Подключение к домену Windows с компьютера под управлением Linux
В этой статье я расскажу, как подключиться к домену Windows с компьютера под управлением Linux при помощи утилиты Likewise-Open .
Скачать Likewise-Open можно с официального сайта . Выберите версию, подходящую для вашего дистрибутива. Если вы предпочитаете работать с графическим интерфейсом — выбирайте GUI-вариант.
Утилита распространяется в виде скомпилированного исполняемого двоичного файла. Чтобы ее установить, откройте окно терминала, перейдите в каталог, где хранится скачанный файл Likewise-Open и выполните следующую команду:
Затем выполните еще одну команду с правами администратора (используйте su или sudo).
Для GUI-приложения команда выглядит иначе:
XXX здесь — номер версии, YYY — архитектура вашего компьютера, а ZZZ — тип скачанного файла. Если вы выбрали GUI-приложение, завершить процесс установки вам поможет простой мастер.
Для использования этой утилиты на компьютере должен быть установлен компонент winbind. Если его нет, установите его с помощью Менеджера программ или командой sudo apt-get install winbind.
Редактирование файла «/etc/hosts»
Теперь нужно добавить данные контроллера домена в конфигурационный файл «/etc/hosts» в формате «IP_ADDRESS FDQN» (без кавычек), где «IP_ADDRESS» — это реальный IP-адрес контроллера домена, а «FDQN» — полностью определенное имя домена.
Это самый сложный момент: нужно настроить KRB5 и добавить в конфигурационный файл правильные сведения об области в следующем формате:
В этот раздел нужно добавить адрес своего контроллера домена. Учтите, что заглавные буквы используются здесь не случайно — без них конфигурация работать не будет.
После этого нужно отредактировать еще пару разделов. Во-первых, небольшой раздел над указателем [realms]. Если в файле «krb5.conf» раздела [libdefaults] нет, добавьте его:
Во-вторых, раздел [domain_realm]. Добавьте в него следующий текст:
На этом настройка KRB5 закончена.
Откройте файл «/etc/nsswitch» и добавьте в него следующие строки:
Возможно, сами строки в файле уже есть, но без «lsass». Если так — просто допишите «lsass» (без кавычек) в каждую строку.
Подключение к домену
Прежде чем запускать GUI-утилиту Likewise-Open для подключения к домену, необходимо установить сертификат на своем хост-компьютере. Для этого выполните следующую команду:
где ADMIN_ACCOUNT — имя учетной записи администратора на контроллере домена, а DOMAIN.INTERNAL — домен, к которому вы хотите подключиться. Для выполнения команды нужно ввести пароль от административной учетной записи. Чтобы убедиться, что сертификат установлен, выполните команду klist.
После этого можно запускать утилиту для подключения к домену. Для этого выполните команду sudo domainjoin-gui.
Указав необходимые регистрационные данные, нажмите кнопку «Подключиться к домену» (Join Domain). После успешного подключения выйдите и снова войдите в систему. Учтите, что имя пользователя в домене будет иметь формат «DOMAIN\username», и не забывайте, что имя пользователя в домене — это не то же самое, что имя пользователя на локальном компьютере.
Со времени своего возникновения Linux прошел большой путь, и возможность подключения к доменам Windows недвусмысленно свидетельствует о зрелости платформы. И хотя на первый взгляд, процедура выглядит довольно утомительно, подключаться посредством Samba еще труднее.
Включаем Ubuntu в состав домена Windows
Встала задача подключить ноутбук с ОС Ubuntu к домену Windows. Если в ОС Windows это сделать проще простого, то в линуксе нужно проделать небольшие манипуляции.
И так, для примера привожу нужную для дальнейшего мануала информацию:
- Компьютер-сервер с ОС Windows Server 2008 R2:
- Имя: Server2008R2
- Домен: myserver.com
- Роль: контроллер домена ActiveDirectory, DNS-сервер
- IP-адрес: 172.17.1.3
- Маска сети: 255.255.255.0
- Шлюз: 172.17.1.1
- Виртуальная машина с ОС Windows Server 2008 R2:
- Имя: FileServer
- Домен: myserver.com
- Роль: вторичный контроллер домена ActiveDirectory с настроенной реплекацией
- IP-адрес: 172.17.1.6
- Маска сети: 255.255.255.0
- Шлюз: 172.17.1.1
- Ноутбук с ОС Ubuntu 11.04:
- Имя: LaptopUbuntu
- Сетевые настройки: через DHCP (получает от роутера с IP-адресом 172.17.1.1)
Т.к. нашей задачей является подключить ноутбук к домену mydomain.com, то необходимо проделать следующие действия:
sudo apt-get install krb5-user ntp samba winbind
krb5-user — пакет для протокола Kerberos, который используется для аутентификации в Windows;
ntp — позволяет синхронизировать время в контроллером домена;
samba — позволяет стать членом домена;
winbind — позволяет использовать учетную запись пользователя из ActiveDirectory.
Теперь перейдем непосредственно к настройкам:
sudo gedit /etc/resolv.conf
Изменить содержимое на следующее:
domain myserver.com
search myserver.com
nameserver 172.17.1.3
Задаем нужное имя ноутбука (LaptopUbuntu) в следующем файле:
sudo gedit /etc/hostname
sudo gedit /etc/hostname
Меняем так, чтобы было (секцию IPv6 не трогаем):
127.0.0.1 localhost
172.17.1.2 LaptopUbuntu.myserver.com LaptopUbuntu
Теперь для применения изменений необходимо перезагрузить ноутбук. После перезагрузки у меня, почему-то, все отредактированные выше файлы сбросились в первоначальное содержимое. Немного подумав, я понял, что виноват тому значащийся в сетевых настройках включенный DHCP. Через Network Manager я отключил DHCP, выбрал пункт «ручная настройка», а затем опять проделал то, что написано выше. Хотя, часть значений параметров можно вписать через все тот же Network Manager.
Открываем следующий файл:
sudo gedit /etc/ntp.conf
и вписываем в него следующее:
sudo /etc/init.d/ntp restart
Далее приступим к настройке Kerberos. Редактируем файл:
sudo gedit /etc/krb5.conf
Заполняем его следующей информацией:
[libdefaults]default_realm = MYSERVER.COM
kdc_timesync = 1
ccache_type = 4
forwardable = true
proxiable = true [realms]
MYSERVER.COM = <
kdc = SERVER2008R2
kdc = FILESERVER
admin_server = SERVER2008R2
default_domain = MYSERVER.COM
> [domain_realm]
.domain.com = MYSERVER.COM
domain.com = MYSERVER.COM
[login]
krb4_convert = false
krb4_get_tickets = false
Теперь настраиваем Samba:
sudo gedit /etc/samba/smb.conf
Приводим секцию [global] к следующему содержанию:
workgroup = MYSERVER.COM
realm = MYSERVER.COM
security = ADS
encrypt passwords = true
dns proxy = no
socket options = TCP_NODELAY
domain master = no
local master = no
preferred master = no
os level = 0
domain logons = no
load printers = no
show add printer wizard = no
printcap name = /dev/null
disable spoolss = yes
Для проверки правильности заполнения конфигурационного файла Samba, можно выполнить команду testparm, которая выведет информацию о том, что в конфигурации ошибок нет, либо они есть.
Теперь перейдем к настройке Winbind, если мы хотим использовать учетные записи из ActiveDirectory у себя на ноутбуке.
Опять редактируем файл:
sudo gedit /etc/samba/smb.conf
И в секцию [global] добавляем:
idmap uid = 10000 — 40000
idmap gid = 10000 — 40000
winbind enum groups = yes
winbind enum users = yes
winbind use default domain = yes
template shell = /bin/bash
winbind refresh tickets = yes
winbind offline logon = yes
winbind cache time = 1440
После чего необходимо перезапустить демоны:
sudo /etc/init.d/winbind stop
sudo smbd restart
sudo /etc/init.d/winbind start
Далее идем и редактируем следующий файл:
sudo gedit /etc/nsswitch.conf
Добавляем в конец строк passwd и group слово winbind, т.е. файл должнен выглядеть так:
passwd: compat winbind
group: compat winbind
И самое последнее: в файл /etc/pam.d/common-session добавить следующую строчку:
session optional pam_mkhomedir.so skel=/etc/skel/ umask=0077
Демонстрация всего того, что описано выше, будет в одной из следующих заметок.
Linux машина в домене Windows AD
Была необходимость ввести в домен Windows машину с Ubuntu. Для этих целей обычно используют Samba и Winbind. Но возможен альтернативный вариант с sssd, краткое руководство по нему ниже.
Для примера будем использовать:
Контроллер домена = dc.contoso.com
Запускаем терминал Ubuntu:
1. Переключаемся под рута
2. Устанавливаем необходимые пакеты
apt install sssd heimdal-clients msktutil
3. Редактируем /etc/krb5.conf, в качестве отступов используется табуляция
[libdefaults]default_realm = CONTOSO.COM [realms]
CONTOSO.COM = <
kdc = DC
admin_server = dc.contoso.com
default_domain = contoso.com
> [login]
krb4_convert = true
krb4_get_tickets = false
.contoso.com = CONTOSO.COM
contoso.com = CONTOSO.COM
4. Редактируем файл /etc/hosts, указываем FQDN для данного хоста:
127.0.0.1 localhost
127.0.1.1 .contoso.com
5. Пробуем получить Kerberos ticket от имени администратора домена:
# kinit YourDomainAdmin
YourDomainAdmin@CONTOSO.COM’s Password:
# klist
Credentials cache: FILE:/tmp/krb5cc_0
Principal: YourDomainAdmin@CONTOSO.COM
Issued Expires Principal
Dec 1 15:08:27 2018 Dec 2 01:08:22 2018 krbtgt/CONTOSO.COM@CONTOSO.COM
Если тикет получен успешно, то теперь можно сгенерировать Kerberos principals для данного хоста, регистр важен:
msktutil -c -b ‘CN=YourComputersOU’ -s HOST/HOSTNAME.contoso.com -k /etc/sssd/HOSTNAME.keytab —computer-name HOSTNAME —upn HOSTNAME$ —server dc.contoso.com —user-creds-only
msktutil -c -b ‘CN=YourComputersOU’ -s HOST/HOSTNAME -k /etc/sssd/HOSTNAME.keytab —computer-name HOSTNAME —upn HOSTNAME$ —server dc.contoso.com —user-creds-only
Сейчас наш хост должен отобразиться в списке компьютеров в каталоге. Если все так — удаляем полученный Kerberos ticket:
6. Создаем файл /etc/sssd/sssd.conf со следующим содержимым:
services = nss, pam
config_file_version = 2
domains = contoso.com
entry_negative_timeout = 0
debug_level = 3
ad_domain = contoso.com
ad_server = dc.contoso.com
enumerate = false
id_provider = ad
auth_provider = ad
chpass_provider = ad
access_provider = simple
simple_allow_groups = users # каким группам разрешено логиниться, через запятую. Есть ограничение — названия групп должны быть с маленькой буквы.
ldap_schema = ad
ldap_id_mapping = true
fallback_homedir = /home/%u
default_shell = /bin/bash
ldap_sasl_mech = gssapi
ldap_sasl_authid = $
ldap_krb5_init_creds = true
krb5_keytab = /etc/sssd/ .keytab
Описание параметров конфигфайла sssd можно посмотреть тут
Устанавливаем права доступа для файла sssd.conf:
chmod 600 /etc/sssd/sssd.conf
Перезапускаем SSSD service
service sssd restart
7. Редактируем настройки PAM
редактируем файл /etc/pam.d/common-session, после строки
session required pam_unix.so
session required pam_mkhomedir.so skel=/etc/skel umask=0022
переопределить параметры через системные настройки PAM, вызываем
и отмечаем пункты sss auth и makehomdir . Это автоматически добавит
строчку выше в common-session и она не будет перезатерта при обновлении системы.
Теперь мы можем логиниться на машине доменными пользователями, которым разрешен вход.
P.S.: Можно дать права на использование sudo доменным группам. Используя visudo, редактируем файл /etc/sudoers, или, создаем новый файл в /etc/sudoers.d/ и редактируем его
visudo -f /etc/sudoers.d/ваш_файл
добавляем требуемую группу — например, Domain Admins (если в названии группы есть пробелы — их необходимо экранировать):