Microsoft TechDayshttp://www.techdays.ru
Интеграция Linux с инфраструктурой предприятия на основе Active Directory (часть IV)
Цыганов ФедорSoftline
Microsoft TechDayshttp://www.techdays.ru
Интеграция Linux в AD - I• Обзор• Likewise Open• http://www.techdays.ru/videos/2475.
html
Интеграция Linux в AD - II• Identity Management for
Unix• http://www.techdays.ru/videos/2460.
html
Интеграция Linux в AD - III• Samba + Kerberos• http://www.techdays.ru/videos/2461.
html
Интеграция Linux в AD - IV• LDAP + Kerberos + AD
Microsoft TechDayshttp://www.techdays.ru
Содержание
Интеграция с использованием LDAP + Kerberos + AD NIS + [Samba]Демонстрация
Microsoft TechDayshttp://www.techdays.ru
LDAP + Kerberos + AD + [Samba]Преимущества использования
+ Пользователи работают с одним логином и паролем на всех системах
+ Администраторы создают одну учетную запись в AD
+ Блокировка учетной записи в AD
+ Политики паролей наследуются из AD
+ Использования для доступа к службе каталога протокола LDAP
+ Использование Samba позволяет подключение к домену и file & print sharing
Установка: Устанавливаем службу
На контроллере домена устанавливаем службу Identity Management for Unix роли AD Domain Services (1)
Установка: Устанавливаем службу На контроллере домена устанавливаем службу Identity Management for Unix роли AD Domain Services (2)
Установка: Устанавливаем службу
Перезагружаемся
Установка: настраиваем службу
Установка: Настройка атрибутовНастраиваем Unix-атрибуты для пользователей и групп
Установка: Учетная запись для LDAP запросов
Создаем учетную запись, от имени которой будут выполняться LDAP-запросы. Административные права для этой записи НЕ требуются.
PS>new-aduser –name linuxldap -samaccountname linuxldap -displayname “For Linux LDAP Requests“ -enable $true -changepasswordatlogon $false -accountpassword (convertto-securestring "P@ssword" -asplaintext -force) -path "ou=linux,dc=linwin,dc=local” -cannotchangepassword $true –passwordneverexpires $true
Установка: Ставим нужные компоненты
yum install krb5-libsyum install pam_krb5yum install krb5-workstationyum install openldap-*yum install nss_ldapyum install samba-client # Ставим, если yum install samba-common # требуются сервисыyum install samba # Samba
# Большинство перечисленных компонентов # устанавливаются по умолчанию во многих Linux-# дистрибутивах
Установка: Настраиваем распознавание имен
# редактируем /etc/hosts10.1.1.1 dc01 dc01.mydomain.com # контроллер домена127.1.0.1 lx01 lx01.mydomain.com # данный linux хост10.1.1.2 lx01 lx01.mydomain.com # данный linux хост
# редактируем /etc/resolv.confsearch mydomain.com # подставляемый доменный суффиксnameserver 10.1.1.1 # ссылаемся на контроллер доменаnameserver 8.8.8.8 # альтернативный DNS
# (необязательно)
Установка: Настраиваем распознавание имен
# редактируем /etc/sysconfig/network...hostname lx01.mydomain.com # задаем FQDN этого хоста...
# для проверкиdig dc01.mydomain.comdig somehost.mydomain.comping dc01
Установка: Настраиваем NTP
# 1. В качестве NTP-сервера указываем контроллер домена.# 2. Настраиваем временную зону и прочие параметры.
system-config-time # Запускаем в графической среде
# для проверки
date
Установка: Определяем создание домашних каталогов
# редактируем /etc/pam.d/system-auth...session required pam_mkhomedir.so skel=/etc/skel umask=0022...
# Каталоги создаются с использованием /etc/skel – аналог # профиля по умолчанию в Windows. Разрешения на домашний # каталог: владелец – полный доступ, все остальные – # чтение.
Установка: Настраиваем Kerberos
# редактируем /etc/krb.confMYDOMAIN.COM dc01.mydomain.com:88 # KDCMYDOMAIN.COM dc01.mydomain.com:749 admin server
# редактируем /etc/krb.realms.mydomain.com MYDOMAIN.COM
Установка: Настраиваем Kerberos
# редактируем /etc/krb5.conf[libdefaults]default_realm = MYDOMAIN.COMdns_lookup_realm = truedns_lookup_kdc = true[realms]MYDOMAIN.COM = {
kdc = dc01.mydomain.com:88admin_server = dc01.mydomain.com:749kpasswd_server = dc01.mydomain.com:464kpasswd_protocol = SET_CHANGE}
[domain_realm]*.addomain.local = MYDOMAIN.COM.addomain.local = MYDOMAIN.COM
Установка: Настраиваем Kerberos
# для проверки и настройки ряда параметров можно # воспользоваться:
system-config-authentication
Установка: Настраиваем LDAP
# Редактируем /etc/ldap.conf
host 172.16.0.7base dc=linwin, dc=localuri ldap://dc01.linwin.localbinddn cn=linuxldap,cn=Users,dc=linwin,dc=localbindpw P@ssw0rdscope subtimelimit 120bind_timelimit 120idle_timelimit 3600refferals no...
Установка: Настраиваем LDAP
# Редактируем /etc/ldap.conf (продолжение)
...ssl nonss_base_passwd dc=linwin,dc=local?subnss_base_shadow dc=linwin,dc=local?subnss_base_group dc=linwin,dc=local?sub?&(objectCategory=group)(gidnumber=*)
nss_map_objectclass posixAccount usernss_map_objectclass shadowAccount usernss_map_objectclass posixGroup groupnss_map_attribute uid SAMAccountNamenss_map_attribute homeDirectory unixHomeDirectorynss_map_attribute gecos cn...
Установка: Настраиваем порядок получения информации о пользователях, группах и т.д.
# редактируем /etc/nsswitch.com...passwd: files ldap winbindgroup: files ldap winbind hosts: files ldap winbind...
Установка: Подключаемся к AD
# Проверяем:
getent passwd # получаем список локальных и доменныхgetent group # пользователей и групп
su aduser # логинимся под aduser
# Выполняем поиск в базе AD:ldapsearch -Hldap://dc01.linwin.local -b "dc=linwin,dc=local“ -x -w P@ssw0rd -D "cn=linuxldap,cn=Users,dc=linwin,dc=local"
Установка: Настраиваем Samba (рекомендуется)
# редактируем /etc/samba/smb.conf# Примерный файл конфигурации:[global] unix charset = LOCALE workgroup = LINWIN # домен AD netbios name = LX01 # как имя хостаrealm = LINWIN.LOCAL # домен ADserver string = Some Comment security = ADS # используем Kerberosuse kerberos keytab = Yes# параметры сопоставления Windows SID – Linux UID/GUIDidmap backend = adldap idmap suffix = dc=linwin,dc=local ldap admin dn = cn=linuxldap,cn=Users,dc=linwin,dc=local ldap suffix = dc=linwin,dc=local idmap uid = 500-100000000 idmap gid = 500-100000000
Установка: Настраиваем Samba
# редактируем /etc/samba/smb.conf# Примерный файл конфигурации (продолжение):...log level = 1 syslog = 0 log file = /var/log/samba/%m printcap name = CUPS winbind use default domain = yes winbind nested groups = Yes...
[homes] comment = Home Directories valid users = %D\%U read only = No browseable = No
Установка: Подключаемся к AD
# Необязательные шаги. Нужны, если Samba использовалась # ранее. Останавливаем демоны, удаляем базы пользователей# Samba и чистим кэш.
service smb stopservice winbind stoprm –f /etc/samba/*tbdrm –f /var/cache/samba/*tbdrm –f .var/cache/samba/*dat
Установка: Подключаемся к AD
# Включаем хост в домен. Запускаем демоны и настраиваем # параметры их запуска.
net ads join –U administratorsmbpasswd –w P@ssw0rd # пароль пользователя linuxldapservice winbind startservice smb startchkconfig --level 35 smb onchkconfig --level 35 winbind on
Установка: Подключаемся к AD
# Проверяем:
getent passwd # получаем список локальных и доменныхgetent group # пользователей и групп
wbinfo –a aduser%password # проверка аутентификации# для пользователя aduser
su mydomain\\aduser # логинимся под aduser
Установка: Проблемы
# Включаем дебаг при подключению к домену (-d). # 10 – максимальный уровень.
net ads join –U administrator –d10
Microsoft TechDayshttp://www.techdays.ru
Конфигурация стенда
Microsoft TechDayshttp://www.techdays.ru
Интеграция с LDAP+Kerberos+NIS
Демонстрация
Microsoft TechDayshttp://www.techdays.ru
Полезные ресурсы
http://interopsystems.comМного информации по интеграцииhttp://www.samba.org/Проект Sambahttp://www.openldap.org/Проект OpenLDAPhttp://www.microsoft.com/downloads/en/confirmation.aspx?familyId=144f7b82-65cf-4105-b60c-44515299797d&displayLang=en
Windows Security and Directory Services for Unix
Microsoft TechDayshttp://www.techdays.ru