Procedimento

1. Instale os seguintes pacotes:

   # yum instalar realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation

2. Para exibir informações para um domínio específico, execute realm discover e adicione o nome do domínio que você deseja descobrir:

   # realm discover ad.example.com
   ad.example.com
     type: kerberos
     realm-name: AD.EXAMPLE.COM
     domain-name: ad.example.com
     configured: no
     server-software: active-directory
     client-software: sssd
     required-package: oddjob
     required-package: oddjob-mkhomedir
     required-package: sssd
     required-package: adcli
     required-package: samba-common

   O sistema realmd usa pesquisas DNS SRV para encontrar automaticamente os controladores de domínio neste domínio.

   Nota

   O sistema realmd pode descobrir tanto o Active Directory quanto os domínios de Gerenciamento de Identidade. Se ambos os domínios existirem em seu ambiente, você pode limitar os resultados da descoberta a um tipo específico de servidor usando a opção --server-software=active-directory.

3. Configure o sistema RHEL local com o comando realm join. A suíte realmd edita automaticamente todos os arquivos de configuração necessários. Por exemplo, para um domínio chamado ad.example.com:

   # realm join ad.example.com

Procedimento

1. Instale os seguintes pacotes:

   # yum instalar realmd oddjob oddjob-mkhomedir sssd adcli krb5-workstation

2. Configure o sistema RHEL local com o mapeamento de identificação desabilitado usando o comando realm join com a opção --automatic-id-mapping=no. A suíte realmd edita automaticamente todos os arquivos de configuração necessários. Por exemplo, para um domínio chamado ad.example.com:

   # Reino Unido --automatic-id-mapping=no ad.example.com

3. Se você já entrou em um domínio, você pode desativar manualmente o mapeamento de identificação no SSSD:

   1. Abra o arquivo /etc/sssd/sssd.conf.
   2. Na seção de domínio AD, adicione a configuração ldap_id_mapping = false.

   3. Remover as caches SSSD:

      rm -f /var/lib/sss/db/*

   4. Reinicie o SSSD:

      systemctl restart sssd

Procedimento

1. Instalar os pacotes necessários.

   # yum install sssd realmd adcli samba-common-tools oddjob oddjob-mkhomedir

2. Use realmd para entrar no primeiro domínio AD, addomain1.com.

   # reino junte-se a ADDOMAIN1.COM

3. Renomeie o keytab do sistema para um nome único.

   # mv /etc/krb5.keytab /etc/addomain1.com.krb5.keytab

4. Use adcli para entrar no segundo domínio AD, e quaisquer domínios adicionais. Use a opção -K para especificar um caminho único para o keytab Kerberos onde as credenciais do host serão escritas.

   # adcli join -D dc2.addomain2.com -K /etc/addomain2.com.krb5.keytab

5. Modificar /etc/krb5.conf.

   • Adicione a opção includedir para incluir arquivos de configuração SSSD.

   • Habilitar consultas DNS para Controladores de Domínios AD com a opção dns_lookup_kdc.

     includedir /var/lib/sss/pubconf/krb5.include.d/
     
     [logging]
      default = FILE:/var/log/krb5libs.log
      kdc = FILE:/var/log/krb5kdc.log
      admin_server = FILE:/var/log/kadmind.log
     
     [libdefaults]
      default_realm = ADDOMAIN1.COM
      dns_lookup_realm = false
      dns_lookup_kdc = true
      ticket_lifetime = 24h
      renew_lifetime = 7d
      forwardable = true
     
     ...

6. Modifique /etc/sssd/sssd.conf para incluir informações sobre todos os domínios AD em uso.

   [sssd]
   services = nss, pam
   config_file_version = 2
   domains = addomain1.com, addomain2.com
   
   [domain/addomain1.com]
   id_provider = ad
   access_provider = ad
   krb5_keytab = /etc/addomain1.com.krb5.keytab
   ldap_krb5_keytab = /etc/addomain1.com.krb5.keytab
   ad_server = dc1.addomain1.com
   ad_maximum_machine_account_password_age = 0
   use_fully_qualified_names = true
   default_shell=/bin/bash
   override_homedir=/home/%d/%u
   
   [domain/addomain2.com]
   id_provider = ad
   access_provider = ad
   krb5_keytab = /etc/addomain2.com.krb5.keytab
   ldap_krb5_keytab = /etc/addomain2.com.krb5.keytab
   ad_server = dc2.addomain2.com
   ad_maximum_machine_account_password_age = 0
   use_fully_qualified_names = true
   default_shell=/bin/bash
   override_homedir=/home/%d/%u
   
   [nss]
   
   [pam]

   • Para cada seção de domínio, especifique o caminho para o keytab Kerberos que corresponde a cada domínio com as opções krb5_keytab e ldap_krb5_keytab.
   • Defina ad_maximum_machine_account_password_age = 0 para desativar a renovação das chaves Kerberos do host.
   • Defina use_fully_qualified_names = true para diferenciar os usuários de diferentes domínios.
   • Definir override_homedir = /home/%d/%u para que os usuários (%u) de diferentes domínios (%d) each receive unique home directories. For example, the home directory for user linuxuser@addomain1.com is /home/addomain1.com/linuxuser.

7. O SSH recupera as chaves do host da tabela de chaves do sistema e fornece uma única funcionalidade de sinalização através de GSSAPI/Kerberos. Se você gostaria de usar o single sign-on, copie todas as chaves de host atuais do Kerberos para a guia de chaves do sistema /etc/kbr5.keytab.

   # ktutil
   ktutil:  rkt /etc/addomain1.com.krb5.keytab
   ktutil:  rkt /etc/addomain2.com.krb5.keytab
   ktutil:  wkt /etc/krb5.keytab

8. Reinicie e habilite o serviço SSSD.

   # systemctl restart sssd
   # systemctl enable sssd

Etapas de verificação

1. Mostrar os detalhes do usuário para os usuários de cada domínio AD:

   # id administrator@addomain1.com
   uid=1240800500(administrator@addomain1.com) gid=1240800513(domain users@addomain1.com) groups=1240800513(domain users@addomain1.com),1240800512(domain admins@addomain1.com),1240800518(schema admins@addomain1.com),1240800520(group policy creator owners@addomain1.com),1240800572(denied rodc password replication group@addomain1.com),1240800519(enterprise admins@addomain1.com)
   
   # id administrator@addomain2.com
   uid=1013800500(administrator@addomain2.com) gid=1013800500(administrator@addomain2.com) groups=1013800500(administrator@addomain2.com),1013800513(domain users@addomain2.com)

2. Faça o login como usuário de cada domínio e verifique se o diretório home correto foi criado para o usuário.

   # ssh administrator@addomain1.com@localhost
   administrator@addomain1.com@localhost's password:
   Creating directory '/home/addomain1.com/administrator'.
   
   $ pwd
   /home/addomain1.com/administrator

   # ssh administrator@addomain2.com@localhost
   administrator@addomain2.com@localhost's password:
   Creating directory '/home/addomain2.com/administrator'.
   
   $ pwd
   /home/addomain2.com/administrator

Procedimento

1. Conceder acesso a todos os usuários:

   # licença do reino -- tudo

2. Conceder acesso a usuários específicos:

   $ realm permit aduser01@example.com
   $ realm permit 'AD.EXAMPLE.COM\aduser01'

Etapas de verificação

1. Use SSH para entrar no servidor como o usuário aduser01@example.com:

   $ ssh aduser01@example.com@server_name
   [aduser01@example.com@server_name ~]$

2. Use o comando ssh uma segunda vez para acessar o mesmo servidor, desta vez como o usuário aduser02@example.com:

   $ ssh aduser02@example.com@server_name
   Authentication failed.

Procedimento

1. Negar acesso a todos os usuários dentro do domínio:

   # negar o reino... tudo

   Este comando impede que as contas realm entrem na máquina local. Use realm permit para restringir o login a contas específicas.

2. Verifique se o endereço login-policy do usuário do domínio está configurado para deny-any-login:

   [root@replica1 ~]# realm list
   example.net
     type: kerberos
     realm-name: EXAMPLE.NET
     domain-name: example.net
     configured: kerberos-member
     server-software: active-directory
     client-software: sssd
     required-package: oddjob
     required-package: oddjob-mkhomedir
     required-package: sssd
     required-package: adcli
     required-package: samba-common-tools
     login-formats: %U@example.net
     login-policy: deny-any-login

3. Negar acesso a usuários específicos, utilizando a opção -x:

   Licença do reino -x 'AD.EXEMPLO.COM02aduser

Procedimento

1. Parar o serviço SSSD.

   [root@server ~]# systemctl stop sssd

2. Abra o arquivo /etc/sssd/sssd.conf em um editor de texto.

3. Defina ad_gpo_access_control para permissive na seção domain para o domínio AD.

   [domain/example.com]
   ad_gpo_access_control=permissive
   ...

4. Salvar o arquivo /etc/sssd/sssd.conf.

5. Reinicie o serviço SSSD para carregar as mudanças de configuração.

   [root@server ~]# systemctl restart sssd

Procedimento

1. Dentro de Active Directory Users and Computers, crie uma Unidade Organizacional (OU) para se associar com o novo GPO:

   1. Clique com o botão direito do mouse sobre o domínio.
   2. Escolha New.
   3. Escolha Organizational Unit.
2. Clique no nome do objeto de computador que representa o host RHEL (criado quando ele entrou no Active Directory) e arraste-o para a nova OU. Ao ter o host RHEL em sua própria OU, o GPO visa este host.

3. Dentro do Group Policy Management Editor, crie um novo GPO para a OU que você criou:

   1. Expandir Forest.
   2. Expandir Domains.
   3. Expandir seu domínio.
   4. Clique com o botão direito do mouse sobre a nova OU.
   5. Escolha Create a GPO in this domain.
4. Especifique um nome para o novo GPO, tal como Allow SSH access ou Allow Console/GUI access e clique em OK.

5. Edite o novo GPO:

   1. Selecione a OU dentro do editor Group Policy Management.
   2. Clique com o botão direito do mouse e escolha Edit.
   3. Selecione User Rights Assignment.
   4. Selecione Computer Configuration
   5. Selecione Policies.
   6. Selecione Windows Settings.
   7. Selecione Security Settings.
   8. Selecione Local Policies.
   9. Selecione User Rights Assignment.

6. Atribuir permissões de login:

   1. Clique duas vezes em Allow log on locally para conceder acesso ao console local/GUI.
   2. Clique duas vezes em Allow log on through Remote Desktop Services para conceder acesso ao SSH.

7. Adicione o(s) usuário(s) que você gostaria de acessar qualquer uma destas políticas às próprias políticas:

   1. Clique em Add User or Group.
   2. Digite o nome de usuário dentro do campo em branco.
   3. Clique em OK.