RHEL システムと Windows Active Directory を直接統合

手順

1. 以下のパッケージをインストールします。

   # dnf install realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation

2. --automatic-id-mapping=no オプションを指定した realm join コマンドを使用して、POSIX ID マッピングを無効にしてローカル RHEL システムを設定します。realmd スイートは、必要なすべての設定ファイルを自動的に編集します。たとえば、ad.example.com ドメインの場合は、次のコマンドを実行します。

   # realm join --automatic-id-mapping=no ad.example.com

3. すでにドメインに参加している場合は、SSSD で POSIX ID マッピングを手動で無効にできます。

   1. /etc/sssd/sssd.conf ファイルを開きます。
   2. AD ドメインセクションで、ldap_id_mapping = false 設定を追加します。

   3. SSSD キャッシュを削除します。

      rm -f /var/lib/sss/db/*

   4. SSSD を再起動します。

      systemctl restart sssd

      SSSD は、ローカルで作成するのではなく、AD の POSIX 属性を使用するようになりました。

   注記

   AD のユーザーに関連する POSIX 属性 (uidNumber、gidNumber、unixHomeDirectory、および loginShell) を設定する必要があります。

手順

1. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

2. AD ドメインの [domain] セクションに以下のオプションを追加して、DNS レコードの更新間隔を 12 時間に設定し、PTR レコードの更新を無効にして DNS レコード Time To Live (TTL) を 1 時間に設定します。

   [domain/ad.example.com]
   id_provider = ad
   ...
   dyndns_refresh_interval = 43200
   dyndns_update_ptr = false
   dyndns_ttl = 3600

3. /etc/sssd/sssd.conf 設定ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client ~]# systemctl restart sssd

   注記

   sssd.conf ファイルの dyndns_update オプションを false に設定すると、動的 DNS 更新を無効にできます。

   [domain/ad.example.com]
   id_provider = ad
   ...
   
   dyndns_update = false

手順

1. AD で Kerberos 認証に非推奨の RC4 暗号化タイプが必要な場合は、RHEL でこの暗号のサポートを有効にします。

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 以下のパッケージをインストールします。

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
        samba-winbind samba-common-tools samba-winbind-krb5-locator \
        rb5-workstation

3. ドメインメンバーでディレクトリーまたはプリンターを共有するには、samba パッケージをインストールします。

   # dnf install samba

4. 既存の Samba 設定ファイル /etc/samba/smb.conf をバックアップします。

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. ドメインに参加します。たとえば、ドメイン ad.example.com に参加するには、以下のコマンドを実行します。

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   上記のコマンドを使用すると、realm ユーティリティーが自動的に以下を実行します。

   • ad.example.com ドメインのメンバーシップに /etc/samba/smb.conf ファイルを作成します。
   • ユーザーおよびグループの検索用の winbind モジュールを、/etc/nsswitch.conf ファイルに追加します。
   • /etc/pam.d/ ディレクトリーの PAM (プラグ可能な認証モジュール) 設定ファイルを更新します。
   • winbind サービスを起動し、システムの起動時にサービスを起動できるようにします。

6. オプション: /etc/samba/smb.conf ファイルで、別の ID マッピングバックエンドまたはカスタマイズした ID マッピング設定を指定します。

   詳細は、Samba ID マッピングの理解および設定 を参照してください。

7. /etc/krb5.conf ファイルを編集し、以下のセクションを追加します。

   [plugins]
       localauth = {
           module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
           enable_only = winbind
       }

8. winbind サービスが稼働していることを確認します。

   # systemctl status winbind

   Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   重要

   Samba がドメインのユーザーおよびグループの情報をクエリーできるようにするには、smb を起動する前に winbind サービスを実行する必要があります。

9. samba パッケージをインストールしてディレクトリーおよびプリンターを共有している場合は、smb サービスを有効化して開始します。

   # systemctl enable --now smb

検証

1. AD ドメインの AD 管理者アカウントなど、AD ユーザーの詳細を表示します。

   # getent passwd "AD\administrator"

   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. AD ドメイン内のドメインユーザーグループのメンバーをクエリーします。

   # getent group "AD\Domain Users"

   AD\domain users:x:10000:user1,user2

3. オプション: ファイルとディレクトリーの権限を設定するときに、ドメインのユーザーおよびグループを使用できることを確認します。たとえば、/srv/samba/example.txt ファイルの所有者を AD\administrator に設定し、グループを AD\Domain Users に設定するには、以下のコマンドを実行します。

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. Kerberos 認証が期待どおりに機能することを確認します。

   1. AD ドメインメンバーで、administrator@AD.EXAMPLE.COM プリンシパルのチケットを取得します。

      # kinit administrator@AD.EXAMPLE.COM

   2. キャッシュされた Kerberos チケットを表示します。

      # klist

      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 利用可能なドメインの表示:

   # wbinfo --all-domains

   BUILTIN
   SAMBA-SERVER
   AD

手順

1. 機密性の高い変数を暗号化されたファイルに保存します。

   1. vault を作成します。

      $ ansible-vault create ~/vault.yml

      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. ansible-vault create コマンドでエディターが開いたら、機密データを <key>: <value> 形式で入力します。

      usr: administrator
      pwd: <password>

   3. 変更を保存して、エディターを閉じます。Ansible は vault 内のデータを暗号化します。

2. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Active Directory integration
     hosts: managed-node-01.example.com
     vars_files:
       - ~/vault.yml
     tasks:
       - name: Join an Active Directory
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.ad_integration
         vars:
           ad_integration_user: "{{ usr }}"
           ad_integration_password: "{{ pwd }}"
           ad_integration_realm: "ad.example.com"
           ad_integration_allow_rc4_crypto: false
           ad_integration_timesync_source: "time_server.ad.example.com"

   サンプル Playbook で指定されている設定は次のとおりです。

   ad_integration_allow_rc4_crypto: <true|false>

   ロールが管理対象ノードで AD-SUPPORT 暗号化ポリシーを有効にするかどうかを設定します。デフォルトでは、RHEL は脆弱な RC4 暗号化をサポートしていませんが、それでも AD 内の Kerberos で RC4 が必要な場合は、ad_integration_allow_rc4_crypto: true を設定することでこの暗号化タイプを有効にできます。

   Kerberos が AES 暗号化を使用する場合は、この変数を省略するか、false に設定します。

   ad_integration_timesync_source: <time_server>

   時刻同期に使用する NTP サーバーを指定します。Kerberos は、リプレイ攻撃を防ぐために、AD のドメインコントローラーとドメインメンバー間の時刻同期を必要とします。この変数を省略すると、ad_integration ロールは、管理対象ノードで時刻同期を設定するために timesync RHEL システムロールを使用しません。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.ad_integration/README.md ファイルを参照してください。

3. Playbook の構文を検証します。

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

4. Playbook を実行します。

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

手順

1. 以下のパラメーターを /etc/sssd/sssd.conf ファイルの AD プロバイダーに追加します。

   ad_maximum_machine_account_password_age = value_in_days

2. SSSD を再起動します。

   # systemctl restart sssd

3. Kerberos ホストのキータブの自動更新を無効にするには、ad_maximum_machine_account_password_age = 0 を設定します。

手順

1. realm leave コマンドを使用して、ID ドメインからシステムを削除します。このコマンドは、SSSD およびローカルシステムからドメイン設定を削除します。

   # realm leave ad.example.com

   注記

   クライアントがドメインを離れると、AD はアカウントを削除せず、ローカルクライアント設定のみを削除します。AD アカウントを削除するには、--remove オプションを指定してコマンドを実行します。最初は認証情報なしで接続を試行しますが、有効な Kerberos チケットを持っていない場合は、ユーザーパスワードの入力を求められます。Active Directory からアカウントを削除する権限が必要です。

2. realm leave コマンドに -U オプションを付けて実行し、システムを ID ドメインから削除する別のユーザーを指定します。

   デフォルトでは、realm leave コマンドはデフォルトの管理者として実行されます。AD の場合は、管理者アカウントは Administrator と呼ばれます。ドメインに参加するために別のユーザーを使用していた場合は、そのユーザーとして削除を実行しないといけない場合があります。

   # realm leave [ad.example.com] -U [AD.EXAMPLE.COM\user]'

   コマンドは最初に認証情報なしで接続を試みますが、必要に応じてパスワードが要求されます。

1. Active Directory (AD) 子ドメイン subdomain2.ad.example.com
2. AD 子ドメイン subdomain1.ad.example.com
3. AD root ドメイン ad.example.com

手順

1. テキストエディターで /etc/sssd/sssd.conf ファイルを開きます。

2. このファイルの [sssd] セクションに domain_resolution_order オプションを設定します。

   domain_resolution_order = subdomain2.ad.example.com, subdomain1.ad.example.com, ad.example.com

3. ファイルを保存してから閉じます。

4. SSSD サービスを再起動して、新しい設定を読み込みます。

   [root@ad-client ~]# systemctl restart sssd

手順

1. production.example.com AD ドメインにホスト用の MSA を作成します。

   [root@client ~]# adcli create-msa --domain=production.example.com

2. 作成された Kerberos キータブから MSA に関する情報を表示します。MSA の名前を書き留めておきます。

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com

   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

3. /etc/sssd/sssd.conf ファイルを開き、適切な SSSD ドメイン設定を選択して追加します。

   • MSA が 別のフォレストの AD ドメイン に対応する場合は、[domain/<name_of_domain>] という名前の新しいドメインセクションを作成し、MSA とキータブに関する情報を入力します。最も重要なオプションは、ldap_sasl_authid、ldap_krb5_keytab、および krb5_keytab です。

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     警告

     既存の信頼関係があっても、sssd-ad では 2 番目のフォレストに MSA が必要です。

   • MSA が ローカルフォレストの AD ドメイン に対応する場合は、[domain/root.example.com/sub-domain.example.com] 形式で新しいサブドメインセクションを作成し、MSA とキータブに関する情報を入力します。最も重要なオプションは、ldap_sasl_authid、ldap_krb5_keytab、および krb5_keytab です。

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ...

手順

1. Kerberos キータブで、MSA の現在の Key Version Number (KVNO) を表示します。現在の KVNO は 2 です。

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com

   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

2. production.example.com AD ドメイン内の MSA のパスワードを更新します。

   [root@client ~]# adcli update --domain=production.example.com --host-keytab=/etc/krb5.keytab.production.example.com --computer-password-lifetime=0