Como integrar um cliente Pardus Linux a um domínio do Active Directory

Utilize a CLI do Pardus Domain Joiner, após confirmar se o DNS e a hora estão corretos.

Para um cliente Pardus Linux, o caminho direto é o Pardus Domain Joiner, a ferramenta oficial do Pardus para inscrição de domínios. O rastreador de pacotes do Pardus lista atualmente o pacote de linha de comando pardus-domain-joiner-cli, versão 1.1.2. Seu comando de junção documentado suporta SSSD ou Winbind. Este guia usa SSSD em seu exemplo; escolha o serviço que sua organização suporta.

A adesão só funcionará se o cliente conseguir descobrir um controlador de domínio do Active Directory por meio do DNS, acessar os serviços de domínio necessários e autenticar-se com uma conta que tenha permissão para criar ou reutilizar uma conta de computador. Uma ferramenta não pode compensar um cliente que usa DNS público e não consegue resolver o domínio do AD, um relógio dessincronizado ou uma conta de adesão sem os direitos necessários.

Exemplos de valores usados ​​abaixo: o domínio DNS do AD é corp.example.com, a conta de ingresso autorizada é joinadmine o nome do cliente é pdws-042. Substitua-os pelo seu domínio real e conta aprovada. Não digite sua senha como argumento de linha de comando; a CLI do Pardus solicitará a senha caso ela seja omitida.

Antes de começar: verifique o cliente e o ambiente do Active Directory.

Utilize uma conta de administrador local com privilégios elevados no Pardus. Consulte o administrador do Active Directory para obter o nome de domínio DNS totalmente qualificado, as unidades organizacionais (UOs) necessárias, se deve usar o SSSD ou o Winbind, a conta de ingresso permitida e o formato de nome de login exigido. A inclusão de um computador em um domínio cria ou atualiza uma conta de computador no Active Directory; isso não concede automaticamente a todos os usuários do domínio permissão para fazer login localmente.

• DNS: Configure o cliente para usar um resolvedor DNS que possa responder às solicitações da zona do Active Directory e seus registros de serviço. Geralmente, trata-se do serviço DNS do controlador de domínio, mas um resolvedor interno configurado corretamente também pode funcionar. Um resolvedor somente público normalmente não conseguirá localizar um controlador de domínio do Active Directory privado.
• Relógio: Certifique-se de que a data e a hora do sistema estejam sincronizadas com a fonte de tempo da organização. A autenticação Kerberos é sensível ao tempo.
• Nome do host: Atribua um nome de host exclusivo ao cliente antes de conectá-lo. Por exemplo, pdws-042. Confirme se esse nome não entra em conflito com outra conta de computador ativa.
• Rede: Verifique se a máquina Pardus consegue acessar os controladores de domínio e os serviços permitidos pela sua política de rede. Firewalls e rotas VPN podem afetar a descoberta e o registro.

O Active Directory usa o DNS para ajudar os clientes a localizar controladores de domínio. As diretrizes da Microsoft identificam os registros LDAP e SRV do Kerberos como registros de descoberta importantes. Se a descoberta falhar, verifique o servidor DNS configurado no cliente e os registros do AD antes de alterar o comando de ingresso.

Instale e utilize a ferramenta de domínio Pardus.

Atualize os metadados do APT, verifique se o pacote está disponível para a sua versão do Pardus e instale-o a partir do repositório Pardus configurado:

sudo apt update
apt policy pardus-domain-joiner-cli
sudo apt install pardus-domain-joiner-cli

O rastreador de pacotes lista esta CLI no repositório do Pardus 25, mas a disponibilidade pode variar de acordo com a edição ou configuração do repositório. Se o APT não mostrar nenhum candidato, não baixe um pacote aleatório de um site de terceiros. Verifique o repositório oficial do Pardus ou use o Pardus Domain Joiner gráfico, se disponível para sua instalação. O Pardus descreve esse aplicativo GTK como uma ferramenta para adicionar ou remover um sistema de um domínio; suas telas exatas podem variar de acordo com a versão.

Defina o nome do host local desejado, caso precise ser alterado. Substitua o nome de exemplo pelo nome aprovado para sua rede:

sudo hostnamectl set-hostname pdws-042
hostnamectl status

Em seguida, peça à ferramenta Pardus para descobrir o domínio antes de se conectar:

sudo pardus-domain-joiner-cli info corp.example.com

O comando deve retornar informações de descoberta para o domínio solicitado. Se não conseguir encontrar o domínio ou controlador de domínio, pare e verifique o DNS, a acessibilidade da rede, o estado da VPN e o nome de domínio DNS exato. Não substitua o nome NetBIOS curto pelo nome de domínio DNS, a menos que sua organização exija isso especificamente.

Integre o cliente ao Active Directory.

Para o ambiente de exemplo, o comando é:

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin

Quando solicitado, insira a senha para joinadmin. O arquivo README da CLI do Pardus documenta sssde winbindcomo as opções de serviço e informa que solicitará a senha de forma segura caso ela não seja fornecida. Mantenha a senha fora do histórico do shell e de scripts compartilhados. Use uma conta delegada com apenas os direitos necessários para ingressar em computadores, e não uma credencial permanente de Administrador de Domínio.

Se sua equipe de TI tiver fornecido um nome distinto (DN) da Unidade Organizacional (UO), a CLI também documenta um --ouargumento opcional. Por exemplo:

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin --ou "OU=Linux,OU=Workstations,DC=corp,DC=example,DC=com"

Utilize o DN da Unidade Organizacional (OU) exatamente como fornecido pelo administrador do diretório. Se nenhuma OU for necessária, omita a opção. O comando também documenta uma --hostnameopção; utilize-a somente quando precisar definir o nome do computador no Active Directory separadamente e tiver confirmado o comportamento esperado para a sua versão do pacote.

Um comando bem-sucedido deve ser concluído sem erros de inscrição. Caso falhe, registre o texto completo do erro e corrija a causa subjacente antes de tentar novamente. Tentativas repetidas com um resolvedor DNS incorreto, uma senha expirada ou uma conta não autorizada provavelmente não ajudarão e podem deixar um objeto de computador obsoleto que o administrador do Active Directory precisará revisar.

Confirme a inscrição e teste o login do domínio.

Verifique o status do participante após a conclusão do comando:

sudo pardus-domain-joiner-cli status

Em seguida, verifique se o cliente consegue resolver um usuário de teste por meio do serviço de identidade configurado. Use o formato de login exato aprovado pela sua equipe de TI:

id alice@corp.example.com

Se a conta for resolvida, a saída deverá incluir a identificação numérica do usuário e as informações do grupo. Caso contrário, verifique se o usuário tem permissão para fazer login neste cliente, se a organização exige um formato específico de nome de usuário e se o serviço SSSD ou Winbind selecionado está ativo. Teste um login interativo com uma conta de teste aprovada antes de entregar o computador a um usuário.

A entrada no domínio estabelece a associação ao domínio e permite a consulta de identidades por meio do serviço configurado. Isso não garante que todas as configurações de Política de Grupo do Windows, perfis móveis, regras sudo, compartilhamentos de rede, impressoras ou políticas de implantação de software se comportarão da mesma maneira no Linux. Configure e valide esses recursos separadamente, de acordo com a abordagem de gerenciamento de Linux da sua organização.

Falhas comuns e o que verificar

infoPara solucionar problemas, use os comandos do joiner statusantes de editar os arquivos de configuração do Kerberos, SSSD ou Samba. A realmdinterface de linha de comando de nível inferior também fornece comandos de descoberta, ingresso, saída, listagem e permissões de login em sistemas que usam o realmd, mas não misture alterações manuais no realmd com o Pardus Domain Joiner sem entender quais arquivos de configuração a ferramenta Pardus gerencia.

Referências

• Lista de aplicativos Pardus Domain Joiner
• Repositório e documentação de uso da CLI do Pardus Domain Joiner
• Rastreador de pacotes Pardus para o pacote CLI.
• Microsoft Learn: DNS e Serviços de Domínio do Active Directory
• Microsoft Learn: Verificar registros DNS SRV do Active Directory
• Página de manual do Debian para os comandos realmd e realm