安装适用于 RHEL/CentOS 的 Linux Virtual Delivery Agent
您可以选择按照本文中的步骤进行手动安装，也可以使用简易安装进行自动安装和配置。简易安装比手动安装更省时省力，且不易出错。
注意：
仅将简易安装用于全新安装。请勿使用简易安装来更新现有安装。
步骤 1：为 VDA 安装准备 RHEL 7/CentOS 7、RHEL 6/CentOS 6
步骤 1a：验证网络配置
Citrix® 建议在继续操作之前，确保网络已正确连接和配置。
步骤 1b：设置主机名
注意：
Linux VDA 当前不支持 NetBIOS 名称截断。因此，主机名不得超过 15 个字符。
为确保正确报告计算机的主机名，请更改 /etc/hostname 文件，使其仅包含计算机的主机名。
HOSTNAME=hostname
步骤 1c：将环回地址分配给主机名
注意：
Linux VDA 当前不支持 NetBIOS 名称截断。因此，主机名不得超过 15 个字符。
为确保正确报告计算机的 DNS 域名和完全限定域名 (FQDN)，请更改 /etc/hosts 文件中的以下行，以将 FQDN 和主机名作为前两个条目包括在内：
127.0.0.1 hostname-fqdn hostname localhost localhost.localdomain localhost4 localhost4.localdomain4
例如：
127.0.0.1 vda01.example.com vda01 localhost localhost.localdomain localhost4 localhost4.localdomain4
从文件中的其他条目中删除对 hostname-fqdn 或 hostname 的任何其他引用。
提示：
仅使用 a–z、A–Z、0–9 和连字符 (-) 字符。避免使用下划线 (_)、空格和其他符号。主机名不能以数字开头，也不能以连字符结尾。此规则也适用于 Delivery Controller 主机名。
步骤 1d：检查主机名
验证主机名是否已正确设置：
hostname
<!--NeedCopy-->
此命令仅返回计算机的主机名，而不返回其完全限定域名 (FQDN)。
验证 FQDN 是否已正确设置：
hostname -f
<!--NeedCopy-->
此命令返回计算机的 FQDN。
步骤 1e：检查名称解析和服务可达性
验证您可以解析 FQDN 并 ping 域控制器和 Delivery Controller™：
nslookup domain-controller-fqdn
ping domain-controller-fqdn
nslookup delivery-controller-fqdn
ping delivery-controller-fqdn
<!--NeedCopy-->
- 如果无法解析 FQDN 或 ping 这些计算机中的任何一台，请在继续操作之前查看这些步骤。
步骤 1f：配置时钟同步
- 维护 VDA、Delivery Controller 和域控制器之间准确的时钟同步至关重要。将 Linux VDA 作为虚拟机托管可能会导致时钟偏差问题。因此，首选与远程时间服务同步时间。
RHEL 6.x 及更早版本使用 NTP 守护程序 (ntpd) 进行时钟同步，而 RHEL 7.x 默认环境则使用较新的 Chrony 守护程序 (chronyd)。这两种服务的配置和操作过程类似。
配置 NTP 服务（仅限 RHEL 6/CentOS 6）
作为 root 用户，编辑 /etc/ntp.conf 并为每个远程时间服务器添加一个服务器条目：
- server peer1-fqdn-or-ip-address iburst
server peer2-fqdn-or-ip-address iburst
<!--NeedCopy-->
在典型部署中，从本地域控制器同步时间，而不是直接从公共 NTP 池服务器同步。为域中的每个 Active Directory 域控制器添加一个服务器条目。
删除列出的任何其他 server 条目，包括环回 IP 地址、localhost 和公共服务器 *.pool.ntp.org 条目。
保存更改并重新启动 NTP 守护程序：
sudo /sbin/service ntpd restart
<!--NeedCopy-->
配置 Chrony 服务（仅限 RHEL 7/CentOS 7）
作为 root 用户，编辑 /etc/chrony.conf 并为每个远程时间服务器添加一个服务器条目：
server peer1-fqdn-or-ip-address iburst
server peer2-fqdn-or-ip-address iburst
<!--NeedCopy-->
- 在典型部署中，从本地域控制器同步时间，而不是直接从公共 NTP 池服务器同步。为域中的每个 Active Directory 域控制器添加一个服务器条目。
删除列出的任何其他 server 条目，包括环回 IP 地址、localhost 和公共服务器 *.pool.ntp.org 条目。
保存更改并重新启动 Chrony 守护程序：
sudo /sbin/service chronyd restart
<!--NeedCopy-->
步骤 1g：安装 OpenJDK
Linux VDA 依赖于 OpenJDK。通常，运行时环境作为操作系统安装的一部分进行安装。
确认正确版本：
- RHEL 7/CentOS 7：
sudo yum info java-1.8.0-openjdk
<!--NeedCopy-->
- RHEL 6/CentOS 6：
sudo yum info java-1.7.0-openjdk
<!--NeedCopy-->
预打包的 OpenJDK 可能是早期版本。根据需要更新到最新版本：
- RHEL 7/CentOS 7：
sudo yum -y update java-1.8.0-openjdk
<!--NeedCopy-->
- RHEL 6/CentOS 6：
- sudo yum -y update java-1.7.0-openjdk
<!--NeedCopy-->
通过将以下行添加到 ~/.bashrc 文件中，设置 JAVA_HOME 环境变量：
export JAVA\_HOME=/usr/lib/jvm/java
打开新 shell 并验证 Java 版本：
java -version
<!--NeedCopy-->
提示：
为避免出现问题，请确保在 RHEL 6/CentOS 6 的情况下仅安装了 OpenJDK 版本 1.7.0 或 1.8.0，或者在 RHEL 7/CentOS 7 的情况下仅安装了 OpenJDK 版本 1.8.0。删除系统上所有其他版本的 Java。
步骤 1h：安装 PostgreSQL
Linux VDA 要求在 RHEL 6 上安装 PostgreSQL 8.4 或更高版本，或者在 RHEL 7 上安装 PostgreSQL 9.2 或更高版本。
安装以下软件包：
sudo yum -y install postgresql-server
sudo yum -y install postgresql-jdbc
<!--NeedCopy-->
需要执行以下安装后步骤来初始化数据库并确保服务在计算机启动时启动。此操作会在 /var/lib/pgsql/data 下创建数据库文件。PostgreSQL 8 和 PostgreSQL 9 之间的命令有所不同：
- 仅限 RHEL 7：PostgreSQL 9
- sudo postgresql-setup initdb
<!--NeedCopy-->
- 仅限 RHEL 6：PostgreSQL 8
sudo /sbin/service postgresql initdb
<!--NeedCopy-->
步骤 1i：启动 PostgreSQL
在计算机启动时启动服务并立即启动服务：
- 仅限 RHEL 7：PostgreSQL 9
sudo systemctl enable postgresql
sudo systemctl start postgresql
<!--NeedCopy-->
- 仅限 RHEL 6：PostgreSQL 8
sudo /sbin/chkconfig postgresql on
sudo /sbin/service postgresql start
<!--NeedCopy-->
使用以下命令检查 PostgreSQL 版本：
psql --version
<!--NeedCopy-->
使用 psql 命令行实用程序验证数据目录是否已设置：
sudo -u postgres psql -c 'show data_directory'
<!--NeedCopy-->
重要：
在此版本中，gperftools-libs 新增了一个依赖项，但它在原始存储库中不存在。使用
sudo rpm -ivh https://dl.fedoraproject.org/pub/epel/epel-release-latest-6.noarch.rpm命令添加新存储库。 仅 RHEL 6/CentOS 6 受影响。在安装 Linux VDA 软件包之前运行该命令。
步骤 2：准备虚拟机管理程序
在受支持的虚拟机管理程序上将 Linux VDA 作为虚拟机运行时，需要进行一些更改。根据所使用的虚拟机管理程序平台进行以下更改。如果您在裸机硬件上运行 Linux 计算机，则无需进行任何更改。
修复 Citrix XenServer® 上的时间同步
启用 XenServer 时间同步功能后，在每个半虚拟化 Linux VM 中，您会遇到 NTP 和 XenServer 的问题，两者都尝试管理系统时钟。为避免时钟与其他服务器不同步，请确保每个 Linux 访客中的系统时钟与 NTP 同步。此情况需要禁用主机时间同步。在 HVM 模式下无需进行任何更改。
在某些 Linux 发行版上，如果您正在运行安装了 XenServer Tools 的半虚拟化 Linux 内核，则可以从 Linux VM 中检查 XenServer 时间同步功能是否存在并已启用：
su -
cat /proc/sys/xen/independent_wallclock
<!--NeedCopy-->
此命令返回 0 或 1：
- 0 - 时间同步功能已启用，必须禁用。
- 1 - 时间同步功能已禁用，无需进一步操作。
如果 /proc/sys/xen/indepent_wallclock 文件不存在，则不需要执行以下步骤。
如果已启用，请通过向文件写入 1 来禁用时间同步功能：
sudo echo 1 > /proc/sys/xen/independent_wallclock
<!--NeedCopy-->
要使此更改在重新启动后永久生效，请编辑 /etc/sysctl.conf 文件并添加以下行：
xen.independent_wallclock = 1
要验证这些更改，请重新启动系统：
su -
cat /proc/sys/xen/independent_wallclock
<!--NeedCopy-->
此命令返回值为 1。
修复 Microsoft Hyper-V 上的时间同步
安装了 Hyper-V Linux 集成服务的 Linux VM 可以应用 Hyper-V 时间同步功能来使用主机操作系统的时钟。为确保系统时钟保持准确，您必须与 NTP 服务一起启用此功能。
从管理操作系统：
- 打开 Hyper-V 管理器控制台。
- 对于 Linux VM 的设置，选择集成服务。
- 确保选中时间同步。
注意：
此方法与 VMware 和 XenServer 不同，在 VMware 和 XenServer 中，主机时间同步被禁用以避免与 NTP 冲突。Hyper-V 时间同步可以与 NTP 时间同步共存并对其进行补充。
修复 ESX 和 ESXi 上的时间同步
启用 VMware 时间同步功能后，在每个半虚拟化 Linux VM 中，您会遇到 NTP 和虚拟机管理程序的问题，两者都尝试同步系统时钟。为避免时钟与其他服务器不同步，请确保每个 Linux 访客中的系统时钟与 NTP 同步。此情况需要禁用主机时间同步。
如果您正在运行安装了 VMware Tools 的半虚拟化 Linux 内核：
- 打开 vSphere Client。
- 编辑 Linux VM 的设置。
- 在虚拟机属性对话框中，打开选项选项卡。
- 选择 VMware Tools。
- 在高级框中，清除将访客时间与主机同步。
步骤 3：将 Linux 虚拟机 (VM) 添加到 Windows 域
Linux VDA 支持多种方法将 Linux 计算机添加到 Active Directory (AD) 域：
- Samba Winbind
- Quest Authentication Service
- Centrify DirectControl
- SSSD
根据您选择的方法遵循说明。
注意：
当 Linux VDA 中的本地帐户和 AD 中的帐户使用相同的用户名时，会话启动可能会失败。
Samba Winbind
安装或更新所需的软件包：
sudo yum -y install samba-winbind samba-winbind-clients krb5-workstation authconfig oddjob-mkhomedir
<!--NeedCopy-->
启用 Winbind 守护程序在计算机启动时启动
必须将 Winbind 守护程序配置为在计算机启动时启动：
sudo /sbin/chkconfig winbind on
<!--NeedCopy-->
配置 Winbind 身份验证
使用 Winbind 配置计算机以进行 Kerberos 身份验证：
sudo authconfig --disablecache --disablesssd --disablesssdauth --enablewinbind --enablewinbindauth --disablewinbindoffline --smbsecurity=ads --smbworkgroup=domain --smbrealm=REALM --krb5realm=REALM --krb5kdc=fqdn-of-domain-controller --winbindtemplateshell=/bin/bash --enablemkhomedir --updateall
<!--NeedCopy-->
其中，REALM 是大写的 Kerberos 领域名称，domain 是域的 NetBIOS 名称。
如果需要基于 DNS 查找 KDC 服务器和领域名称，请将以下两个选项添加到上一个命令中：
--enablekrb5kdcdns --enablekrb5realmdns
忽略 authconfig 命令返回的有关 winbind 服务启动失败的任何错误。当 authconfig 尝试启动 winbind 服务而计算机尚未加入域时，可能会发生这些错误。
打开 /etc/samba/smb.conf 并在 [Global] 部分下添加以下条目，但要放在由 authconfig 工具生成的节之后：
kerberos method = secrets and keytab
winbind refresh tickets = true
Linux VDA 需要系统密钥表文件 /etc/krb5.keytab 才能向 Delivery Controller 进行身份验证和注册。之前的 kerberos method 设置会强制 Winbind 在计算机首次加入域时创建系统密钥表文件。
加入 Windows 域
您的域控制器必须可访问，并且您必须拥有一个具有将计算机添加到域权限的 Active Directory 用户帐户：
sudo net ads join REALM -U user
<!--NeedCopy-->
REALM 是大写的 Kerberos 领域名称，user 是具有将计算机添加到域权限的域用户。
配置 Winbind 的 PAM
默认情况下，Winbind PAM 模块 (pam_winbind) 的配置不启用 Kerberos 票证缓存和主目录创建。打开 /etc/security/pam_winbind.conf 并在 [Global] 部分下添加或更改以下条目：
krb5_auth = yes
krb5_ccache_type = FILE
mkhomedir = yes
确保删除每个设置前面的任何分号。这些更改需要重新启动 Winbind 守护程序：
sudo /sbin/service winbind restart
<!--NeedCopy-->
提示：
Winbind 守护程序仅在计算机加入域后才保持运行。
打开 /etc/krb5.conf 并在 [libdefaults] 部分下将以下设置从 KEYRING 更改为 FILE 类型：
default_ccache_name = FILE:/tmp/krb5cc_%{uid}
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（Windows 和 Linux VDA）在 Active Directory 中具有计算机对象。
- 运行 Samba 的 net ads 命令以验证计算机是否已加入域：
sudo net ads testjoin
<!--NeedCopy-->
- 运行以下命令以验证额外的域和计算机对象信息：
sudo net ads info
<!--NeedCopy-->
验证 Kerberos 配置
为确保 Kerberos 已正确配置以与 Linux VDA 配合使用，请检查系统密钥表文件是否已创建并包含有效密钥：
sudo klist -ke
<!--NeedCopy-->
此命令显示可用于主体名称和密码套件的各种组合的密钥列表。运行 Kerberos kinit 命令以使用这些密钥向域控制器验证计算机：
sudo kinit -k MACHINE\$@REALM
<!--NeedCopy-->
- 计算机和领域名称必须以大写形式指定。美元符号 ($) 必须用反斜杠 (\) 转义，以防止 shell 替换。在某些环境中，DNS 域名与 Kerberos 领域名称不同。请确保使用领域名称。如果此命令成功，则不显示任何输出。
使用以下命令验证计算机帐户的 TGT 票证是否已缓存：
sudo klist
<!--NeedCopy-->
使用以下命令检查计算机的帐户详细信息：
sudo net ads status
<!--NeedCopy-->
验证用户身份验证
使用 wbinfo 工具验证域用户是否可以向域进行身份验证：
wbinfo --krb5auth=domain\\username%password
<!--NeedCopy-->
此处指定的域是 AD 域名，而不是 Kerberos 领域名称。对于 bash shell，反斜杠 (\) 字符必须用另一个反斜杠转义。此命令返回一条消息，指示成功或失败。
要验证 Winbind PAM 模块是否配置正确，请使用域用户帐户登录到 Linux VDA。此域用户帐户以前从未使用过。
ssh localhost -l domain\\username
id -u
<!--NeedCopy-->
检查 Kerberos 凭据缓存中的票证是否有效且未过期：
klist
<!--NeedCopy-->
退出会话：
exit
<!--NeedCopy-->
可以通过直接登录到 Gnome 或 KDE 控制台来执行类似的测试。在域加入验证后，继续执行步骤 4：安装 Linux VDA。
Quest 身份验证服务
在域控制器上配置 Quest
假设您已在 Active Directory 域控制器上安装并配置了 Quest 软件，并且已获得在 Active Directory 中创建计算机对象的管理权限。
启用域用户登录 Linux VDA 计算机
要使域用户能够在 Linux VDA 计算机上建立 HDX™ 会话，请执行以下操作：
- 在 Active Directory 用户和计算机管理控制台中，打开该用户帐户的 Active Directory 用户属性。
- 选择 Unix Account 选项卡。
- 选中 Unix-enabled。
- 将 Primary GID Number 设置为实际域用户组的组 ID。
注意：
这些说明等同于使用控制台、RDP、SSH 或任何其他远程处理协议设置域用户登录。
在 Linux VDA 上配置 Quest
解决 SELinux 策略强制执行问题
默认的 RHEL 环境已完全强制执行 SELinux。此强制执行会干扰 Quest 使用的 Unix 域套接字 IPC 机制，并阻止域用户登录。
解决此问题的便捷方法是禁用 SELinux。作为 root 用户，编辑 /etc/selinux/config 并更改 SELinux 设置：
SELINUX=permissive
此更改需要重新启动计算机：
reboot
<!--NeedCopy-->
重要：
请谨慎使用此设置。在禁用 SELinux 策略强制执行后重新启用它可能会导致完全锁定，即使对于 root 用户和其他本地用户也是如此。
配置 VAS 守护程序
必须启用 Kerberos 票证的自动续订并断开连接。必须禁用身份验证（脱机登录）。
sudo /opt/quest/bin/vastool configure vas vasd auto-ticket-renew-interval 32400
sudo /opt/quest/bin/vastool configure vas vas_auth allow-disconnected-auth false
<!--NeedCopy-->
此命令将续订间隔设置为九小时（32,400 秒），比默认的 10 小时票证生命周期少一小时。在票证生命周期较短的系统上，将此参数设置为较低的值。
配置 PAM 和 NSS
要通过 HDX 以及 su、ssh 和 RDP 等其他服务启用域用户登录，请运行以下命令手动配置 PAM 和 NSS：
sudo /opt/quest/bin/vastool configure pam
sudo /opt/quest/bin/vastool configure nss
<!--NeedCopy-->
加入 Windows 域
使用 Quest vastool 命令将 Linux 计算机加入 Active Directory 域：
sudo /opt/quest/bin/vastool -u user join domain-name
<!--NeedCopy-->
该用户是具有将计算机加入 Active Directory 域权限的任何域用户。domain-name 是域的 DNS 名称，例如 example.com。
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（Windows 和 Linux VDA）在 Active Directory 中都具有计算机对象。要验证已加入 Quest 的 Linux 计算机是否在域中：
sudo /opt/quest/bin/vastool info domain
<!--NeedCopy-->
如果计算机已加入域，此命令将返回域名。如果计算机未加入任何域，则会出现以下错误：
ERROR: No domain could be found.
ERROR: VAS_ERR_CONFIG: at ctx.c:414 in _ctx_init_default_realm
default_realm not configured in vas.conf. Computer may not be joined to domain
验证用户身份验证
要验证 Quest 是否可以通过 PAM 验证域用户，请使用域用户帐户登录 Linux VDA。该域用户帐户以前从未使用过。
ssh localhost -l domain\\username
id -u
<!--NeedCopy-->
检查是否为 id -u 命令返回的 UID 创建了相应的 Kerberos 凭据缓存文件：
ls /tmp/krb5cc_uid
<!--NeedCopy-->
检查 Kerberos 凭据缓存中的票证是否有效且未过期：
/opt/quest/bin/vastool klist
<!--NeedCopy-->
退出会话：
exit
<!--NeedCopy-->
可以通过直接登录 Gnome 或 KDE 控制台来执行类似的测试。在域加入验证后，继续执行步骤 4：安装 Linux VDA。
Centrify DirectControl
加入 Windows 域
安装 Centrify DirectControl Agent 后，使用 Centrify adjoin 命令将 Linux 计算机加入 Active Directory 域：
su –
adjoin -w -V -u user domain-name
<!--NeedCopy-->
用户参数是具有将计算机加入 Active Directory 域权限的任何 Active Directory 域用户。domain-name 是要将 Linux 计算机加入的域的名称。
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（Windows 和 Linux VDA）在 Active Directory 中都具有计算机对象。要验证已加入 Centrify 的 Linux 计算机是否在域中：
su –
adinfo
<!--NeedCopy-->
检查 Joined to domain 值是否有效以及 CentrifyDC 模式是否返回 connected。如果模式停留在 starting 状态，则 Centrify 客户端正在遇到服务器连接或身份验证问题。
可以使用以下命令获取更全面的系统和诊断信息：
adinfo --sysinfo all
adinfo –diag
<!--NeedCopy-->
测试与各种 Active Directory 和 Kerberos 服务的连接。在域加入验证后，继续执行步骤 4：安装 Linux VDA。
adinfo --test
<!--NeedCopy-->
SSSD
如果您正在使用 SSSD，请按照本节中的说明进行操作。本节包含将 Linux VDA 计算机加入 Windows 域的说明，并提供了配置 Kerberos 身份验证的指导。
要在 RHEL 和 CentOS 上设置 SSSD，请执行以下操作：
- 加入域并使用 Samba 创建主机密钥表
- 设置 SSSD
- 配置 NSS/PAM
- 验证 Kerberos 配置
- 验证用户身份验证
所需软件
Active Directory 提供程序首次随 SSSD 1.9.0 版引入。如果您使用的是早期版本，请按照 configuring the LDAP provider with Active Directory 中提供的说明进行操作。
本文档中包含的说明已在以下环境中经过测试和验证：
- RHEL 7.3 或更高版本/CentOS 7.3 或更高版本
- Linux VDA 版本 1.3 或更高版本
使用 Samba 加入域并创建主机 keytab
SSSD 不提供用于加入域和管理系统 keytab 文件的 Active Directory 客户端功能。您可以改用 adcli、realmd、Winbind 或 Samba。
本节中的信息仅介绍 Samba 方法。有关 realmd，请参阅 RHEL 或 CentOS 文档。在配置 SSSD 之前，必须遵循这些步骤。
在正确配置了以下文件的 Linux 客户端上：
- /etc/krb5.conf
- /etc/samba/smb.conf:
配置计算机以进行 Samba 和 Kerberos 身份验证：
sudo authconfig --smbsecurity=ads --smbworkgroup=domain --smbrealm=REALM --krb5realm=REALM --krb5kdc=fqdn-of-domain-controller --update
<!--NeedCopy-->
其中 REALM 是大写的 Kerberos 领域名称，domain 是 Active Directory 域的短 NetBIOS 名称。
如果需要基于 DNS 查找 KDC 服务器和领域名称，请将以下两个选项添加到上述命令中：
--enablekrb5kdcdns --enablekrb5realmdns
打开 /etc/samba/smb.conf 并在 [Global] 部分下添加以下条目，但在由 authconfig 工具生成的节之后：
kerberos method = secrets and keytab
加入 Windows 域。确保您的域控制器可访问，并且您拥有具有将计算机添加到域的权限的 Active Directory 用户帐户：
sudo net ads join REALM -U user
<!--NeedCopy-->
REALM 是大写的 Kerberos 领域名称，user 是具有将计算机添加到域的权限的域用户。
设置 SSSD
设置 SSSD 包括以下步骤：
- 在 Linux VDA 上安装 sssd-ad 软件包。
- 对各种文件（例如 sssd.conf）进行配置更改。
- 启动 sssd 服务。
一个示例 sssd.conf 配置（可根据需要添加额外选项）：
[sssd]
config_file_version = 2
domains = ad.example.com
services = nss, pam
[domain/ad.example.com]
# Uncomment if you need offline logins
# cache_credentials = true
id_provider = ad
auth_provider = ad
access_provider = ad
ldap_id_mapping = true
ldap_schema = ad
# Should be specified as the lower-case version of the long version of the Active Directory domain.
ad_domain = ad.example.com
# Kerberos settings
krb5_ccachedir = /tmp
krb5_ccname_template = FILE:%d/krb5cc_%U
# Uncomment if service discovery is not working
# ad_server = server.ad.example.com
# Comment out if the users have the shell and home dir set on the AD side
default_shell = /bin/bash
fallback_homedir = /home/%d/%u
# Uncomment and adjust if the default principal SHORTNAME$@REALM is not available
# ldap_sasl_authid = host/client.ad.example.com@AD.EXAMPLE.COM
<!--NeedCopy-->
将 ad.example.com、server.ad.example.com 替换为相应的值。有关更多详细信息，请参阅 sssd-ad(5) - Linux man page。
设置 sssd.conf 上的文件所有权和权限：
chown root:root /etc/sssd/sssd.conf
chmod 0600 /etc/sssd/sssd.conf
restorecon /etc/sssd/sssd.conf
配置 NSS/PAM
RHEL/CentOS：
使用 authconfig 启用 SSSD。安装 oddjob-mkhomedir 以确保主目录创建与 SELinux 兼容：
authconfig --enablesssd --enablesssdauth --enablemkhomedir –-update
sudo service sssd start
sudo chkconfig sssd on
<!--NeedCopy-->
- #### 验证 Kerberos 配置
- 检查系统 **keytab** 文件是否已创建并包含有效密钥：
- sudo klist -ke
<!--NeedCopy-->
- 此命令显示可用于主体名称和密码套件的各种组合的密钥列表。运行 Kerberos kinit 命令以使用这些密钥对计算机进行域控制器身份验证：
- sudo kinit –k MACHINE\$@REALM
<!--NeedCopy-->
计算机和领域名称必须以大写形式指定。美元符号 ($) 必须用反斜杠 (\) 转义，以防止 shell 替换。在某些环境中，DNS 域名与 Kerberos 领域名称不同。确保使用领域名称。如果此命令成功，则不会显示任何输出。
使用以下命令验证计算机帐户的 TGT 票证是否已缓存:
sudo klist
<!--NeedCopy-->
验证用户身份验证
使用 getent 命令验证登录格式是否受支持以及 NSS 是否正常工作：
sudo getent passwd DOMAIN\\username
<!--NeedCopy-->
DOMAIN 参数指示短版本域名。如果需要其他登录格式，请首先使用 getent 命令进行验证。
支持的登录格式包括：
- 下级登录名：
DOMAIN\username - UPN：
username@domain.com - NetBIOS 后缀格式：
username@DOMAIN
要验证 SSSD PAM 模块是否已正确配置，请使用域用户帐户登录到 Linux VDA。此域用户帐户以前未使用过。
sudo ssh localhost –l DOMAIN\\username
id -u
<!--NeedCopy-->
检查是否为命令返回的 uid 创建了相应的 Kerberos 凭据缓存文件：
ls /tmp/krb5cc_{uid}
<!--NeedCopy-->
检查用户 Kerberos 凭据缓存中的票证是否有效且未过期。在域加入验证后，继续执行步骤 4：安装 Linux VDA。
klist
<!--NeedCopy-->
步骤 4：安装 Linux VDA
步骤 4a：卸载旧版本
如果您以前安装过早期版本的 Linux VDA，请在新版本安装之前将其卸载。
-
停止 Linux VDA 服务：
sudo /sbin/service ctxvda stop sudo /sbin/service ctxhdx stop <!--NeedCopy--> -
卸载软件包：
sudo rpm -e XenDesktopVDA <!--NeedCopy-->
注意：
支持从前两个版本升级。
注意：
从版本 1.3 开始，安装路径已更改。在以前的版本中，安装组件位于 /usr/local/ 中。新位置是 /opt/Citrix/VDA/。
要运行命令，需要完整路径；或者，您可以将 /opt/Citrix/VDA/sbin 和 /opt/Citrix/VDA/bin 添加到系统路径中。
步骤 4b：下载 Linux VDA 软件包
访问 Citrix 网站，根据您的 Linux 发行版下载相应的 Linux VDA 软件包。
步骤 4c：安装 Linux VDA
- 使用 `Yum` 安装 Linux VDA 软件：
- **适用于 RHEL 7/CentOS 7：**
sudo yum install -y XenDesktopVDA-7.15.0.404-1.el7_3.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.9：
sudo yum install -y XenDesktopVDA-7.15.0.404-1.el6_9.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.6/CentOS 6.6：
- sudo yum install -y XenDesktopVDA-7.15.0.404-1.el6_6.x86_64.rpm
<!--NeedCopy-->
使用 RPM 软件包管理器安装 Linux VDA 软件。在此之前，您必须解决以下依赖项：
适用于 RHEL 7/CentOS 7：
sudo rpm -i XenDesktopVDA-7.15.0.404-1.el7_3.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.9：
sudo rpm -i XenDesktopVDA-7.15.0.404-1.el6_9.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.6/CentOS 6.6：
sudo rpm -i XenDesktopVDA-7.15.0.404-1.el6_6.x86_64.rpm
<!--NeedCopy-->
RHEL 7 的 RPM 依赖项列表：
postgresql-server >= 9.2
postgresql-jdbc >= 9.2
java-1.8.0-openjdk >= 1.8.0
ImageMagick >= 6.7.8.9
firewalld >= 0.3.9
policycoreutils-python >= 2.0.83
dbus >= 1.6.12
dbus-x11 >= 1.6.12
xorg-x11-server-utils >= 7.7
xorg-x11-xinit >= 1.3.2
libXpm >= 3.5.10
libXrandr >= 1.4.1
libXtst >= 1.2.2
motif >= 2.3.4
pam >= 1.1.8
util-linux >= 2.23.2
bash >= 4.2
findutils >= 4.5
gawk >= 4.0
sed >= 4.2
cups >= 1.6.0
foomatic-filters >= 4.0.9
openldap >= 2.4
cyrus-sasl >= 2.1
cyrus-sasl-gssapi >= 2.1
libxml2 >= 2.9
python-requests >= 2.6.0
gperftools-libs >= 2.4
xorg-x11-server-Xorg >= 1.17
xorg-x11-server-Xorg < 1.18
rpmlib(FileDigests) <= 4.6.0-1
rpmlib(PayloadFilesHavePrefix) <= 4.0-1
rpmlib(CompressedFileNames) <= 3.0.4-1
rpmlib(PayloadIsXz) <= 5.2-1
<!--NeedCopy-->
RHEL 6.9 的 RPM 依赖项列表：
postgresql-jdbc >= 8.4
postgresql-server >= 8.4
java-1.7.0-openjdk >= 1.7.0
ImageMagick >= 6.5.4.7
GConf2 >= 2.28.0
system-config-firewall-base >= 1.2.27
policycoreutils-python >= 2.0.83
xorg-x11-server-utils >= 7.7
xorg-x11-xinit >= 1.0.9
ConsoleKit >= 0.4.1
dbus >= 1.2.24
dbus-x11 >= 1.2.24
libXpm >= 3.5.10
libXrandr >= 1.4.1
libXtst >= 1.2.2
openmotif >= 2.3.3
pam >= 1.1.1
util-linux-ng >= 2.17.2
bash >= 4.1
findutils >= 4.4
gawk >= 3.1
sed >= 4.2
cups >= 1.4.0
foomatic >= 4.0.0
openldap >= 2.4
cyrus-sasl >= 2.1
cyrus-sasl-gssapi >= 2.1
libxml2 >= 2.7
python-requests >= 2.6.0
gperftools-libs >= 2.0
xorg-x11-server-Xorg >= 1.17
xorg-x11-server-Xorg < 1.18
rpmlib(FileDigests) <= 4.6.0-1
rpmlib(PayloadFilesHavePrefix) <= 4.0-1
rpmlib(CompressedFileNames) <= 3.0.4-1
rpmlib(PayloadIsXz) <= 5.2-1
<!--NeedCopy-->
RHEL 6.6/CentOS 6.6 的 RPM 依赖项列表：
postgresql-jdbc >= 8.4
postgresql-server >= 8.4
java-1.7.0-openjdk >= 1.7.0
ImageMagick >= 6.5.4.7
GConf2 >= 2.28.0
system-config-firewall-base >= 1.2.27
policycoreutils-python >= 2.0.83
xorg-x11-server-utils >= 7.7
xorg-x11-xinit >= 1.0.9
ConsoleKit >= 0.4.1
dbus >= 1.2.24
dbus-x11 >= 1.2.24
libXpm >= 3.5.10
libXrandr >= 1.4.1
libXtst >= 1.2.2
openmotif >= 2.3.3
pam >= 1.1.1
util-linux-ng >= 2.17.2
bash >= 4.1
findutils >= 4.4
gawk >= 3.1
sed >= 4.2
cups >= 1.4.0
foomatic >= 4.0.0
openldap >= 2.4
cyrus-sasl >= 2.1
cyrus-sasl-gssapi >= 2.1
libxml2 >= 2.7
python-requests >= 2.6.0
gperftools-libs >= 2.0
xorg-x11-server-Xorg >= 1.15
xorg-x11-server-Xorg < 1.16
rpmlib(FileDigests) <= 4.6.0-1
rpmlib(PayloadFilesHavePrefix) <= 4.0-1
rpmlib(CompressedFileNames) <= 3.0.4-1
rpmlib(PayloadIsXz) <= 5.2-1
<!--NeedCopy-->
步骤 4d：升级 Linux VDA（可选）
可以使用 Yum 从 7.14 和 7.13 版本升级 Linux VDA 软件：
适用于 RHEL 7/CentOS 7：
sudo yum install -y XenDesktopVDA-7.15.0.404-1.el7_3.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.9：
sudo yum install -y XenDesktopVDA-7.15.0.404-1.el6_9.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.6/CentOS 6.6：
sudo yum install -y XenDesktopVDA-7.15.0.404-1.el6_6.x86_64.rpm
<!--NeedCopy-->
使用 RPM 软件包管理器升级 Linux VDA 软件：
适用于 RHEL 7/CentOS 7：
sudo rpm -U XenDesktopVDA-7.15.0.404-1.el7_3.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.9：
sudo rpm -U XenDesktopVDA-7.15.0.404-1.el6_9.x86_64.rpm
<!--NeedCopy-->
适用于 RHEL 6.6/CentOS 6.6：
sudo rpm -U XenDesktopVDA-7.15.0.404-1.el6_6.x86_64.rpm
<!--NeedCopy-->
重要：
升级软件后，请重新启动 Linux VDA 计算机。
步骤 5：安装 NVIDIA GRID 驱动程序
启用 HDX 3D Pro 需要额外的安装步骤，以便在虚拟机管理程序和 VDA 计算机上安装所需的图形驱动程序。
配置以下各项：
- Citrix XenServer
- VMware ESX
请按照所选虚拟机管理程序的说明进行操作。
Citrix XenServer：
本详细部分将介绍如何在 Citrix XenServer 上安装和配置 NVIDIA GRID 驱动程序。
VMware ESX：
请按照本指南中包含的信息为 VMware ESX 安装和配置 NVIDIA GRID 驱动程序。
VDA 计算机：
请按照以下步骤为每个 Linux 虚拟机来宾安装和配置驱动程序：
- 开始之前，请确保 Linux 虚拟机已关闭。
- 在 XenCenter® 中，以 GPU 直通模式向虚拟机添加 GPU。
- 启动 RHEL 虚拟机。
要为 NVIDIA GRID 驱动程序准备计算机，请运行以下命令：
yum install gcc
yum install "kernel-devel-$(uname -r)"
systemctl set-default multi-user.target
<!--NeedCopy-->
请按照 Red Hat Enterprise Linux 文档 中的步骤安装 NVIDIA GRID 驱动程序。
注意：
在 GPU 驱动程序安装过程中，请为每个问题选择默认值（“否”）。
重要：
启用 GPU 直通后，将无法再通过 XenCenter 访问 Linux 虚拟机。请使用 SSH 连接。
为显卡设置正确的配置：
etc/X11/ctx-nvidia.sh
要利用高分辨率和多显示器功能，您需要有效的 NVIDIA 许可证。要申请许可证，请遵循产品文档“GRID Licensing Guide.pdf - DU-07757-001 September 2015”。
步骤 6：配置 Linux VDA
安装软件包后，您必须通过运行 ctxsetup.sh 脚本来配置 Linux VDA。在进行任何更改之前，脚本会验证环境并确保已安装所有依赖项。如有必要，您可以随时重新运行该脚本以更改设置。
您可以手动运行该脚本并进行提示，也可以使用预配置的响应自动运行。在继续操作之前，请查看有关该脚本的帮助：
sudo /opt/Citrix/VDA/sbin/ctxsetup.sh --help
<!--NeedCopy-->
提示式配置
运行手动配置并回答提示问题：
sudo /opt/Citrix/VDA/sbin/ctxsetup.sh
<!--NeedCopy-->
自动化配置
对于自动化安装，请使用环境变量提供安装脚本所需的选项。如果所有必需的变量都存在，则脚本不会提示输入任何信息。
支持的环境变量包括：
- CTX_XDL_SUPPORT_DDC_AS_CNAME = Y | N – Linux VDA 支持使用 DNS CNAME 记录指定 Delivery Controller 名称。默认设置为 N。
- CTX_XDL_DDC_LIST = list-ddc-fqdns – Linux VDA 需要一个以空格分隔的 Delivery Controller 完全限定域名 (FQDN) 列表，用于向 Delivery Controller 注册。必须至少指定一个 FQDN 或 CNAME 别名。
- CTX_XDL_VDA_PORT = port-number – Linux VDA 通过 TCP/IP 端口与 Delivery Controller 通信，默认端口为 80。
- CTX_XDL_REGISTER_SERVICE = Y | N - Linux Virtual Desktop 服务在计算机启动后启动。默认值设置为 Y。
- CTX_XDL_ADD_FIREWALL_RULES = Y | N – Linux Virtual Desktop 服务要求通过系统防火墙允许传入网络连接。您可以自动在系统防火墙中为 Linux Virtual Desktop 打开所需端口（默认端口为 80 和 1494）。默认设置为 Y。
-
CTX_XDL_AD_INTEGRATION = 1 | 2 | 3 | 4 – Linux VDA 需要 Kerberos 配置设置才能向 Delivery Controller 进行身份验证。Kerberos 配置由系统上已安装和配置的 Active Directory 集成工具确定。指定要使用的受支持的 Active Directory 集成方法：
- 1 – Samba Winbind
- 2 – Quest Authentication Service
- 3 – Centrify DirectControl
- 4 – SSSD
- CTX_XDL_HDX_3D_PRO = Y | N – Linux VDA 支持 HDX 3D Pro，这是一组旨在优化富图形应用程序虚拟化的 GPU 加速技术。如果选择 HDX 3D Pro，则 Virtual Delivery Agent 将配置为 VDI 桌面（单会话）模式 –（即 CTX_XDL_VDI_MODE=Y）。
- CTX_XDL_VDI_MODE = Y | N – 是否将计算机配置为专用桌面交付模型 (VDI) 或托管共享桌面交付模型。对于 HDX 3D Pro 环境，请将此变量设置为 Y。此变量默认设置为 N。
- CTX_XDL_SITE_NAME = dns-name – Linux VDA 通过 DNS 发现 LDAP 服务器。要将 DNS 搜索结果限制到本地站点，请指定 DNS 站点名称。此变量默认设置为 <none>。
- CTX_XDL_LDAP_LIST = list-ldap-servers – Linux VDA 查询 DNS 以发现 LDAP 服务器。如果 DNS 无法提供 LDAP 服务记录，您可以提供一个以空格分隔的 LDAP FQDN 列表以及 LDAP 端口。例如，ad1.mycompany.com:389。此变量默认设置为 <none>。
- CTX_XDL_SEARCH_BASE = search-base-set – Linux VDA 通过搜索基数查询 LDAP，该搜索基数设置为 Active Directory 域的根（例如，DC=mycompany,DC=com）。为了提高搜索性能，您可以指定一个搜索基数（例如，OU=VDI,DC=mycompany,DC=com）。此变量默认设置为 <none>。
- CTX_XDL_START_SERVICE = Y | N – Linux VDA 配置完成后是否启动 Linux VDA 服务。默认设置为 Y。
设置环境变量并运行配置脚本：
export CTX_XDL_SUPPORT_DDC_AS_CNAME=Y|N
export CTX_XDL_DDC_LIST=list-ddc-fqdns
export CTX_XDL_VDA_PORT=port-number
export CTX_XDL_REGISTER_SERVICE=Y|N
export CTX_XDL_ADD_FIREWALL_RULES=Y|N
export CTX_XDL_AD_INTEGRATION=1|2|3|4
export CTX_XDL_HDX_3D_PRO=Y|N
export CTX_XDL_VDI_MODE=Y|N
export CTX_XDL_SITE_NAME=dns-name
export CTX_XDL_LDAP_LIST=list-ldap-servers
export CTX_XDL_SEARCH_BASE=search-base-set
export CTX_XDL_START_SERVICE=Y|N
sudo -E /opt/Citrix/VDA/sbin/ctxsetup.sh
<!--NeedCopy-->
运行 sudo 命令时，键入 -E 选项以将现有环境变量传递到其创建的新 shell。Citrix 建议您从上述命令创建一个 shell 脚本文件，并将 #!/bin/bash 作为第一行。
或者，您可以使用单个命令指定所有参数：
sudo CTX_XDL_SUPPORT_DDC_AS_CNAME=Y|N \
CTX_XDL_DDC_LIST=list-ddc-fqdns \
CTX_XDL_VDA_PORT=port-number \
CTX_XDL_REGISTER_SERVICE=Y|N \
CTX_XDL_ADD_FIREWALL_RULES=Y|N \
CTX_XDL_AD_INTEGRATION=1|2|3|4 \
CTX_XDL_HDX_3D_PRO=Y|N \
CTX_XDL_VDI_MODE=Y|N \
CTX_XDL_SITE_NAME=dns-name \
CTX_XDL_LDAP_LIST=list-ldap-servers \
CTX_XDL_SEARCH_BASE=search-base-set \
CTX_XDL_START_SERVICE=Y|N \
/opt/Citrix/VDA/sbin/ctxsetup.sh
<!--NeedCopy-->
删除配置更改
在某些情况下，您可能需要删除由 ctxsetup.sh 脚本进行的配置更改，而无需卸载 Linux VDA 软件包。
在继续操作之前，请查看有关此脚本的帮助：
sudo /opt/Citrix/VDA/sbin/ctxcleanup.sh --help
<!--NeedCopy-->
要删除配置更改：
sudo /opt/Citrix/VDA/sbin/ctxcleanup.sh
<!--NeedCopy-->
重要提示：
此脚本将删除数据库中的所有配置数据，并使 Linux VDA 无法运行。
配置日志
ctxsetup.sh 和 ctxcleanup.sh 脚本会在控制台上显示错误，并将附加信息写入配置日志文件 /tmp/xdl.configure.log。
重新启动 Linux VDA 服务以使更改生效。
步骤 7：运行 Linux VDA
使用 ctxsetup.sh 脚本配置 Linux VDA 后，您可以运行以下命令来控制 Linux VDA。
启动 Linux VDA：
要启动 Linux VDA 服务：
sudo /sbin/service ctxhdx start
sudo /sbin/service ctxvda start
<!--NeedCopy-->
停止 Linux VDA：
要停止 Linux VDA 服务：
sudo /sbin/service ctxvda stop
sudo /sbin/service ctxhdx stop
<!--NeedCopy-->
重新启动 Linux VDA：
要重新启动 Linux VDA 服务：
sudo /sbin/service ctxvda stop
sudo /sbin/service ctxhdx restart
sudo /sbin/service ctxvda start
<!--NeedCopy-->
检查 Linux VDA 的状态：
要检查 Linux VDA 服务的运行状态：
sudo /sbin/service ctxvda status
sudo /sbin/service ctxhdx status
<!--NeedCopy-->
步骤 8：在 XenApp 或 XenDesktop® 中创建计算机目录
创建计算机目录和添加 Linux VDA 计算机的过程与传统的 Windows VDA 方法类似。有关如何完成这些任务的更详细说明，请参阅创建计算机目录和管理计算机目录。
对于创建包含 Linux VDA 计算机的计算机目录，存在一些限制，这些限制使该过程与为 Windows VDA 计算机创建计算机目录有所不同：
- 对于操作系统，请选择：
- “服务器操作系统”选项用于托管共享桌面交付模型。
- “桌面操作系统”选项用于 VDI 专用桌面交付模型。
- 确保计算机设置为不进行电源管理。
- 由于 MCS 不支持 Linux VDA，请选择 PVS 或其他服务或技术（现有映像）部署方法。
- 请勿在同一计算机目录中混合使用 Linux 和 Windows VDA 计算机。
注意：
Citrix Studio 的早期版本不支持“Linux 操作系统”的概念。但是，选择“Windows Server OS”或“Server OS”选项意味着等效的托管共享桌面交付模型。选择“Windows Desktop OS”或“Desktop OS”选项意味着每个计算机一个用户的交付模型。
提示：
如果您将计算机从 Active Directory 域中删除并重新加入，则必须再次从计算机目录中删除并添加该计算机。
步骤 9：在 XenApp® 或 XenDesktop 中创建交付组
创建交付组和添加包含 Linux VDA 计算机的计算机目录的过程与 Windows VDA 计算机几乎相同。有关如何完成这些任务的更详细说明，请参阅创建交付组。
对于创建包含 Linux VDA 计算机目录的交付组，适用以下限制：
- 对于交付类型，选择“桌面”或“应用程序”。
- 确保您选择的 AD 用户和组已正确配置，以登录到 Linux VDA 计算机。
- 不允许未经身份验证（匿名）的用户登录。
- 请勿将交付组与包含 Windows 计算机的计算机目录混合使用。
重要：
应用程序发布受 Linux VDA 1.4 及更高版本支持。但是，Linux VDA 不支持将桌面和应用程序交付到同一台计算机。