将 RHEL 系统直接与 Windows Active Directory 集成

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 配置文件。

2. 在您的 AD 域的 [domain] 部分添加以下选项，将 DNS 记录刷新间隔设置为 12 小时，禁用更新 PTR 记录，并将 DNS 记录时间设置为 1 小时。

   [domain/ad.example.com]
   id_provider = ad
   ...
   dyndns_refresh_interval = 43200
   dyndns_update_ptr = false
   dyndns_ttl = 3600

3. 保存并关闭 /etc/sssd/sssd.conf 配置文件。

4. 重启 SSSD 服务以载入配置更改。

   [root@client ~]# systemctl restart sssd

流程

1. 如果您的 AD 需要弃用的 RC4 加密类型进行 Kerberos 验证，请在 RHEL 中启用对这些密码的支持：

   # update-crypto-policies --set DEFAULT:AD-SUPPORT

2. 安装以下软件包：

   # dnf install realmd oddjob-mkhomedir oddjob samba-winbind-clients \
          samba-winbind samba-common-tools samba-winbind-krb5-locator krb5-workstation

3. 要在域成员中共享目录或打印机，请安装samba 软件包：

   # dnf install samba

4. 备份现有的/etc/samba/smb.conf Samba 配置文件：

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

5. 加入域。例如，要加入名为ad.example.com的域：

   # realm join --membership-software=samba --client-software=winbind ad.example.com

   使用上面的命令，realm工具会自动：

   • 为ad.example.com域中的成员创建/etc/samba/smb.conf文件
   • 将用于用户和组查找的winbind模块添加到/etc/nsswitch.conf文件中
   • 更新/etc/pam.d/目录中的可插拔验证模块(PAM)配置文件
   • 启动winbind服务，并使服务在系统引导时启动
6. 可选：在 /etc/samba/smb.conf 文件中设置备用的 ID 映射后端或自定义 ID 映射设置。

1. 编辑 /etc/krb5.conf 文件并添加以下部分：

   [plugins]
       localauth = {
           module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
           enable_only = winbind
       }

2. 验证winbind服务是否运行：

   # systemctl status winbind
   ...
      Active: active (running) since Tue 2018-11-06 19:10:40 CET; 15s ago

   重要

   要启用 Samba 来查询域用户和组信息，必须在启动smb之前运行winbind服务。

3. 如果您安装了samba软件包来共享目录和打印机，请启用并启动smb服务：

   # systemctl enable --now smb

验证

1. 显示 AD 用户的详情，如 AD 域中的 AD 管理员帐户：

   # getent passwd "AD\administrator"
   AD\administrator:*:10000:10000::/home/administrator@AD:/bin/bash

2. 查询 AD 域中的域用户组成员：

   # getent group "AD\Domain Users"
       AD\domain users:x:10000:user1,user2

3. 可选：验证在对文件和目录设置权限时，您是否可以使用域用户和组。例如，将/srv/samba/example.txt文件的所有者设置为AD\administrator，组设置为AD\Domain Users：

   # chown "AD\administrator":"AD\Domain Users" /srv/samba/example.txt

4. 验证 Kerberos 验证是否如预期正常工作：

   1. 对于 AD 域成员，为administrator@AD.EXAMPLE.COM主体获取一个ticket：

      # kinit administrator@AD.EXAMPLE.COM

   2. 显示缓存的 Kerberos ticket：

      # klist
      Ticket cache: KCM:0
      Default principal: administrator@AD.EXAMPLE.COM
      
      Valid starting       Expires              Service principal
      01.11.2018 10:00:00  01.11.2018 20:00:00  krbtgt/AD.EXAMPLE.COM@AD.EXAMPLE.COM
              renew until 08.11.2018 05:00:00

5. 显示可用域：

   # wbinfo --all-domains
   BUILTIN
   SAMBA-SERVER
   AD

流程

1. 将您的敏感变量存储在一个加密文件中：

   1. 创建 vault ：

      $ ansible-vault create ~/vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. 在 ansible-vault create 命令打开编辑器后，以 <key>: <value> 格式输入敏感数据：

      usr: administrator
      pwd: <password>

   3. 保存更改，并关闭编辑器。Ansible 加密 vault 中的数据。

2. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Active Directory integration
     hosts: managed-node-01.example.com
     vars_files:
       - ~/vault.yml
     tasks:
       - name: Join an Active Directory
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.ad_integration
         vars:
           ad_integration_user: "{{ usr }}"
           ad_integration_password: "{{ pwd }}"
           ad_integration_realm: "ad.example.com"
           ad_integration_allow_rc4_crypto: false
           ad_integration_timesync_source: "time_server.ad.example.com"

   示例 playbook 中指定的设置包括以下内容：

   ad_integration_allow_rc4_crypto: <true|false>

   配置角色是否可以激活受管节点上的 AD-SUPPORT 加密策略。默认情况下，RHEL 不支持弱 RC4 加密，但如果 AD 中的 Kerberos 仍然需要 RC4，则您可以通过设置 ad_integration_allow_rc4_crypto: true 来启用这个加密类型。

   如果 Kerberos 使用 AES 加密，则省略此变量或将其设置为 false。

   ad_integration_timesync_source: <time_server>

   指定用于时间同步的 NTP 服务器。Kerberos 需要 AD 域控制器和域成员之间的同步时间，以防止重播攻击。如果省略此变量，ad_integration 角色不会利用 timesync RHEL 系统角色来在受管节点上配置时间同步。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.ad_integration/README.md 文件。

3. 验证 playbook 语法：

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

4. 运行 playbook：

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

流程

1. 在 /etc/sssd/sssd.conf 文件中的 AD 供应商中添加以下参数：

   ad_maximum_machine_account_password_age = value_in_days

2. 重启 SSSD：

   # systemctl restart sssd

3. 要禁用自动 Kerberos 主机 keytab 续订，设置 ad_maximum_machine_account_password_age = 0。

流程

1. 使用 realm leave 命令从身份域中删除系统。该命令从 SSSD 和本地系统中删除域配置。

   # realm leave ad.example.com

   注意

   当客户端离开域时，AD 不会删除帐户，仅删除本地客户端配置。要删除 AD 帐户，请使用 --remove 选项运行命令。最初，会在没有凭证的情况下尝试进行连接，但如果您没有有效的 Kerberos 票据，则会提示您输入用户密码。您必须具有从活动目录中删除帐户的权限。

2. 使用带有 -U 选项的 realm leave 命令指定一个不同的用户从身份域中删除系统。

   默认情况下，realm leave 命令作为默认管理员执行。对于 AD，管理员帐户名为 Administrator。如果使用其他用户加入到域中，可能需要以该用户身份执行删除操作。

   # realm leave [ad.example.com] -U [AD.EXAMPLE.COM\user]'

   命令首先在没有凭证的情况下尝试连接，但是如果需要，它会提示输入密码。

1. Active Directory(AD) 子域 subdomain2.ad.example.com
2. AD 子域 subdomain1.ad.example.com
3. AD root 域 ad.example.com

流程

1. 在文本编辑器中打开 /etc/sssd/sssd.conf 文件。

2. 在文件的 [sssd] 部分中设置 domain_resolution_order 选项。

   domain_resolution_order = subdomain2.ad.example.com, subdomain1.ad.example.com, ad.example.com

3. 保存并关闭该文件。

4. 重启 SSSD 服务以加载新的配置设置。

   [root@ad-client ~]# systemctl restart sssd

流程

1. 在 production.example.com AD 域中为主机创建 MSA。

   [root@client ~]# adcli create-msa --domain=production.example.com

2. 显示创建的 Kerberos keytab 中 MSA 的信息。记录 MSA 名称：

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

3. 打开 /etc/sssd/sssd.conf 文件并选择要添加的适当 SSSD 域配置：

   • 如果 MSA 对应于一个来自不同林的 AD 域，请创建一个名为 [domain/<name_of_domain>] 的新域部分，然后输入有关 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid,ldap_krb5_keytab, 和 krb5_keytab:

     [domain/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

     警告

     即使具有现有的信任关系，sssd-ad 还需要第二个林中的 MSA。

   • 如果 MSA 对应于一个来自本地林的 AD 域，请使用 [domain/root.example.com/sub-domain.example.com] 格式创建一个新的子域部分，然后输入有关 MSA 和 keytab 的信息。最重要的选项为 ldap_sasl_authid,ldap_krb5_keytab, 和 krb5_keytab:

     [domain/ad.example.com/production.example.com]
     ldap_sasl_authid = CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
     ldap_krb5_keytab = /etc/krb5.keytab.production.example.com
     krb5_keytab = /etc/krb5.keytab.production.example.com
     ad_domain = production.example.com
     krb5_realm = PRODUCTION.EXAMPLE.COM
     access_provider = ad
     ...

流程

1. 可选：显示 Kerberos keytab 中 MSA 的当前密钥版本号(KVNO)。当前 KVNO 是 2.

   [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
   Keytab name: FILE:/etc/krb5.keytab.production.example.com
   KVNO Principal
   ---- ------------------------------------------------------------
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      2 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

2. 更新 production.example.com AD 域中 MSA 的密码。

   [root@client ~]# adcli update --domain=production.example.com --host-keytab=/etc/krb5.keytab.production.example.com --computer-password-lifetime=0