Romych: /* Проверка */

2019-08-26T15:35:50Z

Проверка

Нова сторінка

== Подготовка ==

=== Имя локального компьютера ===

Проверьте имя компьютера: в файле <code>/etc/hostname</code> должна быть единственная строка с именем типа <code>zd10</code> - как на наклейке на корпусе компьютера.

cat /etc/hostname

=== IP адрес локального компьютера ===

Проверить локальный IP адрес можно или через настройки сети (<code>Wired Settings</code>), или командой:

hostname -I

IP адрес должен быть вида <code>192.168.1.110</code>, где последние две цифры берутся из имени компьютера. Назначается статичный IP адрес на роутере: http://192.168.1.1/#home.hosts

В настройках сети нужно прописать в качестве основного DNS сервера наш контроллер домена <code>192.168.1.102</code>:

* '''IPv4 Method''': Manual
* '''Addresses''':
** Address: <code>192.168.1.110</code> ''(IP локального компьютера)''
** Netmask: <code>255.255.255.0</code>
** Gateway: <code>192.168.1.10</code> ''(роутер, основной DHCP сервер)''
* '''DNS''':
** Automatic: OFF
** DNS: <code>192.168.1.102</code>

В файл <code>/etc/hosts</code> добавить строку с IP и именем компьютера, в т.ч. с полным именем в домене Active Directory:

sudo vim /etc/hosts

192.168.1.110 zd10 zd10.zd.zina.com.ua

Протестировать:

ping zd10
ping zd10.zd.zina.com.ua
ping zd.zina.com.ua
ping nas.zd.zina.com.ua
ping tserver.zd.zina.com.ua

systemd-resolve --status
nslookup zd.zina.com.ua

dig -t SRV _ldap._tcp.zd.zina.com.ua | grep -A2 "ANSWER SECTION"

=== Синхронизация времени с доменом ===

sudo apt install ntpdate
sudo ntpdate -q zd.zina.com.ua
sudo ntpdate zd.zina.com.ua

== Настройка ==

sudo apt install realmd krb5-user sssd sssd-tools adcli

Во время установки будет заданы вопросы:

{| cellpadding="10" border="1" style="border-collapse:collapse"
|-
| Default Kerberos version 5 realm: || <code>ZD.ZINA.COM.UA</code>
|-
| Kerberos servers for your realm: || <code>zd.zina.com.ua</code>
|-
| Administrative server for your Kerberos realm: || <code>zd.zina.com.ua</code>
|}

=== krb5.conf ===

sudo vim /etc/krb5.conf

<source lang="bash">
[libdefaults]
default_realm = ZD.ZINA.COM.UA
ticket_lifetime = 24h
renew_lifetime = 7d
dns_lookup_realm = false
dns_lookup_kdc = false
default_ccache_name = KEYRING:persistent:%{uid}
rdns = false{code}

[realms]
ZD.ZINA.COM.UA = {
kdc = zd.zina.com.ua
admin_server = zd.zina.com.ua
default_domain = zd.zina.com.ua
}

[domain_realm]
.zd.zina.com.ua = ZD.ZINA.COM.UA
zd.zina.com.ua = ZD.ZINA.COM.UA
</source>

=== Автосоздание домашней папки ===

sudo pam-auth-update

Отметьте звездочкой пункт "Create home directory on login".

=== realmd.conf ===

Создайте новый файл <code>realmd.conf</code>:

sudo vim /etc/realmd.conf

<source lang="bash">
[users]
default-home = /home/%U@%D
default-shell = /bin/bash

[active-directory]
default-client = sssd
os-name = Ubuntu Workstation
os-version = 18.04

[service]
automatic-install = no

[zd.zina.com.ua]
fully-qualified-names = no
automatic-id-mapping = yes
user-principal = yes
manage-system = no
</source>

=== Присоединиться к домену ===

sudo realm -v join zd.zina.com.ua

=== sssd.conf ===

В файле <code>/etc/sssd/sssd.conf</code> поменять строку:

sudo vim /etc/sssd/sssd.conf

<source lang="bash">
[sssd]
domains = zd.zina.com.ua
config_file_version = 2
services = nss, pam

[domain/zd.zina.com.ua]
ad_domain = zd.zina.com.ua
krb5_realm = ZD.ZINA.COM.UA
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = True
fallback_homedir = /home/%u@%d
access_provider = ad
simple_allow_users = $, romych
simple_allow_groups = linux@zd.zina.com.ua
</source>

Проверить:

sudo sssd config-check
systemctl status sssd.service

Перезапустить <code>sssd</code>:

sudo systemctl restart sssd.service

== Добавить пользователя ==

Добавить пользователя через Enterprise Login с выводом служебных сообщений в терминале:

gnome-control-center -v user-accounts

== Проверка ==

Список доменов:

realm list

Проверить настройки:

realm -v discover zd.zina.com.ua
KRB5_TRACE=/dev/stdout kinit Administrator

realm join zd.zina.com.ua
realm -v join zd.zina.com.ua --user-principal=ZD10/administrator@ZD.ZINA.COM.UA --unattended

Проверка авторизации (наличие билетов Kerberos для пользователя Administrator):

kinit Administrator@ZD.ZINA.COM.UA
kinit Administrator

Если вы не получили никаких ошибок - значит вы настроили всё верно и домен отдаёт вам билет Kerberos.

Убедиться в том, что билет получен, можно выполнив команду:

klist

Удалить все билеты можно командой:

kdestroy

Получить информацию по пользователю:

id romych@zd.zina.com.ua

Зайти под юзером:

su - romych@zd.zina.com.ua

Выйти из домена:

realm leave ZD.ZINA.COM.UA

== Добавление пользователя в группу sudo ==

sudo vim /etc/sudoers

Добавить группу Linux с сервера Active Directory:

%admin ALL=(ALL) ALL
%linux@zd.zina.com.ua ALL=(ALL:ALL) ALL

Также можно добавить отдельного пользователя:

root ALL=(ALL:ALL) ALL
username@zd.zina.com.ua ALL=(ALL:ALL) ALL

= Устарело =

<div class="note">
sudo apt install ntp sssd sssd-tools adcli samba-common-bin resolvconf
</div>

== Синхронизация времени с сервером ==

sudo apt install ntp

Прописать сервер, с которым будет синхронизироваться время:

sudo vim /etc/systemd/timesyncd.conf

<source lang="bash">
[Time]
NTP=pool.ntp.org
</source>

Активировать синхронизацию:

sudo timedatectl set-ntp true

Проверить синхронизацию времени:

timedatectl status

== DNS и домен .local ==

=== DNS ===

[https://itsfoss.com/resolvconf-permanent-ubuntu/ How To Make Changes In resolv.conf Permanent in Ubuntu [Quick Tip] - It's FOSS]

sudo vim /etc/dhcp/dhclient.conf

Раскомментировать две строки и поменять значения:

supersede domain-name "zd.zina.com.ua";
prepend domain-name-servers 192.168.1.102;

[https://datawookie.netlify.com/blog/2018/10/dns-on-ubuntu-18.04/ DNS on Ubuntu 18.04 - datawookie]

Добавить в файл строки:

sudo vim /etc/resolvconf/resolv.conf.d/head

<source lang="bash">
domain zd.zina.com.ua
search zd.zina.com.ua
nameserver 192.168.1.102
</source>

Перезапустить сервис:

sudo service resolvconf restart
sudo service systemd-resolved restart

Протестировать:

systemd-resolve --status
nslookup zd.zina.com.ua

=== .local ===

С доменами .local есть проблема:

* https://andrewgdotcom.wordpress.com/2007/09/28/avahi-and-dot-local-addresses-on-ubuntu-gutsy/
* https://askubuntu.com/questions/1068131/ubuntu-18-04-local-domain-dns-lookup-not-working

Для решения этой проблемы:

sudo vim /etc/nsswitch.conf

<source lang="bash">
#hosts: files mdns4_minimal [NOTFOUND=return] dns mdns4
hosts: files mdns4_minimal dns mdns4
</source>

<div class="note">
Есть два варианта решения - с avahi и без. Подробнее здесь: [https://askubuntu.com/questions/1068131/ubuntu-18-04-local-domain-dns-lookup-not-working networking - Ubuntu 18.04 .local domain dns lookup not working - Ask Ubuntu]

Первый вариант:

sudo vim /etc/avahi/avahi-daemon.conf

<source lang="bash">
[server]
domain-name=.alocal
</source>

Второй вариант:

Удалить avahi.

sudo rm -f /etc/resolv.conf
sudo ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf

</div>

sudo vim /etc/systemd/resolved.conf

<source lang="bash">
[Resolve]
Domains=zd.local
</source>

Перезапустить сеть и сервисы:

sudo /etc/init.d/networking restart
sudo service systemd-resolved restart
sudo service avahi-daemon restart

Протестировать:

dig -t SRV _ldap._tcp.zd.zina.com.ua | grep -A2 "ANSWER SECTION"
nslookup zd.zina.com.ua
ping zd.zina.com.ua
ping nas.zd.zina.com.ua
ping tserver.zd.zina.com.ua

== Samba ==

sudo apt install samba-common-bin libpam-winbind winbind

sudo vim /etc/samba/smb.conf

<source lang="bash">
[global]

## Browsing/Identification ###

# Change this to the workgroup/NT-domain name your Samba server will part of
workgroup = ZD
client signing = yes
client use spnego = yes
kerberos method = secrets and keytab
realm = ZD.ZINA.COM.UA
security = ads
</source>

== Ссылки ==

* [https://habr.com/ru/post/174407/ Linux в домене Active Directory / Хабр]
* [https://www.tux.in.ua/articles/3117 PowerBroker Identity Services Open Edition – решение для интеграции Linux в Active Directory | Linuxoid]
* [http://itband.ru/2010/03/active-directory-works-with-dns/ ITband.ru » Взаимодействие Active Directory и DNS]
* [https://toster.ru/q/275686 Как правильно настроить dns-клиент в сети с active directory? — Toster.ru]
* [https://www.ghacks.net/2009/08/02/manage-your-active-directory-from-linux-with-adtool/ Manage your Active Directory from Linux with adtool - gHacks Tech News]

История настройки - по мотивам инструкций:

* [https://help.ubuntu.com/lts/serverguide/sssd-ad.html.en#sssd-ad-samba SSSD and Active Directory] - официальная документация Ubuntu
* [https://bitsofwater.com/2018/05/08/join-ubuntu-18-04-to-active-directory/ Join Ubuntu 18.04 to Active Directory | Bits Of Water – IT Technology]
* [https://www.server-world.info/en/note?os=Ubuntu_18.04&p=realmd Ubuntu 18.04 LTS : Join in Active Directory Domain : Server World]
* [https://www.unixmen.com/how-to-join-an-ubuntu-desktop-into-an-active-directory-domain/ How to Join An Ubuntu Desktop Into An Active Directory Domain | Unixmen] - также видео: https://www.youtube.com/watch?v=TkUUZSB5Y74
* [https://help.ubuntu.ru/wiki/%D0%B2%D0%B2%D0%BE%D0%B4_%D0%B2_%D0%B4%D0%BE%D0%BC%D0%B5%D0%BD_windows Ввод компьютера в домен Windows | Русскоязычная документация по Ubuntu]
* [https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/windows_integration_guide/sssd-ad Chapter 2. Using Active Directory as an Identity Provider for SSSD - Red Hat Customer Portal]
* [https://www.youtube.com/watch?v=6EJbcLWYD94 Joining Ubuntu to Active Directory Part 2 - YouTube]

== См. также ==

* [[Active Directory]]

Авторизация в Active Directory на Linux - Історія редагувань

Romych: /* Проверка */