web-dev-qa-db-ja.com

Active Directoryドメインへの参加に関する問題

Ubuntu 14.04サーバーをWindows 2003 R2ドメインに参加させようとしています。私の管理者は、コントローラー側から見るとドメインの一部であると言っています。しかし、SSSDが起動していないように見え、DNS更新が失敗します。

私はこれを試すためにさまざまなガイドに従ってきましたが、エラーなしでそれらのいずれかを完了することに失敗しました。

buntuサーバーガイド
KiloRoot
NetNerds
Fedora SSSDガイド

発見はうまく機能しているようです：

kyle@Server21:~$ realm discover COMPANYNAME.LOCAL
CompanyName.Local
  type: kerberos
  realm-name: COMPANYNAME.LOCAL
  domain-name: companyname.local
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin
  login-formats: %U
  login-policy: allow-realm-logins
companyname.local
  type: kerberos
  realm-name: COMPANYNAME.LOCAL
  domain-name: companyname.local
  configured: no

realmdも私がドメインに参加していると言います：

kyle@Server21:~$ realm join COMPANYNAME.LOCAL
realm: Already joined to this domain

Kerberosは私の管理者の認証を受けました：

kyle@Server21:~$ kinit -V administrator
Using default cache: /tmp/krb5cc_0
Using principal: [email protected]
Password for [email protected]:
Authenticated to Kerberos v5

しかし、参加するときになると、DNSアップデートは失敗します。

kyle@Server21:~$ Sudo net ads join -k
Using short domain name -- COMPANYNAME
Joined 'SERVER21' to dns domain 'CompanyName.Local'
No DNS domain configured for server21. Unable to perform DNS Update.
DNS update failed: NT_STATUS_INVALID_PARAMETER

そしてSSSDにはまだ問題があります：

kyle@Server21:~$ systemctl status sssd.service
● sssd.service - System Security Services Daemon
   Loaded: loaded (/lib/systemd/system/sssd.service; enabled; vendor preset: enabled)
   Active: failed (Result: exit-code) since Wed 2016-06-22 09:57:57 EDT; 37min ago
  Process: 16027 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=1/FAILURE)

Jun 22 09:57:55 Server21 sssd[16038]: Starting up
Jun 22 09:57:55 Server21 sssd[16041]: Starting up
Jun 22 09:57:55 Server21 sssd[16042]: Starting up
Jun 22 09:57:56 Server21 sssd[be[16043]: Starting up
Jun 22 09:57:57 Server21 sssd[be[16043]: Failed to read keytab [default]: No such file or directory
Jun 22 09:57:57 Server21 sssd[16031]: Exiting the SSSD. Could not restart critical service [COMPANYNAME.LOCAL].
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Control process exited, code=exited status=1
Jun 22 09:57:57 Server21 systemd[1]: Failed to start System Security Services Daemon.
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Unit entered failed state.
Jun 22 09:57:57 Server21 systemd[1]: sssd.service: Failed with result 'exit-code'.

krb5.confで私に固有の部分は[libdefaults]のみです。

kyle@Server21:~$ cat /etc/krb5.conf
[libdefaults]
        default_realm = COMAPNYNAME.LOCAL

以前のインストールで[realms]に何か他にあると思っていましたが、何を思い出せません。 Fedoraガイドは、DNSルックアップが機能していないときに何かを追加することについて話していますが、そこに何があるべきかを正確に理解するのに十分な詳細には触れていません。

smb.confへの私の変更：

[global]

## Browsing/Identification ###

# Change this to the workgroup/NT-domain name your Samba server will part of
   workgroup = COMPANYNAME
   client signing = yes
   client use spnego = yes
   kerberos method = secrets and keytab
   realm = COMPANYNAME.LOCAL
   security = ads

私のsssd.conf

kyle@Server21:~$ Sudo cat /etc/sssd/sssd.conf
[sssd]
services = nss, pam
config_file_version = 2
domains = COMPANYNAME.LOCAL

[domain/COMPANYNAME.LOCAL]
id_provider = ad
access_provider = ad
override_homedir = /home/%d/%u

そしてUbuntuガイドは所有権と許可が重要であると言っているので：

kyle@Server21:~$ Sudo ls -la /etc/sssd
total 12
drwx--x--x   2 sssd sssd 4096 Jun 21 14:34 .
drwxr-xr-x 103 root root 4096 Jun 22 10:21 ..
-rw-------   1 root root  172 Jun 21 14:22 sssd.conf

Ubuntuのガイドでは、hostsファイルがDNSの更新で問題を引き起こす可能性があることについても言及していますが、私はそれらの例に正しく従っていると思います。

kyle@Server21:~$ cat /etc/hosts
127.0.0.1       localhost
127.0.1.1       Server21
192.168.XXX.XXX Server21 Server21.COMPANYNAME.LOCAL

# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

だから私はここでどこが間違っているのですか？ドメインコントローラは、それがドメインの一部であると言います。私はApacheとOpenSSHの両方を稼働させてアクセス可能にしています。しかし、このサーバーが行うことはまだまだたくさんあるので、次に進む前にすべてが適切に構成されていることを確認したいと思います。

編集：

this page からのアドバイスに基づいてhostsファイルを変更したので、次のようになります。

kyle@Server21:~$ cat /etc/hosts
127.0.0.1       localhost
127.0.1.1       Server21.COMPANYNAME.LOCAL Server21
192.168.11.11   Server21.COMPANYNAME.LOCAL Server21

# The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

ここでgetentは以下を返します：

kyle@Server21:~$ Sudo getent hosts Server21
127.0.1.1       Server21.COMPANYNAME.LOCAL Server21 Server21
192.168.11.11   Server21.COMPANYNAME.LOCAL Server21 Server21

また、net ads joinには別のエラーメッセージが表示されます。

kyle@Server21:~$ Sudo net ads join -k
Failed to join domain: failed to lookup DC info for domain 'COMPANYNAME.LOCAL' over rpc: An internal error occurred.

これまでのところ、このエラーについて私が見つけた唯一のアドバイスは、ADサーバーがresolv.confにあり、IPが唯一のエントリであることを確認することです。

kyle@Server21:~$ cat /etc/resolv.conf
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 192.168.XXX.XXX

コメントに答えるには：

kyle@Server21:~$ nslookup -type=SRV _ldap._tcp.companyname.local
Server:         192.168.XXX.XXX
Address:        192.168.XXX.XXX#53

_ldap._tcp.companyname.local      service = 0 100 389 companynamedc.companyname.local.

SSSDが起動でき、現在アクティブになっている途中のどこか。私が何をしたか私にはわかりませんが、それを修正しました。

ubuntuwindowsdnsactive-directorysssd
2
embedded.kyle

問題は、私の管理者がこのサーバーのドメインコントローラーにエントリを作成したことでした。これにより、競合が発生したため、Kerberosが参加しようとすると次のエラーが発生しました。

kyle@Server21:~$ Sudo net ads join -k
Failed to join domain: failed to lookup DC info for domain 'COMPANYNAME.LOCAL' over rpc: An internal error occurred.

私の管理者がサーバーが彼の側でドメインに参加したと言い、realmdも私が参加したことを示したので、このエラーが完全に正確であるかどうかはわかりません：

kyle@Server21:~$ realm join COMPANYNAME.LOCAL
realm: Already joined to this domain

Kerberos参加を成功させるために実行した手順は次のとおりです。

  1. 管理者がドメインコントローラのエントリを削除しました
  2. 次を使用してKerberos構成を再実行しました：Sudo dpkg-reconfigure krb5-config
  3. 構成のオプションを選択して、ドメインコントローラを[realms]のkrb5.confセクションに明示的に追加します。
  4. 新しいレコードが作成されるようにホスト名を変更しました
  5. kinitを使用して新しいチケットをプルしました
  6. Sudo net ads join -kを使用してドメインに参加しました

最終結果：

kyle@SERV21:~$ Sudo net ads join -k  
Using short domain name -- COMPANYNAME  
Joined 'SERV21' to dns domain 'CompanyName.Local'
1
embedded.kyle