تكامل Active Directory مع SSSD في SLES 15: دليل خطوة بخطوة

بالنسبة لخادم SUSE Linux Enterprise Server 15 النموذجي الذي يحتاج إلى تسجيل دخول مستخدمي النطاق، تُشير SUSE إلى أن إدارة تسجيل دخول المستخدمين باستخدام YaST مع SSSD هي الخيار الأمثل في معظم بيئات Active Directory. يوفر SSSD مسار مصادقة هوية Linux وPAM، بينما يظل Active Directory المصدر الرئيسي للحسابات ومصادقة Kerberos. يُعد Winbind خيارًا أفضل عندما يعتمد تصميمك على NTLM أو دعم الثقة بين الغابات. إذا كنت تُفضل الأتمتة، تُشير SUSE أيضًا إلى إمكانية الانضمام باستخدام realmdأداة اكتشاف النطاق والعضوية، لذا تأكد من برنامج العميل وسياسة الوصول التي سيُهيئها نظامك قبل استخدامها على نطاق واسع.

يتبع هذا الدليل الإرشادي دليل الأمان والتحصين لنظام SLES 15 SP7، الذي تم التحقق منه في 6 أكتوبر 2026. قد تختلف حزم خدمة SUSE، والتعليمات الواردة أدناه هي إجراء موثق، وليست دليلاً على تنفيذ الأوامر على نطاقك. استبدل أسماء النطاقات والمضيفين المذكورة كمثال بقيم من بيئتك. اختبر أولاً على جهاز SLES غير حرج، واحتفظ بحساب مسؤول محلي متاح في حال وجود خطأ في تكوين مصادقة النطاق.

اختر طريقة التكامل التي تناسب المهمة

تصف SUSE خيار YaST المدعوم بـ SSSD بأنه مناسب لمعظم عمليات ربط Active Directory، وتقترح Winbind للحالات التي تتطلب NTLM أو علاقات ثقة بين نطاقات متعددة. هذه نقاط انطلاق عملية، وليست بديلاً عن اختبار الاحتياجات الخاصة بالتطبيقات، مثل خدمة ملفات Samba، وقواعد sudo، والبحث عن مفاتيح SSH، أو تعارضات أسماء النطاقات المتعددة. بالنسبة لأنظمة تسجيل دخول Linux عادية، ابدأ بـ SSSD ما لم يُشر متطلب موثق إلى خيار آخر.

ما يجب تحضيره قبل ربط نظام SLES بـ Active Directory

• اسم مضيف ثابت: اختر اسم المضيف المؤهل بالكامل المقصود وتأكد من أنه يتم حله باستمرار في شبكتك وفي Active Directory. نسق أي اتفاقية تسمية لحسابات الكمبيوتر مع فريق الدليل.
• نظام أسماء النطاقات المتوافق مع Active Directory: يجب على عميل SLES الاستعلام من خادم DNS قادر على تحليل منطقة Active Directory وسجلات الخدمة (SRV) الخاصة بها. استخدام محلل عام فقط غالبًا ما يؤدي إلى فشل اكتشاف النطاق.
• تزامن الوقت: يعتمد بروتوكول Kerberos على تزامن ساعات العميل ووحدات تحكم المجال بشكل دقيق. تأكد من تزامن NTP قبل استكشاف أخطاء كلمات المرور أو SSSD وإصلاحها.
• الوصول إلى وحدات تحكم المجال عبر الشبكة: تأكد من أن جدار الحماية والتوجيه يسمحان بالبروتوكولات والمنافذ المطلوبة لتصميم Active Directory الخاص بمؤسستك، بما في ذلك DNS وKerberos وLDAP وأي حركة مرور مطلوبة لكتالوج عام أو تغيير كلمة المرور. لا تفتح جميع المنافذ بشكل عام؛ اطلب من مسؤول Active Directory/الشبكة تزويدك بالقواعد المعتمدة.
• هوية تسجيل معتمدة: استخدم حسابًا مُصرَّحًا له بإضافة أو إعادة استخدام عناصر الحاسوب في الوحدة التنظيمية الصحيحة. تجنَّب الاستخدام الروتيني لحساب ذي صلاحيات عالية عند توفّر حقوق الانضمام المُفوَّضة.
• الوصول للاستعادة: احتفظ ببيانات تسجيل دخول مُختبَرة لمسؤول محلي، وطريقة للوصول إلى وحدة التحكم. لا تجعل النطاق هو المسار الوحيد للعودة إلى الخادم قبل التحقق من صحة مسار تسجيل الدخول الجديد.

تُشير SUSE تحديدًا إلى ضرورة وجود نظام أسماء نطاقات (DNS) قابل للوصول إليه من Active Directory وتوقيت دقيق لبروتوكول Kerberos. ويُوضح دليلها أن النطاق الذي ينتهي بـ . .localقد يتعارض مع نظام أسماء النطاقات متعدد البث في بعض حالات الانضمام. إذا كان Active Directory الخاص بك يستخدم هذا اللاحقة، فتحقق من تأثير ذلك على إصدار SLES وتكوين الشبكة مع مسؤول الدليل قبل تغيير إعدادات التسمية أو المُحلِّل.

hostnamectl --static
hostname -f
timedatectl status
getent hosts ad01.corp.example.com
host -t SRV _ldap._tcp.dc._msdcs.corp.example.com

قد يتطلب الأمر hostحزمة أدوات نظام أسماء النطاقات (DNS) في حالة التثبيت المصغر. لا تثبت هذه الفحوصات أن جميع مسارات جدار الحماية المطلوبة مفتوحة، بل تساعد في اكتشاف مشاكل تحليل أسماء النطاقات ومشاكل التوقيت الشائعة قبل التسجيل.

انضم إلى النطاق باستخدام YaST وSSSD

1. قم بتعيين مُحلِّل أسماء النطاقات. افتح YaST واختر إعدادات الشبكة ، ثم اسم المضيف/نظام أسماء النطاقات . قم بتكوين خادم DNS الخاص بـ Active Directory، أو مُحلِّل أسماء نطاقات داخلي يُعيد توجيه منطقة Active Directory بشكل صحيح. احفظ التغييرات وتأكد من قدرة المضيف على حل اسم وحدة تحكم المجال وسجلات خدمة Active Directory.
2. افتح إدارة تسجيل دخول المستخدم. من النافذة الرئيسية لـ YaST، شغّل إدارة تسجيل دخول المستخدم واختر تغيير الإعدادات . هذه هي وحدة المصادقة المستندة إلى SSSD في دليل SLES 15 SP7؛ وهي تختلف عن وحدة عضوية مجال Windows ، التي تستخدم Winbind.
3. أضف نطاق Active Directory. اختر "إضافة نطاق" ، وأدخل اسم نطاق DNS، مثلاً corp.example.com، وحدد Microsoft Active Directory لبيانات الهوية والمصادقة. تأكد من تفعيل النطاق. إذا لم يكن الاكتشاف التلقائي لنظام أسماء النطاقات (DNS) مناسبًا لشبكتك، فحدد أسماء مضيفي وحدة تحكم النطاق المعتمدة كما هو موضح في الدليل.
4. تحقق من اسم الجهاز ونتيجة الاكتشاف. قارن اسم المضيف المحلي مع اسم الكمبيوتر المطلوب في Active Directory. صحّح أي اختلاف قبل التسجيل. من المفترض أن يكتشف YaST خادم Active Directory ويُبلغ بأن العميل غير مسجل بعد. في حال فشل الاكتشاف، ارجع إلى فحوصات DNS والوقت والتوجيه وجدار الحماية بدلاً من تجربة موفري مصادقة عشوائيين.
5. سجّل باستخدام حساب مُصرّح به. أدخل بيانات اعتماد Active Directory المُصرّح لها بالانضمام إلى الجهاز. قد يقوم YaST بتثبيت البرامج المفقودة أثناء هذه العملية. قد يُتيح مربع الحوار خيارًا لاستبدال إعدادات Samba؛ فعّله فقط إذا كان هذا التغيير مُخصّصًا لإعداد Samba/Active Directory الخاص بك، واحتفظ بالإعدادات الحالية أولًا إذا كانت خدمات Samba قيد الاستخدام بالفعل.
6. فعّل سلوك تسجيل الدخول المقصود. في إدارة تسجيل دخول مستخدمي النطاق ، فعّل تسجيل دخول مستخدمي النطاق فقط بعد تحديد الحسابات التي يجب أن تتمتع بصلاحية الوصول. اضبط إنشاء أدلة المستخدمين المحلية إذا احتاج المستخدمون إليها. توثق SUSE الخيارات fallback_homedirالمتاحة override_homedirوتعرضها /home/%uكصيغة محتملة. في بيئة متعددة النطاقات، صمم مسارًا فريدًا وراجع دليل SSSD قبل الاعتماد على اسم مستخدم مختصر فقط.
7. احفظ الإعدادات، راجعها، واختبرها باستخدام حساب مستخدم عادي. طبّق الإعدادات، وتأكد من صحة النطاق والخيارات المُختارة، ثم اختبر حساب نطاق عادي من خلال وحدة التحكم أو خدمة تسجيل الدخول التي تنوي استخدامها. لا تختبر فقط باستخدام الحساب الذي انضم إلى الجهاز.

كيف يتم التحقق من عملية ربط SSSD؟

تأكد من تفعيل SSSD، وأن NSS قادر على تحديد هوية نطاق معروفة، وأن عملية تسجيل الدخول الفعلية ناجحة. بعد تسجيل دخول المستخدم التجريبي، تحقق من وجود تذكرة Kerberos. تُدرج SUSE هذه التذكرة klistضمن getent passwdفحوصات الاتصال الخاصة بها.

systemctl status sssd
getent passwd 'alex@corp.example.com'
id 'alex@corp.example.com'
klist

يعتمد اسم النطاق المحدد على إعدادات تسمية SSSD؛ تستخدم بعض البيئات DOMAIN\userاسمًا بنمط UPN بدلاً من . إذا getentلم يُرجع أي سجل، فتحقق من أنك تستعلم عن تنسيق الاسم والنطاق المُكوّنين، ثم راجع سجلات الخدمة.

sudo journalctl -u sssd --since "15 minutes ago"

لا يُثبت نجاح عملية البحث وحدها قدرة المستخدم على تسجيل الدخول، كما أن وجود تذكرة Kerberos لا يُثبت أن جميع التطبيقات تستخدم حزمة PAM المُخصصة. اختبر جلسة جديدة، وتغيير كلمة المرور إذا لزم الأمر، والتفويض القائم على المجموعات، ومسار تسجيل الدخول عبر SSH أو سطح المكتب ذي الصلة. تأكد من أن الوصول مُقيد للأشخاص الذين ترغب في منحهم الوصول.

SSSD أم Winbind: أي المفاضلات أهم؟

بالنسبة لمعظم عملاء SLES الذين يحتاجون إلى هويات Active Directory وتسجيلات دخول تفاعلية، يُعد SSSD الخيار الأمثل المدعوم بإرشادات إدارة تسجيل دخول المستخدمين من SUSE. فهو يدمج البحث عن الهوية ومصادقة PAM، ويمكنه تخزين المعلومات مؤقتًا لضمان استمرارية الخدمة في حال تعذر الوصول إلى الدليل مؤقتًا. مع ذلك، فإن الوصول المخزن مؤقتًا له حدود: لا يمكن الاعتماد على بيانات الاعتماد المخزنة مؤقتًا عند تسجيل الدخول لأول مرة، كما أن الموارد المدعومة بالدليل أو تغييرات كلمات المرور لا تزال تتطلب وحدة تحكم مجال قابلة للوصول. لذا، يُنصح بوضع سياسة تسجيل دخول دون اتصال واختبارها بدلًا من اعتبار التخزين المؤقت حلًا كاملًا لانقطاع Active Directory.

اختر Winbind عندما يعتمد أحد المتطلبات تحديدًا على تكامل نطاق Samba، أو NTLM، أو الثقة بين الغابات. فهو ليس مجرد خيار بديل لـ SSSD، إذ يستخدم كل مسار برامج خفية ومكونات NSS/PAM مختلفة. وثّق الخدمة المسؤولة عن عمليات البحث عن النطاق وتسجيل الدخول، وتجنّب دمج تعديلات PAM/NSS اليدوية القديمة مع الإعدادات المُدارة بواسطة YaST.

استخدم هذه الطريقة realmdعندما يكون سير العمل المتكرر في سطر الأوامر مهمًا. يوفر دليل إدارة التخزين SLES 15 SP7 من SUSE معلومات realm discover --verboseحول الاكتشاف المستند إلى نظام أسماء النطاقات (DNS)، realm join --verboseوالتسجيل، realm permitوصلاحيات تسجيل الدخول. تحقق من برامج العميل المختارة وتكوين SSSD المُنشأ في إصدارك. تجنب منح صلاحيات وصول واسعة النطاق "للجميع" في بيئة الإنتاج إلا إذا كانت هذه سياسة صريحة.

الأعطال الشائعة والفحص التالي

• لا يُظهر اكتشاف المجال أي نتائج: تحقق من خادم DNS الخاص بالعميل وسجل AD SRV، ثم تأكد من أن المضيف يمكنه الوصول إلى وحدات التحكم في المجال المدرجة.
• أخطاء Kerberos على الرغم من كلمة المرور الصحيحة: تحقق من مزامنة وقت النظام، واسم DNS المستخدم لوحدة تحكم المجال، وما إذا كان حساب الكمبيوتر ممكّنًا ومسمى بشكل صحيح.
• يمكن للمستخدم حل المشكلة ولكن لا يمكنه تسجيل الدخول: تأكد من تمكين تسجيل الدخول إلى المجال في YaST، وتحقق من قيود الوصول وحالة الحساب في AD، وقم بمراجعة سجلات SSSD/PAM.
• يعمل تسجيل الدخول ولكن الدليل الرئيسي مفقود: تأكد من تمكين إنشاء الدليل الرئيسي وأن المسار المُكوّن صالح وفريد ​​للمستخدم.
• فشل عملية الربط بعد تجارب سابقة: تحقق من وجود كائنات كمبيوتر قديمة، وأسماء مضيفين مكررة، وبقايا إعدادات Winbind أو NSS/PAM يدوية، وكلمات مرور أجهزة غير متطابقة. نسّق عملية التنظيف مع مسؤول Active Directory قبل حذف كائن كمبيوتر أو مسح بيانات SSSD المحلية.

متى يجب عليك التوقف واختيار نهج مختلف؟

توقف مؤقتًا قبل النشر إذا كانت بيئتك تعتمد على سلوك الثقة بين الغابات، أو بروتوكول NTLM، أو دور خادم Samba، أو غابات متعددة بأسماء مستخدمين قصيرة متداخلة، أو قواعد وصول معقدة لا تتضمنها الإعدادات الأساسية لـ YaST. قد تؤدي هذه الشروط إلى تغيير الموفر المفضل أو تتطلب تكوينًا إضافيًا لـ SSSD. اختبرها باستخدام حسابات نموذجية وخدمات حقيقية في نظام تجريبي، واحتفظ ببيانات تسجيل الدخول للاسترداد حتى يتم إثبات فعالية السياسة.

خلاصة القول: بالنسبة لمحطة عمل أو خادم قياسي يعمل بنظام SLES 15 SP7 ويحتاج إلى هويات وتسجيلات دخول Active Directory، ابدأ بمسار إدارة تسجيل دخول المستخدم YaST المدعوم بـ SSSD. تأكد أولاً من صحة إعدادات DNS والوقت وتسمية المضيف وأذونات الانضمام؛ ثم تحقق من بحث الاسم، وKerberos، وتسجيل دخول PAM، ونطاق الوصول. اختر Winbind لتلبية متطلبات Samba أو NTLM أو متطلبات الاتصال بين الغابات التي تحددها SUSE، واستخدمه realmdعندما يكون سير عمل سطر الأوامر الخاص به أنسب لعملية التشغيل لديك.

المصادر: دليل الأمان والتحصين لنظام SUSE SLES 15 SP7: دعم Active Directory ؛ دليل إدارة التخزين لنظام SUSE SLES 15 SP7: realmd ؛ نظام SUSE SLES 15 SP7: عملاء المصادقة وSSSD ؛ ملاحظات إصدار نظام SUSE SLES 15 SP7 .