ربط نظام SLES 15 بـ Active Directory باستخدام SSSD في YaST

بالنسبة لمحطة عمل أو خادم SLES 15 نموذجي يحتاج إلى مستخدمين وتسجيلات دخول مدعومة من Active Directory، استخدم User Logon Managementوحدة YaST وحدد Microsoft Active Directory لكلٍ من الهوية والمصادقة؛ هذا هو المسار المعتمد على SSSD من SUSE. على سبيل المثال، يستخدم هذا الشرح مضيفًا افتراضيًا باسم linux01ونطاقًا افتراضيين ad.example.com. ينطبق هذا عندما يتمكن العميل من الوصول إلى خدمات DNS ووقت Active Directory، ولديك بيانات اعتماد تسجيل كمبيوتر معتمدة.

تتبع هذه الإجراءات دليل الأمان والتحصين الخاص بنظام SLES 15 SP7 من SUSE. قد تحتوي حزم الخدمة السابقة على شاشات YaST أو تفاصيل حزم مختلفة، لذا استخدم الدليل المتوافق مع حزمة الخدمة المثبتة. إذا كانت متطلباتك تتطلب دعم NTLM أو علاقات ثقة بين الغابات، فإن SUSE تُشير إلى وحدة عضوية مجال Windows المنفصلة، ​​والمبنية على Winbind، باعتبارها الخيار الأنسب.

قبل الانضمام: تحقق من نظام أسماء النطاقات (DNS) والوقت وهوية المضيف

يعتمد اكتشاف Active Directory على سجلات نظام أسماء النطاقات (DNS)، ويعتمد توثيق Kerberos على ساعة دقيقة. وجّه عميل SLES إلى خادم DNS قادر على حلّ اسم نطاق Active Directory ووحدات التحكم الخاصة به؛ في الإعدادات الشائعة، يعني ذلك استخدام خادم DNS الخاص بـ Active Directory بدلاً من خادم DNS عام. قم بمزامنة العميل مع مصدر الوقت المعتمد لنطاقك.

في YaST، افتح الملف Network Settings، وحدد الخيار المناسب Hostname/DNS، ثم أدخل Name Server 1عنوان خادم DNS الخاص بـ Active Directory. العنوان الموضح في الصورة هو مجرد مثال توضيحي. بعد ذلك، تأكد من اسم المضيف المحلي وحالة الوقت.

hostname
timedatectl status

قارن اسم الكمبيوتر بالاسم المسجل له في Active Directory. إذا اختلفا، فسيُظهر مربع حوار الانضمام في SUSE AD hostnameحقلًا لذلك. لا تُعطّل جدار الحماية كاختصار للاكتشاف؛ اطلب من فريق الشبكة السماح بحركة البيانات المطلوبة بين العميل ووحدة تحكم المجال وفقًا لقواعد مؤسستك. كما تُحذّر SUSE من أن الأسماء التي تنتهي بـ . .localقد تتعارض مع نظام أسماء النطاقات متعدد البث (Multicast DNS)، لذا تحقق من تصميم نظام أسماء النطاقات لديك إذا كان هذا هو لاحقة نطاقك.

اختر وحدة SSSD وأضف مجال AD

في YaST، افتح User Logon Management. لا تختار هذا الخيار Windows Domain Membershipفي هذه العملية: توثق SUSE أن هذه الوحدة تعتمد على Winbind، بينما إدارة تسجيل دخول المستخدم هي الخيار الذي يعتمد على SSSD وهو المفضل عمومًا لمصادقة AD.

افتح Change Settings، وحدد Add Domain، وأدخل اسم نطاق DNS، مثل ad.example.com. اضبط كلاً من خدمة الهوية وخدمة المصادقة على Microsoft Active Directory، وتأكد Enable the domainمن تحديد .

احتفظ بالإعدادات الافتراضية الأخرى ما لم تتطلب بيئتك اسم مضيف Active Directory محددًا أو قائمة ثابتة بوحدات تحكم المجال. إذا لم يكن الاكتشاف التلقائي لنظام أسماء النطاقات (DNS) مناسبًا، فأدخل أسماء مضيفي وحدات تحكم المجال التي يوفرها فريق Active Directory لديك. حدد OKهذا الخيار ليتمكن YaST من تثبيت أي برامج مفقودة والتحقق من إمكانية الوصول إلى وحدة التحكم.

قم بتسجيل المضيف وتمكين تسجيلات الدخول إلى النطاق

عندما يُبلغ YaST عن اكتشاف خادم Active Directory ولكن لم يتم تسجيل الكمبيوتر بعد، أدخل حساب التسجيل وكلمة المرور المُصرّح بهما. يستخدم مربع حوار SUSE الموثق حساب مسؤول Active Directory؛ اتبع الإجراءات المعتمدة من فريق الدليل لتسجيل الكمبيوتر، ولا تُدرج كلمة المرور في أي نص برمجي أو مقال. إذا لم يتمكن مربع الحوار من اكتشاف الخادم، فارجع إلى فحوصات DNS واسم المضيف قبل إعادة المحاولة.

بعد التسجيل، قم بتفعيل هذه الميزة Allow Domain User Logon. حدد ما إذا كنت ترغب في تفعيلها Create Home Directoriesبناءً على سياسة بيانات المستخدم الخاصة بالخادم. يؤدي هذا إلى إنشاء مجلدات رئيسية محلية لمستخدمي Active Directory عند تسجيل الدخول لأول مرة؛ وهو أمر مفيد للأجهزة التي ينبغي أن تحتفظ ببيانات المستخدم الرئيسية المحلية، ولكنه لا يقوم بإنشاء حساب المستخدم أو إدارته في Active Directory.

إذا كان Active Directory يوفر بالفعل سمات كل مستخدم UnixHomeDirectory، فتأكد من أنها مُعبأة ومتاحة وفقًا لتصميم دليل المستخدم. عندما يحتاج المستخدم إلى مسار احتياطي، استخدم الأمر Service Options` Name switch>>` Extended Optionsلتكوينه fallback_homedir، على سبيل المثال /home/%u. تُشير وثائق SUSE إلى أنه يتم استخدام مسار احتياطي عند عدم توفير مسار Active Directory، override_homedirمع إعطاء الأولوية لقيمة المستخدم. اختر مسارًا احتياطيًا فقط بعد مراجعة سياسة دليل المستخدم الرئيسي.

احفظ الإعدادات وراجع ملخص التكوين الناتج. إذا كان النظام يستخدم Samba أيضًا، فاختر خيار استبدال تكوين Samba فقط عند الرغبة في هذا التكامل؛ فهو منفصل عن تفعيل تسجيل دخول المستخدم عبر SSSD.

تحقق من SSSD، والبحث عن المستخدم، وتسجيل الدخول إلى Kerberos

تأكد من تفعيل SSSD، ثم استعلم عن حساب نطاق حقيقي باستخدام تنسيق الاسم المعتمد لنطاقك. في هذا المثال، استبدل EXAMPLEو aliceباسم النطاق المختصر وحساب اختبار موجود.

systemctl status sssd
getent passwd 'EXAMPLE\alice'

يؤكد إدخال كلمة المرور المُسترجعة قدرة NSS على الوصول إلى الحساب، ولكنه لا يُثبت وحده قدرة المستخدم على المصادقة أو الوصول إلى التطبيقات. اختبر تسجيل دخول تفاعلي باستخدام بيانات اعتماد المجال، وذلك باستخدام النموذج الموثق DOMAIN_NAME\USER_NAMEفي وحدة التحكم أو مدير العرض. بعد تسجيل الدخول، شغّل الأمر klistللتحقق مما إذا كانت الجلسة تحتوي على تذكرة Kerberos.

إذا كان SSSD قيد التشغيل ولكن فشل البحث عن المستخدم، فأعد التحقق من اسم النطاق المؤهل بالكامل، وخادم DNS، واسم المضيف، وخيارات الهوية والمصادقة في YaST. إذا نجح البحث ولكن فشل تسجيل الدخول، فتحقق من تفعيل الحساب، وصحة كلمة المرور، وقدرة العميل على الوصول إلى وحدة تحكم النطاق. لا تُنهِ العملية إلا بعد أن يتمكن مستخدم اختبار مُصرَّح له من تسجيل الدخول، والتأكد من سلوك دليل المستخدم الرئيسي المتوقع، واستمرار عمل الخدمات المطلوبة للخادم.

المصادر

• دليل الأمان والتحصين لنظام SUSE SLES 15 SP7: دعم Active Directory
• دليل الأمان والتحصين لنظام SUSE SLES 15 SP7: SSSD وعملاء المصادقة
• فهرس وثائق SUSE SLES 15 SP7