Интеграция Active Directory с SSSD в SLES 15: пошаговое руководство

Для типичного хоста SUSE Linux Enterprise Server 15, которому требуется вход в систему для пользователей домена, SUSE описывает YaST User Logon Management с SSSD как наилучшее решение для большинства сред Active Directory. SSSD обеспечивает путь идентификации Linux и аутентификации PAM, в то время как Active Directory остается источником учетных записей и аутентификации Kerberos. Winbind лучше подходит, если ваша архитектура зависит от поддержки NTLM или междоменного доверия. Если вы предпочитаете автоматизацию, SUSE также описывает присоединение с помощью realmd; это инструмент обнаружения доменов и управления членством, поэтому перед масштабным использованием убедитесь, какое клиентское программное обеспечение и политику доступа будет настроены в вашей системе.

Данное пошаговое руководство соответствует руководству по безопасности и усилению защиты SLES 15 SP7, проверенному 6 октября 2026 года. Пакеты обновлений SUSE могут отличаться, и приведенные ниже инструкции представляют собой процедуру, основанную на документации, а не утверждение о том, что команды были выполнены в вашем домене. Замените примеры имен домена и хоста значениями из вашей среды. Сначала протестируйте на некритичной машине SLES и держите под рукой локальную учетную запись администратора на случай, если аутентификация домена настроена неправильно.

Выберите метод интеграции, подходящий для данной задачи.

Компания SUSE описывает вариант YaST с поддержкой SSSD как подходящий для большинства подключений к Active Directory и указывает Winbind для случаев, требующих NTLM или междоменных доверительных отношений. Это практические отправные точки, а не замена тестированию специфических потребностей приложений, таких как файловый сервер Samba, правила sudo, поиск ключей SSH или конфликты имен в нескольких доменах. Для обычной системы авторизации Linux начните с SSSD, если только документально не указано иное.

Что нужно подготовить перед подключением SLES к Active Directory?

• Стабильное имя хоста: выберите желаемое полное имя хоста и убедитесь, что оно корректно разрешается в вашей сети и в Active Directory. Согласуйте любые правила именования учетных записей компьютеров с командой, отвечающей за каталоги.
• Работа DNS с поддержкой Active Directory: клиент SLES должен обращаться к DNS-серверу, который может разрешить зону Active Directory и ее служебные записи (SRV). Использование только общедоступного резолвера обычно нарушает обнаружение домена.
• Синхронизированное время: Kerberos зависит от того, насколько точно совпадают часы клиента и контроллера домена. Перед устранением неполадок с паролями или SSSD подтвердите синхронизацию NTP.
• Доступ к контроллерам домена через сеть: Убедитесь, что брандмауэр и маршрутизация разрешают протоколы и порты, необходимые для архитектуры Active Directory вашей организации, включая DNS, Kerberos, LDAP и любой необходимый трафик глобального каталога или трафик смены паролей. Не открывайте все порты без ограничений; попросите администратора Active Directory/сети предоставить утвержденные правила.
• Авторизованная учетная запись для регистрации: используйте учетную запись, которой разрешено добавлять или повторно использовать компьютерные объекты в соответствующем организационном подразделении. Избегайте регулярного использования учетной записи с высокими привилегиями, если доступны делегированные права на присоединение.
• Доступ для восстановления: Сохраните проверенный локальный логин администратора и способ доступа к консоли. Не используйте домен в качестве единственного пути восстановления доступа к серверу, пока не проверите новый путь входа.

Компания SUSE особо подчеркивает необходимость доступности DNS-серверов в Active Directory и точного времени для Kerberos. В руководстве отмечается, что домен, заканчивающийся на этот .localсуффикс, может конфликтовать с многоадресным DNS в некоторых сценариях присоединения. Если ваша Active Directory использует этот суффикс, перед изменением параметров именования или разрешения имен проконсультируйтесь с администратором каталога, чтобы уточнить последствия для вашей версии SLES и конфигурации сети.

hostnamectl --static
hostname -f
timedatectl status
getent hosts ad01.corp.example.com
host -t SRV _ldap._tcp.dc._msdcs.corp.example.com

Для выполнения этой hostкоманды в минимальной установке может потребоваться пакет утилит DNS. Эти проверки не доказывают, что все необходимые пути брандмауэра открыты; они помогают выявить распространенные проблемы с разрешением имен и временем до регистрации.

Подключитесь к домену с помощью YaST и SSSD.

1. Настройте DNS-сервер. Откройте YaST и выберите «Сетевые настройки» , затем «Имя хоста/DNS» . Настройте DNS-сервер Active Directory или внутренний DNS-сервер, который корректно перенаправляет зону Active Directory. Сохраните изменения и подтвердите, что хост может разрешить записи контроллера домена и службы Active Directory.
2. Откройте «Управление входом пользователей». В главном окне YaST запустите «Управление входом пользователей» и выберите «Изменить параметры» . Это модуль аутентификации на основе SSSD из руководства SLES 15 SP7; он отличается от модуля членства в домене Windows , который использует Winbind.
3. Добавьте домен AD. Выберите «Добавить домен» , введите имя домена DNS, например corp.example.com, и выберите Microsoft Active Directory как для данных идентификации, так и для аутентификации. Убедитесь, что домен включен. Если автоматическое обнаружение DNS не подходит для вашей сети, укажите разрешенные имена хостов контроллеров домена, как описано в руководстве.
4. Проверьте имя компьютера и результат обнаружения. Сравните локальное имя хоста с предполагаемым именем компьютера в Active Directory. Исправьте любые несоответствия перед регистрацией. YaST должен обнаружить сервер Active Directory и сообщить, что клиент еще не зарегистрирован. Если обнаружение не удается, вернитесь к проверкам DNS, времени, маршрутизации и брандмауэра, а не пытайтесь использовать случайных поставщиков аутентификации.
5. Зарегистрируйтесь с помощью авторизованной учетной записи. Введите учетные данные Active Directory, которым разрешен доступ к машине. YaST может установить недостающее программное обеспечение в процессе регистрации. В диалоговом окне может быть предложена опция перезаписи конфигурации Samba; включайте ее только в том случае, если это изменение предназначено для вашей конфигурации Samba/AD, и сначала сохраните существующую конфигурацию, если службы Samba уже используются.
6. Включите желаемое поведение при входе в систему. В разделе «Управление входом пользователей домена» включайте вход пользователей домена только после определения того, каким учетным записям должен быть предоставлен доступ. Настройте создание локальных домашних каталогов, если они необходимы пользователям. В документации SUSE описаны параметры fallback_homedirи override_homedirуказан /home/%uвозможный формат. В многодоменной среде разработайте уникальный путь и ознакомьтесь с руководством SSSD, прежде чем полагаться только на короткое имя пользователя.
7. Сохраните, проверьте и протестируйте настройки с помощью пользователя без привилегий. Примените настройки, убедитесь в правильности домена и выбранных параметров, затем протестируйте обычную учетную запись домена в консоли или через службу авторизации, которую вы планируете использовать. Не тестируйте только с учетной записью, которая была подключена к компьютеру.

Как проверить подключение к SSSD?

Убедитесь, что SSSD активен, что NSS может разрешить известную идентификацию домена и что реальный вход в систему проходит успешно. После входа тестового пользователя проверьте наличие билета Kerberos. SUSE включает его в список klistпроверок getent passwdподключения.

systemctl status sssd
getent passwd 'alex@corp.example.com'
id 'alex@corp.example.com'
klist

Точная строка идентификатора зависит от настроек именования SSSD; в некоторых средах используется DOMAIN\userне имя в стиле UPN. Если getentне возвращается запись, убедитесь, что вы запрашиваете настроенный формат имени и домен, а затем просмотрите журналы службы:

sudo journalctl -u sssd --since "15 minutes ago"

Успешный поиск сам по себе не доказывает, что пользователь может войти в систему, а существующий билет Kerberos не доказывает, что каждое приложение использует предполагаемый стек PAM. Проверьте новую сессию, смену пароля (при необходимости), авторизацию на основе групп и соответствующий путь входа по SSH или через рабочий стол. Убедитесь, что доступ ограничен только теми пользователями, которым вы его разрешили.

SSSD или Winbind: какой компромисс важнее?

Для большинства клиентов SLES, которым необходимы учетные данные Active Directory и интерактивный вход в систему, SSSD — это простой и удобный вариант, поддерживаемый рекомендациями SUSE по управлению входом пользователей. Он интегрирует поиск учетных данных и аутентификацию PAM, а также может кэшировать информацию для обеспечения отказоустойчивости в случае временной недоступности каталога. Кэшированный доступ имеет ограничения: при первом входе в систему нельзя полагаться на кэшированные учетные данные, а для доступа к ресурсам, хранящимся в каталоге, или изменениям паролей по-прежнему необходим доступный контроллер домена. Разработайте и протестируйте политику автономного входа в систему, а не рассматривайте кэширование как решение для полного отключения Active Directory.

Выбирайте Winbind, если требование напрямую зависит от интеграции Samba с доменами, NTLM или междоменных доверительных отношений. Это не просто альтернативный флажок для SSSD: каждый путь использует разные демоны и компоненты NSS/PAM. Задокументируйте, какая служба отвечает за поиск доменов и вход в систему, и избегайте смешивания старых ручных правок PAM/NSS с настройками, управляемыми YaST.

Используйте, realmdкогда важен повторяемый рабочий процесс командной строки. В руководстве по администрированию хранилища SUSE SLES 15 SP7 описаны realm discover --verboseобнаружение на основе DNS, realm join --verboseрегистрация и realm permitправа доступа при входе в систему. Проверьте, какое клиентское программное обеспечение выбрано и какая конфигурация SSSD создана в вашем релизе. Избегайте широкого доступа «для всех» в производственной среде, если это не является явной политикой.

Типичные неисправности и следующая проверка

• Обнаружение домена не дает никаких результатов: проверьте DNS-сервер клиента и запись SRV в Active Directory, затем убедитесь, что хост может связаться с указанными контроллерами домена.
• Ошибки Kerberos, несмотря на правильный пароль: проверьте синхронизацию системного времени, DNS-имя, используемое для контроллера домена, и убедитесь, что учетная запись компьютера включена и имеет правильное имя.
• Пользователь успешно авторизуется, но не может войти в систему: убедитесь, что вход в домен включен в YaST, проверьте ограничения доступа и состояние учетной записи в Active Directory, а также просмотрите журналы SSSD/PAM.
• Вход в систему работает, но отсутствует домашний каталог: Убедитесь, что создание домашнего каталога включено и что настроенный путь является действительным и уникальным для пользователя.
• Если после предыдущих экспериментов подключение не удалось: проверьте наличие устаревших объектов компьютеров, повторяющихся имен хостов, остаточной конфигурации Winbind или NSS/PAM, а также несовпадающих паролей машин. Перед удалением объекта компьютера или очисткой локальных данных SSSD согласуйте очистку с администратором Active Directory.

Когда следует остановиться и выбрать другой подход?

Приостановите развертывание, если ваша среда зависит от межлесного доверия, NTLM, роли сервера Samba, нескольких лесов с пересекающимися короткими именами пользователей или сложных правил доступа, которые не отображаются в базовых настройках YaST. Эти условия могут изменить предпочтительного поставщика или потребовать дополнительной настройки SSSD. Протестируйте их с репрезентативными учетными записями и реальными службами в тестовой системе и сохраняйте возможность восстановления доступа до тех пор, пока политика не будет доказана.

В итоге: для стандартной рабочей станции или сервера SLES 15 SP7, требующего идентификации и входа в Active Directory, начните с пути управления входом пользователей YaST на базе SSSD. Сначала правильно настройте DNS, время, именование хостов и права доступа к сети; затем проверьте поиск имен, Kerberos, вход в PAM и область доступа. Выберите Winbind в зависимости от конкретных требований SUSE к Samba, NTLM или межсетевому интерфейсу и используйте его, realmdесли его интерфейс командной строки лучше подходит для вашего операционного процесса.

Источники: Руководство по безопасности и усилению защиты SUSE SLES 15 SP7: поддержка Active Directory ; Руководство по администрированию хранилища SUSE SLES 15 SP7: realmd ; SUSE SLES 15 SP7: клиенты аутентификации и SSSD ; Примечания к выпуску SUSE SLES 15 SP7 .