Integrar escritorios RHEL 8.x con Active Directory para el redireccionamiento de tarjetas inteligentes

Utilice el siguiente procedimiento para integrar un escritorio RHEL 8.x con un dominio de Active Directory (AD) para el redireccionamiento de tarjetas inteligentes.

Algunos ejemplos incluidos en el procedimiento utilizan valores de marcador de posición para representar entidades en su configuración de red, como el nombre de DNS de su dominio de AD. Reemplace los valores de marcador de posición con información específica de su configuración, tal y como se describe en la siguiente tabla.


Valor del marcador de posición	Descripción
DIRECCIÓN_IP_dns	Dirección IP del servidor de nombres DNS
rhel8sc.rzview2.com	Nombre de host completo de su sistema RHEL 8.0
rhel8sc	Nombre de host no completo de su sistema RHEL 8.0
rzview2.com	Nombre DNS de su dominio de AD
RZVIEW2.COM	Nombre DNS de su dominio de AD, en mayúsculas
RZVIEW2	Nombre DNS del grupo de trabajo o el dominio NT que incluye su servidor Samba, en mayúsculas
rzviewdns.rzview2.com	Nombre de host del servidor de AD

Procedimiento

En su sistema RHEL 8.x, haga lo siguiente:
1. Configure los ajustes DNS y de red según lo requiera su organización.
2. Deshabilite IPv6.
3. Deshabilite DNS automático.

Edite el archivo de configuración /etc/hosts de forma que quede parecido a este ejemplo.

127.0.0.1        rhel8sc.rzview2.com rhel8sc localhost localhost.localdomain localhost4 localhost4.localdomain4
::1              localhost localhost.localdomain localhost6 localhost6.localdomain6
 
DIRECCIÓN_IP_dns   rzviewdns.rzview2.com

Edite el archivo de configuración /etc/resolv.conf de forma que quede parecido a este ejemplo.
```
# Generated by NetworkManager
search rzview2.com
nameserver DIRECCIÓN_ip_dns
```
Instale los paquetes necesarios para la integración de AD.
```
# yum install -y samba-common-tools oddjob-mkhomedir
```

Habilite el servicio oddjobd.

# systemctl enable oddjobd.service
# systemctl start oddjobd.service

Especifique la identidad del sistema y las fuentes de autenticación.
```
# authselect select sssd with-smartcard with-mkhomedir
```

Inicie el servicio oddjobd.

# systemctl enable oddjobd.service
# systemctl start oddjobd.service

Para dar soporte a la autenticación de tarjetas inteligentes, cree el archivo /etc/sssd/sssd.conf.

# touch /etc/sssd/sssd.conf
# chmod 600 touch /etc/sssd/sssd.conf
# chown root:root /etc/sssd/sssd.conf

Añada el contenido necesario a /etc/sssd/sssd.conf, como se muestra en el siguiente ejemplo. En la sección [pam], especifique pam_cert_auth = True.

[sssd]
config_file_version = 2
domains = rzview2.com
services = nss, pam, pac
 
[domain/RZVIEW2.COM]
id_provider = ad
auth_provider = ad
chpass_provider = ad
access_provider = ad
cache_credentials = true
 
[pam]
pam_cert_auth = True

Habilite el servicio sssd.

# systemctl enable sssd.service
# systemctl start sssd.service

Edite el archivo de configuración /etc/krb5.conf de forma que quede parecido a este ejemplo.

# To opt out of the system crypto-policies configuration of krb5, remove the
# symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
includedir /etc/krb5.conf.d/
 
[logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log
 
[libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
    spake_preauth_groups = edwards25519
    default_realm = RZVIEW2.COM
    default_ccache_name = KEYRING:persistent:%{uid}
 
[realms]
 RZVIEW2.COM = {
     kdc = rzviewdns.rzview2.com
     admin_server = rzviewdns.rzview2.com
     default_domain = rzviewdns.rzview2.com
     pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
     pkinit_cert_match = <KU>digitalSignature
     pkinit_kdc_hostname = rzviewdns.rzview2.com
 }
 
[domain_realm]
 .rzview2.com = RZVIEW2.COM
 rzview2.com = RZVIEW2.COM

Edite el archivo de configuración /etc/samba/smb.conf de forma que quede parecido a este ejemplo.

[global]
        workgroup = RZVIEW2
        security = ads
        passdb backend = tdbsam
        printing = cups
        printcap name = cups
        load printers = yes
        cups options = raw
        password server = rzviewdns.rzview2.com
        realm = RZVIEW2.COM
        idmap config * : range = 16777216-33554431
        template homedir =/home/RZVIEW2/%U
        template shell = /bin/bash
        kerberos method = secrets and keytab
 
[homes]
        comment = Home Directories
        valid users = %S, %D%w%S
        browseable = No
        read only = No
        inherit acls = Yes
 
[printers]
        comment = All Printers
        path = /var/tmp
        printable = Yes
        create mask = 0600
        browseable = No
 
[print$]
        comment = Printer Drivers
        path = /var/lib/samba/drivers
        write list = @printadmin root
        force group = @printadmin
        create mask = 0664
        directory mask = 0775

Únase al dominio de AD, tal y como se muestra en el siguiente ejemplo.
```
# net ads join -U AdminUser
```
Al ejecutar el comando join, se obtiene un resultado similar al siguiente ejemplo.
```
Enter AdminUser's password:
Using short domain name -- RZVIEW2
Joined 'RHEL8SC' to dns domain 'rzview2.com'
```
Compruebe que el escritorio RHEL 8.x se unió correctamente al dominio de AD.
```
# net ads testjoin

Join is OK
```

Qué hacer a continuación

Configurar el redireccionamiento de tarjetas inteligentes para escritorios RHEL 8.x