Главная » Linux

Alt linux active directory

На чтение 6 мин Просмотров 1 Опубликовано
Содержание
  1. ActiveDirectory/Login/DC
  2. Описание
  3. Параметры конфигурации домена
  4. Winbind
  5. Установка пакетов
  6. Изменение файлов конфигурации
  7. krb5.conf
  8. smb.conf
  9. nsswitch.conf
  10. Настройка аутентификации
  11. SSSD
  12. Установка пакетов
  13. Изменение файлов конфигурации
  14. krb5.conf
  15. sssd.conf
  16. smb.conf
  17. nsswitch.conf
  18. Настройка аутентификации
  19. Генерация keytab файла
  20. Сервисы
  21. Роли
  22. Групповые политики
  23. SSH

ActiveDirectory/Login/DC

Настройка аутентификации доменных пользователей на контроллере домена (Samba в режиме AD DC) через SSSD.

Примечание: Это временное решение. В будущем реализация данной задачи запланирована на системном уровне.

Внимание! На текущий момент (samba 4.16.7-alt5, gpupdate 0.9.12.2-alt2) данный метод не позволяет применять групповые политики на контроллере домена.

Внимание! На текущий момент (samba 4.16.7-alt5, sssd 2.8.1-alt1) для директории /var/lib/samba/sysvol SID’ы домена не корректно транслируются в UNIX user id и group id.

  • 1 Описание
  • 2 Параметры конфигурации домена
  • 3 Winbind
    • 3.1 Установка пакетов
    • 3.2 Изменение файлов конфигурации
      • 3.2.1 krb5.conf
      • 3.2.2 smb.conf
      • 3.2.3 nsswitch.conf
      • 4.1 Установка пакетов
      • 4.2 Изменение файлов конфигурации
        • 4.2.1 krb5.conf
        • 4.2.2 sssd.conf
        • 4.2.3 smb.conf
        • 4.2.4 nsswitch.conf

        Описание

        Контроллер домена в рамках доменной инфраструктуры является, в том числе, ещё одной машиной и имеет соответствующий машинный аккаунт. После применения настроек, описанных ниже, машина с контроллером домена сможет выполнять, в том числе, и функции обычного члена домена, такие как:

        • Аутентификация доменными пользователями (в том числе по ssh)
        • Применение групповых политик
        • Всё, что поддерживает обычная клиентская машина (в качестве клиента SSSD или WinBind)

        В качестве клиента на контроллере домена можно использовать как WinBind, так и SSSD (с ограничениями).

        Внимание! В качестве клиента на контроллере домена рекомендуется использовать WinBind. Использование SSSD не желательно.

        Параметры конфигурации домена

        В данной статье в качестве примера используются следующие параметры конфигурации доменной инфраструктуры:

        Параметр Значение
        Имя домена DOMAIN.ALT
        Рабочая группа DOMAIN
        Имя компьютера в Netbios DC0
        Имя пользователя-администратора Administrator
        Пароль администратора Pa$$word

        Winbind

        Установка пакетов

        Необходимо установить следующие пакеты:

        # apt-get install task-auth-ad-winbind gpupdate

        Изменение файлов конфигурации

        krb5.conf

        Необходимо убедиться, что в файле /etc/krb5.conf заданы следующие параметры:

        [logging] [libdefaults] dns_lookup_kdc = true dns_lookup_realm = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = DOMAIN.ALT [realms] [domain_realm]

        smb.conf

        Необходимо убедиться, что в файле /etc/samba/smb.conf заданы следующие параметры:

        Остальное содержимое файла должно соответствовать аналогичному файлу на обычных клиентах домена.

        [global] realm = DOMAIN.ALT workgroup = DOMAIN netbios name = DC0 kerberos method = dedicated keytab dedicated keytab file = /etc/krb5.keytab dns forwarder = 8.8.8.8 server role = active directory domain controller template shell = /bin/bash template homedir = /home/%D/%U wins support = no winbind use default domain = yes winbind enum users = no winbind enum groups = no winbind refresh tickets = yes winbind offline logon = yes [netlogon] path = /var/lib/samba/sysvol/domain/scripts read only = No [sysvol] path = /var/lib/samba/sysvol read only = No

        nsswitch.conf

        Необходимо убедиться, что в файле /etc/nsswitch.conf заданы следующие параметры:

        • passwd: files winbind systemd
        • shadow: tcb files winbind
        • group: files [SUCCESS=merge] winbind role systemd
        passwd: files winbind systemd shadow: tcb files winbind group: files [SUCCESS=merge] winbind systemd role gshadow: files hosts: files myhostname dns ethers: files netmasks: files networks: files protocols: files rpc: files services: files automount: files aliases: files

        Настройка аутентификации

        Необходимо переключить PAM-стэк на использование winbind модуля для аутентификации:

        # control system-auth winbind

        SSSD

        Установка пакетов

        Необходимо установить следующие пакеты:

        # apt-get install task-auth-ad-sssd gpupdate

        Изменение файлов конфигурации

        krb5.conf

        Необходимо убедиться, что в файле /etc/krb5.conf заданы следующие параметры:

        includedir /etc/krb5.conf.d/ [logging] [libdefaults] dns_lookup_kdc = true dns_lookup_realm = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true rdns = false default_realm = DOMAIN.ALT [realms] [domain_realm]

        sssd.conf

        Необходимо убедиться, что в файле /etc/sssd/sssd.conf заданы следующие параметры:

        Остальное содержимое файла должно соответствовать аналогичному файлу на обычных клиентах домена.

        [sssd] config_file_version = 2 services = nss, pam # Managed by system facility command: ## control sssd-drop-privileges unprivileged|privileged|default user = root # SSSD will not start if you do not configure any domains. domains = DOMAIN.ALT [nss] [pam] [domain/DOMAIN.ALT] id_provider = ad auth_provider = ad chpass_provider = ad access_provider = ad default_shell = /bin/bash fallback_homedir = /home/%d/%u debug_level = 0 ad_gpo_ignore_unreadable = true ad_gpo_access_control = permissive ad_maximum_machine_account_password_age = 0

        smb.conf

        Необходимо убедиться, что в файле /etc/samba/smb.conf заданы следующие параметры:

        Остальное содержимое файла должно соответствовать аналогичному файлу на обычных клиентах домена.

        [global] realm = DOMAIN.ALT workgroup = DOMAIN netbios name = DC0 kerberos method = dedicated keytab dedicated keytab file = /etc/krb5.keytab dns forwarder = 8.8.8.8 server role = active directory domain controller template shell = /bin/bash template homedir = /home/%D/%U wins support = no winbind use default domain = yes winbind enum users = no winbind enum groups = no winbind refresh tickets = yes winbind offline logon = yes idmap config * : range = 200000-2000200000 idmap config * : backend = sss [netlogon] path = /var/lib/samba/sysvol/domain/scripts read only = No [sysvol] path = /var/lib/samba/sysvol read only = No

        nsswitch.conf

        Необходимо убедиться, что в файле /etc/nsswitch.conf заданы следующие параметры:

        • passwd: files sss systemd
        • shadow: tcb files sss
        • group: files [SUCCESS=merge] sss role systemd
        passwd: files sss systemd shadow: tcb files sss group: files [SUCCESS=merge] sss systemd role gshadow: files hosts: files myhostname dns ethers: files netmasks: files networks: files protocols: files rpc: files services: files automount: files aliases: files

        Настройка аутентификации

        Необходимо переключить PAM-стэк на использование sss модулей для аутентификации:

        Генерация keytab файла

        Необходимо сгенерировать системный keytab файл для машинного аккаунта контроллера домена. Для этого следует выполнить следующую команду:

        Сервисы

        Необходимо отключить сервис nscd:

        # systemctl disable --now nscd

        В заключении, если используется схема с SSSD клиентом, то необходимо запустить и включить автоматический запуск для сервиса sssd:

        # systemctl enable --now sssd

        Роли

        Необходимо указать, какие локальные роли каким группам домена соответствуют.

        Обычные пользователи домена (Domain Users) соответствуют локальной роли users:

        # roleadd 'domain users' users

        Администраторы домена (Domain Admins) соответствуют локальной роли localadmins:

        # roleadd 'domain admins' localadmins

        Внимание! В русскоязычных версиях MS Windows Server встроенные группы «Domain Users» и «Domain Admins» имеют русифицированные названия «Пользователи домена» и «Администраторы домена»

        Групповые политики

        Для включения поддержки групповых политик необходимо выполнить:

        # gpupdate-setup enable --local-policy ad-domain-controller

        Внимание! Работа групповых политик на контроллере домена c SSSD клиентом может быть не стабильной

        SSH

        Следует убедиться, что удалённый доступ по ssh разрешён только Администраторам домена:

        # control sshd-allow-groups enabled # control sshd-allow-groups-list remote

        При необходимости можно разрешить аутентификацию по Kerberos билетам:

        # control sshd-gssapi-auth enabled

        В заключении, необходимо перезапустить сервис sshd:

        Источник

        Читайте также:  Ubuntu linux sources list
Оцените статью
© 2023 Posetke
Adblock
detector