Comment joindre un client Pardus Linux à un domaine Active Directory

Utilisez l'interface de ligne de commande Pardus Domain Joiner après avoir vérifié que le DNS et l'heure sont corrects.

Pour un client Pardus Linux, la méthode la plus directe consiste à utiliser Pardus Domain Joiner, l'outil officiel Pardus pour l'inscription au domaine. Le gestionnaire de paquets Pardus actuel répertorie le paquet en ligne de commande pardus-domain-joiner-cli, version 1.1.2. Sa commande d'inscription documentée prend en charge SSSD ou Winbind. Ce guide utilise SSSD dans son exemple ; choisissez le service pris en charge par votre organisation.

L'intégration au domaine ne fonctionnera que si le client peut détecter un contrôleur de domaine Active Directory via DNS, accéder aux services de domaine requis et s'authentifier avec un compte autorisé à créer ou réutiliser un compte d'ordinateur. Un outil ne peut pas pallier un client utilisant un DNS public incapable de résoudre le domaine AD, une horloge désynchronisée ou un compte d'intégration ne disposant pas des droits nécessaires.

Les valeurs utilisées ci-dessous sont des exemples : le domaine DNS AD est corp.example.com, le compte d'association autorisé est joinadmin, et le nom du client est pdws-042. Remplacez-les par votre domaine et votre compte autorisés. Ne saisissez pas votre mot de passe comme argument de ligne de commande ; l'interface de ligne de commande Pardus vous le demandera s'il est omis.

Avant de commencer : vérifiez le client et l’environnement AD

Utilisez un compte d'administrateur local avec privilèges élevés sur Pardus. Demandez à votre administrateur Active Directory le nom de domaine DNS complet, l'unité d'organisation (UO) requise, le type de périphérique à utiliser (SSSD ou Winbind), le compte autorisé pour l'intégration et le format du nom d'utilisateur. L'intégration d'un ordinateur à un domaine crée ou met à jour un compte d'ordinateur dans Active Directory ; elle n'accorde pas automatiquement à tous les utilisateurs du domaine l'autorisation de se connecter localement.

• DNS : Configurez le client pour qu’il utilise un résolveur DNS capable de répondre aux questions concernant la zone Active Directory et ses enregistrements de service. Il s’agit souvent du service DNS du contrôleur de domaine, mais un résolveur interne correctement configuré peut également convenir. Un résolveur public ne parviendra généralement pas à localiser un contrôleur de domaine Active Directory privé.
• Horloge : Assurez-vous que la date et l’heure du système sont synchronisées avec la source de temps de l’organisation. L’authentification Kerberos est sensible au temps.
• Nom d'hôte : Attribuez au client un nom d'hôte unique avant la connexion. Par exemple : pdws-042. Vérifiez que ce nom n'est pas déjà utilisé par un autre compte utilisateur actif.
• Réseau : vérifiez que la machine Pardus peut accéder aux contrôleurs de domaine et aux services autorisés par votre stratégie réseau. Les pare-feu et les routes VPN peuvent affecter la découverte et l’inscription.

Active Directory utilise le DNS pour aider les clients à localiser les contrôleurs de domaine. Microsoft recommande d'utiliser les enregistrements LDAP et Kerberos SRV pour la découverte du domaine. En cas d'échec de la découverte, vérifiez le serveur DNS configuré sur le client et les enregistrements Active Directory avant de modifier la commande d'intégration.

Installez et utilisez l'outil de domaine Pardus

Actualisez les métadonnées APT, vérifiez que le paquet est disponible pour votre version de Pardus et installez-le à partir du dépôt Pardus configuré :

sudo apt update
apt policy pardus-domain-joiner-cli
sudo apt install pardus-domain-joiner-cli

Le gestionnaire de paquets indique que cette interface de ligne de commande (CLI) est disponible dans le dépôt Pardus 25, mais sa disponibilité peut varier selon l'édition ou la configuration du dépôt. Si APT ne trouve aucun paquet, ne téléchargez pas de paquet au hasard depuis un site tiers. Consultez le dépôt officiel de Pardus ou utilisez l'interface graphique Pardus Domain Joiner si elle est disponible pour votre installation. Pardus décrit cette application GTK comme un outil permettant d'ajouter ou de retirer un système d'un domaine ; son interface peut varier selon la version.

Indiquez le nom d'hôte local souhaité s'il doit être modifié. Remplacez le nom d'exemple par celui approuvé pour votre réseau :

sudo hostnamectl set-hostname pdws-042
hostnamectl status

Demandez ensuite à l'outil Pardus de découvrir le domaine avant de vous connecter :

sudo pardus-domain-joiner-cli info corp.example.com

La commande devrait renvoyer les informations de découverte du domaine demandé. Si elle ne trouve pas le domaine ou le contrôleur de domaine, arrêtez-vous et vérifiez le DNS, l'accessibilité réseau, l'état du VPN et le nom de domaine DNS exact. N'utilisez pas le nom NetBIOS court à la place du domaine DNS, sauf si votre organisation l'exige.

Intégrez le client à Active Directory.

Dans l'environnement d'exemple, la commande est :

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin

Lorsque vous y êtes invité, saisissez le mot de passe joinadmin. La documentation de l'interface de ligne de commande Pardus (CLI) indique que Pardus propose différents services sssdet winbindprécise qu'une demande de sécurité s'affichera si aucun mot de passe n'est fourni. Ne conservez pas ce mot de passe dans l'historique du shell ni dans les scripts partagés. Utilisez un compte délégué disposant uniquement des droits nécessaires pour se connecter aux ordinateurs, et non des identifiants d'administrateur de domaine permanents.

Si votre équipe informatique a fourni un nom distinctif (DN) d'unité organisationnelle (UO), l'interface de ligne de commande (CLI) documente également un --ouargument facultatif. Par exemple :

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin --ou "OU=Linux,OU=Workstations,DC=corp,DC=example,DC=com"

Utilisez le nom distinctif de l'unité d'organisation (UO) tel que fourni par l'administrateur d'annuaire. Si aucune UO n'est requise, omettez cette option. La commande décrit également une --hostnameautre option ; utilisez-la uniquement si vous devez définir séparément le nom de l'ordinateur Active Directory et après avoir vérifié le comportement attendu pour votre version du package.

Une commande réussie devrait s'exécuter sans erreur d'inscription. En cas d'échec, notez le message d'erreur complet et corrigez la cause sous-jacente avant de réessayer. Les tentatives répétées avec un serveur DNS incorrect, un mot de passe expiré ou un compte non autorisé sont peu susceptibles de résoudre le problème et peuvent laisser un objet ordinateur obsolète nécessitant l'intervention de l'administrateur Active Directory.

Confirmez votre inscription et testez la connexion à un domaine.

Vérifiez le statut du participant une fois la commande terminée :

sudo pardus-domain-joiner-cli status

Vérifiez ensuite si le client peut se connecter en tant qu'utilisateur de test via le service d'identité configuré. Utilisez le format de connexion exact approuvé par votre équipe informatique :

id alice@corp.example.com

Si le compte est résolu, le résultat doit inclure l'identifiant numérique de l'utilisateur et les informations de groupe. Dans le cas contraire, vérifiez si l'utilisateur est autorisé à se connecter à ce client, si l'organisation exige un format de nom d'utilisateur particulier et si le service SSSD ou Winbind sélectionné est actif. Effectuez un test de connexion interactive avec un compte de test approuvé avant de confier la machine à un utilisateur.

L'intégration au domaine établit l'appartenance à celui-ci et active la recherche d'identité via le service configuré. Elle ne garantit pas que tous les paramètres de stratégie de groupe Windows, profils itinérants, règles sudo, partages réseau, imprimantes ou stratégies de déploiement logiciel se comporteront de la même manière sous Linux. Configurez et validez ces fonctionnalités séparément, conformément à l'approche de gestion Linux de votre organisation.

Pannes courantes et points à vérifier

Pour le dépannage, utilisez les commandes de l'outil de jonction infoavant statusde modifier les fichiers de configuration Kerberos, SSSD ou Samba. L' realmdinterface en ligne de commande de bas niveau propose également des commandes de découverte, de jonction, de départ, de liste et de gestion des permissions de connexion sur les systèmes utilisant realmd. Toutefois, n'utilisez pas Pardus Domain Joiner pour modifier manuellement realmd, sans comprendre quels fichiers de configuration ce dernier gère.

Références

• Liste des applications Pardus Domain Joiner
• Documentation relative au dépôt et à l'utilisation de l'interface de ligne de commande Pardus Domain Joiner
• Suivi des paquets Pardus pour le paquet CLI
• Microsoft Learn : Services de domaine DNS et Active Directory
• Microsoft Learn : Vérifier les enregistrements DNS SRV Active Directory
• Page de manuel Debian pour les commandes realmd et realm