Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

第 4 章 使用 RHEL 系统角色将 RHEL 系统加入到活动目录

如果您的机构使用 Microsoft Active Directory (AD)集中管理用户、组和其他资源，您可以将 Red Hat Enterprise Linux (RHEL)主机加入到此 AD 。例如，AD 用户可以登录到 RHEL，您可以将 RHEL 主机上的服务提供给经过身份验证的 AD 用户。通过使用 ad_integration RHEL 系统角色，您可以将 Red Hat Enterprise Linux 系统自动集成到活动目录(AD)域中。

注意

ad_integration 角色用于使用没有身份管理(IdM)环境的直接 AD 集成的部署。对于 IdM 环境，请使用 ansible-freeipa 角色。

您可以使用 ad_integration RHEL 系统角色自动化将 RHEL 加入到活动目录(AD)域的过程。

先决条件

  • 您已准备好控制节点和受管节点。
  • 您以可在受管主机上运行 playbook 的用户身份登录到控制节点。
  • 用于连接到受管节点的帐户具有 sudo 权限。
  • 受管节点使用可以解析 AD DNS 条目的 DNS 服务器。
  • AD 帐户的凭证，该帐户有权将计算机加入到域中。

  • 受管节点可使用以下端口建立到 AD 域控制器的连接：

    Expand
    源端口目的端口协议服务

    1024 - 65535

    53

    UDP 和 TCP

    DNS

    1024 - 65535

    389

    UDP 和 TCP

    LDAP

    1024 - 65535

    636

    TCP

    LDAPS

    1024 - 65535

    88

    UDP 和 TCP

    Kerberos

    1024 - 65535

    464

    UDP 和 TCP

    Kerberos 密码更改请求

    1024 - 65535

    3268

    TCP

    LDAP 全局目录

    1024 - 65535

    3269

    TCP

    LDAPS 全局目录

    1024 - 65535

    123

    UDP

    NTP（如果启用了时间同步）

    1024 - 65535

    323

    UDP

    NTP（如果启用了时间同步）

流程

  1. 将敏感变量存储在加密的文件中：

    1. 创建 vault ： 

      $ ansible-vault create ~/vault.yml
New Vault password: <vault_password>
Confirm New Vault password: <vault_password>

    2. 在 ansible-vault create 命令打开编辑器后，以 <key>: <value> 格式输入敏感数据： 

      usr: administrator
pwd: <password>
    3. 保存更改，并关闭编辑器。Ansible 加密 vault 中的数据。

  2. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ： 

    ---
- name: Active Directory integration
  hosts: managed-node-01.example.com
  vars_files:
    - ~/vault.yml
  tasks:
    - name: Join an Active Directory
      ansible.builtin.include_role:
        name: redhat.rhel_system_roles.ad_integration
      vars:
        ad_integration_user: "{{ usr }}"
        ad_integration_password: "{{ pwd }}"
        ad_integration_realm: "ad.example.com"
        ad_integration_allow_rc4_crypto: false
        ad_integration_timesync_source: "time_server.ad.example.com"

    示例 playbook 中指定的设置包括如下：

    ad_integration_timesync_source: <time_server>
    指定用于时间同步的 NTP 服务器。Kerberos 需要在 AD 域控制器和域成员中同步时间，以防止重播攻击。如果省略此变量，ad_integration 角色不会使用 timesync RHEL 系统角色在受管节点上配置时间同步。

    有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.ad_integration/README.md 文件。

  3. 验证 playbook 语法： 

    $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

    请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

  4. 运行 playbook： 

    $ ansible-playbook --ask-vault-pass ~/playbook.yml

验证

  • 检查 AD 用户（如 administrator ）是否在受管节点上本地可用： 

    $ ansible managed-node-01.example.com -m command -a 'getent passwd administrator@ad.example.com'
administrator@ad.example.com:*:1450400500:1450400513:Administrator:/home/administrator@ad.example.com:/bin/bash
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2026 Red Hat返回顶部