Dołączamy komputer o nazwie MYUBUNTU do domeny Active Directory o nazwie MYDOMAIN.COM.
Nazwa serwera kontrolera domeny to dc1.mydomain.com, adres IP – 192.168.0.100.
Nazwa kopii zapasowej kontrolera domeny to dc2.mydomain.com, adres IP – 192.168.0.101.
Adres IP serwera DNS to 192.168.0.10
Adres IP drugiego serwera DNS to 192.168.0.11
Aby dołączyć system Ubuntu do domeny Windows, musimy zainstalować klienta Kerberosa, Sambę i Winbinda.
W tym celu wpisujemy w oknie terminala następujące polecenia:
sudo apt-get update
sudo apt-get install krb5-user winbind samba
Najpierw zmieniamy ustawienia DNS na naszym komputerze, wpisując jako DNS adres IP serwera DNS (lub adresy IP wszystkich serwerów DNS, jeśli masz ich kilka). Jako domenę wyszukiwania podajemy nasz domenę.
W tym celu edytujemy zawartość pliku /etc/resolv.conf za pomocą polecenia sudo gedit /etc/resolv.conf. Wpisujemy w nim następujące wartości:
domain mydomain.com
search mydomain.com
nameserver 192.168.0.10
nameserver 192.168.0.11
Następnie wpisujemy nazwę naszego komputera w pliku /etc/hostname (sudo gedit /etc/hostname):
MYUBUNTU
Dalej edytujemy plik /etc/hosts (sudo gedit /etc/hosts) w taki sposób, aby zawierał wpis z pełną nazwą domenową komputera oraz koniecznie krótką nazwą hosta, wskazującą na jeden z wewnętrznych adresów IP:
127.0.0.1 localhost
127.0.1.1 MYUBUNTU.mydomain.com MYUBUNTU
Po wykonaniu wszystkich powyższych czynności restartujemy komputer i logujemy się jako użytkownik, którego utworzyliśmy podczas instalacji systemu operacyjnego.
Następnym krokiem będzie skonfigurowanie synchronizacji czasu naszego komputera z serwerem kontrolera domeny.
Synchronizację będziemy konfigurować za pomocą demona ntpd, który będzie okresowo wykonywać synchronizację.
Instalujemy demona ntpd: sudo apt-get install ntp
Następnie edytujemy plik /etc/ntp.conf (sudo gedit /etc/ntp.conf):
# You do need to talk to an NTP server or two (or three).
server dc1.mydomain.com
Zamykamy okno edycji i restartujemy demona ntpd: sudo /etc/init.d/ntp restart
Przygotowania zakończone, przechodzimy do konfiguracji współpracy z domeną.
Edytujemy plik /etc/krb5.conf (sudo gedit /etc/krb5.conf), w którym znajdują się ustawienia uwierzytelniania w domenie za pomocą protokołu Kerberos.
Możesz pobrać mój plik – krb5.conf i zastąpić zawartość swojego pliku moją zawartością. Nie zapomnij zmienić mydomain.com na nazwę swojej domeny oraz dc1 i dc2 na nazwy swoich serwerów kontrolerów domeny.
Aby sprawdzić, czy możemy uwierzytelnić się w domenie, wykonujemy polecenie: kinit username@MYDOMAIN.COM
Nazwę naszej domeny należy wpisać wielkimi literami. Zamiast username należy wpisać nazwę jednego z rzeczywistych użytkowników domeny.
Jeśli po wykonaniu polecenia nie otrzymamy żadnych komunikatów o błędach, oznacza to, że wszystkie ustawienia zostały wykonane poprawnie.
Sprawdzamy, czy domena wydaje nam bilet Kerberosa za pomocą polecenia klist. Wszystkie wydane bilety można usunąć za pomocą polecenia kdestroy.
Aby dołączyć komputer do domeny, należy edytować plik konfiguracyjny /etc/samba/smb.conf (sudo gedit /etc/samba/smb.conf).
Możesz pobrać mój plik – smb.conf i zastąpić zawartość swojego pliku zawartością mojego pliku. Pamiętaj, aby zmienić mydomain.com na nazwę swojego domeny. Tam, gdzie MYDOMAIN jest zapisane wielkimi literami, wpisz nazwę swojej domeny wielkimi literami; tam, gdzie mydomain jest zapisane małymi literami, wpisz ją małymi literami.
Po edycji pliku smb.conf zapisz go i wykonaj w terminalu polecenie testparm.
To polecenie sprawdza plik konfiguracyjny smb.conf pod kątem błędów i wyświetla informacje o nim:
# testparm
Load smb config files from /etc/samba/smb.conf
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions
Powyższy komunikat pojawi się, jeśli wszystko zostało wykonane poprawnie.
Teraz dołączamy komputer do domeny. Wpisz polecenie sudo net ads join -U username -D MYDOMAIN
Zamiast username wpisz nazwę administratora domeny, zamiast MYDOMAIN wpisz nazwę swojej domeny. Naciśnij Enter. System poprosi o podanie hasła użytkownika, którego wpisałeś w polu username. W przypadku pomyślnego dołączenia zobaczysz następujący komunikat:
# net ads join -U username -D MYDOMAIN
Enter username's password:
Using short domain name -- MYDOMAIN
Joined 'UBUNTU' to realm 'mydomain.com'
Gratulacje, Twój komputer został dołączony do domeny!
U mnie po dołączeniu komputera do domeny pojawia się błąd: DNS update failed!
W takim przypadku należy usunąć komputer z domeny i powtórzyć wszystkie kroki konfiguracji od początku.
Jeśli wszystko zostało wykonane ponownie i jesteś pewien, że nie ma błędów, a DNS nadal się nie aktualizuje, ręcznie dodaj wpis dla swojego komputera na serwerze DNS, a wszystko będzie działać.
Jeśli chcesz widzieć użytkowników domeny na swoim komputerze z systemem Ubuntu, musisz skonfigurować usługę Winbind. Usługa ta jest niezbędna do połączenia lokalnego systemu zarządzania użytkownikami i grupami Linux z serwerem Active Directory.
Winbind umożliwia odwzorowanie wszystkich użytkowników i grup AD w systemie Linux, przypisując im identyfikatory z określonego zakresu. Dzięki temu będziesz mógł przypisywać użytkownikom domeny prawa właściciela do folderów i plików na swoim komputerze oraz wykonywać inne operacje związane z użytkownikami i grupami.
Aby skonfigurować Winbind, edytuj plik /etc/samba/smb.conf (sudo gedit /etc/samba/smb.conf). Dodaj następujące wiersze do sekcji [global]:
template shell = /bin/bash
idmap uid = 10000 - 40000
idmap gid = 10000 - 40000
winbind enum groups = yes
winbind enum users = yes
winbind use default domain = Yes
winbind enum users = Yes
winbind enum groups = Yes
winbind use default domain = Yes
winbind nested groups = Yes
winbind refresh tickets = yes
winbind offline logon = yes
winbind cache time = 1440
unix extensions = no
Zapisz plik smb.conf i wykonaj następujące polecenia:
sudo /etc/init.d/winbind stop
sudo smbd restart
sudo /etc/init.d/winbind start
Sprawdź, czy Winbind „widzi” użytkowników i grupy z Active Directory, używając następujących poleceń:
wbinfo -u
wbinfo -g
Aby móc przypisywać użytkownikom domeny prawa właściciela do folderów i plików, należy wskazać Ubuntu, aby używał Winbind jako dodatkowego źródła informacji o użytkownikach i grupach.
Zmień w pliku /etc/nsswitch.conf (sudo gedit /etc/nsswitch.conf):
passwd: compat
group: compat
na
passwd: compat winbind
group: compat winbind
Aby użytkownicy domeny mogli się uwierzytelniać na komputerze z Ubuntu, należy skonfigurować PAM do pracy z Winbind.
Zmień zawartość pliku /etc/pam.d/common-session (sudo gedit /etc/pam.d/common-session) poprzez dodanie na końcu pliku następującego wpisu:
session optional pam_mkhomedir.so skel=/etc/skel/ umask=0077Ostatnim krokiem jest przeniesienie uruchamiania Winbind podczas startu systemu po wszystkich innych usługach. Wykonaj następujące polecenia:
sudo mv /etc/rc2.d/S20winbind /etc/rc2.d/S99winbind
sudo mv /etc/rc3.d/S20winbind /etc/rc3.d/S99winbind
sudo mv /etc/rc4.d/S20winbind /etc/rc4.d/S99winbind
sudo mv /etc/rc5.d/S20winbind /etc/rc5.d/S99winbind
Gratulacje! Ukończyliśmy konfigurację systemu uwierzytelniania użytkowników domeny na komputerze z Ubuntu. Uruchom ponownie system i spróbuj zalogować się przy użyciu dowolnego konta użytkownika domeny.
Następnie omówimy podłączanie zasobów sieciowych dla użytkowników domeny.
Ukryj listę użytkowników, zastępując ją polem wprowadzania nazwy użytkownika:
sudo vim /etc/lightdm/lightdm.conf
greeter-hide-users=true
Odrzuć tę opcję. Lepiej wyświetlać listę wraz z użytkownikami, którzy już się logowali.
greeter-show-manual-login=true
Jeśli chcesz wyłączyć możliwość logowania gościa:
allow-guest=false
Usuń określonych użytkowników z listy:
sudo nano /etc/lightdm/users.conf
hidden-users=nobody nobody4 noaccess admin