Windows Active Directory와 RHEL 시스템을 직접 통합

절차

1. 텍스트 편집기에서 /etc/sssd/sssd.conf 설정 파일을 엽니다.

2. AD 도메인의 [domain] 섹션에 DNS 레코드 새로 고침 간격을 12시간으로 설정하고, PTR 레코드 업데이트를 비활성화하며, DNS 레코드 TTL(TTL)을 1시간으로 설정합니다.

   [domain/ad.example.com]
   id_provider = ad
   ...
   dyndns_refresh_interval = 43200
   dyndns_update_ptr = false
   dyndns_ttl = 3600

   Copy to Clipboard Toggle word wrap
3. /etc/sssd/sssd.conf 설정 파일을 저장하고 닫습니다.

4. SSSD 서비스를 다시 시작하여 구성 변경 사항을 로드합니다.

   [root@client ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. AD에 Kerberos 인증을 위한 더 이상 사용되지 않는 RC4 암호화 유형이 필요한 경우 RHEL에서 이러한 암호에 대한 지원을 활성화합니다.

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

   Copy to Clipboard Toggle word wrap

2. 다음 패키지를 설치합니다.

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator krb5-workstation

   Copy to Clipboard Toggle word wrap

3. 도메인 구성원에서 디렉터리 또는 프린터를 공유하려면 samba 패키지를 설치합니다.

   # dnf install samba

   Copy to Clipboard Toggle word wrap

4. 기존 /etc/samba/smb.conf Samba 구성 파일을 백업합니다.

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

   Copy to Clipboard Toggle word wrap

5. 도메인에 가입합니다. 예를 들어 ad.example.com이라는 도메인에 가입하려면 다음을 수행합니다.

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   Copy to Clipboard Toggle word wrap

   이전 명령을 사용하면 realm 유틸리티가 자동으로 수행됩니다.

   • ad.example.com 도메인 멤버십에 대한 /etc/samba/smb.conf 파일을 만듭니다.
   • 사용자 및 그룹 조회에 대한 winbind 모듈을 /etc/nsswitch.conf 파일에 추가합니다.
   • /etc/pam.d/ 디렉토리에서 PAM(Pluggable Authentication Module) 구성 파일을 업데이트합니다.
   • winbind 서비스를 시작하고 시스템이 부팅될 때 서비스가 시작됩니다.
6. 선택 사항: /etc/samba/smb.conf 파일에서 대체 ID 매핑 백엔드 또는 사용자 지정 ID 매핑 설정을 설정합니다.

1. /etc/krb5.conf 파일을 편집하고 다음 섹션을 추가합니다.

   [plugins]
       localauth = {
           module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
           enable_only = winbind
       }

   Copy to Clipboard Toggle word wrap

2. winbind 서비스가 실행 중인지 확인합니다.

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   Copy to Clipboard Toggle word wrap
   중요

   Samba를 활성화하여 도메인 사용자 및 그룹 정보를 쿼리하려면 smb 를 시작하기 전에 winbind 서비스를 실행해야 합니다.

3. 디렉터리 및 프린터를 공유하는 samba 패키지를 설치한 경우 smb 서비스를 활성화하고 시작합니다.

   # systemctl enable --now smb

   Copy to Clipboard Toggle word wrap

검증

1. AD 도메인의 AD 관리자 계정과 같은 AD 사용자의 세부 정보를 표시합니다.

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

   Copy to Clipboard Toggle word wrap

2. AD 도메인에서 도메인 사용자 그룹의 멤버를 쿼리합니다.

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

   Copy to Clipboard Toggle word wrap

3. 선택 사항: 파일 및 디렉터리에 대한 권한을 설정할 때 도메인 사용자 및 그룹을 사용할 수 있는지 확인합니다. 예를 들어 /srv/samba/example.txt 파일의 소유자를 AD\administrator 로 설정하고 그룹을 AD\Domain Users 로 설정하려면 다음을 수행합니다.

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

   Copy to Clipboard Toggle word wrap

4. Kerberos 인증이 예상대로 작동하는지 확인합니다.

   1. AD 도메인 멤버에서 administrator@AD.EXAMPLE.COM 주체의 티켓을 받습니다.

      # kinit administrator@AD.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   2. 캐시된 Kerberos 티켓을 표시합니다.

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

      Copy to Clipboard Toggle word wrap

5. 사용 가능한 도메인을 표시합니다.

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

   Copy to Clipboard Toggle word wrap

절차

1. 중요한 변수를 암호화된 파일에 저장합니다.

   1. 자격 증명 모음을 생성합니다.

      $ ansible-vault create vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

      Copy to Clipboard Toggle word wrap

   2. ansible-vault create 명령이 편집기를 열고 < key > : < value > 형식으로 중요한 데이터를 입력합니다.

      usr: administrator
      pwd: <password>

      Copy to Clipboard Toggle word wrap
   3. 변경 사항을 저장하고 편집기를 종료합니다. Ansible은 자격 증명 모음의 데이터를 암호화합니다.

2. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Active Directory integration
     hosts: managed-node-01.example.com
     vars_files:
       - vault.yml
     tasks:
       - name: Join an Active Directory
         ansible.builtin.include_role:
           name: rhel-system-roles.ad_integration
         vars:
           ad_integration_user: "{{ usr }}"
           ad_integration_password: "{{ pwd }}"
           ad_integration_realm: "ad.example.com"
           ad_integration_allow_rc4_crypto: false
           ad_integration_timesync_source: "time_server.ad.example.com"

   Copy to Clipboard Toggle word wrap

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   ad_integration_allow_rc4_crypto: <true|false>

   역할이 관리 노드에서 AD-SUPPORT 암호화 정책을 활성화할지 여부를 구성합니다. 기본적으로 RHEL은 약한 RC4 암호화를 지원하지 않지만 AD의 Kerberos에 RC4가 필요한 경우 ad_integration_allow_rc4_crypto: true 를 설정하여 이 암호화 유형을 활성화할 수 있습니다.

   Kerberos에서 AES 암호화를 사용하는 경우 이 변수를 생략하거나 false 로 설정합니다.

   ad_integration_timesync_source: <time_server>

   시간 동기화에 사용할 NTP 서버를 지정합니다. Kerberos는 재생 공격을 방지하기 위해 AD 도메인 컨트롤러 및 도메인 멤버 간에 동기화된 시간이 필요합니다. 이 변수를 생략하면 ad_integration 역할은 timesync RHEL 시스템 역할을 활용하여 관리 노드에서 시간 동기화를 구성하지 않습니다.

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.ad_integration/README.md 파일을 참조하십시오.

3. 플레이북 구문을 확인합니다.

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

4. Playbook을 실행합니다.

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

   Copy to Clipboard Toggle word wrap

절차

1. /etc/sssd/sssd.conf 파일의 AD 공급자에 다음 매개 변수를 추가합니다.

   ad_maximum_machine_account_password_age = value_in_days

   Copy to Clipboard Toggle word wrap

2. SSSD를 다시 시작합니다.

   # systemctl restart sssd

   Copy to Clipboard Toggle word wrap
3. 자동 Kerberos 호스트 키탭 업데이트를 비활성화하려면 ad_maximum_machine_account_password_age = 0 을 설정합니다.

절차

1. realm leave 명령을 사용하여 ID 도메인에서 시스템을 제거합니다. 이 명령은 SSSD 및 로컬 시스템에서 도메인 구성을 제거합니다.

   # realm leave ad.example.com

   Copy to Clipboard Toggle word wrap
   참고

   클라이언트가 도메인을 벗어나면 AD는 계정을 삭제하지 않고 로컬 클라이언트 구성만 제거합니다. AD 계정을 삭제하려면 --remove 옵션을 사용하여 명령을 실행합니다. 처음에 인증 정보 없이 연결을 시도하지만 유효한 Kerberos 티켓이 없는 경우 사용자 암호를 입력하라는 메시지가 표시됩니다. Active Directory에서 계정을 삭제할 수 있는 권한이 있어야 합니다.

2. realm leave 명령과 함께 -U 옵션을 사용하여 ID 도메인에서 시스템을 제거하려면 다른 사용자를 지정합니다.

   기본적으로 realm leave 명령은 기본 관리자로 실행됩니다. AD의 경우 관리자 계정을 Administrator 라고 합니다. 다른 사용자가 도메인에 가입하는 데 사용된 경우 해당 사용자로 제거를 수행해야 할 수 있습니다.

   # realm leave [ad.example.com] -U [AD.EXAMPLE.COM\user]'

   Copy to Clipboard Toggle word wrap

1. Active Directory (AD) 하위 도메인 subdomain2.ad.example.com
2. AD 하위 도메인 subdomain1.ad.example.com
3. AD root 도메인 ad.example.com

절차

1. 텍스트 편집기에서 /etc/sssd/sssd.conf 파일을 엽니다.

2. 파일의 [sssd] 섹션에서 domain_resolution_order 옵션을 설정합니다.

   domain_resolution_order = subdomain2.ad.example.com, subdomain1.ad.example.com, ad.example.com

   Copy to Clipboard Toggle word wrap
3. 파일을 저장한 후 닫습니다.

4. SSSD 서비스를 다시 시작하여 새 구성 설정을 로드합니다.

   [root@ad-client ~]# systemctl restart sssd

   Copy to Clipboard Toggle word wrap

절차

1. production.example.com AD 도메인에 호스트에 대한 MSA를 생성합니다.

   [root@client ~]# adcli create-msa --domain=production.example.com

   Copy to Clipboard Toggle word wrap

2. 생성된 Kerberos 키 탭에서 MSA에 대한 정보를 표시합니다. MSA 이름을 기록해 둡니다.

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

   Copy to Clipboard Toggle word wrap

3. /etc/sssd/sssd.conf 파일을 열고 다음을 추가할 적절한 SSSD 도메인 구성을 선택합니다.

   • MSA가 다른 포리스트의 AD 도메인에 해당하는 경우 [domain /<name_of_domain>] 이라는 새 도메인 섹션을 만들고 MSA 및 keytab에 대한 정보를 입력합니다. 가장 중요한 옵션은 ldap_sasl_authid,ldap_krb5_keytab, krb5_keytab 입니다.

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     Copy to Clipboard Toggle word wrap

   • MSA가 지역 산포의 AD 도메인에 해당하는 경우 [domain/root.example.com/sub-domain.example.com] 형식으로 새 하위 도메인 섹션을 만들고 MSA 및 키 탭에 대한 정보를 입력합니다. 가장 중요한 옵션은 ldap_sasl_authid,ldap_krb5_keytab, krb5_keytab 입니다.

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: Kerberos 키 탭에서 MSA의 현재 키 버전 번호(KVNO)를 표시합니다. 현재 KVNO는 2입니다.

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

   Copy to Clipboard Toggle word wrap

2. production.example.com AD 도메인에서 MSA의 암호를 업데이트합니다.

   [root@client ~]# adcli update --domain=production.example.com --host-keytab=/etc/krb5.keytab.production.example.com --computer-password-lifetime=0

   Copy to Clipboard Toggle word wrap