Ubuntu in der Domäne. Methode 3.

Wir führen einen Computer mit dem Namen MYUBUNTU in die Active Directory-Domäne mit dem Namen MYDOMAIN.COM ein.
Der Name des Domänencontroller-Servers ist dc1.mydomain.com, die IP-Adresse ist 192.168.0.100.
Der Name des Backups des Domänencontroller-Servers ist dc2.mydomain.com, die IP-Adresse ist 192.168.0.101.
Die IP-Adresse des DNS-Servers ist 192.168.0.10.
Die IP-Adresse des zweiten DNS-Servers ist 192.168.0.11.

Um das Betriebssystem Ubuntu in die Windows-Domäne aufzunehmen, müssen wir den Kerberos-Client, Samba und Winbind installieren.

Dafür geben wir im Terminalfenster die folgenden Befehle ein:
sudo apt-get update
sudo apt-get install krb5-user winbind samba

Zunächst ändern wir die DNS-Einstellungen auf unserem Computer, indem wir als DNS die IP-Adresse Ihres DNS-Servers (oder die IP-Adressen aller Ihrer DNS-Server, falls mehrere vorhanden sind) eintragen. Als Suchdomäne geben wir unsere Domäne an.
Dazu bearbeiten wir den Inhalt der Datei /etc/resolv.conf mit dem Befehl sudo gedit /etc/resolv.conf. Wir tragen die folgenden Werte ein:

domain mydomain.com search mydomain.com nameserver 192.168.0.10 nameserver 192.168.0.11

Nun tragen wir den Namen unseres Computers in die Datei /etc/hostname ein (sudo gedit /etc/hostname):

MYUBUNTU

Danach bearbeiten wir die Datei /etc/hosts (sudo gedit /etc/hosts) so, dass sie einen Eintrag mit dem vollständigen Domänennamen des Computers und unbedingt dem kurzen Hostnamen enthält, der auf eine der internen IPs verweist:

127.0.0.1 localhost 127.0.1.1 MYUBUNTU.mydomain.com MYUBUNTU

Nach Durchführung aller oben genannten Aktionen starten wir den Computer neu und melden uns mit dem Benutzernamen an, den wir bei der Installation des Betriebssystems angelegt haben.
Als Nächstes richten wir die Zeitsynchronisation unseres Computers mit dem Domänencontroller-Server ein.
Die Synchronisation richten wir mit dem Daemon ntpd ein, der regelmäßig Synchronisationen durchführt.
Wir installieren den Daemon ntpd: sudo apt-get install ntp
Danach bearbeiten wir die Datei /etc/ntp.conf (sudo gedit /etc/ntp.conf):

# You do need to talk to an NTP server or two (or three). server dc1.mydomain.com

Wir schließen das Bearbeitungsfenster und starten den Daemon ntpd neu: sudo /etc/init.d/ntp restart

Die Vorbereitungsarbeiten sind abgeschlossen, wir gehen zur Konfiguration der Interaktion mit der Domäne über.
Wir bearbeiten die Datei /etc/krb5.conf (sudo gedit /etc/krb5.conf), in der die Einstellungen für die Domänenauthentifizierung über das Kerberos-Protokoll enthalten sind.
Sie können meine Datei herunterladen – krb5.conf und den Inhalt Ihrer Datei durch den Inhalt meiner Datei ersetzen. Vergessen Sie nicht, mydomain.com durch den Namen Ihrer Domäne und dc1 sowie dc2 durch die Namen Ihrer Domänencontroller-Server zu ersetzen.

Um zu überprüfen, ob wir uns in der Domäne authentifizieren können, führen wir den Befehl aus: kinit username@MYDOMAIN.COM
Der Name unserer Domäne muss in Großbuchstaben geschrieben werden. Statt username müssen Sie den Namen eines der tatsächlichen Domänenbenutzer eingeben.
Wenn nach der Ausführung des Befehls keine Fehlermeldungen erscheinen, wurden alle Einstellungen korrekt durchgeführt.
Wir prüfen, ob die Domäne uns ein Kerberos-Ticket ausstellt, mit dem Befehl klist. Alle ausgestellten Tickets können mit dem Befehl kdestroy gelöscht werden.

Um sich der Domäne anzuschließen, bearbeiten wir die Konfigurationsdatei /etc/samba/smb.conf (sudo gedit /etc/samba/smb.conf).
Sie können meine Datei verwenden – smb.conf und den Inhalt Ihrer Datei durch den Inhalt meiner Datei ersetzen. Vergessen Sie nicht, mydomain.com durch den Namen Ihrer Domäne zu ersetzen. Dort, wo MYDOMAIN in Großbuchstaben geschrieben ist, geben Sie den Namen Ihrer Domäne in Großbuchstaben ein; entsprechend geben Sie dort, wo mydomain in Kleinbuchstaben geschrieben ist, den Namen in Kleinbuchstaben ein.
Nach dem Bearbeiten von smb.conf speichern wir die Datei und führen den Befehl im Terminal aus testparm.
Dieser Befehl überprüft Ihre Konfigurationsdatei smb.conf auf Fehler und gibt Informationen dazu aus:

# testparm Load smb config files from /etc/samba/smb.conf Loaded services file OK. Server role: ROLE_DOMAIN_MEMBER Press enter to see a dump of your service definitions

Sie sehen die oben genannte Meldung, wenn Sie alles korrekt durchgeführt haben.
Nun verbinden wir uns mit der Domäne. Geben Sie den Befehl sudo net ads join -U username -D MYDOMAIN ein.
Statt username geben Sie den Namen des Domänenadministrators ein, statt MYDOMAIN den Namen Ihrer Domäne. Drücken Sie Enter. Das System fordert Sie auf, das Passwort des Benutzers einzugeben, den Sie in username angegeben haben. Bei erfolgreicher Anmeldung können Sie die folgende Meldung sehen:

# net ads join -U username -D MYDOMAIN Enter username's password: Using short domain name -- MYDOMAIN Joined 'UBUNTU' to realm 'mydomain.com'

Herzlichen Glückwunsch, Sie haben Ihren Computer der Domäne hinzugefügt!
Bei mir erscheint nach dem Hinzufügen des Computers zur Domäne der Fehler: DNS update failed!
In diesem Fall müssen Sie den Computer aus der Domäne entfernen und alle Einstellungsschritte erneut durchführen.
Wenn Sie alles erneut durchgeführt haben und sicher sind, dass kein Fehler vorliegt, aber die DNS-Aktualisierung dennoch nicht stattfindet, tragen Sie den Eintrag für Ihren Computer manuell in Ihren DNS-Server ein, und alles wird funktionieren.

Wenn Sie die Domänenbenutzer auf Ihrem Ubuntu-Computer sehen möchten, müssen Sie den Winbind-Dämon konfigurieren. Dieser Dämon ist für die Verbindung zwischen der lokalen Linux-Benutzerverwaltung und dem Active Directory-Server erforderlich.
Winbind ermöglicht es, alle Benutzer und Gruppen des AD in Ihr Linux-System zu projizieren, indem ihnen IDs aus einem festgelegten Bereich zugewiesen werden. Auf diese Weise können Sie Domänenbenutzern die Eigentümerschaft an Ordnern und Dateien auf Ihrem Computer zuweisen und alle anderen Operationen durchführen, die an Benutzer und Gruppen gebunden sind.
Zur Konfiguration von Winbind bearbeiten wir die Datei /etc/samba/smb.conf (sudo gedit /etc/samba/smb.conf). Fügen Sie die folgenden Zeilen in den Abschnitt [global] ein:

template shell = /bin/bash idmap uid = 10000 - 40000 idmap gid = 10000 - 40000 winbind enum groups = yes winbind enum users = yes winbind use default domain = Yes winbind enum users = Yes winbind enum groups = Yes winbind use default domain = Yes winbind nested groups = Yes winbind refresh tickets = yes winbind offline logon = yes winbind cache time = 1440 unix extensions = no

Speichern Sie die Datei smb.conf und führen Sie die folgenden Befehle aus:

sudo /etc/init.d/winbind stop sudo smbd restart sudo /etc/init.d/winbind start

Überprüfen Sie, ob Winbind Benutzer und Gruppen aus dem Active Directory „sieht“, mit den folgenden Befehlen:

wbinfo -u wbinfo -g

Um Domänenbenutzern die Eigentümerschaft an Ordnern und Dateien zuweisen zu können, müssen wir Ubuntu anweisen, Winbind als zusätzliche Informationsquelle für Benutzer und Gruppen zu verwenden.
Ändern Sie in der Datei /etc/nsswitch.conf (sudo gedit /etc/nsswitch.conf):

passwd: compat group: compat

in

passwd: compat winbind group: compat winbind

Um sicherzustellen, dass Domänenbenutzer sich am Ubuntu-Computer anmelden können, müssen wir PAM für die Arbeit mit Winbind konfigurieren.
Ändern Sie den Inhalt der Datei /etc/pam.d/common-session (sudo gedit /etc/pam.d/common-session) durch Hinzufügen des folgenden Eintrags am Ende der Datei:

session optional pam_mkhomedir.so skel=/etc/skel/ umask=0077

Als letzten Schritt verschieben wir den Start von Winbind beim Systemstart nach allen anderen Diensten. Führen Sie die folgenden Befehle aus:

sudo mv /etc/rc2.d/S20winbind /etc/rc2.d/S99winbind sudo mv /etc/rc3.d/S20winbind /etc/rc3.d/S99winbind sudo mv /etc/rc4.d/S20winbind /etc/rc4.d/S99winbind sudo mv /etc/rc5.d/S20winbind /etc/rc5.d/S99winbind

Herzlichen Glückwunsch! Wir haben die Konfiguration des Systems für die Anmeldung von Domänenbenutzern am Ubuntu-Computer abgeschlossen. Starten Sie den Computer neu und versuchen Sie sich mit einem beliebigen Domänenbenutzerkonto anzumelden.
Im nächsten Schritt betrachten wir die Einbindung von Netzwerkressourcen für Domänenbenutzer.

Die Benutzerliste ausblenden und stattdessen ein Eingabefeld für den Benutzernamen anzeigen:
sudo vim /etc/lightdm/lightdm.conf
greeter-hide-users=true
Ablehnen. Es ist besser, die Anzeige zusammen mit bereits angemeldeten Benutzern zu verwenden.
greeter-show-manual-login=true
Wenn die Gastanmeldung deaktiviert werden soll:
allow-guest=false

Bestimmte Benutzer aus der Benutzerliste ausschließen:
sudo nano /etc/lightdm/users.conf
hidden-users=nobody nobody4 noaccess admin