realmd

RealmD — это инструмент, который легко настраивает сетевую аутентификацию и членство в домене. В RHEL/CentOS 7 RealmD полностью поддерживается и может использоваться для присоединения к областям IdM, AD или Kerberos. Основным преимуществом использования realmd является возможность предоставить простую однострочную команду для регистрации в домене, а также настроить сетевую аутентификацию.

Например, realmd может легко настроить:

• Стек PAM
• Слой NSS
• Керберос
• СССД
• Винбинд

• Microsoft Active Directory
• Управление идентификацией Red Hat Enterprise Linux

• SSSD для RHEL/CentOS Identity Management и Microsoft Active Directory
• Winbind для Microsoft Active Directory

Как настроить загрузочный сервер PXE в Linux ( CentOS / RHEL 7 )

Обзор интеграции Linux с доменом Windows с использованием SSSD

Демон служб безопасности системы (sssd) предоставляет набор демонов для управления доступом к удаленным каталогам и механизмам аутентификации, в нашем случае — к Active Directory. Служба sssd предоставляет NSS
(переключатель службы имен) и PAM
(Pluggable Authentication Mechanism) для нашей системы и модульной серверной системы для подключения к нескольким различным источникам учетных записей, а также к интерфейсу D-bus.

Идентификация учетных записей в удаленной Active Directory выполняется через LDAP, а аутентификация выполняется через Kerberos в домене AD. Поиск учетной записи LDAP упоминается и требует /usr/lib64/libnss_sss.so.2
Модуль NSS и /etc/nsswitch.conf
файл. Аутентификация будет указываться с использованием /lib64/security/pam_nss.so
.

• Active Directory
• Управление идентификацией (IdM) в RHEL
• Любой универсальный сервер LDAP или Kerberos

В этом руководстве мы присоединим наш клиент Linux (RHEL/CentOS 7/8) к Active Directory домена Windows с помощью adcli. Adcli будет использовать демон System Security Services Daemon (SSSD) для подключения системы CentOS/RHEL 7/8 к домену Microsoft Active Directory. В основном вам нужны два компонента для подключения системы RHEL к Active Directory (AD).

Один компонент, SSSD, взаимодействует с центральным источником идентификации и аутентификации, а другой компонент, adcli, обнаруживает доступные домены, после чего вам придется вручную настроить базовые системные службы RHEL, в данном случае SSSD, для подключения к домен.

Еще несколько статей на похожую тему:

• Как подключить клиент Linux к домену Windows AD с помощью realmd с SSSD
  (CentOS/RHEL 7/8)
• Как подключить клиент Linux к домену Windows AD с помощью adcli с SSSD (CentOS/RHEL 7/8)
• Как подключить клиента Linux к домену Windows AD с помощью winbind
  (CentOS/RHEL 7/8)

Интеграция Samba с Active Directory (Linux и Windows)

# изменить настройки DNS для ссылки на AD

соединение nmcli изменить enp1s0 ipv4.dns 10.0.0.100

соединение nmcli вниз по enp1s0; подключение nmcli up enp1s0

Соединение ‘enp1s0’ успешно деактивировано (активный путь D-Bus: /org/freedesktop/NetworkManager/ActiveConnection/1)

Соединение успешно активировано (активный путь D-Bus: /org/freedesktop/NetworkManager/ActiveConnection/2)

# обнаружить домен Active Directory

Царство обнаруживает SRV. МИР

 срв.мир тип: керберос имя области: SRV. МИР доменное имя: srv.world настроено: нет серверное программное обеспечение: активный каталог клиентское ПО: sssd необходимый пакет: нечетная работа необходимый-пакет: одджоб-мхомедир требуемый пакет: sssd требуемый пакет: adcli требуемый пакет: общие инструменты самбы 

# присоединиться к домену Active Directory

царство присоединилось к SRV. МИР

 выход
CentOS поток 9
Ядро 5.14.0-39.el9.x86_64 на x86_64
Активируйте веб-консоль с помощью: systemctl enable --now cockpit.socket
вход в ДЛП:
Пароль:
[serverworld@srv.world@dlp ~]$ 

Как подключить систему RHEL 8 к серверу Active Directory с помощью Samba Winbind. Как аутентифицировать сервер RHEL 8 в домене Windows 2003 R2 / 2008 / 2008 R2 / 2012 AD. Как добавить CentOS 8 в контроллер домена Windows. Пошаговое руководство по добавлению CentOS 8 в контроллер домена Windows. Действия по присоединению RHEL 8 к Active Directory. Как подключить CentOS 8 к Active Directory на Windows Server. Действия по присоединению CentOS 8 к контроллеру домена Windows, работающему на WIndows Server 2012. Действия по присоединению linux к активному каталогу Windows.

Еще несколько статей на похожую тему:

• Как подключить клиент Linux к домену Windows AD с помощью realmd с SSSD
  (CentOS/RHEL 7/8)
• Как подключить клиент Linux к домену Windows AD с помощью adcli с SSSD
  (CentOS/RHEL 7/8)
• Как подключить клиент Linux к домену Windows AD с помощью winbind (CentOS/RHEL 7/8)

Присоединение Linux к домену Windows с помощью adcli (RHEL/CentOS 7/8)

Предварительные условия для добавления Linux в домен Windows AD

3.1 Обновление /etc/resolv.conf

Убедитесь, что клиентский компьютер RHEL/CentOS может разрешать серверы Active Directory. Для этого обновите свой /etc/resolv.conf
с IP-адресом вашего контроллера домена на клиентском хосте RHEL / CentOS 7/8.

 [root@adcli-client ~]# cat /etc/resolv.conf  поиск golinuxcloud.com
сервер имен 192.168.0.107  

Пошаговое руководство: Настройка клиента LDAP для аутентификации на сервере LDAP

3.2 Проверка разрешения доменного имени

Проверить, может ли клиент разрешить доменное имя:

 [root@centos8 ~]# nslookup golinuxcloud.com
Сервер: 192.168.0.107
Адрес: 192.168.0.107#53  Имя: golinuxcloud.com
Адрес: 192.168.0.107  

Проверьте конфигурацию разрешения имен. В частности, проверьте записи DNS SRV.

 ~]# host -t SRV _kerberos._udp.golinuxcloud.com.  _kerberos._udp.golinuxcloud.com имеет запись SRV 0 100 88 win-71humtros3m.golinuxcloud.com.  ~]# host -t SRV _ldap._tcp.golinuxcloud.com.  _ldap._tcp.golinuxcloud.com имеет запись SRV 0 100 389 win-71humtros3m.golinuxcloud.com. ~]# host -t SRV _ldap._tcp.dc._msdcs.golinuxcloud.com  _ldap._tcp.dc._msdcs.golinuxcloud.com имеет запись SRV 0 100 389 win-71humtros3m.golinuxcloud.com.  

3.3 Установка пакетов (RHEL/CentOS 7)

Для серверов с минимальной установкой необходимо установить krb5-workstation
package , который обеспечивает klist
команда. Установить adcli
пакет вместе с  sssd
:

• ссд:
  Демон System Security Services может использоваться для отклонения аутентификации клиента по мере необходимости
• адкли:
  Это инструменты для присоединения и управления доменами AD

 [root@adcli-client ~]# yum install adcli sssd authconfig realmd krb5-workstation нечетная работа нечетная работа-мхомедир 

3.4 Установка пакетов (RHEL/CentOS 8)

 [root@centos8 ~]# dnf -y install realmd adcli sssd нечетная работа нечетная работа-мхомедир samba-common-tools krb5-workstation authselect-compat 

Руководство для начинающих по PKI, сертификатам, расширениям, CA, CRL и OCSP

Резюме

Winbind можно использовать с разными idmap
бэкенды idmap_tdb
, idmap_ldap
, idmap_rid
, idmap_sss
и idmap_ad
. Эти серверные части помогут системе Red Hat Enterprise Linux вычислить сопоставления SID и uid/gid. Если вы используете winbind, вам нужно будет выбрать наиболее подходящий сервер для вашей среды. т. е. если это для одной системы, где сохранение одинаковой информации uid/gid для нескольких систем не важно. Бэкэнд tdb по умолчанию может подойти. Если вам нужно, чтобы информация uid/gid была согласованной во многих системах, один из других бэкендов будет более подходящим. то есть: autorid
или rid
.

Наконец, я надеюсь, что шаги из статьи о присоединении/добавлении CentOS 8 к контроллеру домена Windows в Linux были полезны. Итак, дайте мне знать ваши предложения и отзывы, используя раздел комментариев.

Похожие запросы: присоединить Centos 8 к домену Windows. Аутентификация активного каталога rhel 8. рхел 8 странная работа. Активный каталог Centos 8 Samba. Присоединяйтесь к области. присоединить Centos к домену Windows. как присоединиться к домену в redhat linux. Активный каталог Centos 8 Samba. присоединить Centos 8 к домену Windows

Использование области для присоединения Linux к домену Windows

Со всеми установленными пакетами мы можем использовать realm
Команда для добавления Linux в домен Windows AD и управления регистрацией. Эта команда является частью realmd
Пакет, который мы добавили.

4.1 Список настроенных доменов

Мы можем использовать list
подкоманда, чтобы убедиться, что мы в данный момент не являемся частью домена:

 [root@realm-client ~]# список областей 

Вывод должен быть пустым.

4.2 Обнаружение доступных доменов в сети

Теперь мы готовы перейти к следующему шагу, то есть добавить Linux в домен Windows AD. В простой среде вы будете знать домен, к которому хотите присоединиться; по крайней мере, мы очень на это надеемся
. В нашем случае мы это знаем, и это golinuxcloud.com
.

realm discover
Команда возвращает полную конфигурацию домена и список пакетов, которые необходимо установить, чтобы система была зарегистрирована в домене.

 [root@realm-client ~]#  область открыть golinuxcloud.com GOLINUXCLOUD. COM тип: керберос имя области: GOLINUXCLOUD. COM доменное имя: GOLINUXCLOUD. COM настроено: серверное программное обеспечение: активный каталог клиентское ПО: sssd необходимый пакет: нечетная работа необходимый-пакет: одджоб-мхомедир требуемый пакет: sssd требуемый пакет: adcli требуемый пакет: общие инструменты самбы
golinuxcloud.com тип: керберос имя области: GOLINUXCLOUD. COM доменное имя: golinuxcloud.com настроено: 

4.3 Присоединение клиента Linux к домену Windows

• Запуск сканирования для обнаружения указанного домена.
• Автоматическая установка пакетов, необходимых для присоединения системы к домену.
• Присоединение к домену путем создания записи учетной записи для системы в каталоге.
• Создание  /etc/krb5.keytab
  файл keytab хоста.
• Настройка домена в SSSD и перезапуск службы.
• Включение пользователей домена для системных служб в конфигурации PAM и /etc/nsswitch.conf
  файл.

 [root@realm-client ~]# присоединение к области --user=Администратор golinuxcloud.com 

 ~]# присоединение к области --user=Администратор golinuxcloud.com
Пароль для администратора:  См.: journalctl REALMD_OPERATION=r597.2528
область: Не удалось присоединиться к области: Не удалось присоединиться к домену  

 04 марта 12:11:21 centos8 realmd[2314]: !
04 марта 12:11:21 centos8 realmd[2314]: !
04 марта 12:11:21 centos8 realmd[2314]: adcli: не удалось подключиться к GOLINUXCLOUD. Домен COM: не удалось пройти аутентификацию как: Administrator@GOLINUXCLOUD. COM: KDC не поддерживает тип шифрования
04 марта 12:11:21 centos8 realmd[2314]: adcli: не удалось подключиться к GOLINUXCLOUD. Домен COM: не удалось пройти аутентификацию как: Administrator@GOLINUXCLOUD. COM: KDC не поддерживает тип шифрования
04 марта 12:11:21 centos8 realmd[2314]: процесс завершен: 2534
04 марта 12:11:21 centos8 realmd[2314]: ! Не удалось присоединиться к домену
04 марта 12:11:21 centos8 realmd[2314]: ! Не удалось присоединиться к домену 

Как настроить защищенный сервер NFS с поддержкой Kerberos (RHEL / CentOS 7)

4.4 Как исправить «KDC не поддерживает тип шифрования»?

Способ-1

В RHEL/CentOS 8 rc4 больше не входит в политику шифрования ПО УМОЛЧАНИЮ, см. man crypto-policies
для деталей. К сожалению, это все еще распространенный запасной вариант в AD.

Таким образом, мы можем добавить rc4-hmac
в /etc/krb5.conf.d/crypto-policies
как permitted_enctypes
как показано ниже.

 [libdefaults]
разрешенные_enctypes = aes256-cts-hmac-sha1-96 aes256-cts-hmac-sha384-192 камелия256-cts-cmac aes128-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128 камелия128-cts-cmac rc4- хмак 

Теперь вы можете повторно попытаться подключить клиент Linux к домену Windows, используя область:

 [root@realm-client ~]# присоединение к области --user=Администратор golinuxcloud.com
Пароль администратора: 

 ~]# cat /etc/krb5.conf.d/enctypes
[libdefaults] default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes256-cts-hmac-sha384-192 камелия256-cts-cmac aes128-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128 камелия128-cts-cmac rc4- хмак default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes256-cts-hmac-sha384-192 camellia256-cts-cmac aes128-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128 камелия128-cts-cmac rc4- хмак 

Теперь вы можете попробовать подключить клиент Linux к домену Windows, используя область:

 [root@realm-client ~]# присоединение к области --user=Администратор golinuxcloud.com
Пароль администратора: 

 allow_weak_crypto = правда
default_tgs_enctypes = arcfour-hmac-md5 des-cbc-crc des-cbc-md5
default_tkt_enctypes = arcfour-hmac-md5 des-cbc-crc des-cbc-md5 

Теперь вы можете попробовать подключить клиент Linux к домену Windows, используя область:

 [root@realm-client ~]# присоединение к области --user=Администратор golinuxcloud.com
Пароль администратора: 

Лабораторная среда

Для демонстрации в этой статье присоединения Linux к домену Windows AD на RHEL/CentOS 7/8 мы будем использовать две виртуальные машины, работающие в Oracle VirtualBox, установленном на моем сервере Linux
среда виртуализации.

У меня есть контроллер домена Active Directory Microsoft Server 2012R2 с IP-адресом 192.168.0.107
и клиентский хост CentOS 8 с IP-адресом 192.168.0.117
. В этой статье я расскажу только о том, как добавить Linux в домен Windows AD на стороне клиента.

Итак, в этой статье для добавления Linux в домен Windows AD требуется предварительно сконфигурированный
Активный каталог Windows.

Настроить Winbind с помощью smb. конф

Вы также можете использовать  Помощник по интеграции AD Red Hat
чтобы помочь создать оптимальные значения конфигурации для подключения к Active Directory вашей организации.

 [глобальный] рабочая группа = GOLINUXCLOUD область = GOLINUXCLOUD. COM безопасность = реклама Конфигурация idmap * : backend = autorid Конфигурация idmap *: диапазон = 100000-19999999 Конфигурация idmap * : размер диапазона = 1000000 домашний каталог шаблона = /home/%D/%U оболочка шаблона = /bin/bash winbind использовать домен по умолчанию = false автономный вход в систему winbind = true файл журнала = /var/log/samba/log.%m максимальный размер журнала = 50 логарифмический уровень = 0 

безопасность=реклама
описывает членство в домене Active Directory.

Решено: питание устройства в отсеке № X отложено до применения профиля VC

 [root@centos8 ~]# host -t SRV _kerberos._udp.golinuxcloud.com.  _kerberos._udp.golinuxcloud.com имеет запись SRV 0 100 88 win-71humtros3m.golinuxcloud.com. [root@centos8 ~]# host -t SRV _ldap._tcp.golinuxcloud.com.  _ldap._tcp.golinuxcloud.com имеет запись SRV 0 100 389 win-71humtros3m.golinuxcloud.com.  

Остановить winbind
сервис, если он находится в рабочем состоянии:

 [root@centos8 ~]# systemctl stop winbind 

Дополнительная литература

Похожие запросы: вход в linux с активным каталогом, присоединение linux-сервера к активному каталогу, добавление linux-сервера в домен windows, аутентификация linux в активном каталоге, как добавить систему linux в домен windows, домен linux windows аутентификация, интеграция с рекламой Linux

Установить пакет(ы) WInbind

Чтобы добавить CentOS 8 в контроллер домена Windows, мы установим необходимые пакеты samba на нашем клиентском хосте

 [root@centos-8 ~]# dnf install samba samba-client samba-winbind samba-winbind-clients нечетная работа нечетная работа-мхомедир 

Проверить, интегрирован ли клиент Linux в домен Windows

Настройка NSS для службы SSSD

6.1 В RHEL/CentOS 7

 # authconfig --enablesssd --enablesssdauth --enablemkhomedir --update 

Далее включить и запустить/перезапустить oddjobd.service

 ~]# systemctl enable --now oddjobd.service 

6.2 В RHEL/CentOS 8

 ~]#  authselect select sssd with-mkhomedir Был выбран профиль «sssd».
Следующие карты nsswitch перезаписываются профилем:
- пароль
- группа
- сетевая группа
- автомонтирование
- услуги
Убедитесь, что служба SSSD настроена и включена. Дополнительную информацию см. в документации по SSSD.
- выбран with-mkhomedir, убедитесь, что модуль pam_oddjob_mkhomedir присутствует, и служба oddjobd включена и активна - systemctl enable --now oddjobd.service 

Далее включить и запустить/перезапустить oddjobd.service

 ~]# systemctl enable --now oddjobd.service 

Присоединение Linux к домену Windows с помощью adcli (RHEL/CentOS 7/8)

Создание/удаление пользователей Active Directory

 ~]# adcli create-user --domain=GOLINUXCLOUD. COM --display-name="Амит Кумар"
Пароль для Administrator@GOLINUXCLOUD. COM: 

 ~]# id GOLINUXCLOUD\\амит
uid=111801121(amit) gid=111800513(пользователи домена) groups=111800513(пользователи домена)
~]# su - GOLINUXCLOUD\\амит
Создание домашнего каталога для amit.
~]$ выход 

 ~]# adcli delete-user --domain=golinuxcloud.com с 

Резюме

Перед настройкой времени и DNS необходимо немного поработать. Как только это установлено, вы можете настроить sssd для использования Active Directory в качестве источника идентификации с помощью команды adcli.

Похожие запросы: вход в linux с активным каталогом, присоединение linux-сервера к активному каталогу, добавление linux-сервера в домен windows, аутентификация linux в активном каталоге, как добавить систему linux в домен windows, домен linux windows аутентификация, интеграция с рекламой Linux

Настройка Kerberos (/etc/krb5.conf)

Не копируйте весь вывод и не вставляйте свой krb5.conf
файл, просто обновите REALM, заменив EXAMPLE.COM
с вашим DOMAIN.COM

Проверка клиента

После добавления CentOS 8 в контроллер домена Windows необходимо выполнить некоторые проверки на клиентском хосте, т. е. CentOS 8, чтобы убедиться, что он может правильно подключиться к Active Directory.

Вы можете проверить, все ли работает правильно с помощью wbinfo -t
. Команда выполняет зашифрованный вызов RPC, что возможно только в том случае, если сервер действительно является членом домена:

 [root@centos-8 ~]# wbinfo -t  проверка секрета доверия для домена GOLINUXCLOUD через вызовы RPC прошла успешно  

 [root@centos-8 ~]# wbinfo -u
GOLINUXCLOUD\администратор
GOLINUXCLOUD\гость
GOLINUXCLOUD\krbtgt 

Список групп AD.

 [root@centos-8 ~]# wbinfo -g
GOLINUXCLOUD\winrmremotewmiusers__
GOLINUXCLOUD\компьютеры домена
GOLINUXCLOUD\контроллеры домена
GOLINUXCLOUD\администраторы схемы
GOLINUXCLOUD\администраторы предприятия
GOLINUXCLOUD\сертифицированные издатели
GOLINUXCLOUD\администраторы домена
GOLINUXCLOUD\пользователи домена
GOLINUXCLOUD\гости домена
GOLINUXCLOUD\владельцы создателей групповой политики
GOLINUXCLOUD\ras и ias серверы
GOLINUXCLOUD\разрешенная группа репликации пароля rootc
GOLINUXCLOUD\запрещена группа репликации паролей rootc
GOLINUXCLOUD\контроллеры домена только для чтения
GOLINUXCLOUD\корпоративные контроллеры домена только для чтения
GOLINUXCLOUD\клонируемые контроллеры домена
GOLINUXCLOUD\защищенные пользователи
GOLINUXCLOUD\dnsadmins
GOLINUXCLOUD\dnsupdateproxy 

Вход в качестве пользователя Active Directory на клиенте Linux

 [root@centos8 ~]# su - GOLINUXCLOUD\\Администратор
Последний вход: Чт, 4 марта, 00:46:12 IST 2021 на pts/0
[GOLINUXCLOUD\administrator@centos8 ~]$ pwd 

Вход в качестве пользователя Active Directory на клиенте Linux

 ~]# id GOLINUXCLOUD\\Администратор
uid=111800500(administrator@GOLINUXCLOUD.COM) gid=111800513(пользователи домена@GOLINUXCLOUD.COM) groups=111800513(пользователи домена@GOLINUXCLOUD.COM),111800520(владельцы создателей групповой политики@GOLINUXCLOUD.COM),111800512(администраторы домена @ GOLINUXCLOUD.COM), 111800572(группа репликации пароля Rodc запрещена@GOLINUXCLOUD.COM),111800518(схема admins@GOLINUXCLOUD.COM),111800519(enterprise admins@GOLINUXCLOUD.COM) 

Предварительные условия для добавления Linux в домен Windows AD

3.1 Обновление /etc/resolv.conf

Убедитесь, что клиентский компьютер RHEL/CentOS может разрешать серверы Active Directory. Для этого обновите свой /etc/resolv.conf
с IP-адресом вашего контроллера домена на клиентском хосте RHEL / CentOS 7/8.

 [root@adcli-client ~]# cat /etc/resolv.conf  поиск golinuxcloud.com
сервер имен 192.168.0.107  

3.2 Проверка разрешения доменного имени

Проверить, может ли клиент разрешить доменное имя:

 [root@centos8 ~]# nslookup golinuxcloud.com
Сервер: 192.168.0.107
Адрес: 192.168.0.107#53  Имя: golinuxcloud.com
Адрес: 192.168.0.107  

Проверьте конфигурацию разрешения имен. В частности, проверьте записи DNS SRV.

 ~]# host -t SRV _kerberos._udp.golinuxcloud.com.  _kerberos._udp.golinuxcloud.com имеет запись SRV 0 100 88 win-71humtros3m.golinuxcloud.com.  ~]# host -t SRV _ldap._tcp.golinuxcloud.com.  _ldap._tcp.golinuxcloud.com имеет запись SRV 0 100 389 win-71humtros3m.golinuxcloud.com. ~]# host -t SRV _ldap._tcp.dc._msdcs.golinuxcloud.com  _ldap._tcp.dc._msdcs.golinuxcloud.com имеет SRV-запись 0 100 389 win-71humtros3m.golinuxcloud.com.  

3.3 Обеспечение поддержки распространенных типов шифрования в AD и RHEL

По умолчанию SSSD поддерживает типы шифрования Kerberos RC4, AES-128 и AES-256.

Шифрование RC4 устарело и отключено по умолчанию в CentOS/RHEL 8, так как оно считается менее безопасным, чем более новые типы шифрования AES-128 и AES-256. Вы можете игнорировать
этот шаг, если вы используете RHEL/CentOS 7.

3.4 Установка пакетов (RHEL/CentOS 8)

 [root@centos8 ~]# dnf -y install adcli sssd нечетная работа нечетная работа-мхомедир samba-common-tools krb5-workstation authselect-compat 

3.5 Установка пакетов (RHEL/CentOS 7)

 [root@centos7 ~]# yum install adcli sssd authconfig одджоб одджоб-мхомедир samba-common-tools krb5-workstation 

Краткий обзор этих отдельных пакетов:

• общие инструменты самбы:
  Обозначает общие инструменты для серверов и клиентов

.

• случайная работа:
  Это служба D-bus, выполняющая разовые заказы для клиентов

.

• одджоб-мхомедир:
  Это используется со службами случайных заданий для создания домашних каталогов для учетных записей AD, если это необходимо
• ссд:
  Демон System Security Services может использоваться для отклонения проверки подлинности клиента по мере необходимости

.

• адкли:
  Это инструменты для присоединения и управления доменами AD
• krb5-рабочая станция:
  предоставляет команду Kerberos klist, которая полезна для проверки конфигураций, связанных с Kerberos.

Резюме

В этой статье мы узнали, как мы можем подключить клиент Linux (CentOS/RHEL 7/8) к домену Windows AD с помощью инструмента realmd. Система realmd предоставляет простой и понятный способ обнаружения доменов идентификации и присоединения к ним. Он не подключается к самому домену, а настраивает базовые системные службы Linux, такие как SSSD или Winbind, для подключения к домену.

Действия по присоединению/добавлению CentOS 8 к контроллеру домена Windows (RHEL 8)

Настройка SSSD

С помощью realmd снова файл конфигурации SSSD, т.е. /etc/sssd/sssd.conf
автоматически создается и заполняется, но с adcli
мы должны вручную создать и обновить этот файл. Править /etc/sssd/sssd.conf
и определите один домен (возможно, вам придется создать файл вручную, если файл не существует):

 ~]# cat /etc/sssd/sssd.conf
[СССД]
услуги = nss, pam
config_file_version = 2
домены = GOLINUXCLOUD. COM
[домен/GOLINUXCLOUD. COM]
id_provider = объявление
override_homedir = /home/%d/%u
уровень_отладки = 0
ldap_sasl_authid = SHORT_HOSTNAME$
[нсс]
override_shell=/bin/bash
[пэм] 

Убедитесь /etc/sssd/sssd.conf
принадлежит root:root
и разрешения 600
:

 ~]# chown root:root /etc/sssd/sssd.conf
# chmod 600 /etc/sssd/sssd.conf
~]# ls -l /etc/sssd/sssd.conf
-rw-------. 1 корень root 208 2 марта 17:39 /etc/sssd/sssd.conf 

Включить и запустить/перезапустить службу SSSD

 ~]# systemctl включить sssd
~]# systemctl перезапустить sssd 

Проверить статус sssd.service
:

Как добавить Windows Workstation в Samba AD DC (со скриншотами)

Присоединение/добавление CentOS 8 к контроллеру домена Windows

  Присоединил 'centos-8' к домену dns 'GOLINUXCLOUD. COM'   Ошибка обновления DNS для centos-8.golinuxcloud.com: ERROR_DNS_UPDATE_FAILED
Ошибка обновления DNS: NT_STATUS_UNSUCCESSFUL  

Установка и настройка сервера и клиента FreeIPA (RHEL/CentOS 7)

5.1 Как исправить ошибку «Обновление DNS для ДОМЕНА не удалось. E RROR_DNS_UPDATE_FAILED”?

Вы можете отказаться от каких-либо обновлений DNS при добавлении CentOS 8 в контроллер домена Windows с помощью

 # net ads join -U Администратор golinuxcloud.com 

 # echo "127.0.0.1 `имя хоста` `имя хоста -a`" >> /etc/hosts 

Убедитесь, что IP-адрес DNS-сервера находится в /etc/resolv.conf
. IP-адрес должен быть DNS-сервером, для которого вы хотите обновить новую запись DNS «A».

 # кошка /etc/resolv.conf  поиск golinuxcloud.com
сервер имен 192.168.0.107  

На контроллере домена Windows выберите «Диспетчер DNS» для своего сервера. Выберите свой сервер в зоне прямого просмотра и щелкните правой кнопкой мыши, чтобы открыть свойства
. Выберите Динамические обновления для » Secure only
«или» Nonsecure and secure
» на DNS-сервере Windows.

Затем перезапустите службу DNS, чтобы активировать изменения, и повторите попытку добавить CentOS 8 в контроллер домена Windows

 [root@centos-8 ~]# net ads join -U Администратор golinuxcloud.com 

Проверка соединения между клиентом Linux и Windows AD

Мы можем легко проверить, что сервер является членом домена с testparm
команда.

 [root@centos-8 ~]# testparm
Загрузите файлы конфигурации smb из /etc/samba/smb.conf
Загруженный файл сервисов в порядке.
Роль сервера:
Нажмите Enter, чтобы увидеть дамп определений ваших сервисов.
# Глобальные параметры
[Глобальный] файл журнала = /var/log/samba/log.%m максимальный размер журнала = 50 область = безопасность = реклама оболочка шаблона = /bin/bash Автономный вход в систему winbind = Да рабочая группа = Конфигурация idmap * : размер диапазона = 1000000 Конфигурация idmap *: диапазон = 100000-19999999 Конфигурация idmap * : backend = autorid
[дома] просмотр = нет комментарий = Домашние каталоги наследовать acls = Да только чтение = нет действительные пользователи = %S %D%w%S
[принтеры] просмотр = нет комментарий = Все принтеры создать маску = 0600 путь = /var/tmp для печати = Да
[печать$] комментарий = Драйверы принтера создать маску = 0664 маска каталога = 0775 принудительная группа = @printadmin путь = /var/библиотека/самба/драйверы список записи = корень @printadmin 

После успешного присоединения Linux-сервера к Windows Active Directory важно перезапустить Winbind и включить автоматический запуск службы при загрузке:

 [root@centos-8 ~]# systemctl enable winbind --now 

Проверить статус Winbind
сервис

 [root@centos-8 ~]# systemctl статус winbind
● winbind.service — демон Samba Winbind Загружено: загружено (/usr/lib/systemd/system/winbind.service; включено; предустановка поставщика: отключена) Активен: (работает) с пятницы 18.10.2019 14:48:25 IST; 20 секунд назад Документы: человек:winbindd
 мужчина:самба

мужчина:smb.conf

Основной PID: 1756 (winbindd)
Статус: «winbindd: готов к обслуживанию подключений».
Заданий: 2 (лимит: 11506)
Память: 6,6 М
Группа CG: /system.slice/winbind.service
├─1756 /usr/sbin/winbindd —foreground —no-process-group
└─1758 /usr/sbin/winbindd —foreground —no-process-group

18 октября, 14:48:25 centos-8.golinuxcloud.com systemd[1]: запуск демона Samba Winbind.

Настройка NSS и PAM

Службы, которые могут использовать PAM, настроены с соответствующими модулями PAM, которые они должны использовать в файле в /etc/pam.d
каталог. Может находиться в отдельных файлах, например /etc/pam.d/login
, или через командные файлы, на которые ссылаются многие сервисы (такие как /etc/pam.d/system-auth-ac
).

6.1 В RHEL/CentOS 7

Использовать authconfig
для настройки переключателя службы имен ( /etc/nsswitch.conf
) и стеки PAM (/etc/pam.d/password-auth
и /etc/pam.d/system-auth
)

 [root@centos7 ~]# authconfig --enablesssd --enablesssdauth --enablelocauthorize --enablemkhomedir --update 

Приведенная выше команда изменит и добавит необходимые записи в /etc/nsswitch.conf
, /etc/pam.d/password-aut
ч и /etc/pam.d/system-auth
файлы. Далее включить и запустить/перезапустить oddjobd.service

 ~]# systemctl enable --now oddjobd.service 

Установка и настройка сервера и клиента FreeIPA (RHEL/CentOS 7)

6.2 В RHEL/CentOS 8

authconfig
заменяется на authselect
в RHEL/CentOS 8. Поэтому мы будем использовать authselect
для настройки соответствующих файлов PAM и NSS, которые мы обсуждали в предыдущем разделе.

 [root@centos8 ~]#  authselect select sssd with-mkhomedir --force Резервная копия хранится в /var/lib/authselect/backups/2021-03-02-12-08-32. O2GvBy
Был выбран профиль «sssd».
Следующие карты nsswitch перезаписываются профилем:
- пароль
- группа
- сетевая группа
- автомонтирование
- услуги
Убедитесь, что служба SSSD настроена и включена. Дополнительную информацию см. в документации по SSSD.
- выбран with-mkhomedir, убедитесь, что модуль pam_oddjob_mkhomedir присутствует, и служба oddjobd включена - systemctl включить oddjobd.service - запуск systemctl oddjobd.service 

Далее включить и запустить/перезапустить oddjobd.service

 ~]# systemctl enable --now oddjobd.service 

 # grep sss /etc/nsswitch.conf
: файлы sss systemd
: файлы sss systemd
: сс файлы
: сс файлы
: файлы sss 

Имена баз данных объясняются здесь:

• пароль:
  Это указывает учетные записи пользователей
• тень:
  Обозначает информацию о пароле
• группа:
  Это указывает групповые учетные записи
• услуги:
  Это обозначает разрешение имени службы
• нетгруппа
  : указывает группы хостов, которые можно использовать в правилах управления доступом

.

• автомонтирование:
  Обозначает каталоги, которые будут автоматически монтироваться autofs

.

Действия по присоединению/добавлению CentOS 8 к контроллеру домена Windows (RHEL 8)

Мы можем отобразить конфигурацию, которую sssd использует с PAM
снова используя grep для фильтрации sss из /etc/pam.d/password-auth
и /etc/pam.d/system-auth
файл:

 ~]# grep sss /etc/pam.d/*
:достаточно аутентификации pam_sss.so forward_pass
:account [по умолчанию=плохой успех=ок, user_unknown=игнорировать] pam_sss.so
:достаточный пароль pam_sss.so use_authtok
:сеанс необязательный pam_sss.so
:достаточно аутентификации pam_sss.so forward_pass
:account [по умолчанию=плохой успех=ок, user_unknown=игнорировать] pam_sss.so
:достаточный пароль pam_sss.so use_authtok
:session необязательный pam_sss.so 

Мы видим, что модуль аутентификации используется для всех возможных триггеров:

• автор:
  Это используется во время аутентификации
• счет:
  Это используется для ограничений учетной записи
• пароль:
  Используется для событий смены пароля
• сеанс:
  Это используется во время сеанса входа в систему

Вход в качестве пользователя Active Directory на клиенте Linux

 ~]# id GOLINUXCLOUD\\Администратор
uid = 111800500 (администратор) gid = 111800513 (пользователи домена) groups = 111800513 (пользователи домена), 111800520 (владельцы создателей групповой политики), 111800512 (администраторы домена), 111800572 (группа репликации пароля Rodc запрещена), 111800518 (администраторы схемы), 111800519 (администраторы предприятия) 

 ~]# su - GOLINUXCLOUD\\Администратор
Последний вход: Вт, 2 марта, 17:41:26 IST 2021, pts/0
[administrator@centos8 ~]$ выйти
выйти
[root@centos8 ~]# 

Настройка стека NSS и PAM для аутентификации

 [root@centos8 ~]#  authselect select winbind with-mkhomedir --force Резервная копия хранится в /var/lib/authselect/backups/2021-03-03-19-16-20.jS4CgG.
Был выбран профиль "winbind".
Следующие карты nsswitch перезаписываются профилем:
- пароль
- группа
Убедитесь, что служба winbind настроена и включена. Дополнительную информацию см. в документации по winbind.
- выбран with-mkhomedir, убедитесь, что модуль pam_oddjob_mkhomedir присутствует, и служба oddjobd включена - systemctl включить oddjobd.service - запуск systemctlodjobd.service 

 пароль: файлы winbind
группа: файлы winbind 

Включить и запустить/перезапустить oddjobd
сервиз:

 [root@centos8 ~]# systemctl enable oddjobd --now 

 [root@centos8 ~]# getent passwd GOLINUXCLOUD\\administrator
[root@centos8 ~]# идентификатор GOLINUXCLOUD\\администратор 

15 шагов по настройке Samba Active Directory DC CentOS 8

Подготовка клиента Linux к присоединению к Windows Active Directory

Чтобы добавить CentOS 8 в контроллер домена Windows, нам нужно изменить настройки DNS, чтобы сначала запрашивался DNS-сервер домена Active Directory:

 [root@centos-8 ~]# cat /etc/resolv.conf
# Генерируется NetworkManager  поиск golinuxcloud.com
сервер имен 192.168.0.107  

Здесь 192.168.0.107
это IP-адрес моего Windows Active Directory, который также настроен как DNS-сервер
.

Как захватить дамп последовательной консоли из HPE iLO4 с помощью VSP (со скриншотами)

Чтобы убедиться, что наш сервер может разрешить имя хоста либо через запросы к DNS-серверу, либо к внутреннему /etc/hosts
файл, мы можем использовать getent
команда.

 [root@centos-8 ~]# getent hosts golinuxcloud.com
192.168.0.107 golinuxcloud.com 

Подготовка CentOS

Сначала мы хотим установить все нижеперечисленные пакеты в CentOS.

 yum установить sssd realmd нечетная работа нечетная работа-mkhomedir adcli samba-common samba-common-tools krb5-workstation openldap-clients policycoreutils-python -y 

Сервер CentOS должен иметь возможность разрешать домен Active Directory, чтобы успешно присоединиться к нему. В этом случае мой DNS-сервер в /etc/resolv.conf настроен на один из серверов Active Directory, на которых размещен домен example.com, к которому я хочу присоединиться.

 [root@centos7 ~]#  cat /etc/resolv.conf поиск example.com
сервер имен 192.168.1.2 

Покидая область

 [root@centos7 ~]#  покинуть область example.com  

Лабораторная среда

Для демонстрации в этой статье добавления Linux в домен Windows AD на RHEL/CentOS 7/8 мы будем использовать две виртуальные машины, работающие в Oracle VirtualBox, установленном на моем Linux-сервере

среда виртуализации.

Я написал еще одну статью с шагами по добавлению Linux в домен Windows AD при настройке RHEL/CentOS 8 с использованием Samba winbind

.

У нас есть контроллер домена Active Directory Microsoft Server 2012R2
с IP-адресом и хостом CentOS 8 с IP-адресом. В этой статье я расскажу только о том, как добавить Linux в домен Windows AD на стороне клиента. Итак, в этой статье о добавлении Linux в домен Windows AD требуется предварительно настроенный Windows Active Directory.

Присоединение CentOS к домену Windows

 [root@centos7 ~]#  присоединение к области --user=administrator example.com Пароль для администратора: 

Как только вы введете пароль для вашей конкретной учетной записи, файлы /etc/sssd/sssd.conf и /etc/krb.conf будут автоматически настроены. Это действительно здорово, так как их ручное редактирование обычно приводит к всевозможным тривиальным проблемам при присоединении к домену. В ходе этого процесса также создается файл /etc/krb5.keytab.

Если это не удается, вы можете добавить -v в конец команды для очень подробного вывода, что должно дать вам более подробную информацию о проблеме для дальнейшего устранения неполадок.

Мы можем подтвердить, что находимся в сфере (терминология Linux для домена), выполнив команду «список областей», как показано ниже.

 [root@centos7 ~]#  список областей пример.com тип: керберос имя области: ПРИМЕР. COM доменное имя: example.com настроено: kerberos-член серверное программное обеспечение: активный каталог клиентское ПО: sssd необходимый пакет: нечетная работа необходимый-пакет: одджоб-мхомедир требуемый пакет: sssd требуемый пакет: adcli требуемый пакет: общие инструменты самбы логин-форматы: %  [электронная почта защищена]  политика входа в систему: разрешить вход в область 

После успешного завершения в Active Directory в контейнере компьютеров по умолчанию будет создан объект-компьютер, как показано ниже.

Чтобы все было аккуратно, я предпочитаю перемещать это в какую-то другую организационную единицу (OU) для серверов Linux, а не оставлять вещи в контейнере компьютеров по умолчанию, однако это не имеет большого значения для данного упражнения.

 [root@centos7 ~]#  id администратора id: администратор: нет такого пользователя
[root@centos7 ~]#  идентификатор  [электронная почта защищена]  uid=1829600500(  [электронная почта защищена] ) gid=1829600513(домен  [электронная почта защищена] ) groups=1829600513(домен  [электронная почта защищена] ),1829600512(домен  [электронная почта защищена] ),1829600572(отказано в репликации пароля rodc  [электронная почта защищена] ),1829600519(предприятие  [электронная почта защищена] ),1829600518(схема  [электронная почта защищена] ),1829600520(создатель групповой политики  [электронная почта защищена] ) 

 use_full_qualified_names = Истина
fallback_homedir = /home/%u@%d 

 use_full_qualified_names = False
fallback_homedir = /home/%u 

Чтобы применить эти изменения, перезапустите sssd.

 [root@centos7 ~]#  systemctl перезапустить sssd  

 [root@centos7 ~]#  id администратора uid=1829600500(администратор) gid=1829600513(пользователи домена) groups=1829600513(пользователи домена),1829600512(администраторы домена),1829600572(группа репликации паролей запрещена rodc),1829600520(владельцы создателей групповой политики),1829600519(предприятие администраторы), 1829600518 (администраторы схемы) 

Если это все еще не работает, я предлагаю вам взглянуть на очистку кэша sssd
.

Выход из домена Active Directory

Будут случаи, когда сервер Linux необходимо будет удалить из домена Active Directory. Часто это тот случай, когда он удаляется из одного домена Active Directory перед добавлением в другой домен Active Directory. Если это потребуется, realm
Команда упрощает процесс.

Дополнительный вариант: --remove
гарантирует, что учетная запись компьютера также будет удалена из домена; в противном случае его следует удалить отдельно.

 [root@realm-client ~]#  realm оставить golinuxcloud.com --remove Пароль администратора: 

Использование adcli для присоединения Linux к домену Windows

4.1 Откройте для себя домен AD

Вы можете использовать adcli info
Команда, которая отображает обнаруженную информацию о домене Active Directory или контроллере домена Active Directory.

 [root@centos8 ~]#  adcli info golinuxcloud.com [домен]
доменное имя = GOLINUXCLOUD. COM
короткий домен = GOLINUXCLOUD
домен-лес = GOLINUXCLOUD. COM
контроллер домена = WIN-71HUMTROS3M. GOLINUXCLOUD. COM
сайт-контроллера-домена = имя-сайта-первого-по-умолчанию
domain-controller-flags = pdc gc ldap ds kdc timeserv ближайший доступный для записи good-timeserv full-secret ads-web
пригодный для использования контроллером домена = да
контроллеры домена = WIN-71HUMTROS3M. GOLINUXCLOUD. COM
[компьютер]
компьютер-сайт = имя-сайта по умолчанию 

4.2 Присоединение системы RHEL/CentOS 7/8 к домену Windows AD

adcli join
создает учетную запись компьютера в домене для локальной машины и настраивает keytab для машины. Он не настраивает службу аутентификации (например, sssd).

 [root@centos8 ~]# adcli присоединяйтесь к golinuxcloud.com
Пароль для Administrator@GOLINUXCLOUD. COM: 

Здесь мы получаем » KDC не поддерживает тип шифрования
» потому что наш контроллер домена все еще использует шифрование RC4, которое необходимо включить на клиенте, как я сообщил в разделе предварительных условий
. Эта ошибка относится к ОШИБКЕ, которую вы можете получить, если на контроллере домена не используется шифрование AES.

 [root@centos8 ~]# adcli присоединиться к golinuxcloud.com
Пароль для Administrator@GOLINUXCLOUD. COM: 

Мы можем осмотреть клавиатуру с помощью klist -kt
, который должен отображать несколько записей, содержащих имя хоста клиента в той или иной форме:

 [root@centos8 ~]# klist -kte
Имя вкладки: ФАЙЛ:/etc/krb5.keytab
Временная метка KVNO
---- ------------------ ------------------------------------------ --------------------------- 2 05.03.2021 03:38:03 CENTOS8$@GOLINUXCLOUD. COM (УСТАРЕЛО: arcfour-hmac) 2 05.03.2021 03:38:03 CENTOS8$@GOLINUXCLOUD. COM (aes128-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 CENTOS8$@GOLINUXCLOUD. COM (aes256-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 хост/CENTOS8@GOLINUXCLOUD. COM (УСТАРЕЛО: arcfour-hmac) 2 05.03.2021 03:38:03 хост/CENTOS8@GOLINUXCLOUD. COM (aes128-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 хост/CENTOS8@GOLINUXCLOUD. COM (aes256-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 host/centos8.golinuxcloud.com@GOLINUXCLOUD. COM (УСТАРЕЛО: arcfour-hmac) 2 05.03.2021 03:38:03 host/centos8.golinuxcloud.com@GOLINUXCLOUD. COM (aes128-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 host/centos8.golinuxcloud.com@GOLINUXCLOUD. COM (aes256-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 RestrictedKrbHost/CENTOS8@GOLINUXCLOUD. COM (УСТАРЕЛО: arcfour-hmac) 2 05.03.2021 03:38:03 RestrictedKrbHost/CENTOS8@GOLINUXCLOUD. COM (aes128-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 RestrictedKrbHost/CENTOS8@GOLINUXCLOUD. COM (aes256-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 RestrictedKrbHost/centos8.golinuxcloud.com@GOLINUXCLOUD. COM (УСТАРЕЛО: arcfour-hmac) 2 05.03.2021 03:38:03 RestrictedKrbHost/centos8.golinuxcloud.com@GOLINUXCLOUD. COM (aes128-cts-hmac-sha1-96) 2 05.03.2021 03:38:03 RestrictedKrbHost/centos8.golinuxcloud.com@GOLINUXCLOUD. COM (aes256-cts-hmac-sha1-96) 

Установка и настройка сервера FreeIPA в RHEL/CentOS 8

Настройка доступа по SSH и Sudo

 [root@centos7 ~]#  ssh user1@localhost пароль user1@localhost:
Создание домашнего каталога для пользователя 1. 

Ниже приведен пример этого, группа «sudoers» будет иметь полный root-доступ.

 [root@centos7 ~]#  cat /etc/sudoers.d/sudoers %sudoers ВСЕ=(ВСЕ) ВСЕ 

Имя пользователя тестовой учетной записи — «user1».

 [user1@centos7 ~]$  sudo su [sudo] пароль для user1:
[root@centos7 user1]#
[root@centos7 user1]#  whoami корень