web-dev-qa-db-ja.com

LinuxホストをActive Directoryに無人で参加させる

キックスタートを使用してホストのブロックをセットアップしようとしていますが、パスワードの入力が必要な2つのコマンドがあります。 1つはkinitです。1つはkeytabファイルを生成し、-tを使用して渡すのが簡単です。もう1つは、authconfigコマンドを実行したときに間接的に呼び出されるネット結合です。

資格情報ファイルまたはパスワードハッシュを使用してパスワードを渡す方法はありますか？明らかに、プレーンテキストとして渡すだけでは不十分です。

@ewwhiteリンクをありがとう、私は見ていきます。何もわかりません。SSSDを使用してまったく同じことを実行でき、無人プロビジョニングが可能であれば、これに反対することは絶対にありません。私のSamba/Winbindの使用は、それらの快適さのレベルと関係があります。パスワードを手動で入力する必要がないことを念頭に置いて、SSSDを使用して同じことを行う方法を提案できますか？

関連するキックスタートコンテンツ：

cat << EOF > /etc/samba/smb.conf
[global]
   encrypt passwords = yes
   # logs split per machine
   log file = /var/log/samba/log.%m
   # max 50KB per log file, then rotate
   max log size = 50
   passdb backend = tdbsam
EOF

chkconfig smb on
chkconfig nmb on
service smb restart
service nmb restart

cat << EOF > /etc/krb5.conf
[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = AD.DOMAIN.NET
 dns_lookup_realm = true
 dns_lookup_kdc = true
 allow_weak_crypto = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 rdns = false
 forwardable = true

[realms]
 AD.DOMAIN.NET = {
  admin_server = dc01.ad.domain.net
  default_domain = ad.domain.net
  kdc = dc01.ad.domain.net
 }

[domain_realm]
 .ad.domain.net = AD.DOMAIN.NET
 ad.domain.net = AD.DOMAIN.NET
EOF

net time set -S dc01.ad.domain.net

/usr/bin/kinit -k -t addom.keytab [email protected]

authconfig --update \
           --kickstart \
           --enablewinbind \
           --enablewinbindauth \
           --smbsecurity=ads \
           --smbrealm=AD.DOMAIN.NET \
           [email protected] \
           --winbindtemplatehomedir=/home/DOMAIN/%U \
           --winbindtemplateshell=/bin/bash \
           --enablewinbindusedefaultdomain \
           --enablelocauthorize \
           --smbservers=dc01.ad.domain.net \
           --enablemkhomedir \
           --smbidmaprange=100000-200000
linuxactive-directorysamba
5
Geoff Johnson

Netコマンドにはkerberosキータブを使用するオプションがあり、以前よりもmanページをよく読まなければならないことがわかりました。これが私のために働いたものです：

ドメインコントローラー上

ktpass princ Host/[email protected] mapuser AD\Administrator -pass * out test.keytab

参加しているコンピュータ上

kinit -k -t /tmp/test.keytab
net ads join -k
2
Geoff Johnson

豊富なオプション...参照： LinuxサーバーのActive Directory認証に関する一般的な知識

EL6を使用して、Samba/Winbindルートに移動しますかよろしいですか？最近では、巧妙に作成されたauthconfig文字列とSSSD構成（/etc/sssd/sssd.conf）ファイルは必要なもののほとんどすべてです...（ホームディレクトリを統合しようとしている場合を除きます）

今キックスタートには何がありますか？

2
ewwhite