Na podstawie https://ubuntu.com/server/docs/service-sssd-ad.
Opis uwierzytelnienia użytkowników w komputerze z Linux w domenie Active Directory.
Przed rozpoczęciem pracy aby ułatwić sobie późniejszą konfigurację i użytkowanie, upewniamy się, że w naszym systemie nie ma użytkownika o nazwie takiej jak użytkownik domenowy, którego będziemy używać .
Instalujemy potrzebne oprogramowanie.
$ sudo apt install sssd-ad sssd-tools realmd adcliSprawdzamy /etc/hostname oraz /etc/hosts.
$ cat /etc/hostname
moj-komputer
$ cat cat /etc/hostname
127.0.0.1 localhost
::1 localhost
127.0.1.1 moj-komputer.domena.example.local moj-komputerSprawdzamy czy domena jest wykrywana przez DNS.
$ sudo realm -v discover domena.example.localJeżeli mamy problemy z dostępem do domeny to musimy sprawdzić konfigurację DNS. W Ubuntu i Pop-os używany jest lokalny serwer DNS, który domyślnie nie rozwiązuje domen *.local. Konfiguracja DNS.
Dołączamy do domeny
$ sudo realm join -v domena.example.localNarzędzie realm zajęło się już stworzeniem konfiguracji sssd, dodaniem modułów pam i nss oraz uruchomieniem niezbędnych usług.
Teraz musimy sprawdzić konfigurację /etc/sssd/sssd.conf:
[sssd]
domains = domena.example.local
config_file_version = 2
services = nss, pam
[domain/domena.example.local]
default_shell = /bin/bash
krb5_store_password_if_offline = True
cache_credentials = True
krb5_realm = DOMENA.EXAMPLE.LOCAL
realmd_tags = manages-system joined-with-adcli
id_provider = ad
fallback_homedir = /home/%u@%d
ad_domain = domena.example.local
use_fully_qualified_names = True
ldap_id_mapping = True
access_provider = adPlik musi mieć uprawnienia 0600 i własność root:root
Włączamy i uruchamiamy ponownie serwis sssd
$ sudo systemctl enable sssd
$ sudo systemctl restart sssdAutomatyczne tworzenie katalogu domowego dla użytkowników domenowych
$ sudo pam-auth-update --enable mkhomedirDodanie obsługi Kerberos
$ sudo apt install krb5-userKonfiguracja pliku /etc/krb5-user.conf
[libdefaults]
default_realm = DOMENA.EXAMPLE.LOCAL
rdns = no
dns_lookup_kdc = true
dns_lookup_realm = true
[realms]
DOMENA.EXAMPLE.LOCAL = {
kdc = kontroler_domeny.domena.example.local
admin_server = kontroler_domeny.domena.example.local
}Testowanie biletu Kerberos
$ kinit user@domena.example.local
$ klistAby zalogować się pierwszy raz do pulpitu za pomocą użytkownika Active Directory wybieramy na ekranie logowania „Nie wymienione” i wpisujemy użytkownika domenowego w formacie user@domena.example.local.
