Как сделать локальный домен ubuntu
Обновлено: 04.07.2024
В данной заметке, я пошагово про инструктирую Вас да и себе шпаргалка на будующее, как операционную систему Ubuntu Server 12.04.5 ввести в домен Active Directory (polygon.local). У меня на текущем месте работы много сервисов работает из под Ubuntu, а с использованием связки система плюс домен я получу дополнительную возможность, такую как единая аутентификация на основе доменной учетной записи , организация файлового хранилища и настройка принт сервера. Все это в последствии конечно же будет отражено в моем блоге, а пока распишу от и до по теме данной заметки.
Развернутая система Ubuntu Server 12.04.5 со всеми установленными обновлениями по части безопасности
Отключено использование apparmor по заметке:
Развернутый домен контроллер по заметке со следующими настроенными ролями: DNS, DHCP
IP- адрес домен контроллера: 10.9.9.1
Полное FQDN имя домен контроллера: srv-dc.polygon.local
IP- адрес системы Ubuntu: IP address for eth0: 10.9.9.11
Полное FQDN имя: srv-serv
Итак ниже действия на системе Ubuntu, сперва обновляем состояние по дефолтным репозитариям:
ekzorchik@srv-serv:~$ sudo apt-get update
Fetched 5,263 kB in 13s (394 kB/s)
Reading package lists. Done
Устанавливаем в систему samba, krb5-user и winbind:
Winbind нужен, если вы хотите видеть пользователей домена на своём компьютере с Ubuntu. Winbind позволяет спроецировать всех пользователей и все группы AD в вашу Linux-систему, присвоив им ID из заданного диапазона. Таким образом, вы сможете назначать пользователей домена владельцами папок и файлов на вашем компьютере и выполнять любые другие операции, завязанные на пользователей и группы.
ekzorchik@srv-serv:~$ sudo apt-get install samba krb5-user winbind -y
На этапе установке пакетом предлагается предопределить настройки Kerberos 5 — ничего не вводим и нажимаем OK:
Default Kerberos version 5 realm: ничего не вводим >
Создаем резервную копию конфигурационного файла krb5.conf:
ekzorchik@srv-serv:~$ sudo cp /etc/krb5.conf /etc/krb5.conf.backup
Редактируем конфигурационный файл krb5.conf:
ekzorchik@srv-serv:~$ sudo bash -c "cat > /etc/krb5.conf"
Открываю редактором и привожу конфиг согласно моей авторизации системы в домене:
ekzorchik@srv-serv:~$ sudo nano /etc/krb5.conf
[ ниже мой конфиг ]
Сохраняем внесенные изменения.
Инициализирую подключение к Polygon.local:
ekzorchik@srv-serv:~$ sudo kinit Administrator@POLYGON.LOCAL
Password for Administrator@POLYGON.LOCAL : ввожу 712mbddr@>
Если нужно удалить полученным билет авторизации Kerberos:
ekzorchik@srv-serv:~$ sudo kdestroy
ekzorchik@srv-serv:~$ sudo klist
klist: No credentials cache found (ticket cache FILE:/tmp/krb5cc_0)
Как видим token я получил :
ekzorchik@srv-serv:~$ sudo klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: Administrator@POLYGON.LOCAL
Valid starting Expires Service principal
14/09/2014 11:31 14/09/2014 21:31 krbtgt/POLYGON.LOCAL@POLYGON.LOCAL
renew until 15/09/2014 11:31
На заметку: обратите внимание, тикет выдался 14.09.2014 в 11:31 и действителен до 14.09.2014 21.31, и его перерегистрация произойдет 15.09.2014 в 11:31, это все конечно хорошо, но срок выдачи тикета хотелось бы увеличить с одного дня на большее число, почитавши немного документацию нашел следующий способ, просто запрашивать выдачу тикета на указанное количество дней:
ekzorchik@srv-serv:~$ sudo kinit -r7d Administrator@POLYGON.LOCAL
Password for Administrator@POLYGON.LOCAL: ввожу пароль 712mbddr@>
смотрю какой строк у выданного тикета:
ekzorchik@srv-serv:~$ sudo klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: Administrator@POLYGON.LOCAL
Valid starting Expires Service principal
14/09/2014 12:35 14/09/2014 22:35 krbtgt/POLYGON.LOCAL@POLYGON.LOCAL
renew until 21/09/2014 12:35 — вот теперь другое дело.
На заметку: Чтобы получать тикет от домен контроллера, необходимо чтобы разница по времени с ним не была более 5 минут, из этого следует что в системе время должно быть корректным:
Выставляем правильный часовой пояс:
ekzorchik@srv-serv:~$ sudo rm -f /etc/localtime
ekzorchik@srv-serv:~$ sudo ln -s /usr/share/zoneinfo/Europe/Moscow /etc/localtime
Устанавливаем ntp для синхронизации времени на сервере :
ekzorchik@srv-serv:~$ sudo apt-get install ntp ntpdate -y
14 Sep 12:18:10 ntpdate[3804]:
ekzorchik@srv-serv:~$ date
Sun Sep 14 12:19:03 MSK 2014
Настраиваю SAMBA:
Создаю резервную копию конфигурационного файла smb.conf:
ekzorchik@srv-serv:~$ sudo cp /etc/samba/smb.conf /etc/samba/smb.conf.backup
Редактирую конфигурационный файл smb.conf:
удаляем все из файла:
ekzorchik@srv-serv:~$ sudo bash -c "cat > /etc/samba/smb.conf"
Нажимаем Ctrl + C
и привожу файл к новому виду:
ekzorchik@srv-serv:~$ sudo nano /etc/samba/smb.conf
server string = %h server (Samba %v, Ubuntu)
log file = /var/log/samba/log.%m
max log size = 1000
domain master = No
usershare allow guests = Yes
panic action = /usr/share/samba/panic-action %d
template shell = /bin/bash
winbind enum users = Yes
winbind enum groups = Yes
winbind use default domain = Yes
idmap config * : range = 10000-20000
idmap config * : backend = tdb
Проверяю конфигурационный файл на предмет корректности :
ekzorchik@srv-serv:~$ sudo testparm.samba3
Load smb config files from /etc/samba/smb.conf
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
Loaded services file OK.
'winbind separator = +' might cause problems with group membership.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions
server string = %h server (Samba %v, Ubuntu)
log file = /var/log/samba/log.%m
max log size = 1000
domain master = No
usershare allow guests = Yes
panic action = /usr/share/samba/panic-action %d
template shell = /bin/bash
winbind enum users = Yes
winbind enum groups = Yes
winbind use default domain = Yes
idmap config * : range = 10000-20000
idmap config * : backend = tdb
Перезапускаю winbind сервис и Samba сервер :
ekzorchik@srv-serv:~$ sudo /etc/init.d/winbind stop
* Stopping the Winbind daemon winbind [ OK ]
ekzorchik@srv-serv:~$ sudo service smbd restart
smbd start/running, process 2993
ekzorchik@srv-serv:~$ sudo /etc/init.d/winbind start
* Starting the Winbind daemon winbind [ OK ]
Добавляю систему Ubuntu Server 12.04.5 в домен Active Directory:
Понадобится учетная запись с правом добавления компьютера в домен, например учетка администратора домена POLYGON . LOCAL \ ekzorchik .
ekzorchik@srv-serv:~$ sudo net.samba3 ads join -U ekzorchik -S srv-dc.polygon.local
Enter ekzorchik's password:
Using short domain name -- POLYGON
Joined 'SRV-SERV' to realm 'polygon.local'
No DNS domain configured for srv-serv. Unable to perform DNS Update.
DNS update failed !
Странно вроде ошибка выдается, но в Active Directory — домена polygon.local создается запись о заведенной системе:
Далее настраиваю специальный демон, служащий для связи локальной системы управления пользователями и группами Linux с сервером Active Directory:
nsswitch.conf, задает источники информации об учетных записях. Учетные записи у нас теперь будут на контроллере домена, а источником информации о них будет служить winbind.
Перед редактированием файла создаем его резервную копию:
ekzorchik@srv-serv:~$ sudo cp /etc/nsswitch.conf /etc/nsswitch.conf.backup
Далее приводим его к виду:
ekzorchik@srv-serv:~$ sudo nano /etc/nsswitch.conf
passwd: compat winbind
group: compat winbind
shadow: compat winbind
hosts: files dns
networks: files dns
protocols: db files
services: db files
ethers: db files
После успешного внесения всех настроек перезагружаем samba и winbind сервисы :
ekzorchik@srv-serv:~$ sudo /etc/init.d/winbind stop
* Stopping the Winbind daemon winbind [ OK ]
ekzorchik@srv-serv:~$ sudo service smbd restart
smbd start/running, process 3085
ekzorchik@srv-serv:~$ sudo /etc/init.d/winbind start
* Starting the Winbind daemon winbind
Убеждаемся, что winbind работает (показать пользователей домена) :
ekzorchik@srv-serv:~$ sudo wbinfo -u
Убеждаемся, что winbind работает (показать группы домена) :
ekzorchik@srv-serv:~$ sudo wbinfo -g
group policy creator owners
ras and ias servers
allowed rodc password replication group
denied rodc password replication group
read-only domain controllers
enterprise read-only domain controllers
Теперь, для проверки, подключился ли наш winbind к контроллеру и функционирует ли нормально, запустим:
ekzorchik@srv-serv:~$ sudo getent passwd | grep -E "POLYGON"
В результате мы должны увидеть наши локальные учетки и длинный список наших доменных учеток.
Выведем информацию о домен контроллере:
ekzorchik@srv-serv:~$ sudo net.samba3 ads info
LDAP server: 10.9.9.1
LDAP server name: srv-dc.polygon.local
Bind Path: dc=POLYGON,dc=LOCAL
Server time: Sun, 14 Sep 2014 11:52:15 MSK
KDC server: 10.9.9.1
Server time offset: 0
3 комментария
Наконец таки пошаговая заметка, все проделал никаких проблем у себя не обнаружил, вот все бы блоги этим отличались — правдивостью информации.
Автор так держать.
Подскажите не первый раз уже попадается отключение apparmor — это связанно со сложностью настройки?
Я бы выразился иначе, доступ к системам уже имеет лишь ограниченный круг лиц и поэтому настраивать еще один уровень безопасности по больше части не нужно. И вроде как да, сложность настройки. Мне пока работа с apparmor не требовалась.
Comments are closed.
Используйте прокси ((заблокировано роскомнадзором, используйте vpn или proxy)) при использовании Telegram клиента:
Поблагодари автора и новые статьи
будут появляться чаще :)
Карта МКБ: 4432-7300-2472-8059
Большое спасибо тем кто благодарит автора за практические заметки небольшими пожертвованиями. С уважением, Олло Александр aka ekzorchik.
Ввод компьютера Ubuntu в домен Active Directory Windows
При создании материала использовал следующие источники:
Обновиться
Установить
Настройка DNS
Изменить настройки DNS на вашей машине, прописав в качестве DNS сервера контроллер домен и в качестве домена поиска - контроллер домен. В Ubuntu Desktop это можно сделать через Network Manager, в Ubuntu Server необходимо изменить содержимое файла /etc/resolv.conf
Вместо "mydomain.com" - Ваш домен. Вместо IP-адресов - IP-адреса Ваших контроллеров домена.
Задать нужное имя компьютера в файле /etc/hostname
Отредактировать файл /etc/hosts так, чтобы в нём была запись с полным доменным именем компьютера и обязательно коротким именем хоста, ссылающаяся на один из внутренних IP
Проверить, что нормально пингуется контроллер домена
Настройка синхронизации времени
После чего перезапустить демон ntpd:
Настройка авторизации через Kerberos
Обратить внимание на регистр написания имени домена. Везде, где домен был написан в верхнем регистре, его обязательно нужно писать именно в верхнем регистре.
Проверить, что мы можем авторизоваться в домене. Для этого выполнить команду
Вместо username вписать имя существующего пользователя домена. Имя домена необходимо писать заглавными буквами! Если не получили никаких ошибок - значит вы настроили всё верно и домен отдаёт вам билет Kerberos. Убедиться в том, что билет получен, можно выполнив команду
Удалить все билеты
Настройка Samba и вход в домен
Необходимо прописать правильные настройки в файле /etc/samba/smb.conf
После того, как будет отредактирован smb.conf, выполнить команду testparm.
Ввести компьютер в домен
Если всё прошло без ошибок, то успешно вошли в домен! Посмотреть в AD и увидеть добавленный компьютер ubuntu01. Чтобы видеть ресурсы в домене, установите smbclient:
Теперь можно просматривать ресурсы компьютеров домена. Для этого нужно иметь билет kerberos - получаем через kinit. Посмотрим какие ресурсы предоставлены в сеть компьютером workstation:
Настройка Winbind
Добавить в файл /etc/samba/smb.conf в секцию [global] следующие строки:
Перезапустить демон Winbind и Samba в следующем порядке:
То отредактировать файл /etc/security/limits.conf
Перегрузиться. Запустить testparm - Не должно быть ошибок. Проверить, что Winbind установил доверительные отношения с AD командой:
Убедиться, что Winbind увидел пользователей и группы из AD командами:
Добавление Winbind в качестве источника пользователей и групп
Измените в файле /etc/nsswitch.conf две строчки, добавив в конце winbind:
Привести строку files в файле /etc/nsswitch.conf к виду:
Проверить, что Ubuntu запрашивает у Winbind информацию о пользователях и группах, выполнив:
Авторизация в Ubuntu через пользователей домена
Создадим в каталоге домашних папок пользователей подкаталог для доменных пользователей в соответствии с настройками нашего smb.conf (в качестве имени каталога используем NetBIOS-имя домена):
Проверить, что после установки библиотеки libpam-winbind соответствующие PAM-модули для Winbind активирован.
В появившемся окне должна быть включена (отмечена *) опция "Winbind NT/Active Directory authentication"
Некоторое время назад на работе достался мне для работы ноутбук HP ProBook 6460b. Ну и пришла в голову идея поставить на него вместо надоевшей Windows 7 Pro давно понравившуюся мне Ubuntu 14.04 Trusty LTS. Выбор операционной системы связан с тем, что Ubuntu я использую на домашнем ноутбуке и мне захотелось иметь такую же систему на рабочем компьютере. Потому, что постоянное переключение между ОСями дома и на работе быстро надоело мне и я решился на установку Ubuntu на рабочем ноуте.
Процесс установки Убунты на ноутбук не буду пересказывать потому, что не вижу в этом смысла из-за большого количества таких мануалов на просторах интернета. Скажу только то, что устанавливал с флешки, а образ на флешку писал на рабочем ноутбуке под Windows 7 Pro с помощью программы Rufus. Хватит про установку, перейдем к процессу введения в домен.
При вводе в домен Windows я пользовался стандартной инструкцией по вводу в домен. В процессе ввода в домен возникали проблемы самого разного характера (в основном связанные с моей невнимательностью и легкой кривизной рук :-) ). Да инструкция на русском языке есть и она довольно хороша, но я все же пользовался не только этой инструкцией, но и другими подсказками с прочих сайтов и форумов. Поэтому я решил собрать из всех одну свою.
Первое что необходимо сделать это - правильно и вполне логично! - обновиться:
Далее нас потребуется установить клиенты Kerberos , Samba и Winbind для нормальной и адекватной работы в домене Windows . Сделать это можно одной командой:
Лично я пробовал два варианта установки: первый - как указано выше - установка всех необходимых пакетов одной строкой, и второй - установка каждого паке в отдельности. Честно признаюсь, что меня больше устроил и больше понравился вариант отдельной установки каждого пакета. Поясню это тем, что при комплексной установке у меня начальная настройка пакета Kerberos не происходила, и я решил (точнее не решил, а мне пришлось из-за кривизны рук и невнимательности переустанавливать полностью Ubuntu и соответственно все необходимые пакеты) ставить все пакеты по отдельности в вышеуказанном порядке. Это дало свои плоды. На этапе установки пакеты Kerberos произошла его полная настройка где указывались все необходимые параметры для работы в домене (собственно сам домен, необходимые для авторизации DC , рабочие группы или зоны). Далее я поставил Самбу и Винбинд с которыми каких-либо заморочек не было. Так же я установил указанные желательными библиотеки libpam-krb5 , libpam-winbind и libnss-winbind . Их я устанавливал одной командой, т.к. они не требуют никаких ручных настроек и просто желательно их присутствие в системе.
Для начала необходимо изменить настройки DNS на вашей машине, прописав в качестве DNS-сервера доменконтроллер и в качестве домена поиска - нужный домен. Если у вас статический IP-адрес, то в Ubuntu Desktop это можно сделать через Network Manager, в Ubuntu Server необходимо изменить содержимое файла /etc/resolv.conf на примерно такое:
Можно было бы добавить еще один nameserver , но я этого делать не стал потому, что у нас в сети компании он единственный. Для применения изменений необходимо перезапустить службу:
Теперь необходимо проверить файл /etc/hostname и убедиться в том, что мы правильно задали имя нашего ноутбука.
Кроме всего прочего необходимо отредактировать файл /etc/hosts так, чтобы в нем была запись с полным доменным именем и обязательно с коротким именем. У меня получился такой формат:
Сразу необходимо проверить, что наш контроллер домена пингуется нормально по короткому и по полному доменному именам:
Не обязательно конечно, но как говорится в инструкции “желательно” при внесении каких-либо изменений делать перезагрузку. Лично я так и делал.
Тут собственно говоря ничего сложного! Я просто единожды выполнил команду:
и забыл про это дело. Другие варианты развития я не вижу смысла освещать в статье т.к. они мне не понадобились.
Собственно переходим к самому основному: настройка авторизации через Kerberos
Настройка авторизации по протоколу Kerberos осуществляется простым редактированием файла /etc/krb5.conf . Вот примерный его вид:
Это конечно далеко не все, что настраивается но уже сейчас возможно проверить способность авторизации в домене. Для этого достаточно выполнить команду:
Убедиться в том, что билет получен, можно с помощью команды:
Будем считать, что авторизация вы настроили и билет получен. Теперь настроим вход в домен.
Для того, чтобы войти в домен, необходимо прописать правильные настройки в файле /etc/samba/smb.conf . На данном этапе нас интересуют только некоторые параметры секции [global] . Вот примерный вариант файла:
Теперь необходимо проверить внесенные изменения на правильность (точнее себя на внимательность и руки на кривость :-) ) следующей командой:
В случае правильного изменения файла /etc/samba/smb.conf вы увидите примерно следующее:
В случае успешного входа вы увидите на экране примерно следующее:
Я снова не стану описывать все возможные ошибки, потому что и ежу понятно, что если появились ошибки значит ты сделал что-то не так. Поэтому скажу только одно: RTFM friend!
На данном этапе вы можете установить себе smbclient :
и проверить доступность ресурсов, хотя бы, на доменконтроллере:
Вы должны будете увидеть список доступных ресурсов на доменконтроллере
Если вам необходимо работать с пользователями домена, например, настраивать SMB-шары с разграничением доступа, то вам понадобится кроме самой Samba ещё и Winbind - специальный демон, служащий для связи локальной системы управления пользователями и группами Linux с сервером Active Directory . Проще говоря Winbind нужен, если вы хотите видеть пользователей домена на своём компьютере с Ubuntu.
Winbind позволяет спроецировать всех пользователей и все группы AD в вашу Linux систему, присвоив им ID из заданного диапазона. Таким образом вы сможете назначать пользователей домена владельцами папок и файлов на вашем компьютере и выполнять любые другие операции, завязанные на пользователей и группы.
Для настройки Winbind используется всё тот же файл /etc/samba/smb.conf . Добавьте в секцию [global] следующие строки:
Строки с параметрами idmap config указаны с новыми параметрами не характерными для старых версий Samba, поэтому на данном этапе будьте внимательнее. Старый формат этих строк можно посмотреть в официальной инструкции по вводу в домен.
Теперь вам необходимо перезапустить демон Winbind и Samba . Для этого соблюдая порядок команд, выполните их поочередно:
Смотрим есть ли ошибки или предупреждения, если появится: rlimit_max: rlimit_max (1024) below minimum Windows limit (16384) , то отредактировать файл /etc/security/limits.conf :
После перезапуска проверьте, что Winbind установил доверительные отношения с AD командой
А так же, что Winbind увидел пользователей и группы из AD командами:
Эти две команды должны выдать список пользователей и групп из домена соответственно. Либо с префиксом DOMAIN , либо без него - в зависимости от того, какое значение вы указали параметру winbind use default domain в /etc/samba/smb.conf .
Итак, Winbind работает, однако в систему он еще не интегрировал.
Для того, чтобы ваша Ubuntu прозрачно работала с пользователями домена, в частности, чтобы вы могли назначать пользователей домена владельцами папок и файлов, необходимо указать Ubuntu использовать Winbind как дополнительный источник информации о пользователях и группах.
Для этого измените две строчки в файле /etc/nsswitch.conf :
добавив к ним в конце winbind :
Так же рекомендую привести строку hosts: в файле /etc/nsswitch.conf к виду:
Теперь можно проверить, что Ubuntu запрашивает у Winbind информацию о пользователях и группах выполнив по очереди следующие команды:
После выполнения первой команды вы должны увидеть содержимое вашего файла /etc/passwd и пользователей вашего домена AD из указанного диапазона в файле /etc/samba/smb.conf . Вторая команда вернет все то же самое, только для групп.
Несмотря на то, что все пользователи домена фактически стали полноценными пользователями системы (в чём можно убедиться, выполнив последние две команды из предыдущего раздела), зайти ни под кем из них в систему всё ещё нельзя. Для включения возможности авторизации пользователей домена на компьютере с Ubuntu необходимо настроить PAM на работу с Winbind .
Для он-лайн авторизации я лично подредактировал парочку файлов. Первый файл, который я редактировал это /etc/pam.d/common-session и добавил в него всего одну строчку:
Вторым был файлик /etc/lightdm/user.conf . В него необходимо добавить строчку в самый конец файла:
На этом собственно говоря все готово! Перезагружаемся и входим под учетной записью доменного пользователя.
Часто возникает ситуация, когда домен-контроллер недоступен по различным причинам — профилактика, отключение света или вы принесли ноутбук домой и хотите поработать. В этом случае для Winbind можно настроить кэширование учетных записей пользователей домена. Для этого необходимо сделать следующее. Добавьте в секцию [global] файла /etc/samba/smb.conf следующие строки:
Обычно этого достаточно. Если же возникают ошибки, то необходимо создать файл /etc/security/pam_winbind.conf со следующим содержанием:
Файл /etc/pam.d/gnome-screensaver в таком случае принимает вид:
А также изменяется файл /etc/pam.d/common-auth :
На этом вроде бы все :-)
После всех проделанных операций наша машина на Ubuntu стала полноценным членом домена Windows и теперь с ней могу работать пользователи AD .
Было мягко говоря не легко. Тяжело было собрать информацию, относящуюся именно к моей Ubuntu 14.04 Trusty LTS .
В этой статье будет описан процесс добавления Linux-машины (Ubuntu 20.04) в домен Windows AD.
Шаг 1. Установка пакетов и подготовка
Сначала обновите пакеты.
sudo apt updatesudo apt upgrade
После этого установите требуемые пакеты.
sudo apt -y install realmd sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin oddjob oddjob-mkhomedir packagekit
Далее мы настроим все инструменты. Вам требуется знать:
- Домен: office.local
- IP DNS-сервера: 192.168.0.1
- IP второго DNS-сервера: 192.168.0.2
Шаг 2. Настройка DNS
Откройте конфигурационный файл netplan:
sudo nano /etc/netplan/*.yaml
network:ethernets:enp0s3:addresses:- 192.168.0.15/24gateway4: 192.168.0.10nameservers:addresses: [192.168.0.1, 192.168.0.2]search:- office.localoptional: trueversion: 2
- addresses — это IP, назначаемый сетевой карте;
- gateway4 — IP роутера;
- nameservers — DNS-сервера;
- search — целевой домен.
sudo netplan apply
Шаг 3. Обнаружение домена, присоединение к нему и проверка результата.
В первую очередь требуется обнаружить домен:
realm discover office.local
Вы увидите что-то подобное. Это означает, что настройки сети верны и машина получила ответ от домена. Если нет, вам необходимо проверить настройки сети, домен и работоспособность DNS.
office.localtype: kerberosrealm-name: OFFICE.LOCALdomain-name: office.localconfigured: no.
Затем присоединитесь к домену AD. Замените admin1 на имя администратора и укажите пароль.
realm join -U admin1 office.localPassword for admin1:
Проверьте, возможен ли прием информации о пользователе AD. Замените user1 на имя пользователя вашего домена.
id user1@office.localuid=687821651(user1@office.local) gid=687800512(user1@office.local) groups=687800512(domain users@office.local)
Шаг 4. Последние настройки и авторизация.
Необходимо произвести настройку, чтобы в будущем каждый раз не добавлять имя домена к имени пользователя.
sudo nano /etc/sssd/sssd.conf
Измените значение use_fully_qualified_names на False. Перезагрузите и проверьте:
sudo systemctl restart sssdid useruid=687821651(user1@office.local) gid=687800512(user1@office.local) groups=687800512(domain users@office.local)
Теперь нужно настроить создание домашних каталогов для пользователей AD при входе в систему.
Войдите в систему как пользователь AD.
Это означает, что вы успешно вошли в систему как пользователь AD.
Также вы можете разрешить авторизацию для некоторых пользователей и групп AD или же ограничить других. В приведенном ниже примере настроен запрет для всех пользователей, кроме user0, user1 и группы Main Admins.
sudo realm deny –allsudo realm permit user0@office.local user1@office.localsudo realm permit -g 'Main Admins'
Настройка пользователей AD для получения root-прав такая же, как и для локальных, но выполняется в другом файле.
Читайте также: