เชื่อมต่อ SLES 15 เข้ากับ Active Directory ด้วย SSSD ใน YaST

สำหรับเวิร์กสเตชันหรือเซิร์ฟเวอร์ SLES 15 ทั่วไปที่ต้องการผู้ใช้และการเข้าสู่ระบบที่เชื่อมโยงกับ Active Directory ให้ใช้User Logon Managementโมดูลของ YaST และเลือก Microsoft Active Directory สำหรับทั้งการระบุตัวตนและการตรวจสอบสิทธิ์ นี่คือแนวทางที่ใช้ SSSD ของ SUSE ตัวอย่างเช่น คำแนะนำนี้ใช้โฮสต์สมมติชื่อlinux01และโดเมนad.example.comโดยจะใช้ได้เมื่อไคลเอ็นต์สามารถเข้าถึงบริการ DNS และเวลาของ AD ได้ และคุณมีข้อมูลรับรองการลงทะเบียนคอมพิวเตอร์ที่ได้รับอนุญาต

ขั้นตอนการดำเนินการนี้เป็นไปตามคู่มือความปลอดภัยและการเสริมความแข็งแกร่งของ SUSE SLES 15 SP7 Service Pack เวอร์ชันก่อนหน้าอาจมีหน้าจอ YaST หรือรายละเอียดแพ็กเกจที่แตกต่างกัน ดังนั้นโปรดใช้คู่มือที่ตรงกับ SP ที่ติดตั้งไว้ หากความต้องการของคุณต้องการการสนับสนุน NTLM หรือความเชื่อถือข้ามโดเมนโดยเฉพาะ SUSE ระบุว่าโมดูล Windows Domain Membership ที่ใช้ Winbind เป็นตัวเลือกที่เหมาะสมกว่า

ก่อนเข้าร่วม: ตรวจสอบ DNS, เวลา และข้อมูลประจำตัวของโฮสต์

การค้นหา AD อาศัยระเบียน DNS และการตรวจสอบสิทธิ์ Kerberos ขึ้นอยู่กับนาฬิกาที่แม่นยำ ชี้ไคลเอ็นต์ SLES ไปที่ DNS ที่สามารถระบุโดเมน AD และตัวควบคุมโดเมนได้ ในการตั้งค่าทั่วไป นั่นหมายถึงการใช้เซิร์ฟเวอร์ DNS ของ AD แทนที่จะใช้ตัวแก้ไขสาธารณะ ซิงโครไนซ์ไคลเอ็นต์กับแหล่งเวลาที่ได้รับอนุมัติสำหรับโดเมนของคุณ

ใน YaST ให้เปิดNetwork SettingsเลือกHostname/DNSและตั้งค่าName Server 1เป็นที่อยู่เซิร์ฟเวอร์ AD DNS ที่อยู่ในภาพประกอบเป็นเพียงตัวอย่างเท่านั้น จากนั้นตรวจสอบชื่อโฮสต์ในเครื่องและสถานะเวลา:

hostname
timedatectl status

เปรียบเทียบชื่อคอมพิวเตอร์กับชื่อที่ลงทะเบียนไว้ใน Active Directory (AD) หากชื่อแตกต่างกัน หน้าต่างการเข้าร่วมของ SUSE จะมีAD hostnameช่องให้กรอก อย่าปิดใช้งานไฟร์วอลล์เพื่อใช้เป็นทางลัดในการค้นหา ให้ขอให้ทีมเครือข่ายอนุญาตการรับส่งข้อมูลระหว่างไคลเอ็นต์และตัวควบคุมโดเมนตามกฎขององค์กรของคุณ SUSE ยังเตือนด้วยว่าชื่อที่ลงท้ายด้วย.localอาจขัดแย้งกับ DNS แบบมัลติแคสต์ ดังนั้นให้ตรวจสอบการออกแบบ DNS ของคุณหากนั่นคือส่วนต่อท้ายโดเมนของคุณ

เลือกโมดูล SSSD และเพิ่มโดเมน AD

ใน YaST ให้เปิดUser Logon Management. อย่าเลือกตัวเลือกWindows Domain Membershipนี้สำหรับขั้นตอนนี้: เอกสารของ SUSE ระบุว่าโมดูลนี้ใช้ Winbind ในขณะที่ User Logon Management เป็นตัวเลือกที่ใช้ SSSD และโดยทั่วไปแล้วจะนิยมใช้สำหรับการตรวจสอบสิทธิ์ AD มากกว่า

เปิดChange SettingsเลือกAdd Domainและป้อนชื่อ DNS ของโดเมน เช่นad.example.comตั้งค่าบริการระบุตัวตนและบริการตรวจสอบสิทธิ์เป็นMicrosoft Active Directoryและตรวจสอบให้แน่ใจว่าEnable the domainได้เลือกไว้แล้ว

คงค่าเริ่มต้นอื่นๆ ไว้ เว้นแต่สภาพแวดล้อมของคุณต้องการชื่อโฮสต์ AD เฉพาะ หรือรายการตัวควบคุมโดเมนที่กำหนดไว้ หากการค้นหา DNS อัตโนมัติไม่เหมาะสม ให้ป้อนชื่อโฮสต์ตัวควบคุมโดเมนที่ทีม AD ของคุณให้มา เลือกOKเพื่อให้ YaST สามารถติดตั้งซอฟต์แวร์ที่ขาดหายไป และตรวจสอบว่าสามารถเข้าถึงตัวควบคุมได้หรือไม่

ลงทะเบียนโฮสต์และเปิดใช้งานการเข้าสู่ระบบโดเมน

เมื่อ YaST แจ้งว่าพบเซิร์ฟเวอร์ AD แล้ว แต่คอมพิวเตอร์ยังไม่ได้ลงทะเบียน ให้ป้อนบัญชีและรหัสผ่านที่ได้รับอนุญาตสำหรับการลงทะเบียน หน้าต่างโต้ตอบที่ SUSE จัดทำเอกสารไว้จะใช้บัญชีผู้ดูแลระบบ AD โปรดปฏิบัติตามกระบวนการที่ทีมไดเร็กทอรีของคุณอนุมัติสำหรับการลงทะเบียนคอมพิวเตอร์ และห้ามใส่รหัสผ่านในสคริปต์หรือบทความใดๆ หากหน้าต่างโต้ตอบไม่สามารถค้นหาเซิร์ฟเวอร์ได้ ให้กลับไปที่การตรวจสอบ DNS และชื่อโฮสต์ก่อนลองใหม่อีกครั้ง

หลังจากลงทะเบียนแล้ว ให้เปิดใช้งานAllow Domain User Logonตัดสินใจว่าจะเปิดใช้งานCreate Home Directoriesหรือไม่โดยพิจารณาจากนโยบายข้อมูลผู้ใช้ของเซิร์ฟเวอร์ การดำเนินการนี้จะสร้างไดเร็กทอรีโฮมในเครื่องสำหรับผู้ใช้ AD เมื่อเข้าสู่ระบบครั้งแรก ซึ่งมีประโยชน์สำหรับเครื่องที่ควรเก็บรักษาข้อมูลโฮมในเครื่อง แต่ไม่ได้สร้างหรือจัดการบัญชีผู้ใช้ใน AD

หาก AD มีUnixHomeDirectoryแอตทริบิวต์ของผู้ใช้แต่ละรายอยู่แล้ว ให้ตรวจสอบว่าแอตทริบิวต์นั้นถูกเติมข้อมูลและพร้อมใช้งานตามที่การออกแบบไดเร็กทอรีของคุณต้องการ เมื่อไคลเอ็นต์ต้องการเส้นทางสำรอง ให้ใช้Service Options> Name switch> Extended Optionsเพื่อกำหนดค่าfallback_homedirเช่น/home/%uเอกสารของ SUSE ระบุว่าจะใช้เส้นทางสำรองเมื่อไม่ได้ระบุเส้นทาง AD override_homedirโดยค่าไคลเอ็นต์จะมีความสำคัญเหนือกว่า เลือกใช้เส้นทางใดเส้นทางหนึ่งหลังจากตรวจสอบนโยบายไดเร็กทอรีโฮมของคุณแล้วเท่านั้น

บันทึกการตั้งค่าและตรวจสอบสรุปการกำหนดค่าที่ได้ หากระบบใช้ Samba ด้วย ให้เลือกตัวเลือกในการเขียนทับการกำหนดค่า Samba เฉพาะเมื่อต้องการใช้งานร่วมกันเท่านั้น การดำเนินการนี้แยกต่างหากจากการเปิดใช้งานการเข้าสู่ระบบของผู้ใช้แบบ SSSD

ตรวจสอบ SSSD, การค้นหาผู้ใช้ และการเข้าสู่ระบบ Kerberos

ตรวจสอบว่า SSSD เปิดใช้งานอยู่ จากนั้นสอบถามบัญชีโดเมนจริงโดยใช้รูปแบบชื่อที่ได้รับอนุมัติสำหรับโดเมนของคุณ ในตัวอย่างนี้ ให้แทนที่EXAMPLEและaliceด้วยชื่อโดเมนแบบย่อและบัญชีทดสอบที่มีอยู่:

systemctl status sssd
getent passwd 'EXAMPLE\alice'

ค่า passwd ที่แสดงกลับมาเป็นการยืนยันว่า NSS สามารถระบุบัญชีได้ แต่ไม่ได้พิสูจน์ว่าผู้ใช้สามารถตรวจสอบสิทธิ์หรือเข้าถึงแอปพลิเคชันได้ ทดสอบการเข้าสู่ระบบแบบโต้ตอบด้วยข้อมูลประจำตัวโดเมน โดยใช้แบบฟอร์มที่ระบุไว้DOMAIN_NAME\USER_NAMEในคอนโซลหรือตัวจัดการการแสดงผล หลังจากเข้าสู่ระบบแล้วklistให้ตรวจสอบว่าเซสชันมีตั๋ว Kerberos หรือไม่

หาก SSSD ทำงานอยู่ แต่การค้นหาผู้ใช้ล้มเหลว ให้ตรวจสอบชื่อโดเมนแบบเต็ม (FFN), เซิร์ฟเวอร์ DNS, ชื่อโฮสต์ และการเลือกข้อมูลประจำตัวและการตรวจสอบสิทธิ์ใน YaST อีกครั้ง หากการค้นหาทำงานได้ แต่การเข้าสู่ระบบล้มเหลว ให้ตรวจสอบว่าบัญชีเปิดใช้งานอยู่ รหัสผ่านถูกต้อง และไคลเอ็นต์สามารถเข้าถึงตัวควบคุมโดเมนได้ ดำเนินการต่อจนกว่าผู้ใช้ทดสอบที่ได้รับอนุญาตสามารถเข้าสู่ระบบได้ ยืนยันพฤติกรรมของไดเร็กทอรีโฮมที่คาดหวัง และบริการที่จำเป็นของเซิร์ฟเวอร์ยังคงทำงานได้

แหล่งที่มา

• คู่มือการรักษาความปลอดภัยและการเสริมความแข็งแกร่งของ SUSE SLES 15 SP7: การสนับสนุน Active Directory
• คู่มือการรักษาความปลอดภัยและการเสริมความแข็งแกร่งของ SUSE SLES 15 SP7: SSSD และไคลเอ็นต์การตรวจสอบสิทธิ์
• ดัชนีเอกสาร SUSE SLES 15 SP7