NIS と Active Directory を統合する
この記事では、SSSD を使用して Linux VDA 上で NIS を Windows Active Directory (AD) と統合する方法について説明します。Linux VDA は Citrix Virtual Apps and Desktops のコンポーネントと見なされます。その結果、Windows AD 環境に密接に適合します。
AD の代わりに NIS を UID および GID プロバイダーとして使用する場合、アカウント情報（ユーザー名とパスワードの組み合わせ）が AD と NIS の両方で同じである必要があります。
注:
認証は引き続き AD サーバーによって実行されます。NIS+ はサポートされていません。NIS を UID および GID プロバイダーとして使用する場合、Windows サーバーからの POSIX 属性は使用されなくなります。
ヒント:
この方法は、Linux VDA を展開する非推奨の方法であり、特別なユースケースでのみ使用されます。RHEL/CentOS ディストリビューションの場合は、RHEL/CentOS 用 Linux Virtual Delivery Agent のインストール の手順に従ってください。Ubuntu ディストリビューションの場合は、Ubuntu 用 Linux Virtual Delivery Agent のインストール の手順に従ってください。
SSSD とは？
SSSD はシステムデーモンです。その主な機能は、システムのキャッシュとオフラインサポートを提供できる共通のフレームワークを通じて、リモートリソースを識別および認証するためのアクセスを提供することです。PAM モジュールと NSS モジュールの両方を提供し、将来的には拡張ユーザー情報のための D-BUS ベースのインターフェイスをサポートできます。また、ローカルユーザーアカウントと拡張ユーザーデータを保存するためのより優れたデータベースも提供します。
必要なソフトウェア
AD プロバイダーは SSSD バージョン 1.9.0 で初めて導入されました。
この記事に含まれる手順を使用する場合、以下の環境がテストおよび検証されています。
-
RHEL 7.7 以降
-
CentOS 7.7 以降
NIS と AD を統合する
NIS を AD と統合するには、次の手順を実行します。
-
ドメインに参加し、Samba を使用してホストキータブを作成する(/ja-jp/linux-virtual-delivery-agent/1912-ltsr/configuration/integrate-nis-with-active-directory.html#join-the-domain-and-create-a-host-keytab-using-samba)
-
SSSD をセットアップする(/ja-jp/linux-virtual-delivery-agent/1912-ltsr/configuration/integrate-nis-with-active-directory.html#set-up-sssd)
-
NSS/PAM を構成する(/ja-jp/linux-virtual-delivery-agent/1912-ltsr/configuration/integrate-nis-with-active-directory.html#configure-nsspam)
-
Kerberos 構成を確認する(/ja-jp/linux-virtual-delivery-agent/1912-ltsr/configuration/integrate-nis-with-active-directory.html#verify-the-kerberos-configuration)
-
ユーザー認証を確認する(/ja-jp/linux-virtual-delivery-agent/1912-ltsr/configuration/integrate-nis-with-active-directory.html#verify-user-authentication)
Linux VDA を NIS クライアントとして追加する
NIS クライアントを構成します。
yum –y install ypbind rpcbind oddjob-mkhomedir
NIS ドメインを設定します。
ypdomainname nis.domain
echo "NISDOMAIN=nis.domain" >> /etc/sysconfig/network
NIS サーバーとクライアントの IP アドレスを /etc/hosts に追加します。
{NIS server IP address} server.nis.domain nis.domain
authconfig を使用して NIS を構成します。
sudo authconfig --enablenis --nisdomain=nis.domain --nisserver=server.nis.domain --enablemkhomedir --update
nis.domain は NIS サーバーのドメイン名を表します。server.nis.domain は NIS サーバーのホスト名であり、NIS サーバーの IP アドレスでもかまいません。
NIS サービスを構成します。
sudo systemctl start rpcbind ypbind
sudo systemctl enable rpcbind ypbind
NIS 構成が正しいことを確認します。
ypwhich
アカウント情報が NIS サーバーから利用可能であることを検証します。
getent passwd nisaccount
注:
nisaccount は NIS サーバー上の実際の NIS アカウントを表します。UID、GID、ホームディレクトリ、およびログインシェルが正しく構成されていることを確認してください。
Samba を使用してドメインに参加し、ホストキータブを作成する
SSSD は、ドメインへの参加やシステムキータブファイルの管理のための AD クライアント機能を提供しません。これらの機能を実現するには、いくつかの方法があります。
-
アドクリ
-
レルムディー
-
ウィンバインド
-
サンバ
このセクションの情報は、Samba のアプローチのみを説明しています。realmd については、RHEL または CentOS ベンダーのドキュメントを参照してください。これらの手順は、SSSD を構成する前に実行する必要があります。
Samba を使用してドメインに参加し、ホストキータブを作成する:
適切に構成されたファイルを持つ Linux クライアントで:
-
/etc/krb5.conf
-
/etc/samba/smb.conf:
Samba および Kerberos 認証用にマシンを構成します:
sudo authconfig --smbsecurity=ads --smbworkgroup=domain --smbrealm=REALM --krb5realm=REALM --krb5kdc=fqdn-of-domain-controller --update
ここで、REALM は大文字の Kerberos レルム名であり、domain はドメインの NetBIOS 名です。
KDC サーバーとレルム名の DNS ベースのルックアップが必要な場合は、前のコマンドに次の2つのオプションを追加します:
--enablekrb5kdcdns --enablekrb5realmdns
/etc/samba/smb.conf を開き、authconfig ツールによって生成されたセクションの後に、\[Global\] セクションの下に次のエントリを追加します:
kerberos method = secrets and keytab
Windowsドメインに参加するには、ドメインコントローラーに到達可能であり、コンピューターをドメインに追加する権限を持つADユーザーアカウントが必要です。
sudo net ads join REALM -U user
REALM は大文字のKerberosレルム名であり、user はコンピューターをドメインに追加する権限を持つドメインユーザーです。
SSSDのセットアップ
SSSDのセットアップは、次の手順で構成されます。
-
Linuxクライアントマシンに sssd-ad および sssd-proxy パッケージをインストールします。
-
さまざまなファイル（例：sssd.conf）に構成変更を加えます。
-
sssdサービスを開始します。
/etc/sssd/sssd.conf
sssd.conf の構成例（必要に応じてオプションを追加できます）：
[sssd]
config_file_version = 2
domains = EXAMPLE
services = nss, pam
[domain/EXAMPLE]
# Uncomment if you need offline logins
# cache_credentials = true
re_expression = (((?P<domain>[^\\]+)\\(?P<name>.+$))|((?P<name>[^@]+)@(?P<domain>.+$))|(^(?P<name>[^@\\]+)$))
id_provider = proxy
proxy_lib_name = nis
auth_provider = ad
access_provider = ad
# Should be specified as the long version of the Active Directory domain.
ad_domain = EXAMPLE.COM
# Kerberos settings
krb5_ccachedir = /tmp
krb5_ccname_template = FILE:%d/krb5cc_%U
# Uncomment if service discovery is not working
# ad_server = server.ad.example.com
# Comment out if the users have the shell and home dir set on the AD side
default_shell = /bin/bash
fallback_homedir = /home/%d/%u
# Uncomment and adjust if the default principal SHORTNAME$@REALM is not available
# ldap_sasl_authid = host/client.ad.example.com@AD.EXAMPLE.COM
ad.domain.com、server.ad.example.com を対応する値に置き換えます。詳細については、sssd-ad(5) - Linux man page を参照してください。
sssd.conf のファイルの所有権とアクセス許可を設定します。
chown root:root /etc/sssd/sssd.conf
chmod 0600 /etc/sssd/sssd.conf restorecon /etc/sssd/sssd.conf
NSS/PAMの構成
RHEL/CentOS:
authconfig を使用してSSSDを有効にします。ホームディレクトリの作成がSELinuxと互換性があることを確認するために oddjob-mkhomedir をインストールします。
authconfig --enablesssd --enablesssdauth --enablemkhomedir --update
sudo systemctl start sssd
sudo systemctl enable sssd
ヒント:
Linux VDA設定を構成する際、SSSDの場合、Linux VDAクライアントに特別な設定がないことを考慮してください。ctxsetup.sh スクリプトの追加ソリューションについては、デフォルト値を使用してください。
Kerberos の構成を確認する
Linux VDA で使用するために Kerberos が正しく構成されていることを確認するには、システム keytab ファイルが作成され、有効なキーが含まれていることを確認します。
sudo klist -ke
このコマンドは、プリンシパル名と暗号スイートのさまざまな組み合わせで利用可能なキーのリストを表示します。これらのキーを使用して、Kerberos の kinit コマンドを実行し、ドメインコントローラーでマシンを認証します。
sudo kinit –k MACHINE\$@REALM
マシン名とレルム名は大文字で指定する必要があります。ドル記号 ($) は、シェル置換を防ぐためにバックスラッシュ (\\) でエスケープする必要があります。一部の環境では、DNS ドメイン名が Kerberos レルム名と異なる場合があります。レルム名が使用されていることを確認してください。このコマンドが成功した場合、出力は表示されません。
マシンアカウントの TGT チケットがキャッシュされていることを確認するには、次を使用します。
sudo klist -ke
ユーザー認証を確認する
getent コマンドを使用して、ログオン形式がサポートされているか、および NSS が機能するかどうかを確認します。
sudo getent passwd DOMAIN\\username
DOMAIN パラメーターは、短いバージョンのドメイン名を示します。別のログオン形式が必要な場合は、まず getent コマンドを使用して確認します。
サポートされているログオン形式は次のとおりです。
-
ダウンレベルログオン名:
DOMAIN\username -
UPN:
username@domain.com -
NetBIOS サフィックス形式:
username@DOMAIN
SSSD PAM モジュールが正しく構成されていることを確認するには、ドメインユーザーアカウントを使用して Linux VDA にログオンします。このドメインユーザーアカウントは以前に使用されたことがないものです。
sudo ssh localhost –l DOMAIN\\username
id -u
コマンドによって返された uid に対応する Kerberos 資格情報キャッシュファイルが作成されていることを確認します。
ls /tmp/krb5cc_{uid}
ユーザーの Kerberos 資格情報キャッシュ内のチケットが有効で、期限切れになっていないことを確認します。
klist