整合 SLED/SLES 虛擬機器與 AD 以進行智慧卡重新導向

若要在 SLED/SLES 桌面平台上支援智慧卡重新導向，請使用 Samba 和 Winbind 解決方案整合基礎虛擬機器 (VM) 與 Active Directory (AD) 網域。

請使用下列程序整合 SLED/SLES 虛擬機器與 AD 網域，以支援智慧卡重新導向。

此程序中的某些範例使用預留位置值來代表您網路組態中的實體，例如 AD 網域的 DNS 名稱。請將預留位置值取代為您的組態特有的資訊，如下表所說明。

先決條件

確認 SLED/SLES 虛擬機器是否符合為 Linux 桌面平台設定智慧卡重新導向中所述的系統需求。

程序

1. 設定 SLED/SLES 虛擬機器的網路設定。

   1. 透過編輯 /etc/hostname 和 /etc/hosts 組態檔來定義虛擬機器的主機名稱。

   2. 設定 DNS 伺服器 IP 位址，並關閉自動 DNS。對於 SLES 虛擬機器，請一併關閉透過 DHCP 變更主機名稱。

   3. 若要設定網路時間同步，請將您的 NTP 伺服器資訊新增至 /etc/ntp.conf 檔案，如下列範例所示。

      server mytimeserver.mycompany.com
      

2. 安裝所需的 AD 加入套件。

   sudo zypper in krb5-client samba-winbind
   

3. 更新 krb5 程式庫，如下列範例所示。

   sudo zypper up krb5
   

4. 編輯所需的組態檔。

   1. 編輯 /etc/samba/smb.conf 檔案，如下列範例所示。

      [global]
              workgroup = MYDOMAIN
              usershare allow guests = NO
              idmap gid = 10000-20000
              idmap uid = 10000-20000
              kerberos method = secrets and keytab
              realm = MYDOMAIN.COM
              security = ADS
              template homedir = /home/%D/%U
              template shell = /bin/bash
              winbind use default domain=true
              winbind offline logon = yes
              winbind refresh tickets = yes
      [homes]
              ...
      

   2. 編輯 /etc/krb5.conf 檔案，如下列範例所示。

      [libdefaults]
              default_realm = MYDOMAIN.COM
              clockskew = 300 
          
      [realms]
              MYDOMAIN.COM = {
                      kdc = ads-hostname.mydomain.com
                      default_domain = mydomain.com 
                      admin_server = ads-hostname.mydomain.com
              }
          
      [logging]
              kdc = FILE:/var/log/krb5/krb5kdc.log
              admin_server = FILE:/var/log/krb5/kadmind.log
              default = SYSLOG:NOTICE:DAEMON
          
      [domain_realm]
              .mydomain.com = MYDOMAIN.COM
              mydomain.com = MYDOMAIN.COM
          
      [appdefaults]
              pam = {
                      ticket_lifetime = 1d
                      renew_lifetime = 1d
                      forwardable = true
                      proxiable = false
                      minimum_uid = 1
              }
      

   3. 編輯 /etc/security/pam_winbind.conf 檔案，如下列範例所示。

      cached_login = yes
      krb5_auth = yes
      krb5_ccache_type = FILE
      

   4. 編輯 /etc/nsswitch.conf 檔案，如下列範例所示。

      passwd: compat winbind
      group: compat winbind
      

5. 加入 AD 網域，如下列範例所示。

   sudo net ads join -U AdminUser
   

6. 啟用 Winbind 服務。

   1. 若要啟用並啟動 Winbind，請執行以下一系列的命令。

      sudo pam-config --add --winbind
      sudo pam-config -a --mkhomedir
      sudo systemctl enable winbind
      sudo systemctl start winbind
      

   2. 若要確定 AD 使用者可直接登入桌面平台而不需重新啟動 Linux 伺服器，請執行以下一系列的命令。

      sudo systemctl stop nscd
      sudo nscd -i passwd
      sudo nscd -i group
      sudo systemctl start nscd
      

7. 若要確認 AD 加入成功，請執行下列命令，並確認命令傳回正確的輸出。

   sudo wbinfo -u
   sudo wbinfo -g
   

後續步驟

繼續進行在 SLED/SLES 虛擬機器上設定智慧卡重新導向。