AD Account Login Linux Server (oracle linux 與 Windows AD 帳號認證整合)

From: Polin Wei

為了在Windows主機間達到資源共享的目的，微軟發展出 SMB(Server Message Block)通訊協定，利用其網路芳鄰共享檔案系統及印表機等資源；而Samba在Linux主機上實現SMB通訊協定的系統，達成Windows與 Linux主機的資源共享，再搭配 Winbind 模組解決 Samba 中統一登入問題。因為 Linux Server 愈來愈多，為了可以達到統一單一帳號來達到管理，因此； 接下來我們要利用 samba、winbind 來整合 AD 帳號，這樣我們就可以在 AD 管理帳號就可以了。

環境：

Windows Server 2003 AD Server： ADSERVER.WEI.COM (192.168.2.1)

Oracle Linux R6.5 for x86_64 (64 Bit) ：cvs.wei.com (192.168.2.69)

一、Linux 相關套件安裝與設定

1) 在安裝 Linux 主機時，可以選取相關的套件


2) 檢查/驗證一下相關的套件是否有裝
[root@cvs ~]# rpm -qa | grep samba
samba-common-3.6.9-164.el6.x86_64
samba-client-3.6.9-164.el6.x86_64
samba4-libs-4.0.0-58.el6.rc4.x86_64
samba-winbind-3.6.9-164.el6.x86_64
samba-3.6.9-164.el6.x86_64
samba-winbind-clients-3.6.9-164.el6.x86_64

[root@cvs ~]# rpm -qa | grep winbind
samba-winbind-3.6.9-164.el6.x86_64
samba-winbind-clients-3.6.9-164.el6.x86_64

[root@cvs ~]# rpm -qa | grep krb5
krb5-workstation-1.10.3-10.el6_4.6.x86_64
krb5-server-1.10.3-10.el6_4.6.x86_64
pam_krb5-2.3.11-9.el6.x86_64
krb5-libs-1.10.3-10.el6_4.6.x86_64

3) 使用 UI 工具來作設定
 設定好後 Apply，然後記得要在 Identity & Authentication 按下 Join Domain，在 AD 的 Computers 中應該可以看到此 Linux : cvs 主機

4) 啟動 Samba & Winbind Services

5) 最後使用 AD Domain User 來作登入測試，應該就可以成功了。

6) 若有目錄要給 AD Domain Users 群組可以使用, 可以用指令 # chown -R root:"WEI\Domain Users" /opt/cvs_root/ 來賦予.

Oracle Linux 在使用 samba、winbind 來整合 AD 帳號的 UI 畫面已經整合的非常好，/etc/samba/smb.conf & /etc/krb5.conf 都不需去多作編輯：只有 /var/kerberos/krb5kdc/kdc.conf 檔案內容中的 EXAMPLE.COM 要改成您的 AD 網域(如:WEI.COM)，以及將 master_key_type 前的 # 去除即可。相關檔案如下：

[root@cvs samba]# cat /etc/samba/smb.conf #======================= Global Settings ===================================== [global] #--authconfig--start-line-- # Generated by authconfig on 2014/01/15 15:41:06 # DO NOT EDIT THIS SECTION (delimited by --start-line--/--end-line--) # Any modification may be deleted or altered by authconfig in future    workgroup = WEI    password server = ADSERVER.WEI.COM    realm = WEI.COM    security = ads    idmap config * : range = 16777216-33554431    template shell = /bin/bash    winbind use default domain = false    winbind offline logon = true #--authconfig--end-line--

[root@cvs samba]# cat /etc/krb5.conf [logging]  default = FILE:/var/log/krb5libs.log  kdc = FILE:/var/log/krb5kdc.log  admin_server = FILE:/var/log/kadmind.log [libdefaults]  default_realm = WEI.COM  dns_lookup_realm = false  dns_lookup_kdc = false  ticket_lifetime = 24h  renew_lifetime = 7d  forwardable = true [realms]  EXAMPLE.COM = {   kdc = kerberos.example.com   admin_server = kerberos.example.com  }  WEI.COM = {   kdc = ADSERVER.WEI.COM  } [domain_realm]  .example.com = EXAMPLE.COM  example.com = EXAMPLE.COM

# vi /var/kerberos/krb5kdc/kdc.conf [kdcdefaults]  kdc_ports = 88  kdc_tcp_ports = 88 [realms]  WEI.COM = {   master_key_type = aes256-cts   acl_file = /var/kerberos/krb5kdc/kadm5.acl   dict_file = /usr/share/dict/words   admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab   supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal  }

(繼續閱讀...)