Muchos manuales en línea muestran cómo usar Samba y Winbind para unir Linux a un dominio de Active Directory. En este artículo, mostraremos una forma alternativa de agregar su computadora o servidor Linux al dominio usando reino (descubrimiento del reino) y SSSD (Demonio de servicios de seguridad del sistema). En este artículo, le mostraremos cómo unir el servidor CentOS 8.1 a su dominio de Active Directory (basado en Servidor Windows 2016).
Realmd le permite configurar la autenticación y la pertenencia al dominio (en AD o IPA/FreeIPA) sin configuraciones complejas. La información del dominio se descubre automáticamente. Realmd usa SSSD para autenticar y verificar las cuentas de usuario.
Para unirse con éxito a un dominio de Active Directory, debe cumplir con los siguientes requisitos en su servidor CentOS:
- Configure la sincronización de tiempo con el controlador de dominio de Active Directory (y su DC con el CDP papel debe sincronizar la hora con el servidor NTP externo). De lo contrario, SSSD no puede funcionar correctamente. Este servicio solo es compatible con Kerberos (y no se puede usar para la autenticación mediante NTLM). En consecuencia, la diferencia horaria entre DC y el cliente Linux no debe ser superior a 5 minutos.
- En Linux Centos, debe configurar el cliente DNS para usar el servicio DNS en los controladores de dominio.
Instale el cliente NTP (chrony) en CentOS:
# yum install -y chrony
Luego, en el archivo de configuración /etc/chrony.conf, especifique los FQDN o las direcciones IP de los servidores NTP para la sincronización (estos pueden ser sus controladores de dominio AD):
# nano /etc/chrony.conf server dc01.test.com iburst
Inicie el servicio NTP y agréguelo al inicio automático:
# systemctl start chronyd # systemctl enable chronyd
Ahora agregue las direcciones de los servidores DNS que son responsables de resolver nombres en su dominio de Active Directory a su archivo /etc/resolv.conf:
# nano /etc/resolv.conf search test.com nameserver 192.168.1.201 nameserver 192.168.1.200
Ahora instale los paquetes necesarios desde los repositorios de CentOS:
# yum install adcli krb5-workstation realmd sssd
Nota. Si está utilizando otra distribución de Linux o una versión anterior de CentOS, asegúrese de que la versión del paquete SSSD sea posterior a la 1.9.0. El soporte completo para AD en SSDD apareció solo desde esta versión. En nuestro ejemplo, se utiliza sssd-2.2.
Verifique que la herramienta de rearme pueda descubrir su dominio AD:
# realm discover test.com --verbos
Si la utilidad detecta con éxito su dominio AD, aparecerá la siguiente respuesta:
* Resolviendo: _ldap._tcp.test.com
* Realización de búsqueda LDAP DSE en: 192.168.1.201
* Descubierto con éxito: test.com
test.com
tipo: Kerberos
nombre del reino: TEST.COM
nombre de dominio: test.com
configurado: no
software de servidor: directorio activo
software-cliente: sssd
paquete requerido: trabajo extraño
paquete requerido: oddjob-mkhomedir
paquete requerido: sssd
paquete requerido: adcli
paquete-requerido: samba-common-tools
Ahora especifique los valores de los atributos de AD Sistema operativo y versión del sistema operativo en el archivo de configuración /etc/realmd.conf:
# nano /etc/realmd.conf [active-directory] os-name = CentOS Linux os-version = 8.1.1911 (Core)
Ahora puede unir su servidor CentOS al dominio de Active Directory. Para hacer esto, use el unirse al reino dominio. En el siguiente comando, especificamos el nombre de usuario con los permisos para agregar la computadora al dominio y el Unidad organizacional en el que quieres poner la cuenta de tu ordenador Linux.
# realm join --user=jbrion --computer-ou="OU=Servers,OU=UK,DC=test,DC=com" test.com
La utilidad le pedirá la contraseña de usuario de AD. Después de ejecutar el comando, abra el Consola de usuarios y equipos de Active Directory (dsa.msc), y asegúrese de que la cuenta de su servidor CentOS aparezca en el contenedor AD especificado.
ejecutar el lista de reinos comando y verifique que el software de servidor: directorio activo aparece la línea. Esto significa que este servidor es miembro de un dominio de Active Directory.
Para no especificar el nombre de dominio completo cuando los usuarios inician sesión, puede agregar la línea al archivo /etc/sssd/sssd.conf:
use_fully_qualified_names = False
Recomendado para ti
