Integrar una máquina virtual RHEL 8.x con Active Directory para el redireccionamiento de tarjetas inteligentes

Utilice el siguiente procedimiento para integrar una máquina virtual RHEL 8.x con un dominio de Active Directory (AD) para el redireccionamiento de tarjetas inteligentes.

Nota: Los escritorios RHEL 8.x no admiten el redireccionamiento de tarjetas inteligentes ni el inicio de sesión único (SSO) de Active Directory al mismo tiempo. Si configura el redireccionamiento de tarjetas inteligentes en un escritorio RHEL 8.x, el SSO de Active Directory no funcionará.

Algunos ejemplos incluidos en el procedimiento utilizan valores de marcador de posición para representar entidades en su configuración de red, como el nombre de DNS de su dominio de AD. Reemplace los valores de marcador de posición con información específica de su configuración, tal y como se describe en la siguiente tabla.


Valor del marcador de posición	Descripción
DIRECCIÓN_IP_dns	Dirección IP del servidor de nombres DNS
rhel8sc.domain.com	Nombre de host completo de su máquina virtual RHEL 8.x
rhel8sc	Nombre de host no completo de su máquina virtual RHEL 8.x
domain.com	Nombre DNS de su dominio de AD
DOMAIN.COM	Nombre DNS de su dominio de AD, en mayúsculas
DOMINIO	Nombre DNS del grupo de trabajo o el dominio NT que incluye su servidor Samba, en mayúsculas
dnsserver.domain.com	Nombre de host del servidor de AD

Procedimiento

En la máquina virtual RHEL 8.x, haga lo siguiente.
1. Configure los ajustes DNS y de red según lo requiera su organización.
2. Deshabilite IPv6.
3. Deshabilite DNS automático.

Edite el archivo de configuración /etc/hosts de forma que quede parecido a este ejemplo.

127.0.0.1        rhel8sc.domain.com rhel8sc localhost localhost.localdomain localhost4 localhost4.localdomain4
::1              localhost localhost.localdomain localhost6 localhost6.localdomain6
 
dns_IP_ADDRESS   dnsserver.domain.com

Edite el archivo de configuración /etc/resolv.conf de forma que quede parecido a este ejemplo.
```
# Generated by NetworkManager
search domain.com
nameserver dns_IP_ADDRESS
```
Instale los paquetes necesarios para la integración de AD.
```
# yum install -y samba-common-tools oddjob-mkhomedir
```

Habilite el servicio oddjobd.

# systemctl enable oddjobd.service
# systemctl start oddjobd.service

Especifique la identidad del sistema y las fuentes de autenticación.
```
# authselect select sssd with-smartcard with-mkhomedir
```

Inicie el servicio oddjobd.

# systemctl enable oddjobd.service
# systemctl start oddjobd.service

Para dar soporte a la autenticación de tarjetas inteligentes, cree el archivo /etc/sssd/sssd.conf.
```
# touch /etc/sssd/sssd.conf
# chmod 600 /etc/sssd/sssd.conf
# chown root:root /etc/sssd/sssd.conf
```

Añada el contenido necesario a /etc/sssd/sssd.conf, como se muestra en el siguiente ejemplo. En la sección [pam], especifique pam_cert_auth = True.

[sssd]
config_file_version = 2
domains = domain.com
services = nss, pam, pac
 
[domain/DOMAIN.COM]
id_provider = ad
auth_provider = ad
chpass_provider = ad
access_provider = ad
cache_credentials = true
 
[pam]
pam_cert_auth = True

Habilite el servicio sssd.

# systemctl enable sssd.service
# systemctl start sssd.service

Edite el archivo de configuración /etc/krb5.conf de forma que quede parecido a este ejemplo.

# To opt out of the system crypto-policies configuration of krb5, remove the
# symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
includedir /etc/krb5.conf.d/
 
[logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log
 
[libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
    spake_preauth_groups = edwards25519
    default_realm = DOMAIN.COM
    default_ccache_name = KEYRING:persistent:%{uid}
 
[realms]
 DOMAIN.COM = {
     kdc = dnsserver.domain.com
     admin_server = dnsserver.domain.com
     default_domain = dnsserver.domain.com
     pkinit_anchors = FILE:/etc/pki/nssdb/certificate.pem
     pkinit_cert_match = <KU>digitalSignature
     pkinit_kdc_hostname = dnsserver.domain.com
 }
 
[domain_realm]
 .domain.com = DOMAIN.COM
 domain.com = DOMAIN.COM

Edite el archivo de configuración /etc/samba/smb.conf de forma que quede parecido a este ejemplo.

[global]
        workgroup = DOMAIN
        security = ads
        passdb backend = tdbsam
        printing = cups
        printcap name = cups
        load printers = yes
        cups options = raw
        password server = dnsserver.domain.com
        realm = DOMAIN.COM
        idmap config * : range = 16777216-33554431
        template homedir =/home/DOMAIN/%U
        template shell = /bin/bash
        kerberos method = secrets and keytab
 
[homes]
        comment = Home Directories
        valid users = %S, %D%w%S
        browseable = No
        read only = No
        inherit acls = Yes
 
[printers]
        comment = All Printers
        path = /var/tmp
        printable = Yes
        create mask = 0600
        browseable = No
 
[print$]
        comment = Printer Drivers
        path = /var/lib/samba/drivers
        write list = @printadmin root
        force group = @printadmin
        create mask = 0664
        directory mask = 0775

Únase al dominio de AD, tal y como se muestra en el siguiente ejemplo.
```
# net ads join -U AdminUser
```
Al ejecutar el comando join, se obtiene un resultado similar al siguiente ejemplo.
```
Enter AdminUser's password:
Using short domain name -- DOMAIN
Joined 'RHEL8SC' to dns domain 'domain.com'
```
Compruebe que la máquina virtual RHEL 8.x se unió correctamente al dominio de AD.
```
# net ads testjoin

Join is OK
```

Qué hacer a continuación

Configurar el redireccionamiento de tarjetas inteligentes en una máquina virtual RHEL 8.x