参考1：http://muramasa64.fprog.org/diary/?date=20140909
参考2：https://fedorahosted.org/sssd/
参考3：man 5 sssd.conf, man 5 sssd-ldap, man 5 sssd-ad

設定情報

ドメイン : saka.example.com
ドメインコントローラ(Windows Server 2012 R2) : dc1.saka.example.com, 10.211.55.13
クライアント(CentOS6.6) : cl1.saka.example.com, 10.211.55.9

これから設定するファイル(手動で編集するもののみ)

/etc/resolv.conf
/etc/hosts
/etc/krb5.conf
/etc/samba/smb.conf
/etc/sssd/sssd.conf

sssdについては, 1.9.2 or Above の設定なので, 注意.

設定準備

/etc/resolv.confの設定

基本的にはADとDNSはセットになっていて, ADと一緒に動いているDNSにはSRVレコードが自動で登録されている.
これがないと, kerberosやldapの検索ができないので, Linux側の/etc/resolv.confにドメコンをDNSとして登録しておく.

nameserver 10.211.55.13

/etc/hostsの編集

マシンをADに登録する際, 自身の名前解決ができる必要があるので, /etc/hostsに登録しておく.
hostname --fqdnができるようにしておく.

必要パッケージのインストール

パッケージ名	内容
sssd	sssdのベースパッケージ
sssd-ad	sssdとadをよしなに繋いでくれるパッケージ
krb5-workstation	krb5のクライアント
samba-client	マシンをADに登録するときにnetコマンドを使う
oddjob-mkhomedir	ホームディレクトリを自動で作成するためのモジュール

# yum install sssd sssd-ad krb5-workstation samba-client oddjob-mkhomedir

===================================================================================================================================================================================================================
 Package                                                      Arch                                          Version                                              Repository                                   Size
===================================================================================================================================================================================================================
Updating:
 krb5-workstation                                             x86_64                                        1.10.3-42.el6                                        base                                        811 k
 samba-client                                                 x86_64                                        3.6.23-20.el6                                        base                                         11 M
 sssd                                                         x86_64                                        1.12.4-47.el6                                        base                                        100 k
 sssd-ad                                                      x86_64                                        1.12.4-47.el6                                        base                                        202 k
Updating for dependencies:
 krb5-libs                                                    x86_64                                        1.10.3-42.el6                                        base                                        768 k
 libipa_hbac                                                  x86_64                                        1.12.4-47.el6                                        base                                        104 k
 libsss_idmap                                                 x86_64                                        1.12.4-47.el6                                        base                                        109 k
 python-sssdconfig                                            noarch                                        1.12.4-47.el6                                        base                                        132 k
 samba-common                                                 x86_64                                        3.6.23-20.el6                                        base                                         10 M
 samba-winbind                                                x86_64                                        3.6.23-20.el6                                        base                                        2.2 M
 samba-winbind-clients                                        x86_64                                        3.6.23-20.el6                                        base                                        2.0 M
 sssd-client                                                  x86_64                                        1.12.4-47.el6                                        base                                        151 k
 sssd-common                                                  x86_64                                        1.12.4-47.el6                                        base                                        976 k
 sssd-common-pac                                              x86_64                                        1.12.4-47.el6                                        base                                        134 k
 sssd-ipa                                                     x86_64                                        1.12.4-47.el6                                        base                                        237 k
 sssd-krb5                                                    x86_64                                        1.12.4-47.el6                                        base                                        133 k
 sssd-krb5-common                                             x86_64                                        1.12.4-47.el6                                        base                                        190 k
 sssd-ldap                                                    x86_64                                        1.12.4-47.el6                                        base                                        215 k
 sssd-proxy                                                   x86_64                                        1.12.4-47.el6                                        base                                        129 k

Transaction Summary
===================================================================================================================================================================================================================
Upgrade      19 Package(s)

Total download size: 29 M
Is this ok [y/N]:

authconfigでバックアップ作成

念のため作成する

# authconfig --savebackup=mybackup

各種設定

Kerberosの設定

DNSが設定されていることが前提.

# vim /etc/krb5.conf

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = SAKA.EXAMPLE.COM
 dns_lookup_realm = true
 dns_lookup_kdc = true
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true

[realms]

[domain_realm]

DNSが設定されていない場合. realmsなどの設定が必要.

# vim /etc/krb5.conf

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = SAKA.EXAMPLE.COM
 dns_lookup_realm = true
 dns_lookup_kdc = true
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true

[realms]
SAKA.EXAMPLE.COM= {
 kdc = dc1.saka.example.com
 admin_server = dc1.saka.example.com
}

[domain_realm]
saka.example.com = SAKA.EXAMPLE.COM
.saka.example.com = SAKA.EXAMPLE.COM

sambaの設定

マシンをADに登録するときに使う.

# vim /etc/samba/smb.conf

[global]
   workgroup = SAKA
   client signing = yes
   client use spnego = yes
   kerberos method = secrets and keytab
   log file = /var/log/samba/%m.log
   realm = SAKA.EXAMPLE.COM
   security = ads

sssdの設定

sssdもkrb5と同じように, DNS前提で設定できるが, 冗長構成の時にDC接続が不安定(というか, 落ちているDCに何度も接続にいっちゃう)ので, 直接記載する.
いろいろな項目は、man 5 sssd.conf, man 5 sssd-adを見て下さい. ここにみんな書いてあります.
サイトはsssdがDNSから見てくれる.ad-site = ...で明示的にサイトを指定することも可能.

# vim /etc/sssd/sssd.conf

[sssd]
services = nss, pam
config_file_version = 2
domains = saka.example.com

[domain/saka.example.com]
# デバッグレベルの設定
debug_level = 5

# adなので, id_providerはad
id_provider = ad

# adのホスト名を記載
# DNSをADのDNSにしておくこと
# ここを入れなくてもDNSで解決できれば基本的にはOK
ad_server = dc1.saka.example.com

# 冗長構成のとき
# ad_server = dc1.saka.example.com, dc2.saka.example.com

# sssdのキャッシュが効くようにする
# ADが落ちていてもログイン可能になる
cache_credentials = true

# idを自動でマッピングしないようにする
# 自動でマッピングしない場合、ADのエントリーのuid, gidが使用される
ldap_id_mapping = False

# adのmemberOf属性でアクセス制限をかける
# LDAPクエリで設定可能
access_provider = ad
ad_access_filter = (&(memberOf=cn=admin,ou=groups,dc=saka,dc=example,dc=com)(unixHomeDirectory=*))

[nss]

[pam]

ファイルのパーミッション設定

# chown root:root /etc/sssd/sssd.conf
# chmod 0600 /etc/sssd/sssd.conf

これで認証する側の設定は完了です.

ADにホストを登録する

kerberosチケットの発行

ADのAdministratorのパスワードを入力する. 成功すると, 何も言われない.

# kinit Administrator
Password for Administrator@SAKA.EXAMPLE.COM:

ホストの登録

hostname --fqdnができるなら, DNSの自動更新も成功する.

# hostname --fqdn
cl1.saka.example.com

# net ads join -U administrator
Enter administrator's password:
Using short domain name -- SAKA
Joined 'CL1' to dns domain 'saka.example.com'

sssdの有効化

authconfigで行う

# authconfig --enablesssd --enablesssdauth --enablelocauthorize --enablemkhomedir --update

これでsssdが起動できたらOK.
起動できなかったら,

# service sssd start

エラーになる場合は, /var/log/sssd/配下のログもしくは /var/log/messagesを確認する.

認証テスト

ADにUNIX属性を持つsakamotoというユーザを作成済み.

sakamotoユーザは, メイングループがsaka, サブグループがadmin.
adminはsudo用. 管理者だけこのサブグループが付く.

# id sakamoto
uid=10000(sakamoto) gid=10000(saka) groups=10000(saka),10001(admin)

sudoを使えるようにする

sudoのパッケージにAD用のスキーマがあるので, それを追加しても良いが, 各属性を目grepで検索orADなのにLDIFファイルを作成して読込, をしなければならず, 結構きつい.
ということで, sudoはsudersで行う.

それでもADでsudo管理したい場合は, ここが参考になる.
【参考】ADにsudoのスキーマを追加する：http://jhrozek.livejournal.com/3860.html
linux側のAD連携sudoの設定は, ldapの場合と同じ.

# visudo

# 下記を追記
%admin ALL=(ALL) ALL

AD側で「初回パスワード変更」の設定にしていたので, パスワード変更が求められた(ユーザにはsu - でログイン).

[sakamoto@cl1 ~]$ sudo -l

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for sakamoto:
Password expired. Change your password now.
sudo: Account or password is expired, reset your password and try again
Current Password:
New password:
Retype new password:
Matching Defaults entries for sakamoto on this host:
    !visiblepw, always_set_home, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE
    LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

User sakamoto may run the following commands on this host:
    (ALL) ALL

パスワードも認証できたし, sudoersとの連携も確認できました.
以外と普通にユーザ認証ができます.

その他

公開鍵について

opensshはopenldap用のスキーマしか準備していないので, 自作したスキーマで拡張するしかないです.
ADを使うところで自作スキーマは使わない気がします.
ただ, $HOME/.ssh/authorized_keysでの認証は可能です.

RHEL7系から

今回はsssd-adを利用したけど, RHEL7からはrealmdというパッケージがあります.
こっちのほうが設定が簡単みたいです.