活动目录：Server 2008 和 RHEL 5.10

Question

如果这是重新发布，请见谅。我已经用谷歌搜索和研究这个话题三个多星期了，我一遍又一遍地遇到同样的问题，但我没有设法解决它。

免责声明：虽然我在工作中被迫担任该职位，但我不是系统管理员。

我的任务是为包含 Windows XP、Windows 7、Server 2003、Server 2008、Server 2008 R2 和 Red Hat Enterprise 5.10 的环境实施 Active Directory（在 Server 2008 上）配置。很容易。在线获取快速指南，设置测试 VM 服务器，将我的 Win7 客户端连接到我的新 AD。作品。

重复但尝试将 RHEL 5.10 VM 连接到 AD？没有骰子。

关于如何设置 Linux 以连接到 AD，我遵循了大约 3 个不同的“指南”。更彻底的方法是：将UNIX/Linux 身份验证到 Windows 2008R2 具体来说，RHEL 设置：第 3 部分：RHEL 5.6

列出的攻击计划：

1. 使用未加密的简单绑定获取 ldapsearch
2. 配置 LDAP
3. 验证 LDAP 是否适用于 getent(1)、id(1) 等
4. 将根 CA 证书从 Windows 导出到 UNIX
5. 检查 CA 证书是否适用于 OpenSSL
6. 导入 CA 证书
7. 使用 ldapsearch 获取 LDAPS
8. 更改 LDAP 以使用 LDAPS 而不是 LDAP
9. 验证 Kerberos 是否有效：最初，没有主机主体 (krb5.keytab)
10. 配置 PAM 以使用 Kerberos（编辑 /etc/pam.conf）
11. 验证登录等服务是否可以使用 kerberised ID 以及密码是否有效
12. 在 Windows 中创建主机主体密钥表。将其导入 UNIX。
13. 验证 kinit -k 是否有效
14. 编辑 /etc/krb5/krb5.conf 以在 [libdefaults] 部分包含“verify_ap_req_nofail = true”。这将保护 UNIX 机器，以证明它正在与可靠的 KDC 对话。
15. 实现单点登录

逐字按照步骤进行操作，更改 IP 和主机名以匹配我的测试环境。有一个例外：

C:\>ktpass /princ host/rhel5host1.example.com@EXAMPLE.COM \
/ptype KRB5_NT_PRINCIPAL /out C:\temp\rhel5host1.keytab /pass mypass \
/crypto AES256-SHA1 /mapuser EXAMPLE\rhel5host1

收到错误消息：为指定用户获取目标域。

C:\>ktpass /princ host/rhel5host1.example.com@EXAMPLE.COM \
/ptype KRB5_NT_PRINCIPAL /out C:\temp\rhel5host1.keytab /pass mypass \
/crypto AES256-SHA1 /mapuser EXAMPLE\rhel5host1$

用美元符号指定机器账户，KTPASS 运行无误。

一切正常，直到我们测试 Kerberos：

[root@rhelad ~]# kinit -k
kinit(v5): Client not found in Kerberos database while getting initial credentials

好的，谷歌一下错误，我们得到：

您的 kerberos 主体可能与您在本地系统上的用户名不同。

凭据 krb5_get_init_creds_password() 失败：在 Kerberos 数据库中找不到客户端 确保您输入了正确的名称并且服务器具有正确的名称（仔细检查用户的帐户选项卡，尤其是领域）

所以我检查、摆弄和谷歌搜索，但我什么也没找到。据我说，RHEL 上的配置是正确的，我已经在 AD 上创建了计算机和用户帐户，没问题。

我在这里的假设是我已经正确配置了 RHEL，但是在 AD 上创建基于 RHEL 的客户端设置时搞砸了。是的，我已经启用并配置了 UNIX 属性，所以不是这样。

有人可以指点我/向我展示在 AD 上添加和配置 UNIX 计算机和用户的正确步骤吗？如果需要，我很乐意“转储”配置。

Answer 1

您可以通过使用 Powerbroker Identity Services 或 PBIS 等工具来简化您的生活。他们的网站上有一个开源版本http://www.powerbrokeropen.org/

这就是我目前在工作中使用的将我们的 linux 主机加入到 AD 的方法，它已经在多个版本的 centos 和 ubuntu 上为我提供了帮助。