Problemy z dołączeniem do domeny Active Directory

8

Próbuję dołączyć do serwera Ubuntu 16.04 do domeny Windows 2003 R2, postępując zgodnie z Ubuntu SSSD i Przewodnik Active Directory . Mój administrator mówi, że od strony kontrolera jest częścią domeny. Ale SSSD nie może się uruchomić, a net ads join się nie powiedzie.

krb5.conf został zmodyfikowany przez instalatora i teraz ma to:

kyle@Server21:~$ cat /etc/krb5.conf
[libdefaults]
        default_realm = COMAPNYNAME.LOCAL

Podczas poprzedniej instalacji myślałem, że było coś jeszcze w [realms] , o którą pytano podczas instalacji, ale nie pamiętam, o co i nie było tego czasu.

Mój smb.conf :

[global]

## Browsing/Identification ###

# Change this to the workgroup/NT-domain name your Samba server will part of
   workgroup = COMPANYNAME
   client signing = yes
   client use spnego = yes
   kerberos method = secrets and keytab
   realm = COMPANYNAME.LOCAL
   security = ads

Mój sssd.conf :

kyle@Server21:~$ sudo cat /etc/sssd/sssd.conf
[sssd]
services = nss, pam
config_file_version = 2
domains = COMPANYNAME.LOCAL

[domain/COMPANYNAME.LOCAL]
id_provider = ad
access_provider = ad
override_homedir = /home/%d/%u

Chociaż usługa SSSD nie może się zacząć:

kyle@Server21:~$ systemctl status sssd.service
● sssd.service - System Security Services Daemon
   Loaded: loaded (/lib/systemd/system/sssd.service; enabled; vendor preset: enabled)
   Active: failed (Result: exit-code) since Wed 2016-06-22 09:57:57 EDT; 37min ago
  Process: 16027 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=1/FAILURE)

Jun 22 09:57:55 Server21 sssd[16038]: Starting up
Jun 22 09:57:55 Server21 sssd[16041]: Starting up
Jun 22 09:57:55 Server21 sssd[16042]: Starting up
Jun 22 09:57:56 Server21 sssd[be[16043]: Starting up
Jun 22 09:57:57 Server21 sssd[be[16043]: Failed to read keytab [default]: No such file or directory
Jun 22 09:57:57 Server21 sssd[16031]: Exiting the SSSD. Could not restart critical service [COMPANYNAME.LOCAL].
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Control process exited, code=exited status=1
Jun 22 09:57:57 Server21 systemd[1]: Failed to start System Security Services Daemon.
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Unit entered failed state.
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Failed with result 'exit-code'.

A ponieważ przewodnik mówi, że prawa własności i uprawnienia są ważne:

kyle@Server21:~$ sudo ls -la /etc/sssd
total 12
drwx--x--x   2 sssd sssd 4096 Jun 21 14:34 .
drwxr-xr-x 103 root root 4096 Jun 22 10:21 ..
-rw-------   1 root root  172 Jun 21 14:22 sssd.conf

Mój nsswitch.conf :

kyle@Server21:~$ cat /etc/nsswitch.conf
# /etc/nsswitch.conf
#
# Example configuration of GNU Name Service Switch functionality.
# If you have the 'glibc-doc-reference' and 'info' packages installed, try:
# 'info libc "Name Service Switch"' for information about this file.

passwd:         compat sss
group:          compat sss
shadow:         compat sss
gshadow:        files

hosts:          files dns
networks:       files

protocols:      db files
services:       db files sss
ethers:         db files
rpc:            db files

netgroup:       nis sss
sudoers:        files sss

Mój hosts :

kyle@Server21:~$ cat /etc/hosts
127.0.0.1       localhost
127.0.1.1       Server21.COMPANYNAME.LOCAL Server21
192.168.11.11   Server21.COMPANYNAME.LOCAL Server21

# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

Tutaj zaczyna się kłopot. Użycie sudo do uruchomienia kinit powoduje, że:

kyle@Server21:~$ sudo kinit adminstrator
kinit: Client 'adminstrator@COMPANYNAME.LOCAL' not found in Kerberos database while getting initial credentials

Uwierzytelnia się, jeśli usunę% sudo :

kyle@Server21:~$ kinit -V administrator
Using default cache: /tmp/krb5cc_1000
Using principal: administrator@COMPANYNAME.LOCAL
Password for administrator@COMPANYNAME.LOCAL:
Authenticated to Kerberos v5

I mogę zweryfikować bilet:

kyle@Server21:~$ klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: administrator@COMPANYNAME.LOCAL

Valid starting       Expires              Service principal
06/23/2016 13:41:55  06/23/2016 23:41:55  krbtgt/COMPANYNAME.LOCAL@COMPANYNAME.LOCAL
        renew until 06/24/2016 13:41:48

Ale kiedy próbuję dołączyć do domeny:

kyle@Server21:~$ sudo net ads join -k
Failed to join domain: failed to lookup DC info for domain 'COMPANYNAME.LOCAL' over rpc: An internal error occurred.

Wcześniej otrzymałem komunikat NT_STATUS_UNSUCCESSFUL wspomniany w przewodniku, ale udało mi się go rozwiązać, modyfikując plik hosts .

Przewodnik mówi o sprawdzaniu, czy konto komputera zostało utworzone w Active Directory. A mój administrator mówi, że widzi maszynę dobrze, więc uważam, że jest w porządku. Druga opcja weryfikacji nie mówi mi, co mam odzyskać z tego polecenia, ale nic nie otrzymuję, więc przypuszczam, że to nie działa.

Więc gdzie ja się tu mylę?

Edytuj:

Nie jestem pewien, co zrobiłem, ale teraz działa SSSD.

    
zadawane embedded.kyle 22.06.2016, 22:36
źródło

2 odpowiedzi

1

Problem polegał na tym, że mój administrator utworzył wpis na kontrolerze domeny dla tego serwera. To najwyraźniej spowodowało konflikt, który spowodował, że Kerberos napotkał następujący błąd podczas próby dołączenia:

kyle@Server21:~$ sudo net ads join -k
Failed to join domain: failed to lookup DC info for domain 'COMPANYNAME.LOCAL' over rpc: An internal error occurred.

Nie jestem pewien, czy ten błąd był całkowicie poprawny, ponieważ mój administrator powiedział, że serwer dołączył do domeny po jego końcu, a realmd wskazał, że również dołączyłem:

kyle@Server21:~$ realm join COMPANYNAME.LOCAL
realm: Already joined to this domain

Kroki, których przestrzegałem, aby uzyskać pomyślne dołączenie protokołu Kerberos, były następujące:

  1. Administrator usunął wpis w kontrolerze domeny
  2. Konfiguracja Reran Kerberos przy użyciu: sudo dpkg-reconfigure krb5-config
  3. Wybierz opcje w konfiguracji, aby bezpośrednio dodać kontroler domeny do sekcji [realms] z krb5.conf
  4. Zmieniono nazwę hosta, aby zapewnić utworzenie nowego rekordu
  5. Wyciągnął nowy bilet za pomocą kinit
  6. Dołączyłeś do domeny za pomocą sudo net ads join -k

Wynik końcowy:

kyle@SERV21:~$ sudo net ads join -k  
Using short domain name -- COMPANYNAME  
Joined 'SERV21' to dns domain 'CompanyName.Local'
    
odpowiedział embedded.kyle 30.06.2016, 17:49
źródło
0

Myślę, że brakuje ci keytabu. Możesz go utworzyć za pomocą narzędzia kadmin. wpisz kadmin iw zachęcie wpisz help , aby dowiedzieć się, jak dodać zestaw znaków.

    
odpowiedział user2959348 24.06.2016, 04:19
źródło

Przeczytaj inne pytania na temat tagów