Allgemeine Voraussetzungen

1. Für die Installation und Konfiguration von Active Directory und des DNS-Servers benötigen Sie Folgendes:

   • Eine Windows Server 2019-Maschine mit Administratorberechtigungen
   • Grundlegende Vertrautheit mit PowerShell-Befehlen und Windows-Server-Management

2. Zum direkten Verbinden von RHEL-Systemen mit Active Directory mithilfe von Samba Winbind benötigen Sie Folgendes:

   • Ein RHEL-System, das Samba Winbind ausführen kann
   • Vertrautheit mit der RHEL-Befehlszeilenschnittstelle und Systemkonfiguration
   • Zugriff auf die Active Directory-Domäne und entsprechende Berechtigungen für die Teilnahme an der Domäne

Voraussetzungen für das Netz

1. Netzkonnektivität: Sie benötigen stabile und zuverlässige Netzkonnektivität zwischen der Windows Server 2019-Maschine (auf der Active Directory und DNS installiert sind) und den RHEL-Systemen, die mit der Domäne verknüpft sind. Stellen Sie sicher, dass keine Netzkommunikationsprobleme oder Firewalls vorliegen, die wichtige Ports blockieren.

2. Firewallregeln: Überprüfen und aktualisieren Sie Firewallregeln, um die erforderliche Kommunikation zwischen der Windows Server 2019-Maschine, RHEL-Systemen und den Domänencontrollern zu ermöglichen. Schlüsselports, die für die Active Directory-Kommunikation verwendet werden, sind TCP/UDP 53 (DNS), TCP/UDP 88 (Kerberos), TCP 135 (RPC), TCP/UDP 389 (LDAP), TCP/UDP 445 (SMB) und TCP/UDP 636 (LDAPS).

3. Erreichbarkeit des Domänencontrollers: Bestätigen Sie, dass die RHEL-Systeme die Active Directory-Domänencontroller ohne Konnektivitätsprobleme erreichen können. Verwenden Sie Tools wie ping oder nslookup, um zu überprüfen, ob der Hostname und die IP-Adresse des Domänencontrollers von den RHEL-Systemen aufgelöst werden können.

4. Zeitsynchronisation: Stellen Sie sicher, dass alle Systeme, die an der Active Directory-Domäne teilnehmen, einschließlich der Windows Server 2019-Maschine und RHEL-Systeme, ihre Uhren mit einer zuverlässigen Zeitquelle synchronisiert haben. Die Zeitsynchronisation ist für eine ordnungsgemäße Authentifizierung und Kerberos-Ticketvalidierung kritisch.

5. DNS-Konfiguration der Domäne: Die Active Directory-Domäne muss ordnungsgemäß konfigurierte DNS-Einstellungen haben. Legen Sie die IP-Adresse des Domänencontrollers als primären DNS-Server auf allen Systemen (einschließlich der Windows Server 2019-Maschine und RHEL-Systeme) fest, die zur Domäne Active Directory gehören.

6. DNS-Auflösung: Überprüfen Sie, dass sowohl Forward-als auch Reverse-DNS-Auflösungen ordnungsgemäß funktionieren. Der Hostname des Domänencontrollers muss von der Maschine mit Windows Server 2019 und RHEL-Systemen auflösbar sein und der Hostname der Maschine mit Windows Server 2019 muss von den RHEL-Systemen auflösbar sein.

7. DNS-Domänenname: Stellen Sie sicher, dass der DNS-Domänenname von Active Directory mit dem Domänennamen übereinstimmt, der während des Konfigurationsprozesses verwendet wird. In diesem Fall der Domänenname "POCDOMAIN.LOCAL" für Active Directory muss in der Konfiguration konsistent sein.

8. Active Directory-Benutzerkonto mit Administratorberechtigungen: Stellen Sie sicher, dass ein Active Directory-Benutzerkonto mit Administratorberechtigungen während des Konfigurationsprozesses verfügbar ist. Dieses Konto wird verwendet, um die Maschine mit Windows Server 2019 als Domänencontroller hochzustufen und die RHEL-Systeme mit der Domäne Active Directory zu verknüpfen.

Konfiguration prüfen

Nach dem Serverneustart können Sie sich mit dem Domänenadministratorkonto anmelden, das Sie während des Hochstufungsprozesses erstellt haben.

Führen Sie die folgenden Prüfungen durch, um die ordnungsgemäße Konfiguration von Active Directory und DNS zu überprüfen:

1. Um das Active Directory-Management zu überprüfen, öffnen Sie Server Manager und bestätigen Sie im Dashboard das Vorhandensein von "Active Directory-Benutzer und -Computer" und "DNS", die im Abschnitt Tools aufgelistet sind. Dies weist auf eine erfolgreiche Installation der Active Directory-und DNS-Management-Tools hin.
2. Zur Überprüfung der Benutzer-und Gruppenverwaltung starten Sie Active Directory Users and Computers, um Benutzerkonten, Gruppen und Organisationseinheiten (OUs) innerhalb der Domäne zu verwalten.
3. Zur Überprüfung der DNS-Verwaltung greifen Sie auf DNS Manager zu, um DNS-Zonen und -Datensätze für die Domäne zu verwalten.
4. Um die Integration der Clientmaschine auf einer Clientmaschine innerhalb desselben Netzes zu überprüfen, konfigurieren Sie die DNS-Einstellungen so, dass sie auf die IP-Adresse des neu hochgestuften Domänencontrollers verweisen. Verbinden Sie dann die Clientmaschine mit der Domäne POCDOMAIN.LOCAL. Eine erfolgreiche Verbindung bestätigt die ordnungsgemäße DNS-Auflösung und funktionale Active Directory-Domänenservices.

Sie haben Active Directory und den DNS-Server unter Windows Server 2019 erfolgreich mithilfe von PowerShellinstalliert und konfiguriert. Ihr neuer Domänencontroller mit integriertem DNS ist jetzt bereit, Benutzerkonten, Computer und andere Netzressourcen innerhalb der POCDOMAIN.LOCAL-Domäne zu verwalten.

Unterstützte Windows-Plattformen für direkte Integration

Die direkte Integration mit Active Directory-Gesamtstrukturen ist mit den folgenden Gesamtstruktur-und Domänenfunktionsebenen kompatibel:

• Funktionsbereich der Gesamtstruktur: Windows Server 2008-Windows Server 2016
• Funktionsbereich der Domäne: Windows Server 2008-Windows Server 2016

Unterstützte Betriebssysteme für die direkte Integration:

• Windows Server 2022 (RHEL 8.7 und höher)
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2

Windows Server 2019 und Windows Server 2022 führen keine neuen Funktionsebenen ein und verwenden die höchste Funktionsebene von Windows Server 2016.

Unterstützung für allgemeine Verschlüsselungstypen in Active Directory und RHEL sicherstellen

Samba Winbind unterstützt standardmäßig die Verschlüsselungstypen RC4, AES-128und AES-256 Kerberos. Die RC4-Verschlüsselung ist jedoch veraltet und aufgrund von Sicherheitsaspekten standardmäßig inaktiviert. Active Directory-Benutzerberechtigungsnachweise und -Vertrauensstellungen basieren möglicherweise weiterhin auf der Verschlüsselung RC4, was zu Authentifizierungsproblemen führt.

Um die Kompatibilität sicherzustellen, haben Sie zwei Möglichkeiten:

1. Unterstützung der AES-Verschlüsselung in Active Directory aktivieren
2. RC4-Unterstützung in RHEL aktivieren

Zur Aktivierung der RC4-Unterstützung in RHEL variieren die Schritte je nach RHEL-Version. Ausführliche Anweisungen finden Sie in der offiziellen Dokumentation (Link zur RHEL-Dokumentationssite).

LSF-Clusterknoten mit Active Directory-Domäne verknüpfen

Führen Sie die folgenden Schritte aus, um einen LSF-Clusterknoten, der unter RHEL 8.4 gehostet wird, mithilfe von Samba Winbind und realmd einer Active Directory-Domäne hinzuzufügen:

Samba Winbind ist eine Alternative zum System Security Services Daemon (SSSD) für die Verbindung eines RHEL-Systems mit Active Directory. Dieser Abschnitt beschreibt, wie Sie ein RHEL-System mit einer Active Directory-Domäne verknüpfen, indem Sie realmd verwenden, um Samba Winbind zu konfigurieren.

1. Installieren Sie die folgenden Pakete:

   # yum install realmd oddjob-mkhomedir oddjob samba-winbind-clients samba-winbind samba-common-tools samba-winbind-krb5-locator openldap-clients krb5-workstation samba adcli bind-utils
   

2. Aktualisieren Sie die Pakete:

   # yum update
   

3. Aktualisieren Sie /etc/hosts, indem Sie die IP-Adresse und den Namen der Active Directory-Domäne hinzufügen:

   Beispiel:

   [root@amit-rhel84 ~]# cat /etc/hosts
   127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
   ::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
   10.243.0.39 addc1.POCDomain.local
   
   Note:- addc1.POCDomain.local is the AD server FQDN name
   

4. Aktualisieren Sie die DNS-Einträge in der Datei /etc/resolv.conf mit dem folgenden Befehl:

   sudo nmcli connection modify "System eth0" ipv4.dns "10.243.0.39" ipv4.ignore-auto-dns yes
   

   Der Befehl aktualisiert nicht nur die DNS-Einträge in der Datei /etc/resolv.conf, sondern stellt auch sicher, dass die DNS-Einträge nicht automatisch auf cloudbasierte DNS-Server aktualisiert werden.

5. Bestätigen Sie die Änderungen in der DNS-Datei:

   [root@amit-rhel84 ~]# cat /etc/resolv.conf
   # Generated by NetworkManager
   nameserver 10.240.0.39
   [root@amit-rhel84 ~]#
   

   Setzen Sie anschließend ein Pingsignal an den Domänencontroller mit der Active Directory-Domäne ab. Beispiel:

   [root@amit-rhel84 ~]#
   In addition to the confirmation, ping the Domain Controller with Name : - Ping POCDOMAIN.LOCAL
   [root@amit-rhel84 ~]# ping POCDOMAIN.LOCAL
   PING POCDOMAIN.LOCAL (10.240.0.39) 56(84) bytes of data.
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=1 ttl=128 time=0.365 ms
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=2 ttl=128 time=0.722 ms
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=3 ttl=128 time=0.581 ms
   64 bytes from addc1.POCDomain.local (10.240.0.39): icmp_seq=4 ttl=128 time=0.525 ms
   

6. Führen Sie nslookup aus, um sicherzustellen, dass die Domäne Active Directory aufgelöst werden kann. Beispiel:

   [root@amit-rhel84 ~]#  nslookup pocdomain.local
   Server:         10.240.0.39
   Address:        10.240.0.39#53
   
   Name:   pocdomain.local
   Address: 10.240.0.39
   

7. Wenn für Active Directory der veraltete Verschlüsselungstyp RC4 für die Kerberos-Authentifizierung erforderlich ist, aktivieren Sie die Unterstützung für die folgenden Verschlüsselungen in RHEL:

   # update-crypto-policies --set DEFAULT:AD-SUPPORT
   

   Nachdem Sie den Befehl ausgeführt haben, aktualisiert er die Verschlüsselungsrichtlinien und fordert Sie zum Neustart der Maschine auf.

8. Sie müssen jetzt die vorhandene /etc/samba/smb.conf Samba-Konfigurationsdatei sichern:

   # mv /etc/samba/smb.conf /etc/samba/smb.conf.bak
   

9. Verbinden Sie den RHEL 8.x-Host mit der Domäne Active Directory. Im folgenden Beispiel wird eine Domäne mit dem Namen POCDOMAIN.LOCAL verknüpft:

   # realm join --membership-software=samba --client-software=winbind POCDOMAIN.LOCAL
   

   Wenn Sie diesen Befehl ausführen, führt das Dienstprogramm realm automatisch Folgendes aus:

   • Erstellt eine Datei /etc/samba/smb.conf für eine Zugehörigkeit zur Domäne POCDOMAIN.LOCAL
   • Fügt das Winbind-Modul für Benutzer-und Gruppensuchen zur Datei /etc/nsswitch.conf hinzu.
   • Aktualisiert die PAM-Konfigurationsdateien (Pluggable Authentication Module) im Verzeichnis /etc/pam.d/.
   • Startet den Winbind-Service und aktiviert den Start des Service beim Booten des Systems.

10. (Optional) Legen Sie in der Datei /etc/samba/smb.conf eine alternative Back-End-ID-Zuordnung oder angepasste ID-Zuordnungseinstellungen fest. Weitere Informationen finden Sie unter Understanding and configuring Samba ID mapping.

11. Bearbeiten Sie die Datei /etc/krb5.conf und fügen Sie den folgenden Abschnitt hinzu:

[plugins]
localauth = {
        module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
        enable_only = winbind
    }

12. Überprüfen Sie, ob der Winbind-Service aktiv ist:

# systemctl status winbind

Beispielanforderung und -antwort:

[root@amit-rhel84 ~]# systemctl status winbind
winbind.service - Samba Winbind Daemon
Loaded: loaded (/usr/lib/systemd/system/winbind.service; enabled; vendor preset: disabled)
Active: active (running) since Wed 2023-08-09 08:16:16 EDT; 1h 42min ago
 Docs: man:winbindd(8)
       man:samba(7)
       man:smb.conf(5)
Main PID: 4889 (winbindd)
 Status: "winbindd: ready to serve connections..."
 Tasks: 5 (limit: 49264)
 Memory: 10.9M
CGroup: /system.slice/winbind.service
        ├─4889 /usr/sbin/winbindd --foreground --no-process-group
        ├─4893 /usr/sbin/winbindd --foreground --no-process-group
        ├─4894 /usr/sbin/winbindd --foreground --no-process-group
        ├─4924 /usr/sbin/winbindd --foreground --no-process-group
        └─5997 /usr/sbin/winbindd --foreground --no-process-group Important

Damit Samba Domänenbenutzer-und Gruppeninformationen abfragen kann, muss der Winbind-Service aktiv sein, bevor Sie smb starten.

13. Wenn Sie das Paket Samba installiert haben, um Verzeichnisse und Drucker gemeinsam zu nutzen, aktivieren und starten Sie den smb-Service:

# systemctl enable --now smb ----tobe noted

14. Stellen Sie sicher, dass die Kennwortauthentifizierung in der Datei `/etc/ssh/sshd_config`` auf "yes" gesetzt ist, wie im folgenden Beispiel gezeigt:

[root@amit-adclnt ~]# cat /etc/ssh/sshd_config | grep "PasswordAuth"
#PasswordAuthentication yes
PasswordAuthentication yes
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication, then enable this but set PasswordAuthentication

Integration prüfen

1. Überprüfen Sie die Details eines Active Directory-Benutzers, wie z. B. das Administratorkonto Active Directory in der Domäne Active Directory:

   # getent passwd "POCDOMAIN\administrator"
   

   Beispielausgabe:

   POCDOMAIN\administrator:*:2000500:2000513::/home/administrator@POCDOMAIN:/bin/bash
   

2. Überprüfen Sie die Mitglieder in der Domänenbenutzergruppe in der Active Directory-Domäne:

   # getent group "POCDOMAIN\Domain Users"
   

   Beispielausgabe:

   POCDOMAIN\domain users:x:10000:lsfuser01,user2
   

3. (Optional) Überprüfen Sie, ob Sie Domänenbenutzer und -gruppen verwenden können, wenn Sie Berechtigungen für Dateien und Verzeichnisse festlegen. Geben Sie beispielsweise Folgendes ein, um den Eigner der Datei /srv/samba/example.txt auf AD\administrator und die Gruppe auf AD\Domain Users zu setzen:

   # sudo chown "POCDOMAIN\administrator":"POCDOMAIN\Domain Users" example.txt
   

4. Überprüfen Sie, ob die Kerberos-Authentifizierung wie erwartet funktioniert. Rufen Sie auf dem Domänenmitglied Active Directory ein Ticket für den Principal administrator@POCDOMAIN.LOCAL ab:

   # kinit administrator@POCDOMAIN.LOCAL
   

   Zeigen Sie das zwischengespeicherte Kerberos-Ticket an:

   # klist
   

   Beispielausgabe:

   Ticket cache: KCM:0
   Default principal: Administrator@POCDOMAIN.LOCAL
   Valid starting       Expires              Service principal
   07/10/2023 16:28:51  07/11/2023 02:28:51  krbtgt/POCDOMAIN.LOCAL@POCDOMAIN.LOCAL
       renew until 07/17/2023 16:28:46
   

5. Verfügbare Domänen anzeigen:

   [root@rhelad01 ~]# realm list
   pocdomain.local
     type: kerberos
     realm-name: POCDOMAIN.LOCAL
     domain-name: pocdomain.local
     configured: kerberos-member
     server-software: active-directory
     client-software: winbind
     required-package: oddjob-mkhomedir
     required-package: oddjob
     required-package: samba-winbind-clients
     required-package: samba-winbind
     required-package: samba-common-tools
     login-formats: POCDOMAIN\%U
     login-policy: allow-any-login
           [root@rhelad01 ~]# wbinfo --all-domains
           BUILTIN
           RHELAD01
           POCDOMAIN
   

Wenn Sie die veralteten RC4-Verschlüsselungen nicht verwenden wollen, können Sie den AES-Verschlüsselungstyp in Active Directoryaktivieren.

Wiederholen Sie die vorherigen Schritte auf allen Clusterknoten, um sicherzustellen, dass alle Knoten der Domäne Active Directory hinzugefügt werden.