วิธีเชื่อมต่อไคลเอ็นต์ Pardus Linux เข้ากับโดเมน Active Directory

ใช้โปรแกรม Pardus Domain Joiner CLI หลังจากตรวจสอบแล้วว่า DNS และเวลาถูกต้อง

สำหรับไคลเอ็นต์ Pardus Linux เส้นทางตรงคือ Pardus Domain Joiner ซึ่งเป็นเครื่องมืออย่างเป็นทางการของ Pardus สำหรับการลงทะเบียนโดเมน ปัจจุบัน ตัวติดตามแพ็กเกจของ Pardus แสดงรายการแพ็กเกจบรรทัดคำสั่งpardus-domain-joiner-cliเวอร์ชัน 1.1.2 คำสั่ง join ที่ระบุไว้ในเอกสารรองรับทั้ง SSSD หรือ Winbind คู่มือนี้ใช้ SSSD ในตัวอย่าง เลือกบริการที่องค์กรของคุณรองรับ

การเข้าร่วมจะใช้งานได้ก็ต่อเมื่อไคลเอ็นต์สามารถค้นหาตัวควบคุมโดเมน Active Directory ผ่าน DNS เข้าถึงบริการโดเมนที่จำเป็น และยืนยันตัวตนด้วยบัญชีที่ได้รับอนุญาตให้สร้างหรือใช้บัญชีคอมพิวเตอร์ซ้ำได้ เครื่องมือไม่สามารถชดเชยกรณีที่ไคลเอ็นต์ใช้ DNS สาธารณะที่ไม่สามารถระบุโดเมน AD ได้ นาฬิกาที่ไม่ตรงกัน หรือบัญชีเข้าร่วมที่ไม่มีสิทธิ์ที่จำเป็นได้

ค่าตัวอย่างที่ใช้ด้านล่าง: โดเมน AD DNS คือcorp.example.com, บัญชีที่ได้รับอนุญาตให้เข้าร่วมคือjoinadmin, และชื่อไคลเอ็นต์คือpdws-042. แทนที่ค่าเหล่านี้ด้วยโดเมนและบัญชีที่ได้รับอนุมัติจริงของคุณ อย่าพิมพ์รหัสผ่านของคุณเป็นอาร์กิวเมนต์บรรทัดคำสั่ง เนื่องจาก Pardus CLI จะแจ้งให้ป้อนรหัสผ่านหากไม่ได้ระบุไว้

ก่อนเริ่มต้น: ตรวจสอบไคลเอ็นต์และสภาพแวดล้อม AD

ใช้บัญชีผู้ดูแลระบบท้องถิ่นที่มีสิทธิ์ระดับสูงบน Pardus สอบถามผู้ดูแลระบบ AD ของคุณเกี่ยวกับชื่อโดเมน DNS แบบเต็ม หน่วยองค์กร (OU) ที่จำเป็น ว่าจะใช้ SSSD หรือ Winbind บัญชีที่อนุญาตให้เข้าร่วม และรูปแบบชื่อผู้ใช้ที่ต้องการ การเข้าร่วมคอมพิวเตอร์กับโดเมนจะสร้างหรืออัปเดตบัญชีคอมพิวเตอร์ใน Active Directory เท่านั้น ไม่ได้หมายความว่าผู้ใช้โดเมนทุกคนจะมีสิทธิ์เข้าสู่ระบบในเครื่องโดยอัตโนมัติ

• DNS:กำหนดค่าไคลเอ็นต์ให้ใช้ตัวแก้ไข DNS ที่สามารถตอบสนองต่อโซน AD และระเบียนบริการได้ โดยปกติจะเป็นบริการ DNS ของตัวควบคุมโดเมน แต่ตัวแก้ไขภายในที่กำหนดค่าอย่างถูกต้องก็สามารถใช้งานได้เช่นกัน ตัวแก้ไขแบบสาธารณะเท่านั้นมักจะไม่สามารถค้นหาตัวควบคุมโดเมน AD ส่วนตัวได้
• นาฬิกา: ตรวจสอบให้แน่ใจว่าวันที่และเวลาของระบบตรงกับแหล่งเวลาขององค์กร การตรวจสอบสิทธิ์ Kerberos มีความไวต่อเวลา
• ชื่อโฮสต์:กำหนดชื่อโฮสต์ที่ไม่ซ้ำกันให้กับไคลเอนต์ก่อนเข้าร่วม ตัวอย่างเช่นpdws-042ตรวจสอบให้แน่ใจว่าชื่อนี้ไม่ซ้ำกับบัญชีคอมพิวเตอร์อื่นที่ใช้งานอยู่
• เครือข่าย:ตรวจสอบว่าเครื่อง Pardus สามารถเข้าถึงตัวควบคุมโดเมนและบริการที่ได้รับอนุญาตตามนโยบายเครือข่ายของคุณได้หรือไม่ ไฟร์วอลล์และเส้นทาง VPN อาจส่งผลต่อการค้นหาและการลงทะเบียน

Active Directory ใช้ DNS เพื่อช่วยให้ไคลเอ็นต์ค้นหาตัวควบคุมโดเมน คำแนะนำของ Microsoft ระบุว่าเรคอร์ด LDAP และ Kerberos SRV เป็นเรคอร์ดการค้นหาที่สำคัญ หากการค้นหาล้มเหลว ให้ตรวจสอบเซิร์ฟเวอร์ DNS ที่กำหนดค่าไว้ของไคลเอ็นต์และเรคอร์ด AD ก่อนที่จะเปลี่ยนคำสั่งเข้าร่วม

ติดตั้งและใช้งานเครื่องมือโดเมน Pardus

รีเฟรชข้อมูลเมตาของ APT ตรวจสอบว่าแพ็กเกจพร้อมใช้งานสำหรับ Pardus เวอร์ชันของคุณหรือไม่ และติดตั้งจากที่เก็บ Pardus ที่กำหนดค่าไว้:

sudo apt update
apt policy pardus-domain-joiner-cli
sudo apt install pardus-domain-joiner-cli

ตัวติดตามแพ็กเกจระบุว่า CLI นี้อยู่ในที่เก็บ Pardus 25 แต่ความพร้อมใช้งานอาจแตกต่างกันไปตามรุ่นหรือการกำหนดค่าที่เก็บ หาก APT ไม่แสดงตัวเลือกใด ๆ อย่าดาวน์โหลดแพ็กเกจแบบสุ่มจากเว็บไซต์ของบุคคลที่สาม ตรวจสอบที่เก็บ Pardus อย่างเป็นทางการ หรือใช้ Pardus Domain Joiner แบบกราฟิกหากมีให้สำหรับการติดตั้งของคุณ Pardus อธิบายแอปพลิเคชัน GTK นี้ว่าเป็นเครื่องมือสำหรับเข้าร่วมหรือลบระบบออกจากโดเมน หน้าจอที่ใช้งานจริงอาจแตกต่างกันไปตามเวอร์ชัน

ตั้งชื่อโฮสต์ภายในเครื่องตามต้องการ หากจำเป็นต้องเปลี่ยนแปลง แทนที่ชื่อตัวอย่างด้วยชื่อที่ได้รับอนุมัติสำหรับเครือข่ายของคุณ:

sudo hostnamectl set-hostname pdws-042
hostnamectl status

จากนั้นให้ใช้เครื่องมือ Pardus ค้นหาโดเมนก่อนเข้าร่วม:

sudo pardus-domain-joiner-cli info corp.example.com

คำสั่งนี้ควรส่งคืนข้อมูลการค้นหาสำหรับโดเมนที่ร้องขอ หากไม่พบรีลหรือตัวควบคุมโดเมน ให้หยุดและตรวจสอบ DNS การเข้าถึงเครือข่าย สถานะ VPN และชื่อโดเมน DNS ที่ถูกต้อง อย่าใช้ชื่อ NetBIOS แบบย่อแทนชื่อโดเมน DNS เว้นแต่ว่าองค์กรของคุณกำหนดไว้เป็นพิเศษ

เชื่อมต่อไคลเอ็นต์เข้ากับ Active Directory

สำหรับสภาพแวดล้อมตัวอย่าง คำสั่งคือ:

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin

เมื่อระบบถาม ให้ป้อนรหัสผ่านสำหรับjoinadmin. เอกสาร README ของ Pardus CLI ระบุsssdและwinbindเป็นตัวเลือกบริการ และกล่าวว่าจะถามรหัสผ่านอย่างปลอดภัยหากไม่ได้ป้อนรหัสผ่าน อย่าบันทึกรหัสผ่านไว้ในประวัติคำสั่งเชลล์และสคริปต์ที่ใช้ร่วมกัน ควรใช้บัญชีที่ได้รับมอบหมายซึ่งมีสิทธิ์เฉพาะในการเข้าร่วมคอมพิวเตอร์เท่านั้น ไม่ใช่บัญชีผู้ดูแลระบบโดเมนแบบถาวร

หากทีมไอทีของคุณได้ระบุชื่อเฉพาะของหน่วยองค์กร (OU distinguished name หรือ DN) ไว้แล้ว CLI จะระบุ--ouอาร์กิวเมนต์เสริมเพิ่มเติมด้วย ตัวอย่างเช่น:

sudo pardus-domain-joiner-cli join sssd corp.example.com joinadmin --ou "OU=Linux,OU=Workstations,DC=corp,DC=example,DC=com"

ใช้ OU DN ตามที่ผู้ดูแลระบบไดเร็กทอรีระบุไว้ทุกประการ หากไม่ต้องการ OU ให้ละเว้นตัวเลือกนี้ คำสั่งนี้ยังอธิบายตัว--hostnameเลือกเพิ่มเติมด้วย ใช้เฉพาะเมื่อคุณต้องการตั้งชื่อคอมพิวเตอร์ AD แยกต่างหาก และได้ยืนยันพฤติกรรมที่คาดหวังสำหรับเวอร์ชันแพ็กเกจของคุณแล้ว

คำสั่งที่สำเร็จควรเสร็จสิ้นโดยไม่มีข้อผิดพลาดในการลงทะเบียน หากล้มเหลว ให้บันทึกข้อความแสดงข้อผิดพลาดทั้งหมดและแก้ไขสาเหตุที่แท้จริงก่อนลองใหม่อีกครั้ง การพยายามซ้ำๆ ด้วยตัวแก้ไข DNS ที่ไม่ถูกต้อง รหัสผ่านหมดอายุ หรือบัญชีที่ไม่ได้รับอนุญาตนั้นไม่น่าจะช่วยอะไร และอาจทำให้วัตถุคอมพิวเตอร์นั้นค้างอยู่ ซึ่งผู้ดูแลระบบ AD ต้องตรวจสอบอีกครั้ง

ยืนยันการลงทะเบียนและทดสอบการเข้าสู่ระบบโดเมน

ตรวจสอบสถานะของผู้เข้าร่วมหลังจากคำสั่งทำงานเสร็จสมบูรณ์:

sudo pardus-domain-joiner-cli status

จากนั้นตรวจสอบว่าไคลเอ็นต์สามารถระบุผู้ใช้ทดสอบผ่านบริการยืนยันตัวตนที่กำหนดค่าไว้ได้หรือไม่ โดยใช้รูปแบบการเข้าสู่ระบบที่ทีมไอทีของคุณอนุมัติอย่างถูกต้อง:

id alice@corp.example.com

หากเข้าสู่ระบบบัญชีได้สำเร็จ ผลลัพธ์ควรแสดงหมายเลขประจำตัวผู้ใช้และข้อมูลกลุ่ม หากเข้าสู่ระบบไม่ได้ ให้ตรวจสอบว่าผู้ใช้ได้รับอนุญาตให้เข้าสู่ระบบไคลเอ็นต์นี้หรือไม่ องค์กรกำหนดรูปแบบชื่อผู้ใช้เฉพาะหรือไม่ และบริการ SSSD หรือ Winbind ที่เลือกไว้เปิดใช้งานอยู่หรือไม่ ทดสอบการเข้าสู่ระบบแบบโต้ตอบด้วยบัญชีทดสอบที่ได้รับอนุมัติก่อนที่จะมอบเครื่องให้ผู้ใช้ใช้งาน

การเข้าร่วมโดเมนจะสร้างสถานะสมาชิกในโดเมนและเปิดใช้งานการค้นหาข้อมูลประจำตัวผ่านบริการที่กำหนดค่าไว้ อย่างไรก็ตาม การดำเนินการนี้ไม่ได้รับประกันว่าการตั้งค่า Group Policy ของ Windows, โปรไฟล์แบบ Roaming, กฎ sudo, การแชร์เครือข่าย, เครื่องพิมพ์ หรือนโยบายการติดตั้งซอฟต์แวร์ทุกอย่างจะทำงานในลักษณะเดียวกันบน Linux ควรตั้งค่าและตรวจสอบความสามารถเหล่านั้นแยกต่างหากด้วยวิธีการจัดการ Linux ขององค์กรของคุณ

ข้อผิดพลาดที่พบบ่อยและสิ่งที่ควรตรวจสอบ

สำหรับการแก้ไขปัญหา ให้ใช้คำสั่ง joiner infoและstatusคำสั่งอื่นๆ ก่อนที่จะแก้ไขไฟล์การกำหนดค่า Kerberos, SSSD หรือ Samba อินเทrealmdอร์เฟซบรรทัดคำสั่งระดับล่างยังให้คำสั่งการค้นหา การเข้าร่วม การออกจากระบบ การแสดงรายการ และคำสั่งอนุญาตการเข้าสู่ระบบบนระบบที่ใช้ realmd แต่ห้ามผสมผสานการเปลี่ยนแปลง realmd ด้วยตนเองกับ Pardus Domain Joiner โดยไม่เข้าใจว่าเครื่องมือ Pardus จัดการไฟล์การกำหนดค่าใดบ้าง

เอกสารอ้างอิง

• รายการแอปพลิเคชัน Pardus Domain Joiner
• คลังเก็บข้อมูลและเอกสารการใช้งาน Pardus Domain Joiner CLI
• โปรแกรมติดตามแพ็กเกจ Pardus สำหรับแพ็กเกจ CLI
• Microsoft Learn: DNS และบริการโดเมน Active Directory
• Microsoft Learn: ตรวจสอบระเบียน DNS SRV ของ Active Directory
• หน้าคู่มือ Debian สำหรับคำสั่ง realmd และ realm