YaST에서 SSSD를 사용하여 SLES 15를 Active Directory에 연결하기

AD 기반 사용자 및 로그인이 필요한 일반적인 SLES 15 워크스테이션 또는 서버의 경우 YaST User Logon Management모듈을 사용하고 ID 및 인증 모두에 Microsoft Active Directory를 선택하십시오. 이는 SUSE의 SSSD 기반 경로입니다. 예를 들어, 이 안내서에서는 가상의 호스트 linux01와 도메인을 사용합니다 ad.example.com. 이 방법은 클라이언트가 AD DNS 및 시간 서비스에 연결할 수 있고 컴퓨터 등록 자격 증명이 있는 경우에 적용됩니다.

이 절차는 SUSE의 SLES 15 SP7 보안 및 강화 가이드를 따릅니다. 이전 서비스 팩은 YaST 화면이나 패키지 세부 정보가 다를 수 있으므로 설치된 서비스 팩에 맞는 가이드를 사용하십시오. NTLM 지원 또는 교차 포리스트 트러스트가 특별히 필요한 경우, SUSE는 Winbind 기반의 별도 Windows 도메인 멤버십 모듈을 사용하는 것이 더 적합하다고 권장합니다.

참여하기 전에 DNS, 시간 및 호스트 ID를 확인하세요.

AD 검색은 DNS 레코드에 의존하며, Kerberos 인증은 정확한 시계에 달려 있습니다. SLES 클라이언트가 AD 도메인과 도메인 컨트롤러를 확인할 수 있는 DNS 서버를 가리키도록 설정하십시오. 일반적인 설정에서는 공용 확인자 대신 AD DNS 서버를 사용하는 것이 좋습니다. 클라이언트를 도메인에 승인된 시간 소스와 동기화하십시오.

YaST에서 [설정]을 열고 [ Network Settings설정]을 선택한 Hostname/DNS다음 AD DNS 서버 주소로 설정합니다 Name Server 1. 그림의 주소는 자리 표시자일 뿐입니다. 그런 다음 로컬 호스트 이름과 시간 상태를 확인합니다.

hostname
timedatectl status

컴퓨터 이름과 Active Directory에 등록된 이름을 비교하십시오. 이름이 다르면 SUSE의 도메인 가입 대화 상자에서 AD hostname해당 이름을 입력할 수 있는 필드를 제공합니다. 검색 바로가기 방법으로 방화벽을 비활성화하지 마십시오. 네트워크 팀에 문의하여 조직의 규칙에 따라 필요한 클라이언트-도메인 컨트롤러 트래픽을 허용하도록 요청하십시오. 또한 SUSE는 .local도메인 접미사가 .g ...

SSSD 모듈을 선택하고 AD 도메인을 추가하세요.

YaST에서 를 엽니다 User Logon Management. 이 절차에서는 해당 옵션을 선택하지 마십시오 Windows Domain Membership. SUSE 문서에 따르면 해당 모듈은 Winbind 기반이지만, 사용자 로그온 관리는 SSSD 기반 옵션이며 일반적으로 AD 인증에 선호됩니다.

[설정] 을 열고 Change Settings[선택]을 Add Domain선택한 다음 도메인의 DNS 이름(예: )을 입력합니다 ad.example.com. ID 서비스와 인증 서비스를 모두 [인증 서비스]로 설정하고 [인증 서비스] 가 선택되어 있는지 Microsoft Active Directory확인합니다 Enable the domain.

특정 AD 호스트 이름이나 고정된 도메인 컨트롤러 목록이 필요한 환경이 아니라면 나머지 설정은 기본값을 유지하십시오. DNS 자동 검색이 적절하지 않은 경우 AD 팀에서 제공한 도메인 컨트롤러 호스트 이름을 입력하십시오. OKYaST가 누락된 소프트웨어를 설치하고 컨트롤러에 연결할 수 있는지 확인할 수 있도록 선택하십시오.

호스트를 등록하고 도메인 로그인을 활성화하세요.

YaST에서 AD 서버를 발견했지만 컴퓨터가 아직 등록되지 않았다고 보고하는 경우, 승인된 등록 계정과 암호를 입력하십시오. SUSE에서 제공하는 대화 상자에서는 AD 관리자 계정을 사용합니다. 디렉터리 팀에서 승인한 컴퓨터 등록 절차를 따르고, 스크립트나 문서에 암호를 절대 입력하지 마십시오. 대화 상자에서 서버를 찾을 수 없는 경우, 다시 시도하기 전에 DNS 및 호스트 이름 검사 단계로 돌아가십시오.

등록 후 활성화하십시오 Allow Domain User Logon. 서버의 사용자 데이터 정책에 따라 활성화 여부를 결정하십시오 Create Home Directories. 이 기능을 활성화하면 AD 사용자가 처음 로그인할 때 로컬 홈 디렉터리가 생성됩니다. 로컬 홈 데이터를 유지해야 하는 시스템에 유용하지만, AD에 사용자 계정을 생성하거나 관리하지는 않습니다.

AD에서 각 사용자의 UnixHomeDirectory속성을 이미 제공하는 경우, 디렉터리 설계에 따라 해당 속성이 채워져 있고 사용 가능한지 확인하십시오. 클라이언트가 대체 경로를 필요로 하는 경우, 예를 들어 Service Options`> Name switch>` 를 사용하여 Extended Options구성하십시오 . SUSE 문서에 따르면 AD 경로가 제공되지 않을 경우 대체 경로가 사용되며, 이 경우 클라이언트 값이 우선 적용됩니다. 홈 디렉터리 정책을 확인한 후에만 대체 경로를 선택하십시오.fallback_homedir/home/%uoverride_homedir

설정을 저장하고 결과로 생성된 구성 요약을 검토하십시오. 시스템에서 Samba도 사용하는 경우, Samba 통합이 필요한 경우에만 Samba 구성을 덮어쓰는 옵션을 선택하십시오. 이는 SSSD 기반 사용자 로그온 활성화와는 별개입니다.

SSSD, 사용자 조회 및 Kerberos 로그인을 확인합니다.

SSSD가 활성화되어 있는지 확인한 다음, 도메인에 대해 승인된 이름 형식을 사용하여 실제 도메인 계정을 쿼리합니다. 이 예에서 <도메인 이름>과 <테스트 계정>을 각각 짧은 도메인 이름과 기존 테스트 계정으로 바꾸 EXAMPLE세요 alice.

systemctl status sssd
getent passwd 'EXAMPLE\alice'

반환된 passwd 항목은 NSS가 계정을 확인할 수 있음을 증명하지만, 사용자가 인증하거나 애플리케이션에 액세스할 수 있음을 단독으로 증명하는 것은 아닙니다. DOMAIN_NAME\USER_NAME콘솔 또는 디스플레이 관리자에서 제공되는 양식을 사용하여 도메인 자격 증명으로 대화형 로그인을 테스트하십시오. 로그인 후, klist세션에 Kerberos 티켓이 있는지 확인하는 명령을 실행하십시오.

SSSD가 실행 중이지만 사용자 조회가 실패하는 경우, YaST에서 정규화된 도메인 이름, DNS 서버, 호스트 이름 및 ID/인증 선택 사항을 다시 확인하십시오. 조회는 성공하지만 로그인이 실패하는 경우, 계정이 활성화되어 있는지, 암호가 유효한지, 클라이언트가 도메인 컨트롤러에 연결할 수 있는지 확인하십시오. 허용된 테스트 사용자가 로그인할 수 있고, 예상되는 홈 디렉터리 동작이 확인되었으며, 서버에 필요한 서비스가 정상적으로 작동하는 경우에만 작업을 완료하십시오.

출처

• SUSE SLES 15 SP7 보안 및 강화 가이드: Active Directory 지원
• SUSE SLES 15 SP7 보안 및 강화 가이드: SSD 및 인증 클라이언트
• SUSE SLES 15 SP7 문서 색인