Linux am Active Directory

Mithilfe von sssd, adcli und dem Assistenten realm lassen sich Linux Installationen an ein Active Directory anbinden.

Dazu müssten zunächst die benötigten Pakete installiert werden. Auf einem Ubuntu-System erfolgt dies mit folgendem Befehl:

sudo apt install sssd-ad sssd-tools realmd adcli

Daraufhin kann geprüft werden, ob das Active Directory erreichbar ist. In folgendem Beispiel wird meinedomain.tld als AD Domain verwendet.

sudo realm -v discover meinedomain.tld

Eine mögliche Ausgabe kann wie folgt aussehen:

 * Resolving: _ldap._tcp.meinedomain.tld
 * Performing LDAP DSE lookup on: 192.168.1.10
 * Successfully discovered: meinedomain.tld
meinedomain.tld
  type: kerberos
  realm-name: MEINEDOMAIN.TLD
  domain-name: meinedomain.tld
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin
  login-formats: %U@meinedomain.tld
  login-policy: allow-realm-logins

Zur eigentlichen Anbindung kann folgender Befehl verwendet werden:

sudo realm join -U administrator@MEINEDOMAIN.TLD --computer-ou='OU=computers,DC=meinedomain,DC=tld' meinedomain.tld -v

Dabei ist wichtig, dass der Name des Realms bei der Angabe des Benutzernamens, welcher über Join-Rechte im Active Directory verfügt, in Grossbuchstaben erfolgt.

Die OU in der das Computerobjekt erstellt werden soll, kann je nach Gegebenheiten abweichen.

Damit für Benutzer, welche sich an dem Computer über das AD anmelden, automatisch ein Homeverzeichnis erstellt wird, kann das PAM Modul mkhomedir verwendet werden.

sudo pam-auth-update --enable mkhomedir

Prüfen, ob der Vorgang erfolgreich war, kann man mit folgendenBefehlen:

getent passwd administrator@meinedomain.tld
groups administrator@meinedomain.tld

Das Login selbst kann mit folgendem Befehl überprüft werden:

sudo login

ad-client login: administrator@meinedomain.tld
Password: 

Das Linux System sollte nun an das Active Directory angebunden sein und eine Anmeldung sollte möglich sein.