• Active Directory
• RHEL 中的身份管理（IdM）
• 任何通用 LDAP 或 Kerberos 服务器

• 林功能级别范围：Windows Server 2008 - Windows Server 2016
• 域功能级别范围：Windows Server 2008 - Windows Server 2016

• Windows Server 2022（RHEL 8.7 及更高版本）
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2

• 用于与 AD 集成的选项： 使用 ID 映射或 POSIX 属性
• 使用 SSSD 发现并加入 AD 域
• 使用 Active Directory 中定义的 POSIX 属性连接到 AD

• 使用 SSSD 连接到不同 AD 林中的多个域

  重要

  在将您的系统加入到 AD 前，请确定按照 基本预检查步骤正确配置了系统：RHEL 使用 'adcli'、'realm' 和 'net' 命令与活动目录结合。

• 身份提供程序每次上线时。
• 每次 RHEL 系统重启时。

• 在 /etc/sssd/sssd.conf 配置文件中的 dyndns_refresh_interval 选项指定的间隔内。默认值为 86400 秒（ 24 小时）。

  注意

  如果将 dyndns_refresh_interval 选项设置为与 DHCP 租期相同的间隔，您可以在 IP 租期续订后更新 DNS 记录。

先决条件

• 您已使用 SSSD 服务将 RHEL 主机加入到 Active Directory 环境。
• 您需要 root 权限来编辑 /etc/sssd/sssd.conf 配置文件。

• SSSD 只支持单个 AD 林中的域。如果 SSSD 需要从多个地区访问多个域，请考虑使用带有信任（首选）的 IPA 或 winbindd 服务而不是 SSSD。

• 默认情况下，SSSD 会发现林中的所有域，如果可信域中的对象请求到达，SSSD 会尝试解析它。

  如果可信域无法访问或在地理位置上造成速度较慢，您可以在 /etc/sssd/sssd.conf 中设置 ad_enabled_domains 参数，以限制可信域 SSSD 从哪个位置解析对象。

• 默认情况下，您必须使用完全限定用户名从可信域解析用户。

• 在一个域中管理系统注册。
• 控制允许哪些域用户访问本地系统资源。

• 以标准的方式配置网络身份验证和域成员资格。
• 自动发现有关可访问 domain 和 realm 的信息。
• 不需要高级配置加入domain 或 realm。

• 在多林 AD 设置中直接与 Winbind 集成需要双向信托。
• 远程林必须信任本地林，以确保 idmap_ad 插件正确处理远程林用户。

• 林功能级别范围：Windows Server 2008 - Windows Server 2016
• 域功能级别范围：Windows Server 2008 - Windows Server 2016

• Windows Server 2022（RHEL 8.7 及更高版本）
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2

• 在一个域中管理系统注册。
• 控制允许哪些域用户访问本地系统资源。

• SSSD 与中央身份和身份验证源交互
• realmd 来检测可用的 AD 域，并配置底层 RHEL 系统服务（在本例中为 SSSD）来连接到所选 AD 域

先决条件

• 您已准备好控制节点和受管节点
• 以可在受管主机上运行 playbook 的用户登录到控制节点。
• 用于连接到受管节点的帐户具有 sudo 权限。

• AD 域控制器上的以下端口已开放，并可从 RHEL 服务器访问：

  表 3.1. 使用 ad_integration 系统角色将 Linux 系统直接集成到 AD 所需的端口

  源端口	目的地端口	协议	服务
  1024:65535	53	UDP 和 TCP	DNS
  1024:65535	389	UDP 和 TCP	LDAP
  1024:65535	636	TCP	LDAPS
  1024:65535	88	UDP 和 TCP	Kerberos
  1024:65535	464	UDP 和 TCP	Kerberos 更改/设置密码(kadmin)
  1024:65535	3268	TCP	LDAP 全局目录
  1024:65535	3269	TCP	LDAP 全局目录 SSL/TLS
  1024:65535	123	UDP	NTP/Chrony （可选）
  1024:65535	323	UDP	NTP/Chrony （可选）

验证

• 显示 AD 用户详情，如 administrator 用户：

  $ getent passwd administrator@ad.example.com
  administrator@ad.example.com:*:1450400500:1450400513:Administrator:/home/administrator@ad.example.com:/bin/bash

先决条件

• 您已使用系统安全服务守护进程(SSSD)或 Samba Winbind 将 RHEL 系统连接到 AD。

验证步骤

• 验证不再配置域：

  # realm discover [ad.example.com]
  ad.example.com
      type: kerberos
      realm-name: EXAMPLE.COM
      domain-name: example.com
      configured: no
      server-software: active-directory
      client-software: sssd
      required-package: oddjob
      required-package: oddjob-mkhomedir
      required-package: sssd
      required-package: adcli
      required-package: samba-common-tools

先决条件

• 您已使用 SSSD 服务将 RHEL 主机直接连接到 AD。

验证步骤

• 验证您只能使用简短名称从第一个域中检索用户的用户信息。

  [root@ad-client ~]# id <user_from_subdomain2>
  uid=1916901142(user_from_subdomain2) gid=1916900513(domain users) groups=1916900513(domain users)

• SSSD 如何解释 GPO 访问控制规则
• SSSD 支持的 GPO 设置列表
• 控制 GPO 强制的 SSSD 选项列表
• 更改 GPO 访问控制模式
• 为 RHEL 主机创建和配置 GPO

• 实验 域信任 production 域中的用户和主机。
• 生产 域 不信任 实验 域中的用户和主机。

先决条件

• 确保 RHEL 主机上的以下端口已为 AD 域控制器打开并可以被访问。

  服务	端口	协议
  DNS	53	TCP, UDP
  LDAP	389	TCP, UDP
  LDAPS（可选）	636	TCP, UDP
  Kerberos	88	TCP, UDP

• 您有 AD Administrator 的密码，它有权在 production.example.com 域中创建 MSA。
• 您有运行 adcli 命令所需的 root 权限，并修改 /etc/sssd/sssd.conf 配置文件。
• （可选） 您安装了 krb5-workstation 软件包，其中包含 klist 诊断实用程序。

验证步骤

• 验证您可以检索 Kerberos ticket-granting ticket(TGT)作为 MSA：

  [root@client ~]# kinit -k -t /etc/krb5.keytab.production.example.com 'CLIENT!S3A$'
  [root@client ~]# klist
  Ticket cache: KCM:0:54655
  Default principal: CLIENT!S3A$@PRODUCTION.EXAMPLE.COM
  
  Valid starting       Expires              Service principal
  11/22/2021 15:48:03  11/23/2021 15:48:03  krbtgt/PRODUCTION.EXAMPLE.COM@PRODUCTION.EXAMPLE.COM

• 在 AD 中，验证您在 Managed Service Accounts Organizational units(OU)中是否有适用于主机的 MSA。

先决条件

• 您之前已在 production.example.com AD 域中为主机创建了 MSA。
• （可选） 您安装了 krb5-workstation 软件包，其中包含 klist 诊断实用程序。

验证步骤

• 验证您已在 Kerberos keytab 中递增了 KVNO：

  [root@client ~]# klist -k /etc/krb5.keytab.production.example.com
  Keytab name: FILE:/etc/krb5.keytab.production.example.com
  KVNO Principal
  ---- ------------------------------------------------------------
     3 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
     3 CLIENT!S3A$@PRODUCTION.EXAMPLE.COM (aes128-cts-hmac-sha1-96)

• 它们不能有额外的服务主体名称(SPN)。
• 默认情况下，MSA 的 Kerberos 主体保存在名为 <default_keytab_location>.<Active_Directory_domain> 的 Kerberos keytab 中，如 /etc/krb5.keytab.production.example.com。

• MSA 名称限制为 20 个字符或更少。最后 4 个字符是来自数字的 3 个随机字符和小写 ASCII 范围（附加到您提供的短主机名）的后缀，使用 ! 字符作为分隔符。例如，带有短名称 myhost 的主机接收以下规格的 MSA：

  规格	订阅价值
  通用名称(CN)属性	myhost!A2c
  NetBIOS 名称	myhost!A2c$
  sAMAccountName	myhost!A2c$
  production.example.com AD 域中的 Kerberos 主体	myhost!A2c$@PRODUCTION.EXAMPLE.COM