簡介

您可以配置IBM Spectrum Symphony使用Active Directory(AD) 伺服器作為使用者驗證的主目錄服務。 該文件概述了安裝和配置的逐步過程Active Directory和 Windows Server 2019 上的 DNS 伺服器使用PowerShell。 此外，它還涵蓋了連接 RHEL 的過程8.4基於作業系統的 Symphony Cluster 節點透過使用直接連接到 ADSambaWinbind，以確保加密相容性，並將其加入到Active Directory領域。

本文檔的目的是使系統管理員能夠無縫地配置IBM Spectrum Symphony和Active Directory用於用戶身份驗證，從而實現高效的用戶管理和存取控制。

一般必要條件

在繼續進行配置程序之前，請確定符合必要條件:

1. 安裝及配置 Active Directory 和 DNS 伺服器:
   • 具有管理專用權的 Windows Server 2019 機器。
   • 基本熟悉 PowerShell 指令和 Windows Server 管理。
2. 若要使用 Samba Winbind 將 RHEL 系統直接連接至 AD:
   • 能夠執行 Samba Winbind 的 RHEL 系統。
   • 熟悉 RHEL 指令行介面和系統配置。
   • Active Directory 網域的存取權，以及結合網域的適當許可權。

網路必備項目

在繼續配置 IBM Storage Scale 以使用 Active Directory 並將 RHEL 系統連接至 AD 之前，請確保符合下列網路必要條件:

1. 網路連線功能: 在 Windows Server 2019 機器 (其中已安裝 Active Directory 及 DNS) 與加入網域的 RHEL 系統之間，您需要穩定且可靠的網路連線功能。 請驗證未設定任何網路通訊問題或防火牆來封鎖基本埠。

2. 防火牆規則: 檢閱並更新防火牆規則，以容許 Windows Server 2019 機器、RHEL 系統及網域控制站之間進行必要的通訊。 用於 AD 通訊的金鑰埠包括 TCP/UDP 53 (DNS)、TCP/UDP 88 (Kerberos)、TCP 135 (RPC)、TCP/UDP 389 (LDAP)、TCP/UDP 445 (SMB) 及 TCP/UDP 636 (LDAPS)。

3. 網域控制站可聯繫性: 確認 RHEL 系統可以呼叫到 Active Directory 網域控制站，而不會有任何連線功能問題。 使用 "ping" 或 "nslookup" 之類的工具來驗證是否能夠從 RHEL 系統解析網域控制站的主機名稱及 IP 位址。

4. 時間同步化: 確定參與 Active Directory 網域的所有系統 (包括 Windows Server 2019 機器和 RHEL 系統)，其時鐘都與可靠的時間來源同步。 時間同步化對於適當鑑別及 Kerberos 通行證驗證非常重要。

5. 網域 DNS 配置: Active Directory 網域必須已適當地配置 DNS 設定。 在屬於 AD 網域的所有系統 (包括 Windows Server 2019 機器及 RHEL 系統) 上，網域控制站的 IP 位址必須設為主要 DNS 伺服器。

6. DNS 解析: 驗證正向和反向 DNS 解析都正確運作。 網域控制站的主機名稱必須可從 Windows Server 2019 機器及 RHEL 系統解析，而 Windows Server 2019 機器的主機名稱必須可從 RHEL 系統解析。

7. DNS 網域名稱 確保 Active Directory 的 DNS 網域名稱符合在配置處理程序期間使用的網域名稱。 在此情況下，用於 Active Directory 的網域名稱 "POCDOMAIN.LOCAL" 在整個配置中必須一致。

8. Active Directory 具有管理專用權的使用者帳戶: 確定在配置處理程序期間，可以使用具有管理專用權的 Active Directory 使用者帳戶。 此帳戶用於將 Windows Server 2019 機器升級為網域控制站，並將 RHEL 系統結合至 AD 網域。

步驟 1-使用 PowerShell 在 Windows Server 2019 上安裝及配置 Active Directory 和 DNS 伺服器

1. 使用管理專用權開啟 PowerShell:

   a. 按鍵盤上的 "Windows + X" 鍵以存取「專業使用者」功能表。

   b. 從清單中，選擇「Windows PowerShell (管理)」，以使用管理專用權來啟動已提升的 PowerShell 階段作業。

2. 執行下列 PowerShell 指令，以安裝 Active Directory 網域服務角色及 DNS 伺服器角色:

   powershell code
   # Install the Active Directory Domain Services Role and DNS Server Role
    Install-WindowsFeature -Name AD-Domain-Services, DNS -IncludeManagementTools
   

3. 透過執行下列 PowerShell 指令，將「伺服器」升級至具有「整合式 DNS」的「網域控制站」:

   powershell code
   # Set the required parameters
   $DomainName = "POCDOMAIN.LOCAL"
   $SafeModePassword = ConvertTo-SecureString -AsPlainText "MySecureDSRMpwd2023!" -Force
   
   # Configure and promote the server as a domain controller with integrated DNS
   Install-ADDSForest -DomainName $DomainName -SafeModeAdministratorPassword  $SafeModePassword -DomainMode Win2019 -ForestMode Win2019 -InstallDNS
   

   範例值：

   • 網域名稱: POCDOMAIN.LOCAL
   • DSRM 密碼: MySecureDSRMpwd2023!

   當您執行 PowerShell 指令時，會在伺服器上安裝並配置 Active Directory 網域服務及 DNS 伺服器角色。

   伺服器會自動重新啟動，以完成網域控制站升級程序。

4. 在伺服器重新啟動之後，請使用您在升級處理程序期間建立的網域管理者帳戶登入，以驗證 Active Directory 及 DNS 配置。

步驟 2-在 Active Directory 中為存取 Symphony 叢集的使用者建立使用者群組及使用者

使用 Windows Server 上的 Active Directory 使用者和電腦 (ADUC) 管理工具，在 Active Directory 網域 "pocdomain.local" 中建立名為 "Symphony-group" 的使用者群組，以及名為 "Symphonyuser01" 的使用者:

在 "pocdomain.local" Active Directory 網域中建立使用者群組及使用者，需要該網域內的管理專用權。 請確定您具有建立群組和使用者的必要許可權。 此外，當您在 Active Directory 中建立使用者帳戶和群組時，請一律設定高保護性密碼並遵循安全最佳作法，以維護安全網路環境。

1. 打開Active Directory使用者和電腦：

   a. 以管理專用權登入 Windows Server。

   b. 按一下 開始，然後搜尋「Active Directory 使用者和電腦」。

   c. 啟動「Active Directory 使用者和電腦」管理主控台。

2. 建立使用者群組交響樂團:

   a. 在 ADUC 主控台中，導覽至您要在其中建立使用者群組的 "pocdomain.local" 網域內的組織單位 (OU)。

   b. 用滑鼠右鍵按一下組織單位，然後選取 新建，然後選取 群組。

   c. 在 新建物件-群組 對話框中，輸入 Symphony-group 作為群組名稱。

   d. 選擇群組範圍 (例如，廣域) 和群組類型 (例如，安全)。

   e. 點選好的來創建交響樂團用戶群組。

3. 創建用戶交響樂user01:

   a. 在 ADUC 主控台中，導覽至您要建立使用者 "Symphonyuser01" 之 "pocdomain.local" 網域內的相同或不同的組織單位 (OU)。

   b. 用滑鼠右鍵按一下組織單位，然後選取 新建，然後選取 使用者。

   c. 在 新建物件-使用者 對話框中，輸入新使用者 **symphonyuser01*的必要資訊:

   • 完整名稱: 輸入使用者的完整名稱 (例如，LSF User 01)。

   • 使用者登入名稱: 輸入使用者的登入名稱 (例如，Symphonyser01)。

   • 使用者主體名稱 (UPN): 會根據使用者登入名稱和網域名稱 (例如，Symphonyuser01@pocdomain.local) 自動產生 UPN。

   • 密碼: 設定使用者帳戶的安全密碼，並選擇使用者是否必須在第一次登入時變更密碼。

   • 使用者無法變更密碼: 如果您要防止使用者變更其密碼，請勾選此選項。

   • 密碼永不到期: 如果您想要使用者密碼永不到期，請勾選此選項。

   • 帳戶已停用: 依預設，會啟用帳戶。 如果您要建立處於已停用狀態的使用者帳戶，請清除此選項。

   d. 按 下一步 以繼續執行任何其他精靈步驟。

   e. 檢閱輸入的資訊，然後按一下 完成 以建立新的使用者 "Symphonyuser01"。

4. 將 "Symphonyuser01" 新增至 "Symphony-group" 使用者群組:

   a. 在 ADUC 主控台中，找出您先前建立的 Symphony-group 使用者群組。

   b. 用滑鼠右鍵按一下 Symphony-group 使用者群組，然後選取 內容。 c. 在「內容」對話框中，移至 成員 標籤。

   d. 按一下 新增，然後在 輸入要選取的物件名稱 欄位中輸入 Symphonyuser01。

   e. 按一下 檢查名稱 以驗證使用者名稱。

   f. 按一下 確定，將 "Symphonyuser01" 新增至 "Symphony-group" 使用者群組。

   如： 按一下 套用，然後按一下 確定 以儲存變更。

步驟 3-使用 Samba Winbind 將在 RHEL 8.4 型系統上執行的 Symphony 叢集直接整合至 AD

[plugins]
localauth = {
module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
enable_only = winbind
}

#systemctl status winbind
[root@amit-rhel84 ~]# systemctl status winbind
winbind.service - Samba Winbind Daemon
Loaded: loaded (/usr/lib/systemd/system/winbind.service; enabled; vendor preset: disabled)
Active: active (running) since Wed 2023-08-09 08:16:16 EDT; 1h 42min ago
Docs: man:winbindd(8)
  man:samba(7)
  man:smb.conf(5)
Main PID: 4889 (winbindd)
Status: "winbindd: ready to serve connections..."
Tasks: 5 (limit: 49264)
Memory: 10.9M
CGroup: /system.slice/winbind.service
       ├─4889 /usr/sbin/winbindd --foreground --no-process-group
       ├─4893 /usr/sbin/winbindd --foreground --no-process-group
       ├─4894 /usr/sbin/winbindd --foreground --no-process-group
       ├─4924 /usr/sbin/winbindd --foreground --no-process-group
       └─5997 /usr/sbin/winbindd --foreground --no-process-group

步驟 4-在 Symphony 叢集端配置設定

以下是設定步驟Kerberos身份驗證開啟Linux主辦單位IBM Spectrum Symphony與集成Active Directory:

1. 關閉叢集

   使用叢集管理者認證登入叢集中的任何管理主機。

   #Example
   egosh user logon –u Admin –x Admin
   

   執行下列指令以循序關閉叢集:

   #Example
   soamcontrol app disable all
   egosh service stop all
   egosh ego shutdown all
   

2. 修改管理主機上的安全配置: 在每一個管理主機上，編輯 $EGO_CONFDIR/ego.conf 檔案。

   將 EGO_SEC_PLUGIN 設為 "sec_ego_gsskrb"。

   #Example
   EGO_SEC_PLUGIN=sec_ego_gsskrb
   

   設定 EGO_SEC_CONF 以指定外掛程式的配置:

   #Example
   EGO_SEC_CONF="/EGOShare/kernel/conf,600,ERROR,/opt/EGO/kernel/log"
   

   將 EGO_SEC_KRB_SERVICENAME 設為鑑別伺服器的 Kerberos 主體:

   #Example
   EGO_SEC_KRB_SERVICENAME=symphonyuser03
   

   使用提供的參數來建立或修改 $EGO_CONFDIR/sec_ego_gsskrb.conf 檔案:

   #Example
   REALM=POCDomain.local
   KRB5_KTNAME=/etc/krb5.keytab
   KERBEROS_ADMIN=egoadmin
   

   KRB5_KTNAME=/etc/krb5.keytab KRB5_KTNAME 參數會指定 keytab 檔的絕對路徑。 此檔案包含 Kerberos 鑑別中所使用服務主體的金鑰。 在這裡，路徑設為 "/etc/krb5.keytab"，確保擷取必要的金鑰以進行鑑別。

   KERBEROS_ADMIN=egoadmin KERBEROS_ADMIN 參數指定對映至內建叢集管理者 (管理者) 的使用者名稱的 Kerberos 主體。 在此配置中，它設為 "hpcegoadmin"。 此原則對於內部的行政任務非常重要IBM Spectrum Symphony cluster，用於驗證叢集管理員身分。

3. 將配置套用至計算和用戶端主機。

   在計算和用戶端主機上重複修改步驟，以調整其個別 $EGO_CONFDIR/ego.conf 和 $EGO_CONFDIR/sec_ego_gsskrb.conf 檔案中的配置。

4. 啟動叢集並啟用應用程式。

   在主機之間套用配置之後，請使用下列指令啟動叢集並啟用應用程式:

   #Example
   egosh ego start
   soamcontrol app enable appName
   

5. 登入叢集管理主機。

   從 POCDomain.local 領域中的管理主機，使用 egoy 指令行以 Admin 使用者身分登入。 輸入在 KERBEROS_ADMIN 參數中定義的 Kerberos 主體的密碼。

   #Example
   egosh user logon –u Admin –x passwordegoadmin
   

6. 新增 AD 使用者 (必要的話)

   如果 ENABLE_AD_USERS_MANAGE 參數在 $EGO_CONFDIR/sec_ego_gsskrb.conf 文件於Linux管理主機設定為“N”，使用 egosh user add 指令將 AD 使用者新增至IBM Spectrum Symphony。 提供任何隨機字串作為密碼; 它將不會用於使用者登入。

   #Example egosh user add –u ad1tester –x 111
   

7. 指派角色給使用者

   使用 egassignrole 指令，將角色指派給使用者帳戶。 例如，若要將消費者管理者角色指派給 ad1tester 和 ad2tester:

   #Example
   egosh user assignrole –u ad1tester –r CONSUMER_ADMIN –p /SymTesting/Symping73.2
   

8. 以 AD 使用者身分登入

   以 AD 使用者身分使用eg中指令行登入。 例如，若要以 ad1tester: 身分登入:

   #Example
   egosh user logon –u ad1tester –x passwordad1tester
   

總結

本指南是希望無縫整合的系統管理員的重要資源IBM Spectrum Symphony和Active Directory內IBM Cloud環境。 解決先決條件並提供逐步說明，確保為兩者做好準備Active Directory和 RHEL 系統部署在IBMVirtual Servers。 從安裝開始Active Directory在 Windows Server 2019 上配置Kerberos認證，為管理員實現高效率的使用者管理和存取控制提供可靠的參考IBM Spectrum Symphony內IBM Cloud基礎設施。