SLES 15 Active Directory-Integration mit SSSD: Eine Schritt-für-Schritt-Anleitung

Für einen typischen SUSE Linux Enterprise Server 15-Host, der Domänenbenutzeranmeldungen benötigt, empfiehlt SUSE die YaST-Benutzeranmeldungsverwaltung mit SSSD als optimale Lösung für die meisten Active Directory-Umgebungen. SSSD stellt die Linux-Identität und den PAM-Authentifizierungspfad bereit, während Active Directory weiterhin die Quelle für Konten und die Kerberos-Authentifizierung bleibt. Winbind eignet sich besser, wenn Ihre Architektur NTLM oder die Unterstützung von Gesamtstrukturvertrauensstellungen voraussetzt. Falls Sie eine Automatisierung bevorzugen, empfiehlt SUSE auch die Domänenbeitrittsverwaltung mit realmdeinem Tool zur Domänenermittlung und -mitgliedschaft. Prüfen Sie daher vor dem großflächigen Einsatz, welche Clientsoftware und Zugriffsrichtlinie Ihr System konfigurieren wird.

Diese Anleitung orientiert sich am SLES 15 SP7 Security and Hardening Guide (Stand: 6. Oktober 2026). SUSE Service Packs können abweichen, und die folgenden Anweisungen basieren auf der Dokumentation und garantieren nicht, dass die Befehle in Ihrer Domäne ausgeführt wurden. Ersetzen Sie die Beispiel-Domänen- und Hostnamen durch die Werte Ihrer Umgebung. Testen Sie die Vorgehensweise zunächst auf einem nicht kritischen SLES-System und halten Sie ein lokales Administratorkonto bereit, falls die Domänenauthentifizierung falsch konfiguriert ist.

Wählen Sie die Integrationsmethode, die am besten zur Aufgabe passt.

SUSE beschreibt die SSSD-basierte YaST-Option als geeignet für die meisten AD-Einbindungen und empfiehlt Winbind für Fälle, die NTLM oder domänenübergreifende Vertrauensstellungen erfordern. Dies sind praktische Ausgangspunkte, kein Ersatz für die Prüfung anwendungsspezifischer Anforderungen wie Samba-Dateiserver, sudo-Regeln, SSH-Schlüsselsuche oder Namenskonflikte in mehreren Domänen. Für eine einfache Linux-Login-Umgebung empfiehlt sich SSSD als Ausgangspunkt, sofern nicht dokumentierte Anforderungen eine andere Lösung vorschreiben.

Was vor dem Beitritt von SLES zu Active Directory zu beachten ist

• Ein stabiler Hostname: Wählen Sie den gewünschten vollqualifizierten Hostnamen und stellen Sie sicher, dass er in Ihrem Netzwerk und in Active Directory konsistent aufgelöst wird. Stimmen Sie jegliche Namenskonventionen für Computerkonten mit dem Verzeichnisteam ab.
• Funktionierendes AD-fähiges DNS: Der SLES-Client muss einen DNS-Server abfragen, der die AD-Zone und ihre Service-Records (SRV-Einträge) auflösen kann. Die alleinige Verwendung eines öffentlichen Resolvers führt häufig zu Problemen bei der Domänenermittlung.
• Synchronisierte Zeit: Kerberos setzt voraus, dass Client und Domänencontroller über exakt synchronisierte Uhren verfügen. Überprüfen Sie die NTP-Synchronisierung, bevor Sie Passwörter oder SSSD-Probleme beheben.
• Netzwerkzugriff auf Domänencontroller: Stellen Sie sicher, dass Firewall und Routing die für Ihre Active Directory-Architektur erforderlichen Protokolle und Ports zulassen, einschließlich DNS, Kerberos, LDAP und jeglichem erforderlichen Datenverkehr für den globalen Katalog oder Kennwortänderungen. Öffnen Sie nicht alle Ports pauschal; lassen Sie sich die genehmigten Regeln vom Active Directory-/Netzwerkadministrator bereitstellen.
• Eine autorisierte Registrierungsidentität: Verwenden Sie ein Konto, das berechtigt ist, Computerobjekte in der richtigen Organisationseinheit hinzuzufügen oder wiederzuverwenden. Vermeiden Sie die routinemäßige Verwendung eines Kontos mit hohen Berechtigungen, wenn delegierte Beitrittsrechte verfügbar sind.
• Wiederherstellungszugriff: Halten Sie ein getestetes lokales Administrator-Login und eine Möglichkeit zum Zugriff auf die Konsole bereit. Legen Sie die Domäne nicht als einzigen Weg zurück zum Server fest, bevor Sie den neuen Anmeldepfad validiert haben.

SUSE weist ausdrücklich auf die Notwendigkeit von AD-erreichbarem DNS und genauer Zeit für Kerberos hin. Im zugehörigen Leitfaden wird darauf hingewiesen, dass eine Domäne mit der Endung „.com“ .localin manchen Fällen zu Konflikten mit Multicast-DNS führen kann. Falls Ihr Active Directory diese Endung verwendet, klären Sie die Auswirkungen auf Ihre SLES-Version und Netzwerkkonfiguration mit dem Verzeichnisadministrator, bevor Sie Namens- oder Resolvereinstellungen ändern.

hostnamectl --static
hostname -f
timedatectl status
getent hosts ad01.corp.example.com
host -t SRV _ldap._tcp.dc._msdcs.corp.example.com

Bei einer Minimalinstallation kann für diesen hostBefehl das DNS-Dienstprogrammpaket erforderlich sein. Diese Prüfungen gewährleisten nicht, dass alle erforderlichen Firewall-Pfade geöffnet sind; sie helfen jedoch, häufige Namensauflösungs- und Zeitprobleme vor der Registrierung zu erkennen.

Treten Sie der Domäne mit YaST und SSSD bei.

1. Konfigurieren Sie den Resolver. Öffnen Sie YaST und wählen Sie „Netzwerkeinstellungen“ und anschließend „Hostname/DNS“ . Konfigurieren Sie den AD-DNS-Server oder einen internen Resolver, der die AD-Zone korrekt weiterleitet. Speichern Sie die Einstellungen und überprüfen Sie, ob der Host den Domänencontroller und die AD-Dienstdatensätze auflösen kann.
2. Öffnen Sie die Benutzeranmeldungsverwaltung. Starten Sie dazu im YaST-Hauptfenster die Benutzeranmeldungsverwaltung und wählen Sie „Einstellungen ändern“ . Dies ist das SSSD-basierte Authentifizierungsmodul aus dem SLES 15 SP7-Leitfaden; es unterscheidet sich vom Windows-Domänenmitgliedschaftsmodul , das Winbind verwendet.
3. Fügen Sie die AD-Domäne hinzu. Wählen Sie „Domäne hinzufügen“ , geben Sie den DNS-Domänennamen ein (z. B. „example.com“) corp.example.comund wählen Sie Microsoft Active Directory sowohl für Identitätsdaten als auch für die Authentifizierung aus. Stellen Sie sicher, dass die Domäne aktiviert ist. Falls die automatische DNS-Erkennung in Ihrem Netzwerk nicht geeignet ist, geben Sie die genehmigten Domänencontroller-Hostnamen wie in der Anleitung beschrieben an.
4. Überprüfen Sie den Rechnernamen und das Ergebnis der Erkennung. Vergleichen Sie den lokalen Hostnamen mit dem gewünschten Computernamen in Active Directory. Beheben Sie jegliche Abweichungen vor der Registrierung. YaST sollte einen Active Directory-Server erkennen und melden, dass der Client noch nicht registriert ist. Schlägt die Erkennung fehl, überprüfen Sie stattdessen DNS, Zeit, Routing und Firewall, anstatt zufällige Authentifizierungsanbieter zu verwenden.
5. Melden Sie sich mit einem autorisierten Konto an. Geben Sie die AD-Anmeldeinformationen ein, die zum Verbinden mit dem Computer berechtigt sind. YaST kann während dieses Vorgangs fehlende Software installieren. Im Dialogfeld wird möglicherweise eine Option zum Überschreiben der Samba-Konfiguration angeboten. Aktivieren Sie diese nur, wenn die Änderung für Ihre Samba/AD-Umgebung vorgesehen ist, und sichern Sie zunächst die bestehende Konfiguration, falls Samba-Dienste bereits verwendet werden.
6. Aktivieren Sie das gewünschte Anmeldeverhalten. Aktivieren Sie die Domänenbenutzeranmeldung unter „Domänenbenutzeranmeldung verwalten“ erst, nachdem Sie festgelegt haben, welche Konten Zugriff erhalten sollen. Konfigurieren Sie die Erstellung lokaler Home-Verzeichnisse, falls Benutzer diese benötigen. SUSE dokumentiert fallback_homedirdie override_homedirOptionen und zeigt /home/%uein mögliches Format an. In einer Multi-Domänen-Umgebung sollten Sie einen eindeutigen Pfad festlegen und das SSSD-Handbuch konsultieren, bevor Sie sich allein auf einen kurzen Benutzernamen verlassen.
7. Speichern, überprüfen und mit einem Benutzer ohne Administratorrechte testen. Die Einstellungen anwenden, die Domäne und die gewählten Optionen auf Korrektheit prüfen und anschließend ein normales Domänenkonto an der Konsole oder über den geplanten Anmeldedienst testen. Nicht nur mit dem Konto testen, das dem Computer beigetreten ist.

Wie überprüft man den SSSD-Beitritt?

Prüfen Sie, ob SSSD aktiv ist, NSS eine bekannte Domänenidentität auflösen kann und eine echte Anmeldung erfolgreich ist. Prüfen Sie nach der Anmeldung des Testbenutzers, ob ein Kerberos-Ticket vorliegt. SUSE führt dies klistin getent passwdseinen Verbindungsprüfungen auf.

systemctl status sssd
getent passwd 'alex@corp.example.com'
id 'alex@corp.example.com'
klist

Die genaue Identitätszeichenfolge hängt von den SSSD-Namenseinstellungen ab; einige Umgebungen verwenden DOMAIN\usereinen Namen im UPN-Stil. Wenn getentkein Eintrag zurückgegeben wird, überprüfen Sie, ob Sie das konfigurierte Namensformat und die Domäne abfragen, und prüfen Sie anschließend die Dienstprotokolle.

sudo journalctl -u sssd --since "15 minutes ago"

Eine erfolgreiche Abfrage allein beweist nicht, dass sich der Benutzer anmelden kann, und ein vorhandenes Kerberos-Ticket beweist nicht, dass jede Anwendung den vorgesehenen PAM-Stack verwendet. Testen Sie eine neue Sitzung, gegebenenfalls eine Passwortänderung, gruppenbasierte Autorisierung und den entsprechenden SSH- oder Desktop-Anmeldepfad. Stellen Sie sicher, dass der Zugriff auf die von Ihnen vorgesehenen Personen beschränkt ist.

SSSD oder Winbind: Welcher Kompromiss ist wichtiger?

Für die meisten SLES-Clients, die AD-Identitäten und interaktive Anmeldungen benötigen, ist SSSD die naheliegende Wahl und wird von SUSEs Richtlinien zur Benutzeranmeldungsverwaltung empfohlen. Es integriert Identitätssuche und PAM-Authentifizierung und kann Informationen zwischenspeichern, um die Ausfallsicherheit zu gewährleisten, wenn das Verzeichnis vorübergehend nicht erreichbar ist. Der zwischengespeicherte Zugriff hat jedoch seine Grenzen: Eine erstmalige Anmeldung kann nicht auf zwischengespeicherte Anmeldeinformationen zurückgreifen, und für verzeichnisbasierte Ressourcen oder Kennwortänderungen ist weiterhin ein erreichbarer Domänencontroller erforderlich. Erstellen und testen Sie Ihre Offline-Anmelderichtlinie, anstatt die Zwischenspeicherung als vollständige Lösung für einen AD-Ausfall zu betrachten.

Wählen Sie Winbind, wenn eine Anforderung explizit von der Domänenintegration von Samba, NTLM oder Gesamtstrukturübergreifenden Vertrauensstellungen abhängt. Es handelt sich nicht einfach um eine alternative Option für SSSD: Jeder Pfad verwendet unterschiedliche Daemons und NSS/PAM-Komponenten. Dokumentieren Sie, welcher Dienst für Domänenabfragen und Anmeldungen zuständig ist, und vermeiden Sie die Vermischung alter manueller PAM/NSS-Bearbeitungen mit YaST-verwalteten Einstellungen.

Verwenden Sie diese Funktion, realmdwenn ein wiederholbarer Shell-Workflow wichtig ist. Das SUSE-Handbuch zur Speicheradministration (SLES 15 SP7) dokumentiert realm discover --verbosedie DNS-basierte Erkennung, realm join --verbosedie Registrierung und realm permitdie Anmeldeberechtigungen. Prüfen Sie, welche Client-Software ausgewählt ist und welche SSSD-Konfiguration in Ihrer Version verwendet wird. Vermeiden Sie in der Produktionsumgebung einen umfassenden Zugriff („Allen erlauben“), es sei denn, dies ist explizit in der Richtlinie festgelegt.

Häufige Fehler und die nächste Überprüfung

• Die Domänenermittlung liefert kein Ergebnis: Überprüfen Sie den DNS-Server des Clients und den AD SRV-Eintrag und vergewissern Sie sich dann, dass der Host die aufgelisteten Domänencontroller erreichen kann.
• Kerberos-Fehler trotz korrektem Passwort: Überprüfen Sie die Systemzeitsynchronisierung, den für den Domänencontroller verwendeten DNS-Namen und ob das Computerkonto aktiviert und korrekt benannt ist.
• Der Benutzer kann sich zwar anmelden, aber die Verbindung wird nicht hergestellt: Stellen Sie sicher, dass die Domänenanmeldung in YaST aktiviert ist, überprüfen Sie die Zugriffsbeschränkungen und den Kontostatus in AD und überprüfen Sie die SSSD/PAM-Protokolle.
• Die Anmeldung funktioniert, aber das Home-Verzeichnis fehlt: Bitte überprüfen Sie, ob die Erstellung des Home-Verzeichnisses aktiviert ist und ob der konfigurierte Pfad für den Benutzer gültig und eindeutig ist.
• Ein Beitritt schlägt nach vorherigen Versuchen fehl: Prüfen Sie auf veraltete Computerobjekte, doppelte Hostnamen, Reste von Winbind- oder manueller NSS/PAM-Konfiguration sowie nicht übereinstimmende Computerkennwörter. Stimmen Sie die Bereinigung mit dem AD-Administrator ab, bevor Sie ein Computerobjekt löschen oder lokale SSSD-Daten entfernen.

Wann sollte man innehalten und einen anderen Ansatz wählen?

Führen Sie die Einführung nur dann durch, wenn Ihre Umgebung auf übergreifender Vertrauensstellung, NTLM, einer Samba-Serverrolle, mehreren Gesamtstrukturen mit sich überschneidenden Kurzbenutzernamen oder komplexen Zugriffsregeln basiert, die nicht durch die YaST-Basiseinstellungen abgedeckt werden. Diese Bedingungen können den bevorzugten Anbieter ändern oder zusätzliche SSSD-Konfigurationen erfordern. Testen Sie die Richtlinien mit repräsentativen Konten und realen Diensten in einem Testsystem und verwenden Sie das Wiederherstellungs-Login, bis die Richtlinie erfolgreich getestet wurde.

Kurz gesagt: Für eine Standard-Workstation oder einen Server mit SLES 15 SP7, der Active Directory-Identitäten und -Anmeldungen benötigt, empfiehlt sich zunächst die YaST-Benutzeranmeldungsverwaltung mit SSSD-Unterstützung. Richten Sie zunächst DNS, Zeit, Hostnamen und Beitrittsberechtigungen korrekt ein. Überprüfen Sie anschließend Namensauflösung, Kerberos, PAM-Anmeldung und Zugriffsbereich. Wählen Sie Winbind für die von SUSE definierten spezifischen Samba-, NTLM- oder Gesamtstrukturübergreifenden Anforderungen und nutzen Sie es, realmdwenn dessen Befehlszeilen-Workflow besser zu Ihren Betriebsabläufen passt.

Quellen: SUSE SLES 15 SP7 Security and Hardening Guide: Active Directory-Unterstützung ; SUSE SLES 15 SP7 Storage Administration Guide: realmd ; SUSE SLES 15 SP7: Authentifizierungsclients und SSSD ; SUSE SLES 15 SP7 Release Notes .