Windows AD डोमेन में Linux मशीन sssd और krb5 का उपयोग करके

उबंटू मशीन को विंडोज डोमेन में दर्ज करने की आवश्यकता थी। इन उद्देश्यों के लिए, सांबा और विनबिंड का आमतौर पर उपयोग किया जाता है। लेकिन sssd के साथ एक विकल्प संभव है, इसके बारे में एक संक्षिप्त गाइड।

उदाहरण के लिए, हम उपयोग करेंगे:

डोमेन = contoso.com
डोमेन नियंत्रक = dc.contoso.com

Ubuntu टर्मिनल लॉन्च करें:

1. रूट पर स्विच करें

sudo -i 

2. आवश्यक पैकेज स्थापित करें

 apt install sssd heimdal-clients msktutil 

3. हम /etc/krb5.conf को संपादित करते हैं, टैब इंडेंट्स के रूप में उपयोग किए जाते हैं

 [libdefaults] default_realm = CONTOSO.COM [realms] CONTOSO.COM = { kdc = DC admin_server = dc.contoso.com default_domain = contoso.com } [login] krb4_convert = true krb4_get_tickets = false [domain_realm] .contoso.com = CONTOSO.COM contoso.com = CONTOSO.COM 

4. फ़ाइल / आदि / होस्ट को संपादित करें, इस मेजबान के लिए FQDN निर्दिष्ट करें:

 127.0.0.1 localhost 127.0.1.1 <hostname>.contoso.com <hostname> 

5. हम डोमेन व्यवस्थापक की ओर से एक केर्बरोस टिकट प्राप्त करने का प्रयास करते हैं:

 root@ubuntu:~# kinit YourDomainAdmin YourDomainAdmin@CONTOSO.COM's Password: 

हम जाँच करते हैं:

 root@ubuntu:~# klist Credentials cache: FILE:/tmp/krb5cc_0 Principal: YourDomainAdmin@CONTOSO.COM Issued Expires Principal Dec 1 15:08:27 2018 Dec 2 01:08:22 2018 krbtgt/CONTOSO.COM@CONTOSO.COM 

यदि टिकट सफलतापूर्वक प्राप्त होता है, तो अब इस मेजबान के लिए केर्बरोस प्रिंसिपल उत्पन्न हो सकते हैं, रजिस्टर महत्वपूर्ण है:

 msktutil -c -b 'CN=YourComputersOU' -s HOST/HOSTNAME.contoso.com -k /etc/sssd/HOSTNAME.keytab --computer-name HOSTNAME --upn HOSTNAME$ --server dc.contoso.com —user-creds-only msktutil -c -b 'CN=YourComputersOU' -s HOST/HOSTNAME -k /etc/sssd/HOSTNAME.keytab --computer-name HOSTNAME --upn HOSTNAME$ --server dc.contoso.com --user-creds-only 

अब हमारे मेजबान को निर्देशिका में कंप्यूटर की सूची में दिखाई देना चाहिए। यदि ऐसा है, तो प्राप्त करबरोस टिकट को हटा दें:

 kdestroy 

6. निम्नलिखित सामग्री के साथ फ़ाइल /etc/sssd/sssd.conf बनाएं:

 [sssd] services = nss, pam config_file_version = 2 domains = contoso.com [nss] entry_negative_timeout = 0 debug_level = 3 [pam] debug_level = 3 [domain/contoso.com] debug_level = 3 ad_domain = contoso.com ad_server = dc.contoso.com enumerate = false id_provider = ad auth_provider = ad chpass_provider = ad access_provider = simple simple_allow_groups = users #   ,  .   —       . ldap_schema = ad ldap_id_mapping = true fallback_homedir = /home/%u default_shell = /bin/bash ldap_sasl_mech = gssapi ldap_sasl_authid = <HOSTNAME>$ ldap_krb5_init_creds = true krb5_keytab = /etc/sssd/<HOSTNAME>.keytab 

Sssd config फाइल पैरामीटर्स का विवरण यहां पाया जा सकता है

Sssd.conf फ़ाइल के लिए अनुमतियाँ सेट करें:

 chmod 600 /etc/sssd/sssd.conf 

SSSD सेवा को पुनरारंभ करें

 service sssd restart 

7. PAM सेटिंग्स का संपादन

बुरा समाधान:

लाइन के बाद फ़ाइल /etc/pam.d/common-session संपादित करें

 session required pam_unix.so 

लाइन जोड़ें

 session required pam_mkhomedir.so skel=/etc/skel umask=0022 

अच्छा समाधान:

PAM सिस्टम सेटिंग्स के माध्यम से मापदंडों को ओवरराइड करें, कॉल करें

 pam-auth-update 

और sss की स्थिति और मेकहोमिर आइटम जांचें । यह स्वचालित रूप से जोड़ देगा
आम-सत्र में ऊपर दी गई लाइन और सिस्टम को अपडेट करते समय इसे अधिलेखित नहीं किया जाएगा।

अब हम मशीन पर उन डोमेन उपयोगकर्ताओं को लॉग इन कर सकते हैं जिन्हें लॉग इन करने की अनुमति है।

PS: आप sudo डोमेन समूहों का उपयोग करने का अधिकार दे सकते हैं। विज़ुडो का उपयोग करते हुए, फ़ाइल / etc / sudoers, या बेहतर को संपादित करें, जैसा कि maxzhurkin और iluvar अनुशंसा करते हैं , /etc/sudoers.d/ में एक नई फ़ाइल बनाएं और इसे संपादित करें

 visudo -f /etc/sudoers.d/_ 

आवश्यक समूह जोड़ें - उदाहरण के लिए, डोमेन एडमिंस (यदि समूह के नाम में रिक्त स्थान हैं - उन्हें बच जाना चाहिए):

 %Domain\ Admins ALL=(ALL) ALL 

PSS: realmd पर जानकारी के लिए धन्यवाद gotch यह बहुत सुविधाजनक है - यदि विशिष्ट सेटिंग्स की आवश्यकता नहीं है, तो एक मशीन को एक डोमेन में प्रवेश करना, वास्तव में, तीन आज्ञाओं को पूरा करता है:
1. आवश्यक पैकेज स्थापित करें:

 sudo apt install realmd samba-common-bin samba-libs sssd-tools krb5-user adcli 

2. जांचें कि हमारा डोमेन नेटवर्क पर दिखाई दे रहा है:

 realm discover contoso.com 

3. मशीन को डोमेन में दर्ज करें:

 sudo realm --verbose join contoso.com -U YourDomainAdmin --install=/ 

4. PAM सेटिंग्स का संपादन

 sudo pam-auth-update 

इस विकल्प का एक अतिरिक्त प्लस डोमेन के फ़ाइल संसाधनों पर एंड-टू-एंड प्राधिकरण है।

लॉगिन के अलावा एक डोमेन निर्दिष्ट नहीं करने के लिए, आप एक डिफ़ॉल्ट प्रत्यय जोड़ सकते हैं। फ़ाइल में /etc/sssd/sssd.conf, [sssd] ब्लॉक में, लाइन जोड़ें:

 default_domain_suffix = contoso.com