Debian 6.0 AD 集成

Question 1

我建议使用 sssd。这是 Debian squeeze 中的一个标准包，它让生活变得轻松很多更简单。当您安装 sssd 时，它会询问您应该使用哪种身份验证方法。在那里做出选择，nsswitch.conf 和 pam.d 脚本将自动更新。您需要掌握一些有关 AD 域的详细信息，但无论如何您都应该知道它们（例如，使用哪个 DC 以及 kerberos 域名是什么等）。

相信我，我对此进行过大量研究（本网站上就此问题提出的一些问题也来自我），而 sssd 就是答案。它甚至在笔记本电脑上也能很好地工作，因为凭据会被缓存，而且您可以确定缓存的特性。

以下是我们的 sssd.conf 文件，其中包含一些注释：

# SSSD configuration generated using /usr/lib/sssd/generate-config
[sssd]
config_file_version = 2
reconnection_retries = 3
sbus_timeout = 30
services = nss, pam
domains = your.domain

[nss]
filter_groups = root
filter_users = root
reconnection_retries = 3
debug_level = 8

[pam]
reconnection_retries = 3
debug_level = 8

[domain/<your.domain>]
; Using enumerate = true leads to high load and slow response
enumerate = false
cache_credentials = true
#entry_cache_timeout = 60

id_provider = ldap
auth_provider = krb5
chpass_provider = krb5
#access_provider = ldap

ldap_uri = ldap://you.domain.controller
ldap_search_base = CN=Users,DC=your,DC=domain
ldap_tls_reqcert = demand
ldap_tls_cacert = /etc/ssl/certs/ca-certificates.crt
ldap_default_bind_dn = cn=LDAPsearch,CN=Users,dc=your,dc=domain
ldap_default_authtok_type = password
ldap_default_authtok = <password for LDAPsearch>
ldap_pwd_policy = none
ldap_user_object_class = user
ldap_group_object_class = group
ldap_user_home_directory = unixHomeDirectory

krb5_kdcip = your.domain.controller
krb5_realm = <kerberos realm name>
krb5_changepw_principle = kadmin/changepw
krb5_auth_timeout = 15

这是基于使用 Windows Server 2008 中的 UNIX 服务（现在是它的一个组成部分，曾经是 2k3 及更早版本中的插件）。

与其他 LDAP 系统不同，AD 需要经过身份验证的会话才能检索任何数据。我们创建了一个名为 LDAPsearch 的特殊用户来促进这一点，但实际的域用户也可能做到这一点。

配置用户时，您必须设置他们的 UNIX 服务详细信息（主目录、用户 ID 和主要组成员身份），但这非常简单。

显然，您可以使用不同的搜索基础，还可以添加过滤器以确保用户是特定组的成员等。只需阅读 sssd 的手册页。

Answer

我建议使用 sssd。这是 Debian squeeze 中的一个标准包，它让生活变得轻松很多更简单。当您安装 sssd 时，它会询问您应该使用哪种身份验证方法。在那里做出选择，nsswitch.conf 和 pam.d 脚本将自动更新。您需要掌握一些有关 AD 域的详细信息，但无论如何您都应该知道它们（例如，使用哪个 DC 以及 kerberos 域名是什么等）。

相信我，我对此进行过大量研究（本网站上就此问题提出的一些问题也来自我），而 sssd 就是答案。它甚至在笔记本电脑上也能很好地工作，因为凭据会被缓存，而且您可以确定缓存的特性。

以下是我们的 sssd.conf 文件，其中包含一些注释：

# SSSD configuration generated using /usr/lib/sssd/generate-config
[sssd]
config_file_version = 2
reconnection_retries = 3
sbus_timeout = 30
services = nss, pam
domains = your.domain

[nss]
filter_groups = root
filter_users = root
reconnection_retries = 3
debug_level = 8

[pam]
reconnection_retries = 3
debug_level = 8

[domain/<your.domain>]
; Using enumerate = true leads to high load and slow response
enumerate = false
cache_credentials = true
#entry_cache_timeout = 60

id_provider = ldap
auth_provider = krb5
chpass_provider = krb5
#access_provider = ldap

ldap_uri = ldap://you.domain.controller
ldap_search_base = CN=Users,DC=your,DC=domain
ldap_tls_reqcert = demand
ldap_tls_cacert = /etc/ssl/certs/ca-certificates.crt
ldap_default_bind_dn = cn=LDAPsearch,CN=Users,dc=your,dc=domain
ldap_default_authtok_type = password
ldap_default_authtok = <password for LDAPsearch>
ldap_pwd_policy = none
ldap_user_object_class = user
ldap_group_object_class = group
ldap_user_home_directory = unixHomeDirectory

krb5_kdcip = your.domain.controller
krb5_realm = <kerberos realm name>
krb5_changepw_principle = kadmin/changepw
krb5_auth_timeout = 15

这是基于使用 Windows Server 2008 中的 UNIX 服务（现在是它的一个组成部分，曾经是 2k3 及更早版本中的插件）。

与其他 LDAP 系统不同，AD 需要经过身份验证的会话才能检索任何数据。我们创建了一个名为 LDAPsearch 的特殊用户来促进这一点，但实际的域用户也可能做到这一点。

配置用户时，您必须设置他们的 UNIX 服务详细信息（主目录、用户 ID 和主要组成员身份），但这非常简单。

显然，您可以使用不同的搜索基础，还可以添加过滤器以确保用户是特定组的成员等。只需阅读 sssd 的手册页。

Question 2

看一眼同样开放。无需费心打乱，尽管拥有模拟的 Windows 注册表对我来说并不是一件好事。但是，较新的版本已经变得相当稳定，值得一看。

Answer

看一眼同样开放。无需费心打乱，尽管拥有模拟的 Windows 注册表对我来说并不是一件好事。但是，较新的版本已经变得相当稳定，值得一看。

Question 3

Likewise 很流行，但我一直在使用集中快递最近我在我的工作实验室里安装了所有的 Linux 机器，效果非常好。它自带 SAMBA 版本，安装起来很简单，就像安装 RPM 一样（不过一定要阅读 PDF）。

Answer

Likewise 很流行，但我一直在使用集中快递最近我在我的工作实验室里安装了所有的 Linux 机器，效果非常好。它自带 SAMBA 版本，安装起来很简单，就像安装 RPM 一样（不过一定要阅读 PDF）。

Question 4

SSSD 可能是答案，尽管我还没有用过，所以我不知道。我使用的是 samba3x 的 winbind，效果相当好。至少对我来说，直接配置 kerberos 和 ldap 的问题在于，您必须为所有现有用户填充 UID/GID 和主目录，并在 AD/LDAP 中维护两个数据世界，这似乎不是很好的时间利用方式。winbind 将公开本机 AD 组，在 kerberos 中重新键入其机器帐户等。唯一的缺点是，它坚持使用 15 个字符或更少的主机名来维护某种奇怪的 netbios 兼容性，我不再确信这种兼容性实际上存在或对 Windows 内部的任何东西都重要，而且守护进程偶尔会被卡住并需要重新启动，这需要有效的 OOB 访问。结合 pam_mkhomedir 和 pam_access，这样帐户的主目录就会自动填充，您可以根据需要限制谁有权访问哪些主机。请注意，虽然带有空格的用户名和组在很多地方都能正常工作，但它们会破坏某些工具，例如 pam_access access.conf 无法与带有空格的组一起使用。

Answer

SSSD 可能是答案，尽管我还没有用过，所以我不知道。我使用的是 samba3x 的 winbind，效果相当好。至少对我来说，直接配置 kerberos 和 ldap 的问题在于，您必须为所有现有用户填充 UID/GID 和主目录，并在 AD/LDAP 中维护两个数据世界，这似乎不是很好的时间利用方式。winbind 将公开本机 AD 组，在 kerberos 中重新键入其机器帐户等。唯一的缺点是，它坚持使用 15 个字符或更少的主机名来维护某种奇怪的 netbios 兼容性，我不再确信这种兼容性实际上存在或对 Windows 内部的任何东西都重要，而且守护进程偶尔会被卡住并需要重新启动，这需要有效的 OOB 访问。结合 pam_mkhomedir 和 pam_access，这样帐户的主目录就会自动填充，您可以根据需要限制谁有权访问哪些主机。请注意，虽然带有空格的用户名和组在很多地方都能正常工作，但它们会破坏某些工具，例如 pam_access access.conf 无法与带有空格的组一起使用。

Debian 6.0 AD 集成

答案1

答案2

答案3

答案4

相关内容