使用 YaST 中的 SSSD 將 SLES 15 加入 Active Directory

對於需要基於 AD 的使用者和登入的典型 SLES 15 工作站或伺服器，請使用 YaSTUser Logon Management模組並選擇 Microsoft Active Directory 作為身分和驗證方式；這是 SUSE 基於 SSSD 的方案。例如，本演練使用一個名為 `<host_name>` 的虛擬主機linux01和網域 `<domain>` ad.example.com。此方案適用於用戶端可以存取 AD DNS 和時間服務，並且您擁有已授權的電腦註冊憑證的情況。

此步驟遵循 SUSE SLES 15 SP7 安全加固指南。早期版本的服務包可能具有不同的 YaST 介面或軟體包詳細信息，因此請使用與已安裝服務包相符的指南。如果您的需求特別需要 NTLM 支援或跨林信任，SUSE 建議使用基於 Winbind 的獨立 Windows 網域成員資格模組，該模組更適合。

加入前：檢查 DNS、時間和主機身份

AD 發現依賴 DNS 記錄，而 Kerberos 驗證則依賴精確的時脈。將 SLES 用戶端指向能夠解析 AD 網域及其網域控制站的 DNS 伺服器；在常見的組態中，這表示使用 AD DNS 伺服器而不是公共解析器。將客戶端與網域中已核准的時間來源同步。

在 YaST 中，開啟Network Settings“設定”，選擇“AD DNS 伺服器位址” Hostname/DNS，並將其設定Name Server 1為 AD DNS 伺服器位址。圖中所示的位址僅為佔位符。然後確認本地主機名稱和時間狀態：

hostname
timedatectl status

將電腦名稱與其在 AD 中註冊的名稱進行比較。如果兩者不同，SUSE 的加入對話方塊會提供一個AD hostname欄位。請勿停用防火牆以簡化發現流程；請聯絡網路團隊，根據貴組織的規則允許所需的用戶端到網域控制器的流量。 SUSE 還警告說，以 `.src` 結尾的名稱.local可能會與組播 DNS 衝突，因此如果您的網域後綴是 `.src`，請檢查您的 DNS 配置。

選擇 SSSD 模組並新增 AD 域

在 YaST 中，開啟User Logon Management。請勿選擇Windows Domain Membership此程序：SUSE 文件中將此模組描述為基於 Winbind 的，而使用者登入管理是基於 SSSD 的選項，通常是 AD 驗證的首選。

打開Change Settings，選擇Add Domain，然後輸入網域的 DNS 名稱，例如ad.example.com。將身分識別服務和身分驗證服務都設定為Microsoft Active Directory，並確保Enable the domain已選取。

除非您的環境需要特定的 AD 主機名稱或固定的網域控制器列表，否則請保留其他預設值。如果 DNS 自動發現不適用，請輸入您的 AD 團隊提供的網域控制站主機名稱。選取OK此項，以便 YaST 可以安裝任何缺少的軟體並檢查控制器是否可達。

註冊主機並啟用網域登入

當 YaST 報告發現 AD 伺服器但電腦尚未註冊時，請輸入授權的註冊帳戶和密碼。 SUSE 文件中說明的對話方塊使用 AD 管理員帳號；請遵循目錄團隊核准的電腦註冊流程，切勿將密碼寫在腳本或文章中。如果對話方塊無法發現伺服器，請傳回 DNS 和主機名稱檢查，然後再重試。

註冊完成後，啟用此功能Allow Domain User Logon。是否啟用Create Home Directories取決於伺服器的使用者資料策略。啟用此功能會在 AD 使用者首次登入時建立本機主目錄；這對於需要保留本機主目錄資料的電腦非常有用，但它不會在 AD 中建立或管理使用者帳戶。

如果 AD 已提供每個使用者的UnixHomeDirectory屬性，請確認該屬性已填入並符合目錄設計要求。當客戶端需要備用路徑時，請使用Service Options`>> Name switch`Extended Options進行配置fallback_homedir，例如 ` /home/%u<path>`。 SUSE 文件指出，當未提供 AD 路徑時，將使用備用路徑；override_homedir用戶端值將優先於 AD 路徑。請僅在檢查您的主目錄策略後才選擇備用路徑。

儲存設定並查看產生的配置摘要。如果系統也使用 Samba，則僅在需要整合 Samba 時才選擇覆蓋 Samba 設定的選項；這與啟用基於 SSSD 的使用者登入是兩回事。

驗證 SSSD、使用者查找和 Kerberos 登入

請檢查 SSSD 是否已激活，然後使用您網域的已核准名稱格式查詢一個真實的網域帳戶。在本例中，請將 `<yourdomain_name>` 和 `<yourdomain_count>` 替換EXAMPLE為alice短網域和現有的測試帳戶：

systemctl status sssd
getent passwd 'EXAMPLE\alice'

傳回的 passwd 條目確認 NSS 可以解析帳戶；但這本身並不能證明使用者可以進行身份驗證或存取應用程式。使用網域憑證，DOMAIN_NAME\USER_NAME透過控制台或顯示管理員上的文件化表單測試互動式登入。登入後，執行命令klist檢查會話是否具有 Kerberos 票證。

如果 SSSD 正在執行但使用者尋找失敗，請重新檢查 YaST 中的完全限定網域名稱、DNS 伺服器、主機名稱以及身分和驗證設定。如果查找成功但登入失敗，請驗證帳戶是否已啟用、密碼是否有效，以及用戶端是否可以存取網域控制站。只有在授權的測試使用者可以登入、確認預期主目錄行為正常且伺服器所需的服務仍然正常運作後，才能完成操作。

來源

• SUSE SLES 15 SP7 安全加固指南：Active Directory 支持
• SUSE SLES 15 SP7 安全加固指南：SSSD 與身分驗證客戶端
• SUSE SLES 15 SP7 文件索引