절차

1. 텍스트 편집기에서 /etc/sssd/sssd.conf 설정 파일을 엽니다.

2. AD 도메인의 [domain] 섹션에 DNS 레코드 새로 고침 간격을 12시간으로 설정하고, PTR 레코드 업데이트를 비활성화하며, DNS 레코드 TTL(TTL)을 1시간으로 설정합니다.

   [domain/ad.example.com]
   id_provider = ad
   ...
   dyndns_refresh_interval = 43200
   dyndns_update_ptr = false
   dyndns_ttl = 3600

3. /etc/sssd/sssd.conf 설정 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@client ~]# systemctl restart sssd

절차

1. AD에 Kerberos 인증을 위한 더 이상 사용되지 않는 RC4 암호화 유형이 필요한 경우 RHEL에서 이러한 암호에 대한 지원을 활성화합니다.

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 다음 패키지를 설치합니다.

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator

3. 도메인 구성원에서 디렉터리 또는 프린터를 공유하려면 samba 패키지를 설치합니다.

   # dnf install samba

4. 기존 /etc/samba/smb.conf Samba 구성 파일을 백업합니다.

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. 도메인에 가입합니다. 예를 들어 ad.example.com이라는 도메인에 가입하려면 다음을 수행합니다.

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   이전 명령을 사용하면 realm 유틸리티가 자동으로 수행됩니다.

   • ad.example.com 도메인 멤버십에 대한 /etc/samba/smb.conf 파일을 만듭니다.
   • 사용자 및 그룹 조회에 대한 winbind 모듈을 /etc/nsswitch.conf 파일에 추가합니다.
   • /etc/pam.d/ 디렉토리에서 PAM(Pluggable Authentication Module) 구성 파일을 업데이트합니다.
   • winbind 서비스를 시작하고 시스템이 부팅될 때 서비스가 시작됩니다.
6. 선택적으로 /etc/samba/smb.conf 파일에서 대체 ID 매핑 백엔드 또는 사용자 지정된 ID 매핑 설정을 설정합니다.

1. /etc/krb5.conf 파일을 편집하고 다음 섹션을 추가합니다.

   [plugins]
       localauth = {
           module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
           enable_only = winbind
       }

2. winbind 서비스가 실행 중인지 확인합니다.

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   중요

   Samba를 활성화하여 도메인 사용자 및 그룹 정보를 쿼리하려면 smb 를 시작하기 전에 winbind 서비스를 실행해야 합니다.

3. 디렉터리 및 프린터를 공유하는 samba 패키지를 설치한 경우 smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

검증 단계

1. AD 도메인의 AD 관리자 계정과 같은 AD 사용자의 세부 정보를 표시합니다.

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. AD 도메인에서 도메인 사용자 그룹의 멤버를 쿼리합니다.

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. 선택적으로 파일 및 디렉터리에 대한 권한을 설정할 때 도메인 사용자와 그룹을 사용할 수 있는지 확인합니다. 예를 들어 /srv/samba/example.txt 파일의 소유자를 AD\administrator 로 설정하고 그룹을 AD\Domain Users 로 설정하려면 다음을 수행합니다.

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. Kerberos 인증이 예상대로 작동하는지 확인합니다.

   1. AD 도메인 멤버에서 administrator@AD.EXAMPLE.COM 주체의 티켓을 받습니다.

      # kinit administrator@AD.EXAMPLE.COM

   2. 캐시된 Kerberos 티켓을 표시합니다.

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 사용 가능한 도메인을 표시합니다.

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

절차

1. /etc/sssd/sssd.conf 파일의 AD 공급자에 다음 매개 변수를 추가합니다.

   ad_maximum_machine_account_password_age = value_in_days

2. SSSD를 다시 시작합니다.

   # systemctl restart sssd

3. 자동 Kerberos 호스트 키탭 업데이트를 비활성화하려면 ad_maximum_machine_account_password_age = 0 을 설정합니다.

절차

1. realm leave 명령을 사용하여 ID 도메인에서 시스템을 제거합니다. 이 명령은 SSSD 및 로컬 시스템에서 도메인 구성을 제거합니다.

   # realm leave ad.example.com

   참고

   클라이언트가 도메인을 벗어나면 AD는 계정을 삭제하지 않고 로컬 클라이언트 구성만 제거합니다. AD 계정을 삭제하려면 --remove 옵션을 사용하여 명령을 실행합니다. 처음에 인증 정보 없이 연결을 시도하지만 유효한 Kerberos 티켓이 없는 경우 사용자 암호를 입력하라는 메시지가 표시됩니다. Active Directory에서 계정을 삭제할 수 있는 권한이 있어야 합니다.

2. realm leave 명령과 함께 -U 옵션을 사용하여 ID 도메인에서 시스템을 제거하려면 다른 사용자를 지정합니다.

   기본적으로 realm leave 명령은 기본 관리자로 실행됩니다. AD의 경우 관리자 계정을 Administrator 라고 합니다. 다른 사용자가 도메인에 가입하는 데 사용된 경우 해당 사용자로 제거를 수행해야 할 수 있습니다.

   # realm leave [ad.example.com] -U [AD.EXAMPLE.COM\user]'

1. Active Directory (AD) 하위 도메인 subdomain2.ad.example.com
2. AD 하위 도메인 subdomain1.ad.example.com
3. AD root 도메인 ad.example.com

절차

1. 텍스트 편집기에서 /etc/sssd/sssd.conf 파일을 엽니다.

2. 파일의 [sssd] 섹션에서 domain_resolution_order 옵션을 설정합니다.

   domain_resolution_order = subdomain2.ad.example.com, subdomain1.ad.example.com, ad.example.com

3. 파일을 저장한 후 닫습니다.

4. SSSD 서비스를 다시 시작하여 새 구성 설정을 로드합니다.

   [root@ad-client ~]# systemctl restart sssd

절차

1. production.example.com AD 도메인에 호스트에 대한 MSA를 생성합니다.

   [root@client ~]# adcli create-msa --domain=production.example.com

2. 생성된 Kerberos 키 탭에서 MSA에 대한 정보를 표시합니다. MSA 이름을 기록해 둡니다.

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

3. /etc/sssd/sssd.conf 파일을 열고 다음을 추가할 적절한 SSSD 도메인 구성을 선택합니다.

   • MSA가 다른 포리스트의 AD 도메인에 해당하는 경우 [domain /<name_of_domain>] 이라는 새 도메인 섹션을 만들고 MSA 및 keytab에 대한 정보를 입력합니다. 가장 중요한 옵션은 ldap_sasl_authid,ldap_krb5_keytab, krb5_keytab 입니다.

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

   • MSA가 지역 산포의 AD 도메인에 해당하는 경우 [domain/root.example.com/sub-domain.example.com] 형식으로 새 하위 도메인 섹션을 만들고 MSA 및 키 탭에 대한 정보를 입력합니다. 가장 중요한 옵션은 ldap_sasl_authid,ldap_krb5_keytab, krb5_keytab 입니다.

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

절차

1. (선택 사항) Kerberos 키탭에 MSA의 현재 키 버전 번호(KVNO)를 표시합니다. 현재 KVNO는 2입니다.

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

2. production.example.com AD 도메인에서 MSA의 암호를 업데이트합니다.

   [root@client ~]# adcli update --domain=production.example.com --host-keytab=/etc/krb5.keytab.production.example.com --computer-password-lifetime=0