13.2.13. ドメインの作成： Active Directory

手順13.6 Active Directory アイデンティティープロバイダーの設定

1. Active Directory システムおよび Linux システムの両方に適切に構成されている環境があることを確認します。
   • 特に SSSD でサービス検出を使用する場合は、名前解決を適切に設定する必要があります。
   • Kerberos が正常に機能するには、両方のシステムのクロックが同期されている必要があります。
2. Linux システムを Active Directory クライアントとして設定し、Active Directory ドメイン内に登録します。これは、Linux システムで Kerberos サービスおよび Samba サービスを設定して行います。
   1. Active Directory Kerberos レルムを使用するように Kerberos を設定します。
      1. Kerberos クライアント設定ファイルを開きます。

         ~]# vim /etc/krb5.conf

      2. [logging] セクションおよび [libdefaults] セクションを設定し、Active Directory レルムに接続するようにします。

         [logging]
          default = FILE:/var/log/krb5libs.log
         
         [libdefaults]
          default_realm = EXAMPLE.COM
          dns_lookup_realm = true
          dns_lookup_kdc = true
          ticket_lifetime = 24h
          renew_lifetime = 7d
          rdns = false
          forwardable = false

         SSSD で自動検出を使用しない場合は、[realms] セクションおよび [domain_realm] セクションも設定し、Active Directory サーバーを明示的に定義します。
   2. Active ディレクトリーサーバーに接続するように Samba サーバーを設定します。
      1. Samba 設定ファイルを開きます。

         ~]# vim /etc/samba/smb.conf

      2. [global] セクションに Active Directory ドメイン情報を設定します。

         [global]
            workgroup = EXAMPLE
            client signing = yes
            client use spnego = yes
            kerberos method = secrets and keytab
            log file = /var/log/samba/%m.log
            password server = AD.EXAMPLE.COM
            realm = EXAMPLE.COM
            security = ads

   3. Linux マシンを Active Directory ドメインに追加します。
      1. Windows 管理ユーザーの Kerberos 認証情報を取得します。

         ~]# kinit Administrator

      2. net コマンドを使用してマシンをドメインに追加します。

         ~]# net ads join -k
         Joined 'server' to dns domain 'example.com'

         これにより、新しい keytab ファイル /etc/krb5.keytab が作成されます。
         システムのキーを一覧表示し、ホストプリンシパルが存在することを確認します。

         ~]# klist -k

3. authconfig を使用して、システム認証に SSSD を有効にします。

   # authconfig --update --enablesssd --enablesssdauth

4. 例13.7「Active Directory 2008 R2 ドメイン」 および 例13.8「ID マッピングのある Active Directory 2008 R2 ドメイン」 に示されるように、Active Directory ドメインを SSSD 設定の ID プロバイダーとして設定します。
5. SSH サービスを再起動して、新しい PAM 設定を読み込みます。

   ~]# service sshd restart

6. 設定ファイルの変更後に SSSD を再起動します。

   ~]# service sssd restart