Integration von Ubuntu 16.04 in AD als Domain Member mit Samba und Winbind - Teil 8
In diesem Tutorial wird beschrieben, wie Sie einen Ubuntu-Rechner in eine Samba4 Active Directory-Domäne einbinden, um AD-Konten mit einer lokalen ACL für Dateien und Verzeichnisse zu authentifizieren oder um Volume-Freigaben für Domänencontroller-Benutzer zu erstellen und zuzuordnen (fungieren Sie als Dateiserver).
Anforderungen:
- Erstellen einer Active Directory-Infrastruktur mit Samba4 auf Ubuntu
Schritt 1: Erste Konfigurationen, um Ubuntu mit Samba4 AD zu verbinden
1. Bevor Sie mit dem Verbinden eines Ubuntu-Hosts mit einem Active Directory-DC beginnen, müssen Sie sicherstellen, dass einige Dienste auf dem lokalen Computer ordnungsgemäß konfiguriert sind.
Ein wichtiger Aspekt Ihres Rechners ist der Hostname. Richten Sie einen korrekten Rechnernamen ein, bevor Sie der Domäne beitreten, mit Hilfe des Befehls hostnamectl oder durch manuelles Bearbeiten der Datei /etc/hostname.
hostnamectl set-hostname your_machine_short_name
cat /etc/hostname
hostnamectl
2. Öffnen Sie im nächsten Schritt die Netzwerkeinstellungen Ihres Computers mit den richtigen IP-Konfigurationen und bearbeiten Sie sie manuell. Die wichtigsten Einstellungen hierbei sind die DNS-IP-Adressen, die auf Ihren Domain-Controller zurückverweisen.
Bearbeiten Sie die Datei /etc/network/interfaces und fügen Sie die dns-nameservers-Anweisung mit Ihren richtigen AD-IP-Adressen und dem Domänennamen hinzu, wie im folgenden Screenshot dargestellt.
Stellen Sie außerdem sicher, dass die gleichen DNS-IP-Adressen und der Domänenname zur Datei /etc/resolv.conf hinzugefügt werden.
Auf dem obigen Screenshot sind 192.168.1.254 und 192.168.1.253 die IP-Adressen des Samba4 AD DC und Tecmint.lan stellt den Namen der AD-Domäne dar, die von allen im Realm integrierten Maschinen abgefragt wird.
3. Starten Sie die Netzwerkdienste neu oder starten Sie den Computer neu, um die neuen Netzwerkkonfigurationen zu übernehmen. Geben Sie einen Ping-Befehl für Ihren Domainnamen aus, um zu testen, ob die DNS-Auflösung wie erwartet funktioniert.
Der AD-Domänencontroller sollte mit seinem FQDN wiedergegeben werden. Falls Sie einen DHCP-Server in Ihrem Netzwerk so konfiguriert haben, dass IP-Einstellungen für Ihre LAN-Hosts automatisch zugewiesen werden, stellen Sie sicher, dass Sie den DNS-Konfigurationen des DHCP-Servers AD DC-IP-Adressen hinzufügen.
systemctl restart networking.service
ping -c2 your_domain_name
4. Die letzte wichtige erforderliche Konfiguration wird durch die Zeitsynchronisation dargestellt. Installieren Sie das ntpdate-Paket, fragen Sie die Zeit ab, und synchronisieren Sie die Zeit mit dem AD DC, indem Sie die folgenden Befehle ausgeben.
sudo apt-get install ntpdate
sudo ntpdate -q your_domain_name
sudo ntpdate your_domain_name
5. Installieren Sie im nächsten Schritt die Software, die für den Ubuntu-Computer erforderlich ist, um vollständig in die Domäne integriert zu werden, indem Sie den folgenden Befehl ausführen.
sudo apt-get install samba krb5-config krb5-user winbind libpam-winbind libnss-winbind
Während der Installation der Kerberos-Pakete sollten Sie aufgefordert werden, den Namen Ihres Standardbereichs einzugeben. Verwenden Sie den Namen Ihrer Domain in Großbuchstaben und drücken Sie die Eingabetaste, um die Installation fortzusetzen.
6. Nachdem die Installation aller Pakete abgeschlossen ist, testen Sie die Kerberos-Authentifizierung mit einem AD-Administratorkonto, und listen Sie das Ticket auf, indem Sie die folgenden Befehle ausführen.
kinit ad_admin_user
klist
Schritt 2: Verbinden Sie Ubuntu mit Samba4 AD DC
7. Der erste Schritt bei der Integration des Ubuntu-Rechners in die Samba4 Active Directory-Domäne besteht darin, die Samba-Konfigurationsdatei zu bearbeiten.
Sichern Sie die Standardkonfigurationsdatei von Samba, die vom Paketmanager bereitgestellt wird, um mit einer sauberen Konfiguration zu beginnen, indem Sie die folgenden Befehle ausführen.
mv /etc/samba/smb.conf /etc/samba/smb.conf.initial
nano /etc/samba/smb.conf
Fügen Sie in der neuen Samba-Konfigurationsdatei die folgenden Zeilen hinzu:
[global]
workgroup = TECMINT
realm = TECMINT.LAN
netbios name = ubuntu
security = ADS
dns forwarder = 192.168.1.1
idmap config * : backend = tdb
idmap config *:range = 50000-1000000
template homedir = /home/%D/%U
template shell = /bin/bash
winbind use default domain = true
winbind offline logon = false
winbind nss info = rfc2307
winbind enum users = yes
winbind enum groups = yes
vfs objects = acl_xattr
map acl inherit = Yes
store dos attributes = Yes
Ersetzen Sie die Variablen workgroup, realm, netbios name und dns forwarder durch Ihre eigenen benutzerdefinierten Einstellungen.
Der Parameter winbind use default domain bewirkt, dass der winbind-Dienst alle nicht qualifizierten AD-Benutzernamen als Benutzer des AD behandelt. Sie sollten diesen Parameter weglassen, wenn Sie lokale Systemkontonamen haben, die sich mit AD-Konten überschneiden.
8. Jetzt sollten Sie alle Samba-Daemons neu starten und unnötige Dienste stoppen und entfernen und Samba-Dienste systemweit aktivieren, indem Sie die folgenden Befehle ausführen.
sudo systemctl restart smbd nmbd winbind
sudo systemctl stop samba-ad-dc
sudo systemctl enable smbd nmbd winbind
9. Verbinden Sie den Ubuntu-Computer mit Samba4 AD DC, indem Sie den folgenden Befehl eingeben. Verwenden Sie den Namen eines AD DC-Kontos mit Administratorrechten, damit die Bindung an den Bereich wie erwartet funktioniert.
sudo net ads join -U ad_admin_user
10. Auf einem Windows-Computer, auf dem RSAT-Tools installiert sind, können Sie AD UC öffnen und zum Container Computer navigieren. Hier sollte Ihr mit Ubuntu verbundener Computer aufgelistet sein.
Schritt 3: Konfigurieren der Authentifizierung von AD-Konten
11. Um die Authentifizierung für AD-Konten auf dem lokalen Computer durchzuführen, müssen Sie einige Dienste und Dateien auf dem lokalen Computer ändern.
Öffnen und bearbeiten Sie zunächst die NSS-Konfigurationsdatei (Name Service Switch).
sudo nano /etc/nsswitch.conf
Fügen Sie als Nächstes den winbind-Wert für passwd- und group-Zeilen an, wie im folgenden Auszug dargestellt.
passwd: compat winbind
group: compat winbind
12. Um zu testen, ob der Ubuntu-Rechner erfolgreich in den Realm integriert wurde, führen Sie den Befehl wbinfo aus, um Domänenkonten und -gruppen aufzulisten.
wbinfo -u
wbinfo -g
13. Überprüfen Sie auch das Winbind nsswitch-Modul, indem Sie den Befehl getent ausgeben, und leiten Sie die Ergebnisse durch einen Filter wie grep, um die Ausgabe nur für bestimmte Domänenbenutzer oder -gruppen einzugrenzen.
sudo getent passwd| grep your_domain_user
sudo getent group|grep 'domain admins'
14. Um sich auf einem Ubuntu-Computer mit Domänenkonten zu authentifizieren, müssen Sie den Befehl pam-auth-update mit Root-Rechten ausführen und alle für den winbind-Dienst erforderlichen Einträge hinzufügen und bei der ersten Anmeldung automatisch Home-Verzeichnisse für jedes Domänenkonto erstellen.
Überprüfen Sie alle Eingaben, indem Sie die Leertaste drücken und auf OK klicken, um die Konfiguration zu übernehmen.
sudo pam-auth-update
15. Auf Debian-Systemen müssen Sie die Datei /etc/pam.d/common-account und die folgende Zeile manuell bearbeiten, um automatisch Homes für authentifizierte Domain-Benutzer zu erstellen.
session required pam_mkhomedir.so skel=/etc/skel/ umask=0022
16. Damit Active Directory-Benutzer das Passwort über die Befehlszeile in Linux ändern können, öffnen Sie die Datei /etc/pam.d/common-password und entfernen Sie die use_authtok-Anweisung aus der Passwortzeile, um schließlich wie im folgenden Auszug auszusehen.
password [success=1 default=ignore] pam_winbind.so try_first_pass
17. Um sich auf einem Ubuntu-Host mit einem Samba4 AD-Konto zu authentifizieren, verwenden Sie den Parameter domain username nach su – Befehl. Führen Sie den Befehl id aus, um zusätzliche Informationen über das AD-Konto zu erhalten.
su - your_ad_user
Verwenden Sie den Befehl pwd, um das aktuelle Verzeichnis Ihres Domänenbenutzers anzuzeigen, und den Befehl passwd, wenn Sie das Kennwort ändern möchten.
18. Um ein Domänenkonto mit Root-Rechten auf Ihrem Ubuntu-Computer zu verwenden, müssen Sie den AD-Benutzernamen zur sudo-Systemgruppe hinzufügen, indem Sie den folgenden Befehl eingeben:
sudo usermod -aG sudo your_domain_user
Melden Sie sich mit dem Domänenkonto bei Ubuntu an und aktualisieren Sie Ihr System, indem Sie den Befehl apt-get update ausführen, um zu überprüfen, ob der Domänenbenutzer über Root-Rechte verfügt.
19. Um Root-Rechte für eine Domänengruppe hinzuzufügen, öffnen Sie die Datei /etc/sudoers mit dem Befehl visudo und fügen Sie die folgende Zeile hinzu, wie im folgenden Screenshot dargestellt.
%YOUR_DOMAIN\\your_domain\ group ALL=(ALL:ALL) ALL
Verwenden Sie umgekehrte Schrägstriche, um Leerzeichen im Namen Ihrer Domänengruppe oder den ersten umgekehrten Schrägstrich mit Escapezeichen zu versehen. Im obigen Beispiel heißt die Domänengruppe für den TECMINT-Bereich "domain admins".
Das vorangestellte Prozentzeichen (%) zeigt an, dass es sich um eine Gruppe und nicht um einen Benutzernamen handelt.
20. Falls Sie die grafische Version von Ubuntu ausführen und sich mit einem Domänenbenutzer auf dem System anmelden möchten, müssen Sie den LightDM-Anzeigemanager ändern, indem Sie die Datei /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf bearbeiten, die folgenden Zeilen hinzufügen und den Computer neu starten, um die Änderungen widerzuspiegeln.
greeter-show-manual-login=true
greeter-hide-users=true
Es sollte jetzt in der Lage sein, Anmeldungen auf Ubuntu Desktop mit einem Domänenkonto im Format your_domain_username oder your_domain_username@your_domain.tld oder your_domain\your_domain_username durchzuführen.