Comment rejoindre un Linux (Ubuntu) Machine à un Windows Domaine Active Directory
Dans cet article, vous apprendrez comment intégrer un Linux appareil (Ubuntu 20.04) dans un Windows Domaine Active Directory. Cela permet à votre Linux système permettant d'authentifier les utilisateurs, d'appliquer des politiques centralisées et d'accéder aux ressources du domaine comme un Windows client — idéal pour les réseaux à environnement mixte.
Étape 1. Installez les packages et la préparation.
Commençons par mettre à jour les packages.
sudo apt update
sudo apt upgradeAprès cela, installez les packages requis.
sudo apt -y install realmd sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin oddjob oddjob-mkhomedir packagekitEnsuite, nous allons configurer tous ces outils pour qu'ils fonctionnent avec le domaine. Tout ce que nous devons savoir, c'est :
- Nom de domaine : office.local
- DNS IP du serveur : 192.168.0.1
- Seconde DNS IP du serveur : 192.168.0.2
Étape 2. Configurer DNS.
Regardez dans le fichier de configuration netplan.
sudo nano /etc/netplan/*.yamlSi vous y voyez 'dhcp4: true' et que votre serveur DHCP est correctement configuré, passez à l'étape suivante.
Si vous configurez les paramètres de connexion réseau manuellement, voici un exemple de configuration d'adresses statiques :
network:
ethernets:
enp0s3:
addresses:
- 192.168.0.15/24
gateway4: 192.168.0.10
nameservers:
addresses: [192.168.0.1, 192.168.0.2]
search:
- office.local
optional: true
version: 2- adresses — cette adresse IP sera attribuée à votre carte réseau ;
- gateway4 — adresse IP de votre routeur ;
- serveurs de noms — DNS les serveurs;
- recherche — domaine cible.
Appliquer les modifications.
sudo netplan applyÉtape 3. Découvrez le domaine, rejoignez-le et vérifiez le résultat.
Tout d'abord, découvrez le domaine.
realm discover office.localNous verrons quelque chose comme ça. Cela signifie que les paramètres réseau sont corrects et que notre machine a reçu une réponse du domaine. Si ce n'est pas le cas, vous devez vérifier vos paramètres réseau, votre domaine et DNS santé.
office.local
type: kerberos
realm-name: OFFICE.LOCAL
domain-name: office.local
configured: no
...Ensuite, rejoignez le domaine AD. Remplacez 'admin' par le nom d'utilisateur de l'administrateur du domaine et saisissez son mot de passe si vous y êtes invité.
realm join -U admin office.local
Password for admin:Vérifions maintenant si nous pouvons obtenir des informations sur l'utilisateur AD. Remplacez 'user' par le nom du compte d'utilisateur du domaine.
id user@office.local
uid=687821651(user@office.local) gid=687800512(user@office.local) groups=687800512(domain users@office.local)Étape 4. Derniers paramètres et connexion.
Pour éviter d'ajouter le nom de domaine au nom d'utilisateur à chaque fois, configurons cela.
sudo nano /etc/sssd/sssd.confRemplacez la valeur 'use_fully_qualified_names' par False. Redémarrez et vérifiez :
sudo systemctl restart sssd
id user
uid=687821651(user@office.local) gid=687800512(user@office.local) groups=687800512(domain users@office.local)Nous devons maintenant configurer une création de Home Dirs pour les utilisateurs AD lorsqu'ils se connectent.
sudo nano /etc/pam.d/common-session
#add this line in the end of file
session optional pam_mkhomedir.so skel=/etc/skel umask=077Essayons de nous connecter en tant qu'utilisateur AD.
su – user
Password:
Creating directory '/home/user@office.local'.
user@ubuntu-server:~$Cela signifie que vous vous êtes connecté avec succès en tant qu'utilisateur AD.
De plus, vous pouvez autoriser l'autorisation de certains utilisateurs ou groupes AD et en restreindre d'autres. L'exemple ci-dessous est configuré pour refuser tout le monde et autoriser l'utilisateur, l'utilisateur2, le groupe Administrateurs du domaine.
sudo realm deny –all
sudo realm permit user@office.local user2@office.local
sudo realm permit -g 'Domain Admins'La configuration des utilisateurs AD pour obtenir les privilèges root est la même que pour les utilisateurs locaux, mais dans un autre fichier.
sudo nano /etc/sudoers.d/adminsAjoutez-y les lignes nécessaires. Par example:
user ALL=(ALL) ALL
%Domain\ Admins ALL=(ALL) ALLConclusion
Rejoindre un Linux appareil (Ubuntu 20.04) à un Windows Le domaine Active Directory est un moyen pratique d'unifier la gestion des utilisateurs dans un environnement multi-systèmes d'exploitation. Grâce à des outils comme realmd, sssd et proper, DNS configuration, votre Linux Le système peut authentifier les utilisateurs du domaine, appliquer des politiques centralisées et s'intégrer parfaitement à l'infrastructure gérée par AD. Cette approche simplifie l'administration, améliore la sécurité et permet Linux postes de travail pour participer pleinement aux réseaux de niveau entreprise.
QFP
- Q: Ai-je besoin d'un DNS serveur pour que la découverte de domaine fonctionne ?
R : Oui. Le Linux la machine doit utiliser le même DNS serveurs comme le Windows domaine pour résoudre les contrôleurs de domaine et découvrir le domaine. - Q : Que se passe-t-il si la découverte de domaine ne renvoie pas d’informations sur le domaine ?
A : Cela signifie généralement qu'il y a un DNS problème ou votre Linux Le système ne parvient pas à atteindre le contrôleur de domaine. Vérifiez la configuration IP et la résolution du nom de domaine. - Q : Puis-je me connecter sans spécifier le nom de domaine à chaque fois ?
R : Oui. En définissant use_fully_qualified_names = False dans /etc/sssd/sssd.conf, vous pouvez vous connecter en utilisant uniquement le nom d'utilisateur. - Q : Comment puis-je restreindre les utilisateurs AD qui peuvent se connecter ?
R : Utilisez les commandes realm permit et realm deny pour définir des utilisateurs ou des groupes spécifiques autorisés à s’authentifier. - Q : Comment donner aux utilisateurs AD un accès sudo/root sur le Linux système?
R : Ajoutez l’utilisateur ou le groupe à un fichier dans /etc/sudoers.d/ avec les autorisations appropriées, comme vous le feriez pour les utilisateurs locaux. - Q : Les répertoires personnels sont-ils créés automatiquement pour les utilisateurs AD ?
R : Oui, si vous configurez PAM pour inclure pam_mkhomedir.so, les répertoires personnels seront créés lors de la première connexion.
700
300
700
300
700
300
700
300
