Ввод Linux‑клиентов в домен

Содержание

1. Что важно знать заранее

В какие домены можно вводить Linux

Linux вводится в домен, для которого HopeDC является KDC (выдаёт билеты Kerberos). На странице «Домены» это видно в колонке «Linux»:

Что нужно клиенту

• DNS. DNS‑сервером клиента должен быть HopeDC (или DNS, который пересылает зону домена в HopeDC). Клиент находит контроллер по SRV‑записям _ldap._tcp, _kerberos._tcp; HopeDC создаёт их сам. Имя контроллера в записях — hopedc.<домен>.
• Время. Kerberos допускает расхождение часов не больше 5 минут. Скрипт ввода настраивает chrony на HopeDC — для этого на HopeDC должна быть включена служба времени: Службы → NTP Сервер → «Служба NTP включена» (по умолчанию выключена). Иначе используйте общий для домена источник времени.
• Порты от клиента к HopeDC (откройте и в файрволе сервера, и в списке «Сетевой доступ» → «Клиенты домена (LDAP/Kerberos/SMB)», если он задан):

• Дистрибутивы: Debian/Ubuntu и производные (в т.ч. Astra Linux), RHEL/Alma/Rocky/Fedora. Нужны пакеты realmd sssd adcli и клиент Kerberos.
• Учётная запись для ввода — администратор домена (Administrator, члены Domain Admins / Enterprise Admins). Ввод обычными пользователями (квота MachineAccountQuota, как в AD) не поддерживается.

Дальше в примерах домен — corp.local (realm CORP.LOCAL), IP HopeDC — 10.0.0.5. Подставьте свои.

2. Подготовка в панели HopeDC

2.1. UNIX‑атрибуты пользователей и групп (обязательно)

Выдаваемый HopeDC sssd.conf берёт UID/GID из атрибутов каталога (ldap_id_mapping = false). Пользователь без uidNumber/gidNumber на Linux не появится.

1. Домен → «Управлять» → «Структура домена» → пользователь → вкладка «UNIX Attributes» → «Назначить UID/GID автоматически» → сохранить. Заполняются uidNumber, gidNumber, loginShell (/bin/bash), unixHomeDirectory (/home/<логин>), gecos. Номера выдаются начиная с 10000, уникально по всему серверу.
2. Для групп, которые нужны на Linux (например, для sudo), — группа → вкладка «UNIX Attributes» → «Назначить GID автоматически». Состав группы берётся из атрибута member.
3. Основная группа пользователя (gidNumber) должна существовать как группа с тем же gidNumber — или будет показана числом.

2.2. Ключи AES у учётных записей

Современные дистрибутивы отключают RC4, поэтому нужны ключи AES. У учётных записей, созданных в HopeDC, они есть. У учётных записей, перенесённых из AD или созданных до поддержки AES, их может не быть: если kinit отвечает «KDC has no support for encryption type», один раз смените пароль учётной записи в панели.

2.3. Сервисная учётная запись агента (рекомендуется)

Скрипт ввода сразу ставит агент политик Linux (Документ 11). Чтобы агент не использовал пароль администратора:

1. Домен → «Политики Linux» → вкладка «Агент» → «Создать сервисную учётку». Создаётся svc-hopedc-agent без административных прав; пароль показывается один раз — сохраните его.
2. Для входа агента без пароля — «Аутентификация агента» → «Сертификат (mTLS)» → «Выдать сертификат агента». Нужен корневой ЦС домена: «Центр сертификации» в меню домена.

3. Ввод скриптом join-hopedc.sh (рекомендуется)

3.1. Получить скрипт

Домен → «Политики Linux» → «Агент»: укажите «IP контроллера HopeDC», способ аутентификации агента (и пароль bind‑учётки, если сервисная учётка не создана в этом сеансе) и нажмите join-hopedc.sh. Скрипт формируется под выбранный домен.

3.2. Запустить на клиенте

sudo bash join-hopedc.sh
# другой администратор домена для ввода:
sudo JOIN_USER=admin2 bash join-hopedc.sh

Скрипт выполняет семь шагов:

После скрипта проверьте вход (раздел 5).

4. Ввод вручную

4.1. Пакеты

# Debian / Ubuntu / Astra Linux
sudo DEBIAN_FRONTEND=noninteractive apt install -y realmd sssd sssd-tools adcli krb5-user oddjob oddjob-mkhomedir chrony
# RHEL / Alma / Rocky / Fedora
sudo dnf install -y realmd sssd adcli krb5-workstation oddjob oddjob-mkhomedir chrony

4.2. Конфигурация

/etc/krb5.conf:

[libdefaults]
    default_realm = CORP.LOCAL
    dns_lookup_kdc = true
    rdns = false
    default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 arcfour-hmac
    default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 arcfour-hmac
[realms]
    CORP.LOCAL = {
        kdc = 10.0.0.5
        admin_server = 10.0.0.5
    }
[domain_realm]
    .corp.local = CORP.LOCAL
    corp.local = CORP.LOCAL

/etc/sssd/sssd.conf (права 600):

[sssd]
    domains = corp.local
    config_file_version = 2
    services = nss, pam, sudo
[domain/corp.local]
    id_provider = ad
    auth_provider = ad
    access_provider = ad
    ad_gpo_access_control = permissive
    sudo_provider = ad
    ldap_sudo_search_base = DC=corp,DC=local
    ad_domain = corp.local
    krb5_realm = CORP.LOCAL
    ad_server = 10.0.0.5
    ldap_id_mapping = false
    fallback_homedir = /home/%u
    default_shell = /bin/bash
    use_fully_qualified_names = false
    cache_credentials = true
    ldap_uri = ldaps://10.0.0.5:636
    ldap_tls_reqcert = allow

• ad_gpo_access_control = permissive — права входа из Windows GPO к Linux не применяются (Linux управляется политиками HopeDC, Документ 11).
• use_fully_qualified_names = false — вход по короткому имени (ivanov); при true — ivanov@corp.local.
• ldap_tls_reqcert = allow — подключение по IP не совпадает с именем в сертификате LDAPS. Для строгой проверки укажите ldap_uri = ldaps://hopedc.corp.local:636, положите корневой сертификат ЦС домена в систему и задайте demand.

4.3. Время

echo -e "server 10.0.0.5 iburst\nmakestep 1.0 3" | sudo tee /etc/chrony/conf.d/hopedc.conf   # RHEL: /etc/chrony.d/
sudo systemctl restart chrony || sudo systemctl restart chronyd
chronyc tracking

4.4. Проверка Kerberos и обнаружения

dig -t SRV _ldap._tcp.corp.local
realm discover corp.local          # type: kerberos, server-software: active-directory
kinit administrator@CORP.LOCAL
klist -e                           # etype aes256-cts-hmac-sha1-96

4.5. Ввод

sudo realm join corp.local -U administrator
# или напрямую adcli (подробный вывод, контроллер по ИМЕНИ, не по IP):
sudo adcli join corp.local -U administrator --domain-controller=hopedc.corp.local -v
# в другое подразделение:
sudo adcli join corp.local -U administrator --computer-ou="OU=Linux,DC=corp,DC=local"

Успешный adcli join -v заканчивается строками Set computer password и Added the entries to the keytab. realm join дополнительно настраивает NSS/PAM; после голого adcli join включите их сами:

sudo pam-auth-update --enable mkhomedir                                  # Debian/Ubuntu
sudo authselect select sssd with-mkhomedir --force && sudo systemctl enable --now oddjobd   # RHEL
sudo systemctl restart sssd

5. Проверка

realm list                         # домен, configured: kerberos-member
sudo klist -k                      # ключи host/… и HOST$ в /etc/krb5.keytab
id ivanov                          # uid/gid из UNIX‑атрибутов, группы домена
getent passwd ivanov
su - ivanov                        # или ssh ivanov@<хост>
sudo -l -U ivanov                  # sudo‑правила (Документ 11)

В панели: домен → «Структура домена» → Computers — объект компьютера с objectSid, primaryGroupID = 515 (Domain Computers), SPN host/, RestrictedKrbHost/ и cifs/.

6. Вывод из домена и повторный ввод

sudo realm leave corp.local -U administrator        # или: sudo adcli delete-computer -U administrator
sudo rm -f /etc/krb5.keytab && sudo sss_cache -E

Если машина недоступна — удалите объект компьютера в «Структуре домена». Перед повторным вводом машины с тем же именем удалите её старый объект компьютера.

7. Что делает HopeDC при вводе

8. Диагностика

Журналы: клиент — journalctl -u sssd, /var/log/sssd/*.log (для подробностей debug_level = 6 в sssd.conf); HopeDC — раздел «Логирование» (ввод компьютера, Kerberos, kpasswd).

9. Домен‑зеркало с принятой ролью KDC и ограничения

• Домены‑зеркала с принятой ролью KDC (v181). Ввод Linux через HopeDC работает:
  • учётная запись компьютера создаётся в MS AD (запись через учётку синхронизации) — objectSid выдаёт AD из своего пула RID, затем объект появляется в HopeDC с тем же SID; SPN и dNSHostName тоже записываются в AD;
  • пароль компьютера задаётся через kpasswd HopeDC и хранится в HopeDC (KDC домена — HopeDC); keytab на клиенте работает и после «Отключить от AD»;
  • при «Принять роль KDC» HopeDC добавляет в свою зону домена A‑запись hopedc.<домен> (имя контроллера HopeDC). SRV‑записи локатора остаются как в AD — поэтому скрипт join-hopedc.sh для такого домена вводит компьютер явно через HopeDC (adcli join --domain-controller=hopedc.<домен>), а не через realm join, который выбрал бы контроллер AD с другим ключом krbtgt. Скачайте скрипт заново после «Принять роль KDC»;
  • DNS клиента должен быть HopeDC (чтобы разрешалось hopedc.<домен>).
  Сервер HopeDC с несколькими доменами определяет, в какой домен вводится клиент, по его запросу Kerberos или DNS (SRV _ldap._tcp.<домен>, имя hopedc.<домен>) за последние 5 минут — раньше без входа отдавался основной домен сервера, и adcli не находил контейнер Computers второго домена.
• Имена компьютеров длиннее 15 символов adcli обрезает в sAMAccountName — агент политик находит такие машины по обрезанному имени.
• Ввод без прав администратора (MachineAccountQuota) не поддерживается.
• Проверено на стенде: adcli join — объект компьютера, пароль через kpasswd, keytab, SPN, objectSid, глобальный каталог. Вход через SSSD проверьте на своём дистрибутиве по разделу 5 перед массовым вводом. v181: ввод в домен‑зеркало (Samba AD в роли MS AD) с принятой ролью KDC — objectSid из AD, keytab, вход компьютера по keytab до и после отключения от AD.