为什么要把Linux机器加入到Windows AD/域控制器(Linux机器为什么要入域)？

Posted 2022-12-15 bluishglc

文章目录

• • 1. 如何入域？
  • 2. 如何判断入域成功？
  • 3. 入域的效果(目的)是什么？
  • 4. 入域和SSSD之间是什么关系？

1. 如何入域？

sudo yum -y install oddjob oddjob-mkhomedir sssd samba-common-tools adcli \\
					krb5-workstation openldap-clients policycoreutils-python realmd
sudo realm join -v -U "<your-domain-admin-account>" "<your-domain(i.e. example.com)>"

realm join命令通常需要执行较长时间（约数分钟），需要耐心等待一下。

2. 如何判断入域成功？

当使用-v参数的realm join -v命令 执行完毕时，如果末尾出现“Successfully enrolled machine in realm”的提示信息，就表明入域成功。此时登录AD服务器，在"Active Directory Users and Computers"的“Computers”下面可以看到新加入的Linux服务器。以上表明入域成功。

3. 入域的效果(目的)是什么？

一旦Linux机器加入到Windows域中，组织内的用户就可以使用域账号SSH登录Linux服务器了。

值得注意的是：在使用realm join入域时，命令会自动配置/etc/sssd/sssd.conf文件，这是入域后可以使用域账号直接SSH登录Linux服务器的关键，这与通过SSSD使用OpenLDAP账号登录Linux是一样的，只是后者的/etc/sssd/sssd.conf文件通常都需要手动配置。

4. 入域和SSSD之间是什么关系？

应该说入域（即realm join操作）需要依赖SSSD，所以需要先安装SSSD的包，在入域时（即realm join操作）会自动配置SSSD。入域后，域账号登录Linux时还是通过SSSD服务联通到AD服务器进行身份认证的，这一点和SSSD配合OpenLDAP工作是一样的。

从SSSD的角度上看，联通OpenLDAP和Windows AD只是配置不同罢了。主要差别是id_provider = ad 还是 ldap，以及一些关联配置。不过，**借助于入域（即realm join）可以免除手动配置SSSD，操作起来比较方便。如果因为某些不原因不能或不想入域，但依然想通过域账号登录Linux，此时可以不做入域（即realm join）操作，手动配置SSSD联通AD，这也是完全可行的。**以下是SSSD官方给出的解释：

参考：

https://sssd.io/docs/ad/ad-ldap-provider.html

https://sssd.io/docs/ad/ad-provider-manual.html

https://sssd.io/docs/ad/ad-provider.html