SLES 15 Active Directory-integratie met SSSD: een stapsgewijze handleiding

Voor een typische SUSE Linux Enterprise Server 15-host die domeingebruikers moet kunnen inloggen, beschrijft SUSE YaST User Logon Management met SSSD als de beste oplossing in de meeste Active Directory-omgevingen. SSSD biedt het Linux-identiteits- en PAM-authenticatiepad, terwijl Active Directory de bron blijft voor accounts en Kerberos-authenticatie. Winbind is een betere keuze wanneer uw ontwerp afhankelijk is van NTLM of ondersteuning voor vertrouwensrelaties tussen forests. Als u de voorkeur geeft aan automatisering, beschrijft SUSE ook het toevoegen van domeinen met realmd; dit is een tool voor domeindetectie en -lidmaatschap, dus controleer welke clientsoftware en toegangsbeleid uw systeem zal configureren voordat u het op grote schaal gebruikt.

Deze stappenplan volgt de SLES 15 SP7 Security and Hardening Guide, gecontroleerd op 6 oktober 2026. SUSE-servicepacks kunnen verschillen en de onderstaande instructies zijn gebaseerd op de documentatie, niet op de garantie dat de commando's op uw domein zijn uitgevoerd. Vervang de voorbeelddomein- en hostnamen door waarden uit uw omgeving. Test eerst op een niet-kritieke SLES-machine en zorg dat er een lokaal beheerdersaccount beschikbaar is voor het geval de domeinverificatie verkeerd is geconfigureerd.

Kies de integratiemethode die het beste bij de taak past.

SUSE beschrijft de SSSD-ondersteunde YaST-optie als geschikt voor de meeste AD-koppelingen en noemt Winbind voor gevallen die NTLM of vertrouwensrelaties tussen forests vereisen. Dit zijn praktische uitgangspunten, geen vervanging voor het testen van toepassingsspecifieke behoeften zoals Samba-bestandsservering, sudo-regels, SSH-sleutelopzoeking of conflicten tussen domeinnamen. Voor een standaard Linux-aanmeldingsomgeving kunt u het beste beginnen met SSSD, tenzij een gedocumenteerde vereiste anders aangeeft.

Wat u moet voorbereiden voordat u SLES koppelt aan Active Directory

• Een stabiele hostnaam: Kies de gewenste volledig gekwalificeerde hostnaam en zorg ervoor dat deze consistent wordt opgelost in uw netwerk en in Active Directory. Stem eventuele naamgevingsconventies voor computeraccounts af met het directoryteam.
• Werkende AD-compatibele DNS: De SLES-client moet een DNS-server raadplegen die de AD-zone en de bijbehorende servicerecords (SRV-records) kan oplossen. Het gebruik van een openbare resolver alleen zorgt er vaak voor dat de domeindetectie mislukt.
• Gesynchroniseerde tijd: Kerberos is afhankelijk van nauwkeurig gesynchroniseerde klokken tussen de client en de domeincontrollers. Controleer de NTP-synchronisatie voordat u problemen met wachtwoorden of SSSD oplost.
• Netwerktoegang tot domeincontrollers: Controleer of de firewall en routering de protocollen en poorten toestaan ​​die vereist zijn voor het Active Directory-ontwerp van uw organisatie, inclusief DNS, Kerberos, LDAP en eventueel vereist verkeer voor de globale catalogus of wachtwoordwijzigingen. Open niet alle poorten zonder meer; laat de AD-/netwerkbeheerder de goedgekeurde regels verstrekken.
• Een geautoriseerde inschrijvingsidentiteit: Gebruik een account waarmee u computerobjecten kunt toevoegen of hergebruiken binnen de juiste organisatie-eenheid. Vermijd routinematig gebruik van een account met zeer hoge privileges wanneer er gedelegeerde deelnamerechten beschikbaar zijn.
• Hersteltoegang: Zorg voor een geteste lokale beheerdersaanmelding en een manier om toegang te krijgen tot de console. Maak het domein niet de enige toegangsweg tot een server voordat u het nieuwe aanmeldingspad hebt gevalideerd.

SUSE benadrukt specifiek het belang van AD-bereikbare DNS en accurate tijd voor Kerberos. In de handleiding wordt opgemerkt dat een domein dat eindigt op .NET .localin sommige scenario's voor het toevoegen van een domein aan een domein kan conflicteren met multicast DNS. Als uw Active Directory dit achtervoegsel gebruikt, controleer dan de gevolgen voor uw SLES-release en netwerkconfiguratie met de directorybeheerder voordat u de naamgeving of resolverinstellingen wijzigt.

hostnamectl --static
hostname -f
timedatectl status
getent hosts ad01.corp.example.com
host -t SRV _ldap._tcp.dc._msdcs.corp.example.com

Voor deze hostopdracht is mogelijk het DNS-hulpprogrammapakket nodig bij een minimale installatie. Deze controles bewijzen niet dat elk vereist firewallpad open staat; ze helpen bij het opsporen van veelvoorkomende problemen met naamresolutie en klokken vóór de registratie.

Word lid van het domein met behulp van YaST en SSSD.

1. Stel de resolver in. Open YaST en kies Netwerkinstellingen , vervolgens Hostnaam/DNS . Configureer de AD DNS-server of een interne resolver die de AD-zone correct doorstuurt. Sla de wijzigingen op en controleer of de host de domeincontroller en de AD-servicerecords kan oplossen.
2. Open Gebruikersaanmeldingsbeheer. Start vanuit het hoofdvenster van YaST Gebruikersaanmeldingsbeheer en selecteer Instellingen wijzigen . Dit is de op SSSD gebaseerde authenticatiemodule in de SLES 15 SP7-handleiding; deze verschilt van de module voor Windows-domeinlidmaatschap , die Winbind gebruikt.
3. Voeg het AD-domein toe. Kies 'Domein toevoegen' , voer de DNS-domeinnaam in, bijvoorbeeld corp.example.com, en selecteer Microsoft Active Directory voor zowel identiteitsgegevens als authenticatie. Zorg ervoor dat het domein is ingeschakeld. Als automatische DNS-detectie niet geschikt is voor uw netwerk, geef dan de goedgekeurde hostnamen van de domeincontroller op zoals beschreven in de handleiding.
4. Controleer de machinenaam en het detectieresultaat. Vergelijk de lokale hostnaam met de beoogde computernaam in Active Directory. Corrigeer eventuele verschillen vóór de inschrijving. YaST zou een AD-server moeten detecteren en melden dat de client nog niet is ingeschreven. Als de detectie mislukt, ga dan terug naar DNS-, tijd-, routerings- en firewallcontroles in plaats van willekeurige authenticatieproviders te proberen.
5. Meld u aan met een geautoriseerd account. Voer de AD-gegevens in waarmee u verbinding kunt maken met de machine. YaST kan tijdens dit proces ontbrekende software installeren. Het dialoogvenster biedt mogelijk een optie om de Samba-configuratie te overschrijven; schakel deze optie alleen in als deze wijziging bedoeld is voor uw Samba/AD-configuratie en behoud eerst de bestaande configuratie als de Samba-services al in gebruik zijn.
6. Schakel het gewenste aanmeldgedrag in. Schakel in 'Aanmelden van domeingebruikers beheren' de aanmelding van domeingebruikers pas in nadat u hebt bepaald welke accounts toegang moeten hebben. Configureer het aanmaken van lokale thuismapmappen als gebruikers deze nodig hebben. SUSE documenteert de fallback_homediropties override_homediren toont /home/%uals een mogelijk formaat. Ontwerp in een omgeving met meerdere domeinen een uniek pad en raadpleeg de SSSD-handleiding voordat u alleen op een korte gebruikersnaam vertrouwt.
7. Sla de instellingen op, controleer ze en test ze met een gebruiker zonder beheerdersrechten. Pas de instellingen toe, controleer of het domein en de gekozen opties correct zijn en test vervolgens een normaal domeinaccount in de console of via de aanmeldservice die u wilt gebruiken. Test niet alleen met het account waarmee de machine is gekoppeld.

Hoe controleer je of de SSSD-verbinding tot stand is gekomen?

Controleer of SSSD actief is, of NSS een bekende domeinidentiteit kan oplossen en of een daadwerkelijke aanmelding lukt. Nadat de testgebruiker is ingelogd, controleert u of er een Kerberos-ticket aanwezig is. SUSE vermeldt klisten getent passwdals een van de verbindingscontroles.

systemctl status sssd
getent passwd 'alex@corp.example.com'
id 'alex@corp.example.com'
klist

De exacte identificatiereeks is afhankelijk van de SSSD-naamgevingsinstellingen; sommige omgevingen gebruiken DOMAIN\usereen andere naam dan een UPN-stijl. Als getenter geen resultaat wordt geretourneerd, controleer dan of u de geconfigureerde naamindeling en het domein gebruikt en raadpleeg vervolgens de servicelogboeken.

sudo journalctl -u sssd --since "15 minutes ago"

Een succesvolle lookup bewijst op zich niet dat de gebruiker kan inloggen, en een bestaand Kerberos-ticket bewijst niet dat elke applicatie de beoogde PAM-stack gebruikt. Test een nieuwe sessie, een wachtwoordwijziging indien nodig, autorisatie op basis van groepen en het relevante SSH- of desktop-inlogpad. Controleer of de toegang beperkt is tot de personen die u toegang wilde geven.

SSSD of Winbind: welke afweging is het belangrijkst?

Voor de meeste SLES-clients die AD-identiteiten en interactieve aanmeldingen nodig hebben, is SSSD de meest voor de hand liggende keuze, zoals aanbevolen in de SUSE-richtlijnen voor gebruikersaanmeldingsbeheer. Het integreert identiteitsopzoeking en PAM-authenticatie en kan informatie cachen voor redundantie wanneer de directory tijdelijk niet bereikbaar is. Toegang via de cache heeft echter beperkingen: een eerste aanmelding kan niet vertrouwen op een gecachede referentie, en voor toegang tot directory-gebaseerde resources of wachtwoordwijzigingen is nog steeds een bereikbare domeincontroller nodig. Stel uw offline-aanmeldingsbeleid vast en test dit, in plaats van caching te beschouwen als een volledige oplossing voor een AD-uitval.

Kies Winbind wanneer een vereiste specifiek afhankelijk is van de domeinintegratie van Samba, NTLM of vertrouwensrelaties tussen forests. Het is niet zomaar een alternatief voor SSSD: elk pad gebruikt verschillende daemons en NSS/PAM-componenten. Documenteer welke service verantwoordelijk is voor domeinopzoekingen en aanmeldingen, en vermijd het combineren van oude handmatige PAM/NSS-aanpassingen met door YaST beheerde instellingen.

Gebruik dit realmdwanneer een herhaalbare shell-workflow belangrijk is. De SUSE SLES 15 SP7 Storage Administration Guide beschrijft realm discover --verboseDNS-gebaseerde detectie, realm join --verboseinschrijving en realm permitinlogrechten. Controleer welke clientsoftware is geselecteerd en welke SSSD-configuratie is toegepast op uw release. Vermijd brede "iedereen toegang geven" in een productieomgeving, tenzij dit expliciet in het beleid is opgenomen.

Veelvoorkomende fouten en de volgende controle

• Domeindetectie levert geen resultaten op: controleer de DNS-server van de client en het AD SRV-record en bevestig vervolgens dat de host de vermelde domeincontrollers kan bereiken.
• Kerberos-fouten ondanks een correct wachtwoord: controleer de systeemtijdsynchronisatie, de DNS-naam die voor de domeincontroller wordt gebruikt en of het computeraccount is ingeschakeld en correct is benoemd.
• De gebruiker kan wel inloggen, maar het probleem blijft bestaan: controleer of domeinlogin is ingeschakeld in YaST, controleer de toegangsbeperkingen en de accountstatus in Active Directory en bekijk de SSSD/PAM-logboeken.
• De aanmelding werkt, maar de thuismap ontbreekt: controleer of het aanmaken van de thuismap is ingeschakeld en of het geconfigureerde pad geldig en uniek is voor de gebruiker.
• Een koppeling mislukt na eerdere experimenten: controleer op verouderde computerobjecten, dubbele hostnamen, achtergebleven Winbind- of handmatige NSS/PAM-configuratie en niet-overeenkomende machinewachtwoorden. Overleg met de AD-beheerder over het opschonen voordat u een computerobject verwijdert of lokale SSSD-gegevens wist.

Wanneer moet je stoppen en een andere aanpak kiezen?

Pauzeer de uitrol als uw omgeving afhankelijk is van vertrouwensrelaties tussen forests, NTLM, een Samba-serverrol, meerdere forests met overlappende korte gebruikersnamen of complexe toegangsregels die niet in de basisinstellingen van YaST zijn opgenomen. Deze omstandigheden kunnen de voorkeursprovider wijzigen of aanvullende SSSD-configuratie vereisen. Test ze met representatieve accounts en echte services in een testomgeving en behoud de herstellogin totdat het beleid is gevalideerd.

Kortom: voor een standaard SLES 15 SP7-werkstation of -server die Active Directory-identiteiten en -aanmeldingen nodig heeft, begin je met het YaST-pad voor gebruikersaanmeldingsbeheer, ondersteund door SSSD. Zorg eerst dat DNS, tijd, hostnaamgeving en lidmaatschapsrechten correct zijn ingesteld; controleer vervolgens naamopzoeking, Kerberos, PAM-aanmelding en toegangsbereik. Selecteer Winbind voor de specifieke Samba-, NTLM- of cross-forest-vereisten die SUSE aangeeft, en gebruik het realmdwanneer de opdrachtregelworkflow beter aansluit op je operationele processen.

Bronnen: SUSE SLES 15 SP7 Security and Hardening Guide: Active Directory support ; SUSE SLES 15 SP7 Storage Administration Guide: realmd ; SUSE SLES 15 SP7: authentication clients and SSSD ; SUSE SLES 15 SP7 Release Notes .