Tìm kiếm trang web

Tham gia miền Ubuntu 20.04|18.04/Debian 10 vào miền Active Directory (AD)

Câu hỏi: Làm cách nào tôi có thể kết nối Ubuntu 20.04|18.04 với miền Windows?, tôi có thể kết nối Debian 10 với miền Active Directory không?. Bài viết này được viết để chỉ cho bạn cách sử dụng realmd để kết nối máy chủ hoặc Máy tính để bàn Ubuntu 20.04|18.04/Debian 10 với miền Active Directory. Miền Active Directory là trung tâm thông tin người dùng trong hầu hết các môi trường công ty.

Ví dụ: trong cơ sở hạ tầng của Công ty tôi, yêu cầu quan trọng là tất cả người dùng phải được xác thực với tất cả các hệ thống Linux bằng thông tin xác thực Active Directory. Điều này sẽ hoạt động cho cả bản phân phối Linux dựa trên Debian và Red Hat. Trước đó tôi đã viết hướng dẫn cho RHEL/CentOS, hãy kiểm tra nó từ liên kết bên dưới.

  • Cách tham gia hệ thống CentOS 8/RHEL 8 vào miền Active Directory (AD)

Hướng dẫn này sẽ minh họa cách định cấu hình SSSD để truy xuất thông tin từ các miền trong cùng một Rừng tài nguyên Active Directory. nếu bạn đang làm việc với nhiều nhóm AD, hướng dẫn này có thể không phù hợp với bạn. Chúng tôi cũng sẽ đi xa hơn và định cấu hình quy tắc sudo cho người dùng đăng nhập thông qua AD. Dưới đây là sơ đồ mô tả quá trình thiết lập và cách thiết lập hoạt động.

Vì vậy, hãy làm theo các bước dưới đây để tham gia miền Ubuntu 20.04|18.04/Debian 10 To Active Directory (AD).

Bước 1: Cập nhật chỉ mục APT của bạn

Bắt đầu bằng cách cập nhật hệ thống Ubuntu/Debian Linux của bạn.

sudo apt -y update

Điều này rất cần thiết vì quá trình cài đặt có thể không thành công nếu máy chủ mới được cài đặt.

Đối với Ubuntu 18.04, hãy thêm các kho lưu trữ sau vào tệp sources.list của bạn.

sudo tee -a /etc/apt/sources.list <<EOF
deb http://us.archive.ubuntu.com/ubuntu/ bionic universe
deb http://us.archive.ubuntu.com/ubuntu/ bionic-updates universe
EOF

Bước 2: Đặt tên máy chủ & DNS

Đặt tên máy chủ phù hợp cho máy chủ của bạn với thành phần miền chính xác.

sudo hostnamectl set-hostname myubuntu.example.com

Xác nhận tên máy chủ của bạn:

$ hostnamectl
   Static hostname: myubuntu.example.com
         Icon name: computer-vm
           Chassis: vm
        Machine ID: 5beb7ac3260c4f00bcfbe1088f48b8c7
           Boot ID: b2a0d9abe43b455fb49484dbaa59dc41
    Virtualization: vmware
  Operating System: Ubuntu 18.04.1 LTS
            Kernel: Linux 4.15.0-29-generic
      Architecture: x86-64

Xác nhận DNS ia được cấu hình đúng:

cat /etc/resolv.conf

Bước 3: Cài đặt các gói cần thiết

Cần có một số gói để kết nối hệ thống Ubuntu 20.04|18.04/Debian 10 với miền Active Directory (AD).

sudo apt update
sudo apt -y install realmd libnss-sss libpam-sss sssd sssd-tools adcli samba-common-bin oddjob oddjob-mkhomedir packagekit

Chỉ sau khi cài đặt thành công các phần phụ thuộc, bạn mới có thể tiến hành khám phá miền Active Directory trên Debian 10/Ubuntu 20.04/18.04.

Bước 4: Khám phá miền Active Directory trên Debian 10/Ubuntu 20.04|18.04

Lệnh realm Discover trả về cấu hình miền hoàn chỉnh và danh sách các gói phải được cài đặt để hệ thống được đăng ký trong miền.

$ sudo realm discover example.com
example.com
  type: kerberos
  realm-name: EXAMPLE.COM
  domain-name: example.com
  configured: no
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin

Thay thế example.com bằng miền AD hợp lệ của bạn.

Bước 5: Tham gia miền Ubuntu 20.04|18.04/Debian 10 vào miền Active Directory (AD)

Cần có tài khoản người dùng quản trị AD để tích hợp máy Linux của bạn với miền Windows Active Directory. Kiểm tra và xác nhận tài khoản quản trị viên AD và mật khẩu.

Lệnh realm join sẽ thiết lập máy cục bộ để sử dụng với miền được chỉ định bằng cách định cấu hình cả dịch vụ hệ thống cục bộ và các mục trong miền nhận dạng. Lệnh này có một số tùy chọn có thể được kiểm tra bằng:

$ realm join --help

Việc thực thi lệnh cơ bản là:

$ sudo realm join -U Administrator example.com
Password for Administrator:

Ở đâu :

  • Quản trị viên là tên tài khoản quản trị viên dùng để tích hợp máy vào AD.
  • example.com là tên miền AD

Lệnh đầu tiên sẽ cố gắng kết nối mà không cần thông tin xác thực nhưng sẽ nhắc nhập mật khẩu nếu được yêu cầu.

Xem chi tiết lĩnh vực hiện tại.

$ realm  list
example.com
  type: kerberos
  realm-name: EXAMPLE.COM
  domain-name: example.com
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin
  login-formats: %[email 
  login-policy: allow-realm-logins

Trên các hệ thống dựa trên RHEL, thư mục chính của người dùng sẽ được tạo tự động. Trên Ubuntu/Debian, bạn cần kích hoạt tính năng này.

sudo bash -c "cat > /usr/share/pam-configs/mkhomedir" <<EOF
Name: activate mkhomedir
Default: yes
Priority: 900
Session-Type: Additional
Session:
        required                        pam_mkhomedir.so umask=0022 skel=/etc/skel
EOF

Sau đó kích hoạt với:

sudo pam-auth-update

Chọn

Đảm bảo chọn “kích hoạt mkhomedir ” thì nó phải có [*]

Sau đó Chọn để lưu thay đổi.

Tệp cấu hình sssd.conf của bạn được đặt tại /etc/sssd/sssd.conf. Bất cứ khi nào có sự thay đổi trong tập tin, cần phải khởi động lại.

sudo systemctl restart sssd

Trạng thái sẽ được chạy.

systemctl status sssd

Nếu tích hợp đang hoạt động, bạn có thể lấy thông tin người dùng AD.

$ id jmutai
uid=1783929917([email ) gid=1784800513(domain [email ) groups=1783870513(domain [email )

Bước 6: Kiểm soát quyền truy cập - Giới hạn người dùng/nhóm

Quyền truy cập vào máy chủ đã đăng ký có thể bị giới hạn bằng cách chỉ cho phép những người dùng/và nhóm cụ thể.

Giới hạn đối với người dùng

Để cho phép người dùng truy cập qua SSH và bảng điều khiển, hãy sử dụng lệnh:

sudo realm permit [email 
sudo realm permit [email  [email 

Cho phép truy cập vào nhóm - Ví dụ

sudo ream permit -g sysadmins
sudo realm permit -g 'Security Users'
sudo realm permit 'Domain Users' 'admin users'

Điều này sẽ sửa đổi tệp sssd.conf .

Thay vào đó, nếu bạn muốn cho phép tất cả người dùng truy cập, hãy chạy:

sudo realm permit --all

Để từ chối tất cả quyền truy cập của người dùng Miền, hãy sử dụng:

sudo realm  deny --all

Bước 7: Định cấu hình quyền truy cập Sudo

Theo mặc định, người dùng Miền sẽ không có quyền nâng cấp đặc quyền

Trước tiên hãy tạo tệp cấp quyền sudo.

sudo vim /etc/sudoers.d/domain_admins

Thêm người dùng duy nhất:

[email         ALL=(ALL)       ALL

Thêm người dùng khác:

[email      ALL=(ALL)   ALL
[email      ALL=(ALL)   ALL

Thêm nhóm

%[email      ALL=(ALL)   ALL

Thêm nhóm có hai hoặc ba tên.

%security\ [email        ALL=(ALL)       ALL
%system\ super\ [email  ALL=(ALL)       ALL

Bước 8: Kiểm tra quyền truy cập SSH

Truy cập máy chủ từ xa với tư cách người dùng trên AD được phép đăng nhập.

$ ssh user1@localhost
The authenticity of host 'localhost (::1)' can't be established.
ECDSA key fingerprint is SHA256:wmWcLi/lijm4zWbQ/Uf6uLMYzM7g1AnBwxzooqpB5CU.
ECDSA key fingerprint is MD5:10:0c:cb:22:fd:28:34:c6:3e:d7:68:15:02:f9:b4:e9.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'localhost' (ECDSA) to the list of known hosts.

Đây là sự xác nhận rằng cấu hình của chúng tôi đã thành công. Hãy truy cập các trang wiki của vương quốc và sssd để tìm hiểu thêm.

Thẻ :

  • Tham gia miền Ubuntu 20.04|18.04 sang Windows
  • Tham gia Ubuntu 20.04|18.04 tới AD
  • Tham gia Ubuntu 20.04|18.04 vào thư mục Active
  • Tham gia Ubuntu 20.04|18.04 sang miền Samba
  • Tham gia miền Debian 10 với Windows
  • Tham gia Debian 10 tới AD
  • Tham gia Debian 10 vào thư mục Active
  • Tham gia Debian 10 vào miền Samba

Hướng dẫn liên quan:

  • Đặt Shell đăng nhập mặc định trên SSSD cho người dùng AD Trust sử dụng FreeIPA
  • Định cấu hình Máy khách FreeIPA trên Ubuntu/CentOS 7
  • Cài đặt và cấu hình máy chủ OpenLDAP trên Debian
  • Cài đặt và cấu hình OpenLDAP Server trên Ubuntu LTS

Bài viết liên quan