Cum să asociezi un client Pardus Linux la un domeniu Active Directory

Folosește Pardus Domain Joiner CLI, după ce confirmi că DNS-ul și ora sunt corecte

Pentru un client Pardus Linux, ruta directă este Pardus Domain Joiner, instrumentul oficial Pardus pentru înscrierea domeniilor. Instrumentul actual de urmărire a pachetelor Pardus listează pachetul din linia de comandă pardus-domain-joiner-cli, versiunea 1.1.2. Comanda sa documentată de join acceptă fie SSSD, fie Winbind. Acest ghid folosește SSSD în exemplul său; alegeți serviciul acceptat de organizația dvs.

Alăturarea va funcționa numai dacă clientul poate descoperi un controler de domeniu Active Directory prin DNS, poate accesa serviciile de domeniu necesare și se poate autentifica cu un cont căruia i se permite să creeze sau să reutilizeze un cont de computer. Un instrument nu poate compensa utilizarea unui DNS public de către un client care nu poate rezolva domeniul AD, un ceas nesincronizat sau un cont de alăturare fără drepturile necesare.

Exemple de valori utilizate mai jos: domeniul DNS AD este corp.example.com, contul de alăturare autorizat este joinadmin, iar numele clientului este pdws-042. Înlocuiți-le cu domeniul dvs. real și contul aprobat. Nu introduceți parola ca argument în linia de comandă; interfața CLI Pardus o solicită atunci când este omisă.

Înainte de a începe: verificați clientul și mediul AD

Folosește un cont de administrator local cu privilegii pe Pardus. Cere administratorului AD numele de domeniu DNS complet calificat, orice unitate organizațională (OU) necesară, dacă se utilizează SSSD sau Winbind, contul de alăturare permis și formatul necesar pentru numele de utilizator. Asocierea unui computer la un domeniu creează sau actualizează un cont de computer în Active Directory; nu acordă automat fiecărui utilizator de domeniu permisiunea de a se conecta local.

• DNS: Configurați clientul să utilizeze un resolver DNS care poate răspunde pentru zona AD și înregistrările sale de servicii. Adesea, este vorba de serviciul DNS al controlerului de domeniu, dar poate funcționa și un resolver intern configurat corect. Un resolver public nu va reuși, de obicei, să localizeze un controler de domeniu AD privat.
• Ceas: Asigurați-vă că data și ora sistemului sunt sincronizate cu sursa de timp a organizației. Autentificarea Kerberos este sensibilă la timp.
• Nume gazdă: Dați clientului un nume de gazdă unic înainte de a se conecta. De exemplu, pdws-042. Confirmați că acest nume nu intră în coliziune cu un alt cont de computer activ.
• Rețea: Verificați dacă mașina Pardus poate accesa controlerele de domeniu și serviciile permise de politica de rețea. Firewall-urile și rutele VPN pot afecta descoperirea și înscrierea.

Active Directory utilizează DNS pentru a ajuta clienții să localizeze controlerele de domeniu. Instrucțiunile Microsoft identifică înregistrările SRV LDAP și Kerberos ca înregistrări importante de descoperire. Dacă descoperirea eșuează, verificați serverul DNS configurat al clientului și înregistrările AD înainte de a modifica comanda de asociere.

Instalați și utilizați instrumentul de domeniu Pardus

Reîmprospătați metadatele APT, verificați dacă pachetul este disponibil pentru versiunea dvs. de Pardus și instalați-l din depozitul Pardus configurat:

sudo apt update
apt policy pardus-domain-joiner-cli
sudo apt install pardus-domain-joiner-cli

Urmăritorul de pachete listează această interfață CLI în depozitul Pardus 25, dar disponibilitatea poate varia în funcție de ediție sau configurația depozitului. Dacă APT nu prezintă niciun candidat, nu descărcați un pachet aleatoriu de pe un site terț. Verificați depozitul oficial Pardus sau utilizați instrumentul grafic Pardus Domain Joiner dacă este disponibil pentru instalarea dvs. Pardus descrie această aplicație GTK ca un instrument pentru alăturarea sau eliminarea unui sistem dintr-un domeniu; ecranele sale exacte pot diferi în funcție de versiune.

Setați numele de gazdă locală dorit dacă este nevoie să se schimbe. Înlocuiți numele exemplu cu cel aprobat pentru rețeaua dvs.:

sudo hostnamectl set-hostname pdws-042
hostnamectl status

Apoi, cereți instrumentului Pardus să descopere domeniul înainte de a vă alătura:

sudo pardus-domain-joiner-cli info corp.example.com

Comanda ar trebui să returneze informații de descoperire pentru domeniul solicitat. Dacă nu poate găsi realmul sau controlerul de domeniu, opriți-o și verificați DNS-ul, accesibilitatea rețelei, starea VPN și numele exact al domeniului DNS. Nu înlocuiți domeniul DNS cu numele NetBIOS scurt, decât dacă organizația dvs. o solicită în mod specific.

Adăugați clientul la Active Directory

Pentru mediul exemplu, comanda este:

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin

Când vi se solicită, introduceți parola pentru joinadmin. Documentele Pardus CLI README sssdși winbindopțiunile serviciului spun că va solicita parola în siguranță atunci când nu este furnizată o parolă. Nu introduceți parola în istoricul shell-ului și în scripturile partajate. Utilizați un cont delegat doar cu drepturile necesare pentru a vă conecta la computere, nu cu o acreditare permanentă de administrator de domeniu.

Dacă echipa IT a furnizat un nume distinctiv (DN) OU, CLI documentează și un --ouargument opțional. De exemplu:

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin --ou "OU=Linux,OU=Workstations,DC=corp,DC=example,DC=com"

Folosiți DN-ul OU exact așa cum este furnizat de administratorul directorului. Dacă nu este necesar un OU, omiteți opțiunea. Comanda documentează și o --hostnameopțiune; utilizați-o numai atunci când trebuie să setați separat numele computerului AD și ați confirmat comportamentul așteptat pentru versiunea pachetului dvs.

O comandă executată cu succes ar trebui să se finalizeze fără o eroare de înscriere. Dacă eșuează, înregistrați textul complet al erorii și corectați cauza principală înainte de a reîncerca. Încercările repetate cu un resolver DNS incorect, o parolă expirată sau un cont neautorizat sunt puțin probabil să ajute și pot lăsa un obiect computer învechit pe care administratorul AD trebuie să îl examineze.

Confirmați înscrierea și testați o autentificare de domeniu

Verificați starea joinerului după finalizarea comenzii:

sudo pardus-domain-joiner-cli status

Apoi verificați dacă clientul poate identifica un utilizator de test prin serviciul de identitate configurat. Folosiți formatul de conectare exact aprobat de echipa IT:

id alice@corp.example.com

Dacă problema contului se rezolvă, rezultatul ar trebui să includă identitatea numerică a utilizatorului și informațiile despre grup. Dacă nu, verificați dacă utilizatorului i se permite să se conecteze la acest client, dacă organizația necesită un anumit format de nume de utilizator și dacă serviciul SSSD sau Winbind selectat este activ. Testați o conectare interactivă cu un cont de testare aprobat înainte de a înmâna mașina unui utilizator.

Alăturarea la domeniu stabilește apartenența la domeniu și permite căutările de identități prin serviciul configurat. Nu garantează că fiecare setare a Politicii de grup Windows, profil roaming, regulă sudo, partajare de rețea, imprimantă sau politică de implementare a software-ului se va comporta la fel pe Linux. Configurați și validați aceste capabilități separat cu abordarea de gestionare Linux a organizației dvs.

Defecțiuni frecvente și ce trebuie verificat

Pentru depanare, utilizați comenzile `joiner` infoși status`nainte de a edita fișierele de configurare Kerberos, SSSD sau Samba. Interfața liniei de comandă de nivel inferior realmdoferă, de asemenea, comenzi discovery, join, leave, list și login-permission pe sistemele care utilizează realmd, dar nu combinați modificările manuale realmd cu Pardus Domain Joiner fără a înțelege ce fișiere de configurare gestionează instrumentul Pardus.

Referințe

• Listarea aplicației Pardus Domain Joiner
• Documentația de utilizare și depozitul CLI Pardus Domain Joiner
• Urmăritor de pachete Pardus pentru pachetul CLI
• Microsoft Learn: DNS și Servicii de domeniu Active Directory
• Microsoft Learn: Verificarea înregistrărilor DNS SRV din Active Directory
• Pagina de manual Debian pentru comenzile realmd și realm