流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

2. 在您的 AD 域的 [domain] 部分添加以下选项，将 DNS 记录刷新间隔设置为 12 小时，禁用更新 PTR 记录，并将 DNS 记录时间设置为 1 小时。

   [domain/ad.example.com]
   id_provider = ad
   ...
   dyndns_refresh_interval = 43200
   dyndns_update_ptr = false
   dyndns_ttl = 3600

3. 保存并关闭 /etc/sssd/sssd.conf 配置文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 如果您的 AD 需要弃用的 RC4 加密类型进行 Kerberos 验证，请在 RHEL 中启用对这些密码的支持：

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 安装以下软件包：

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator

3. 要在域成员中共享目录或打印机，请安装samba 软件包：

   # dnf install samba

4. 备份现有的/etc/samba/smb.conf Samba 配置文件：

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. 加入域。例如，要加入名为ad.example.com的域：

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   使用上面的命令，realm工具会自动：

   • 为ad.example.com域中的成员创建/etc/samba/smb.conf文件
   • 将用于用户和组查找的winbind模块添加到/etc/nsswitch.conf文件中
   • 更新/etc/pam.d/目录中的可插拔验证模块(PAM)配置文件
   • 启动winbind服务，并使服务在系统引导时启动
6. 另外，在/etc/samba/smb.conf文件中设置备用的 ID 映射后端或自定义 ID 映射设置。

1. 编辑 /etc/krb5.conf 文件并添加以下部分：

   [plugins]
       localauth = {
           module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
           enable_only = winbind
       }

2. 验证winbind服务是否运行：

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   重要

   要启用 Samba 来查询域用户和组信息，必须在启动smb之前运行winbind服务。

3. 如果您安装了samba软件包来共享目录和打印机，请启用并启动smb服务：

   # systemctl enable --now smb

验证步骤

1. 显示 AD 用户的详情，如 AD 域中的 AD 管理员帐户：

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. 查询 AD 域中的域用户组成员：

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. 另外，还可在设置文件和目录权限时验证您可以使用域用户和组。例如，将/srv/samba/example.txt文件的所有者设置为AD\administrator，组设置为AD\Domain Users：

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. 验证 Kerberos 验证是否如预期正常工作：

   1. 对于 AD 域成员，为administrator@AD.EXAMPLE.COM主体获取一个ticket：

      # kinit administrator@AD.EXAMPLE.COM

   2. 显示缓存的 Kerberos ticket：

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 显示可用域：

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

流程

1. 在 /etc/sssd/sssd.conf 文件中的 AD 供应商中添加以下参数：

   ad_maximum_machine_account_password_age = value_in_days

2. 重启 SSSD：

   # systemctl restart sssd

3. 要禁用自动 Kerberos 主机 keytab 续订，设置 ad_maximum_machine_account_password_age = 0。

流程

1. 使用 realm leave 命令从身份域中删除系统。该命令从 SSSD 和本地系统中删除域配置。

   # realm leave ad.example.com

   注意

   当客户端离开域时，AD 不会删除帐户，仅删除本地客户端配置。要删除 AD 帐户，请使用 --remove 选项运行该命令。最初，会在没有凭证的情况下尝试进行连接，但如果没有有效的 Kerberos 票据，则会提示您输入用户密码。您必须具有从 Active Directory 中删除帐户的权限。

2. 使用带有 -U 选项的 realm leave 命令指定一个不同的用户从身份域中删除系统。

   默认情况下，realm leave 命令作为默认管理员执行。对于 AD，管理员帐户名为 Administrator。如果使用其他用户加入到域中，可能需要以该用户身份执行删除操作。

   # realm leave [ad.example.com] -U [AD.EXAMPLE.COM\user]'

1. Active Directory(AD) 子域 subdomain2.ad.example.com
2. AD 子域 subdomain1.ad.example.com
3. AD root 域 ad.example.com

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 文件。

2. 在文件的 [sssd] 部分中设置 domain_resolution_order 选项。

   domain_resolution_order = subdomain2.ad.example.com, subdomain1.ad.example.com, ad.example.com

3. 保存并关闭该文件。

4. 重启 SSSD 服务以加载新的配置设置。

   [root@ad-client ~]# systemctl restart sssd

流程

1. 在 production.example.com AD 域中为主机创建 MSA。

   [root@client ~]# adcli create-msa --domain=production.example.com

2. 显示创建的 Kerberos keytab 中 MSA 的信息。记录 MSA 名称：

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

3. 打开 /etc/sssd/sssd.conf 文件并选择要添加的适当 SSSD 域配置：

   • 如果 MSA 对应于一个来自不同林的 AD 域，请创建一个名为 [domain/<name_of_domain>] 的新域部分，然后输入有关 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid,ldap_krb5_keytab, 和 krb5_keytab:

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

   • 如果 MSA 对应于一个来自本地林的 AD 域，请使用 [domain/root.example.com/sub-domain.example.com] 格式创建一个新的子域部分，然后输入有关 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid,ldap_krb5_keytab, 和 krb5_keytab:

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

流程

1. （可选） 在 Kerberos keytab 中显示 MSA 的当前密钥版本号(KVNO)。当前 KVNO 是 2.

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

2. 更新 production.example.com AD 域中 MSA 的密码。

   [root@client ~]# adcli update --domain=production.example.com --host-keytab=/etc/krb5.keytab.production.example.com --computer-password-lifetime=0