Co je realmd
Realmd poskytuje jednoduchý způsob, jak objevit a připojit se k doménám identit. Konfiguruje systémové služby Linuxu, jako je sssd nebo winbind, aby prováděly skutečnou síťovou autentizaci a vyhledávání uživatelských účtů. S vydáním CentOS/RHEL 7 je realmd plně podporováno a lze jej použít pro připojení ke sférám IdM, AD nebo Kerberos. Hlavní výhodou použití realmd je možnost poskytnout jednoduchý jednořádkový příkaz pro registraci do domény a také konfiguraci síťové autentizace. Realmd může například snadno nakonfigurovat:
- Zásobník PAM
- Vrstva NSS
- Kerberos
- SSSD
- Winbind
Nakonfigurujte CentOS/RHEL 7 jako klienta Active Directory pomocí realmd
Chcete-li nakonfigurovat klienta Linux pomocí Realmd pro připojení k doméně Active Directory (AD), postupujte podle níže uvedených kroků.
1. Nainstalujte požadované balíčky pro konfiguraci klienta AD.
# yum install realmd oddjob oddjob-mkhomedir sssd adcli openldap-clients policycoreutils-python samba-common samba-common-tools krb5-workstation
Můžeme použít dílčí příkaz list, abychom se ujistili, že aktuálně nejsme součástí domény:
# realm list
Výstup by měl být prázdný. Nyní jsme připraveni přistoupit k dalšímu kroku – objevení a připojení k doméně.
2. Objevte doménu aktivního adresáře a připojte se pomocí níže uvedených příkazů.
# realm discover ad.example.com ad.example.com type: kerberos realm-name: AD.EXAMPLE.COM domain-name: ad.example.com configured: no server-software: active-directory client-software: sssd required-package: oddjob required-package: oddjob-mkhomedir required-package: sssd required-package: adcli required-package: samba-common-tools
# realm join ad.example.com Password for Administrator: realm: Joined ad.example.com domain
3. Ověřte konfigurační soubor kerberose /etc/krb5.conf zahrnout:
# cat /etc/krb5.conf
# Configuration snippets may be placed in this directory as well
includedir /etc/krb5.conf.d/
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
default = DOMAIN.EXAMPLE.COM
dns_lookup_realm = true
dns_lookup_kdc=true
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_ccache_name = KEYRING:persistent:%{uid}
default_realm = DOMAIN.EXAMPLE.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
AD.EXAMPLE.COM = {
kdc = [hostname_of_server].domain.example.com:88
admin_server = domain.example.com
}
[domain_realm]
.domain.example.com = DOMAIN.EXAMPLE.COM
domain.example.com = DOMAIN.EXAMPLE.COM 4. Ověřte /etc/sssd/sssd.conf, abyste měli níže uvedené položky.
# cat /etc/sssd/sssd.conf [sssd] domains = domain.example.com config_file_version = 2 services = nss, pam [domain/domain.example.com] ad_server = domain.example.com ad_domain = domain.example.com krb5_realm = DOMAIN.EXAMPLE.COM realmd_tags = manages-system joined-with-adcli cache_credentials = True id_provider = ad krb5_store_password_if_offline = True default_shell = /bin/bash ldap_id_mapping = True use_fully_qualified_names = True fallback_homedir = /home/%u@%d access_provider = ad enumeration = True
5. Přidělte příslušné oprávnění souboru sssd.conf.
# chown root:root /etc/sssd/sssd.conf # chmod 0600 /etc/sssd/sssd.conf # restorecon /etc/sssd/sssd.conf # authconfig --enablesssd --enablesssdauth --enablemkhomedir --update # systemctl start sssd
Ověřit
Ověřte připojení pomocí následujícího příkazu:
# id [email protected] # ssh [email protected]
Příklady těchto příkazů jsou uvedeny níže.
# id [email protected] uid=1348601103([email protected]) gid=1348600513(domain [email protected]) groups=1348600513(domain [email protected])
# ssh [email protected]@127.0.0.1 [email protected]@127.0.0.1's password: Creating home directory for [email protected]. $ pwd /home/ad.example.com/user