1.5. 将 Samba 设置为 AD 域成员服务器

流程

1. 如果您的 AD 需要弃用的 RC4 加密类型进行 Kerberos 验证，请在 RHEL 中启用对这些密码的支持：

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 安装以下软件包：

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator krb5-workstation

3. 要在域成员中共享目录或打印机，请安装samba 软件包：

   # dnf install samba

4. 备份现有的/etc/samba/smb.conf Samba 配置文件：

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. 加入域。例如，要加入名为ad.example.com的域：

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   使用上面的命令，realm工具会自动：

   • 为ad.example.com域中的成员创建/etc/samba/smb.conf文件
   • 将用于用户和组查找的winbind模块添加到/etc/nsswitch.conf文件中
   • 更新/etc/pam.d/目录中的可插拔验证模块(PAM)配置文件
   • 启动winbind服务，并使服务在系统引导时启动
6. 可选：在 /etc/samba/smb.conf 文件中设置备用的 ID 映射后端或自定义 ID 映射设置。

1. 验证winbind服务是否运行：

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   重要

   要启用 Samba 来查询域用户和组信息，必须在启动smb之前运行winbind服务。

2. 如果您安装了samba软件包来共享目录和打印机，请启用并启动smb服务：

   # systemctl enable --now smb

3. 如果您要向活动目录验证本地登录，请启用 winbind_krb5_localauth 插件。请参阅 使用 MIT Kerberos 的本地授权插件。

验证

1. 显示 AD 用户的详情，如 AD 域中的 AD 管理员帐户：

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. 查询 AD 域中的域用户组成员：

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. 可选：验证在对文件和目录设置权限时，您是否可以使用域用户和组。例如，将/srv/samba/example.txt文件的所有者设置为AD\administrator，组设置为AD\Domain Users：

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. 验证 Kerberos 验证是否如预期正常工作：

   1. 对于 AD 域成员，为administrator@AD.EXAMPLE.COM主体获取一个ticket：

      # kinit administrator@AD.EXAMPLE.COM

   2. 显示缓存的 Kerberos ticket：

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 显示可用域：

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

步骤

1. 安装 samba-gpupdate 软件包：

   # dnf install samba-gpupdate

2. 在 /etc/samba/smb.conf 文件中附加以下设置：

   kerberos method = secrets and keytab
   sync machine password to keytab = "/etc/krb5.keytab:account_name:sync_spns:spn_prefixes=host:sync_kvno:machine_password", "/etc/samba/cepces.keytab:account_name:machine_password"
   apply group policies = yes

   Samba 配置中指定的设置包括以下配置：

   Kerberos 方法 = secret 和 keytab

   将 Samba 配置为使用 /var/lib/samba/private/secrets.tdb 文件，首先验证 Kerberos 票据，然后是 /etc/krb5.keytab 文件。

   将机器密码同步到 keytab = & lt;list_of_keytab_files_and_their_principals>

   定义 Samba 在这些文件中维护的 keytab 文件的路径和 Kerberos 主体。使用显示的值时，Samba 继续维护 /etc/krb5.keytab 系统 keytab，另外，一个 /etc/samba/cepces.keytab 文件，certmonger 使用的提交帮助程序用于向 CA 进行身份验证。

   应用组策略 = yes

   配置 winbind 服务，以间隔执行 gpupdate 命令。更新间隔为 90 分钟，以及 0 到 30 分钟之间的随机偏移。

3. 创建 /etc/samba/cepces.keytab 文件：

   # net ads keytab create

4. 编辑 /etc/cepces/cepces.conf 文件，并进行以下更改：

   1. 在 [global] 部分中，将 server 变量设置为运行 CA 服务的 Windows 服务器的完全限定域名(FQDN)：

      [global]
      server=win-server.ad.example.com

   2. 在 [kerberos] 部分中，将 keytab 变量设置为 /etc/samba/cepces.keytab ：

      [kerberos]
      keytab=/etc/samba/cepces.keytab

5. 启用并启动 certmonger 服务：

   # systemctl enable --now certmonger

   certmonger 服务从 CA 请求证书，并在证书过期前自动更新它们。

6. 手动运行 samba-gpupdate，以确保组策略已从 AD 加载：

   # samba-gpupdate

7. certmonger 服务将密钥和证书存储在以下目录中：

   • 私钥： /var/lib/samba/private/certs/

   • 签发的证书： /var/lib/samba/certs/

     现在，您可以在同一主机上的服务中使用密钥和证书。

8. 可选：显示 certmonger 管理的证书：

   # getcert list
   Number of certificates and requests being tracked: 1.
   Request ID 'AD-ROOT-CA.Machine':
   	status: MONITORING
   	stuck: no
   	key pair storage: type=FILE,location='/var/lib/samba/private/certs/AD-ROOT-CA.Machine.key'
   	certificate: type=FILE,location='/var/lib/samba/certs/AD-ROOT-CA.Machine.crt'
   	CA: AD-ROOT-CA
   	issuer: CN=AD-ROOT-CA,DC=ad,DC=example,DC=com
   	subject: CN=rhel9.ad.example.com
   	issued: 2025-03-25 14:22:07 CET
   	expires: 2026-03-25 14:22:07 CET
   	dns: rhel9.ad.example.com
   	key usage: digitalSignature,keyEncipherment
   	eku: id-kp-clientAuth,id-kp-serverAuth
   	certificate template/profile: Machine
   	profile: Machine
   	pre-save command:
   	post-save command:
   	track: yes
   	auto-renew: yes

   默认情况下，Windows CA 使用 Machine 证书模板只发布证书。如果您在适用于此主机的 Windows CA 中配置了额外的模板，certmonger 会请求这些模板的证书，getcert 列表 输出还包括它们的条目。